3. Descifrado de aplicaciones/cáscara aplastante
Después de cargar la aplicación en la App Store, Apple cifrará la aplicación y la descifrará dinámicamente cuando se esté ejecutando. De esta forma, no podemos analizar directamente las aplicaciones descargadas de la App Store. Por lo tanto, antes de analizar la aplicación, primero es necesario descifrarla, lo que comúnmente se conoce como romper el caparazón. La aplicación y el archivo ejecutable descifrado se pueden exportar a la computadora
1. volcado descifrado
fallido sin éxito
2. Embrague
2.1 Descargar y compilar
Tire del proyecto github.com/KJCracks/Cl... del repositorio al local
Abra el proyecto con xcode. Use Depurar para compilar todas las arquitecturas (Crear arquitectura activa únicamente - No), ejecute el destino para seleccionar la máquina real y luego haga clic en Compilar.
Después de la compilación, se generará una herramienta de línea de comandos que puede ejecutarse en dispositivos móviles y el script interno copiará su archivo ejecutable, lo firmará por separado y lo colocará en la buildcarpeta.
Luego use scppara Clutchcopiar el archivo al /usr/bindirectorio del dispositivo móvil.
scp /Users/zsq/Downloads/Clutch-master/build/Clutch [email protected]:/usr/bin/
复制代码Luego, conéctese de forma remota al dispositivo móvil, otorgando Clutchpermisos ejecutables.
chmod +x /usr/bin/Clutch
复制代码2.2 Uso
Referencia de comandos
Clutch [OPTIONS]
-b --binary-dump Only dump binary files from specified bundleID
-d --dump Dump specified bundleID into .ipa file
-i --print-installed Print installed application
--clean Clean /var/tmp/clutch directory
--version Display version and exit
-? --help Display this help and exit
复制代码Ver aplicaciones instaladas y BundleId
Clutch -i
复制代码Descifrar la aplicación de destino
Clutch -b target.bundle.id
复制代码2022-03-11 11:45:00.325 Clutch[3690:399947] command: Only dump binary files from specified bundleID
Zipping xxx.app
Dumping <xxx> (arm64)
Patched cryptid (64bit segment)
Writing new checksum
2022-03-11 11:45:00.660 clutch[3692:399967] command: Only dump binary files from specified bundleID
2022-03-11 11:45:00.661 clutch[3693:399969] command: Only dump binary files from specified bundleID
2022-03-11 11:45:00.661 clutch[3695:399973] command: Only dump binary files from specified bundleID
2022-03-11 11:45:00.662 clutch[3696:399975] command: Only dump binary files from specified bundleID
2022-03-11 11:45:00.664 clutch[3698:399979] command: Only dump binary files from specified bundleID
2022-03-11 11:45:00.665 clutch[3694:399971] command: Only dump binary files from specified bundleID
2022-03-11 11:45:00.668 clutch[3697:399977] command: Only dump binary files from specified bundleID
Dumping <SwiftSocket> arm64
Successfully dumped framework SwiftSocket!
Dumping <Antlr4> arm64
2022-03-11 11:45:00.699 clutch[3699:399981] command: Only dump binary files from specified bundleID
Dumping <PDFReader> arm64
Dumping <SecurityDetector> arm64
Successfully dumped framework PDFReader!
Successfully dumped framework SecurityDetector!
Dumping <Charts> arm64
Dumping <DTIActivityIndicator> arm64
Successfully dumped framework DTIActivityIndicator!
Successfully dumped framework Antlr4!
Dumping <FilesProvider> arm64
Dumping <UXMPDFKit> arm64
Successfully dumped framework Charts!
Successfully dumped framework UXMPDFKit!
Successfully dumped framework FilesProvider!
Zipping FilesProvider.framework
Zipping SwiftSocket.framework
Zipping UXMPDFKit.framework
Zipping Charts.framework
Zipping SecurityDetector.framework
Zipping PDFReader.framework
Zipping DTIActivityIndicator.framework
Zipping Antlr4.framework
DONE: /private/var/mobile/Documents/Dumped/xxx.ipa
Finished dumping com.neo.elf in 1.8 seconds
复制代码Después de que el descifrado sea exitoso, se imprimirá la ruta del archivo ipa descifrado. Se puede exportar a Mac para su posterior análisis.
3. frida-ios-dump
frida-ios-dumpEs una herramienta para romper caparazones escrita por un gran dios doméstico, y se recomienda su uso. Dirección: github.com/AloneMonkey…
3.1 Instalar frida
frida-ios-dumpel uso requiere ayuda frida. Se necesita soporte para el sitio web oficial de Frida . El sistema viene instalado por defecto , lo dejamos solo. Instalar a continuación .fridapython3python2.7homebrewpython3
instalar python3
brewbúsquedapython
brew search python
复制代码A continuación, seleccione la versión instalada
brew install [email protected]
复制代码
python3Indica python3.xla versión que estamos utilizando, pythonindicando que se utiliza la versión por defecto del sistema python2.7. Esto necesita atención
instalar pip3
fridaLa forma más conveniente de instalar es con la ayuda de pip. pipEs una herramienta de gestión de paquetes de Python, que proporciona las Pythonfunciones de búsqueda, descarga, instalación y desinstalación de paquetes. Puede usar el siguiente comando para determinar si está instalado:
pip --version # Python2.x 版本命令
pip3 --version # Python3.x 版本命令
复制代码Si aún no está instalado, puede instalarlo con el siguiente comando:
$ curl https://bootstrap.pypa.io/get-pip.py -o get-pip.py # 下载安装脚本
$ sudo python3 get-pip.py # 运行安装脚本
复制代码Nota: Se usa aquí
python3para instalar y también se usará más adelante.pip3
instalar frida
La siguiente instalación formalfrida
sudo pip3 install frida
sudo pip3 install frida-tools
复制代码instalar frida en el movil
CydiaAñadir fuente en https://build.frida.re/. Luego busque fridae instale.
SSHConecta tu teléfono
Ejecutar en la terminal del mac:
frida-ps -U
复制代码Enumerará los procesos que el sistema de telefonía móvil está ejecutando actualmente. En este punto, fridase completa el trabajo de instalación. Introduzca frida-ios-dumpla instalación a continuación.
3.2 instalación frida-ios-dump
Descárguelo localmente y frida-ios-dumpluego ingrese y ejecute el siguiente comando para instalar los paquetes de dependencia necesarios.
sudo pip install -r requirements.txt --upgrade
复制代码implementar
3.3 frida-ios-dump rompiendo la concha
Seleccione frida-ps -Ula aplicación enumerada después de ejecutar el comando anterior y rompa el caparazón. Ejecutar en la frida-ios-dumpcarpeta:
python3 ./dump.py 应用名或bundleid
复制代码Después de romper el caparazón, la aplicación se copia directamente a frida-ios-dumpla carpeta. muy conveniente