iOS逆向学习笔记之–砸壳和导出应用头文件

砸壳工具的使用

dumpdecrypted

1、下载源代码git clone https://github.com/stefanesser/dumpdecrypted.git
2、进入dumpdecrypted文件夹目录。使用make命令生成dumpdecrypted.dylib文件
3、ssh登录越狱手机，关闭所有应用，启动需要砸壳的目标应用,利用命令 ps -e 查看所有进程，包含“/var/mobile/Containers/”的就是目标APP的进程(从App Store中下载的APP都放在该目录下)
4、利用cycript注入该APP进程，找出该APP的Documents目录全路径

cycript -p targetAppName
var dir = NSHomeDirectory()
@"/var/mobile/Containers/Data/Application/CF8EC7A2-E6E8-4680-88AD-BECC3C351ADC"

5、将之前生成的dumpdecrypted.dylib拷贝到Documents目录下

scp dumpdecrypted.dylib root@192.168.0.107:/var/mobile/Containers/Data/Application/CF8EC7A2-E6E8-4680-88AD-BECC3C351ADC/Documents/

6、利用dumpdecrypted.dylib将目标APP砸壳

DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib /var/mobile/Containers/Bundle/Application/7BF44939-6045-4158-9C69-841AD0A8DC02/caipudaquan.app/caipudaquan

砸壳成功后在该目录下生成 caipudaquan.decrypted 文件。然后利用scp命令将该文件拷贝到电脑上面备用
7、在电脑上面查看砸壳文件的加密标识

otool -l caipudaquan.decrypted | grep crypt
结果如下：
caipudaquan.decrypted (architecture armv7):
     cryptoff 16384
    cryptsize 4128768
      cryptid 0
caipudaquan.decrypted (architecture arm64):
     cryptoff 16384
    cryptsize 4456448
      cryptid 1
// 我的越狱手机是4S，所以解密的是armv7架构的

Clutch的使用

1、下载Clutch

https://github.com/KJCracks/Clutch/releases/

2、将下载的Clutch拷贝到越狱手机

scp -P 2222 /Users/mac/Downloads/Clutch root@localhost:/usr/bin/

3、赋予执行权限

iPhone:/usr/bin root# chmod +x Clutch

4、使用

1、列出安装的Store App
Clutch -i
2、输入App序号或者Bundle Id砸壳
iPhone:~ root# Clutch -i
Installed apps:
1:   爱奇艺-延禧攻略独播 <com.qiyi.iphone>
2:   哈罗单车-全国免押金 <com.jingyao.EasyBike>
3:   微信 <com.tencent.xin>
4:   钉钉 <com.laiwang.DingTalk>
5:   千帆直播 - 答题猜成语瓜分百万奖金 <cn.com.qf.show>
6:   抖音短视频 <com.ss.iphone.ugc.Aweme>
iPhone:~ root# Clutch -d 2  // 或者 Clutch -d com.jingyao.EasyBike
Zipping EasyBike.app
ASLR slide: 0x79000
Dumping <EasyBike> (armv7)
Patched cryptid (32bit segment)
Writing new checksum
DONE: /private/var/mobile/Documents/Dumped/com.jingyao.EasyBike-iOS8.0-(Clutch-2.0.4).ipa

class-dump

otool工具简介
otool(object file display tool):Xcode自带的目标文件展示工具。可以用来发现应用中使用到了哪些系统库，调用了哪些方法，使用了库中那些对象及属性。

otool -help

Usage: /Applications/Xcode9.4.app/Contents/Developer/Toolchains/XcodeDefault.xctoolchain/usr/bin/otool [-arch arch_type] [-fahlLDtdorSTMRIHGvVcXmqQjCP] [-mcpu=arg] [--version] <object file> ...
    -f print the fat headers
    -a print the archive header
    -h print the mach header
    -l print the load commands
    -L print shared libraries used
    -D print shared library id name
    -t print the text section (disassemble with -v)
    -p <routine name>  start dissassemble from routine name
    -s <segname> <sectname> print contents of section
    -d print the data section
    -o print the Objective-C segment
    -r print the relocation entries
    -S print the table of contents of a library (obsolete)
    -T print the table of contents of a dynamic shared library (obsolete)
    -M print the module table of a dynamic shared library (obsolete)
    -R print the reference table of a dynamic shared library (obsolete)
    -I print the indirect symbol table
    -H print the two-level hints table (obsolete)
    -G print the data in code table
    -v print verbosely (symbolically) when possible
    -V print disassembled operands symbolically
    -c print argument strings of a core file
    -X print no leading addresses or headers
    -m don't use archive(member) syntax
    -B force Thumb disassembly (ARM objects only)
    -q use llvm's disassembler (the default)
    -Q use otool(1)'s disassembler
    -mcpu=arg use `arg' as the cpu for disassembly
    -j print opcode bytes
    -P print the info plist section as strings
    -C print linker optimization hints
    --version print the version of /Applications/Xcode9.4.app/Contents/Developer/Toolchains/XcodeDefault.xctoolchain/usr/bin/otool

例： otool -L MobileNotes // 查看使用的依赖库

安装class-dump
下载地址http://stevenygard.com/projects/class-dump/

配置到用户环境变量中，方便使用
1、将下载的dmg文件中的class-dump命令拷贝到用户目录
如终端创建: $mkdir ~/bin
2.打开~/.bash_profile文件,配置环境变量 (双击打开就可以) 把export PATH=$HOME/bin/放到第一行中
3.在Terminal中执行source命令source ~/.bash_profile
4.在命令行中输入class-dump验证是否配置成功

这里写图片描述

利用class-dump导出目标APP头文件
方法一:针对已经砸壳后的ipa文件
1、将下载的砸壳后的ipa改后缀为名zip,解压,进入app目录
2、执行命令查看目标APP的bundleID
3、利用class-dump命令导出.h文件

cd demo.app
plutil -p Info.plist | grep CFBundleExecutable
class-dump -S -s -H bundleID -o /Users/wangjie/Desktop/targetipa/Headers

方法二:针对后缀名为decrypted的砸壳后的文件
1、确定砸壳手机的架构(这里的是使用的4S,所以是armv7)
2、指定架构导出.h文件，如果不指定相应的架构会导出失败
3、指定路径下(这里是Headers目录)出现很多.h文件表示成功，只有CDStructures.h表示失败

查看目标文件支持的架构
lipo -info /Users/wangjie/Desktop/caipudaquan.decrypted 
Architectures in the fat file: /Users/wangjie/Desktop/caipudaquan.decrypted are: armv7 arm64 

指定架构导出.h文件（4S）
class-dump -S -s -H --arch armv7 /Users/wangjie/Desktop/caipudaquan.decrypted -o /Users/wangjie/Desktop/caipudaquan/Headers