跳到主要內容

代碼注入及其拓展--逆向開發

今天繼續講述逆向開發中另一個比較重要的課程是代碼注入內容,本篇篇幅比較長,但還是有很多乾貨的,希望大家通過此篇文章更加了解逆向開發中的要點和知識點.我們將分解幾個內容,進行講解:



  1. Framework注入

  2. Dylib注入

  3. MethodSwizzle

  4. 微信示例講解

  5. 總結


讓代碼執行自己的代碼,整體方案如下:



如何讓別人的app來執行自己的代碼呢? 這就要通過代碼注入的方式來達到,而代碼注入的方式有兩種: 一種是通過framework, 一種是dylib方式,另種方案,可以通過Runtime機制


代碼注入思路:


DYLD會動態加載動態庫Framework中所有動態庫,在frameworks中加入自己的一個動態庫,然後在動態庫中hook和注入代碼.


一、FrameWork注入


 1.準備工作



  • 微信6.6.5（越獄應用）

  • MachOView軟件


　　MachOView的下載地址：


　　如果想看源碼如下：MachOView源碼：



  • yololib工具（給MachOView注入framework）


　　yololib工具下載地址：



  • 簽名文件appsign文件


2.流程


2.1 加入準備工作，導入微信6.6.5版本以及腳本appSign.sh重簽名文件



2.2 將appSign導入到項目腳本中



 


 


 2.3 有了上面的兩個步驟后，然後編譯一下工程，會出現一個temp工程，裡面包含了payload文件



2.4 显示包內容，查看可執行文件



 2.5 我們通過MachOView軟件查看WeChat



我們看到有很多的DYLIB，代表的是加載動態庫


2.6  我們在項目中新建framework



 


2.7 新建文件用於驗證



2.8 想要達到剛加載就運行，代碼要寫在load方法



 2.9 編譯一下，查看app包位置會多出一個framework



2.10 显示包內容，在framework查看



由上可知，WJHookFrameWork已經加入成功。


2.11 但是運行並沒有成功，沒有執行load里的代碼


原因：用MachOView打開可執行的WeChat，沒有找到WJHookFrameWork


下面我們講述怎麼將WJHookFramework寫入到MachoView文件中？


3. WJHookFramework寫入到MachOView文件中


需要使用yololib工具，建議將yololib放到 /usr/local/bin



3.1 解壓越獄包



3.2 將WeChat.app显示包內容，找到WeChat可執行的文件


需要增加執行權限： chmod +x WeChat


3.3 寫入WeChat可執行文件


yololib WeChat Frameworks/WJHookFrameWork.framework/WJHookFrameWork


通過上面的過程，查看MachOView文件Load commands中是否有WJHookFrameWork



上面圖显示已經加入成功。


3.4 刪除原有的ipa，打包payload


zip -ry WeChat.ipa Payload


將WeChat.ipa放入App目錄中，刪除其他的文件夾。



 


3.5 再次運行，發現成功！！！



上面就是framework方式代碼注入。大家可以私信我，如有不懂！！！


 二、Dylib注入


2.1 新建工程，添加腳本到build phases 




加入腳本文件



2.2添加第三方庫dylib（mac os的，非ios）



2.3 添加依賴




2.4 修改第三方類庫僅限mac使用，修改Base SDK



2.5 修改signing 



2.6 腳本中注入動態庫的代碼


# ${SRCROOT} 它是工程文件所在的目錄
 TEMP_PATH="${SRCROOT}/Temp"
 #資源文件夾，我們提前在工程目錄下新建一個APP文件夾，裏面放ipa包
 ASSETS_PATH="${SRCROOT}/APP"
 #目標ipa包路徑
 TARGET_IPA_PATH="${ASSETS_PATH}/*.ipa"
 #清空Temp文件夾
 rm -rf "${SRCROOT}/Temp"
 mkdir -p "${SRCROOT}/Temp"
 
 #----------------------------------------
 # 1. 解壓IPA到Temp下
 unzip -oqq "$TARGET_IPA_PATH" -d "$TEMP_PATH"
 # 拿到解壓的臨時的APP的路徑
 TEMP_APP_PATH=$(set -- "$TEMP_PATH/Payload/"*.app;echo "$1")
 # echo "路徑是:$TEMP_APP_PATH"
 
 #----------------------------------------
 # 2. 將解壓出來的.app拷貝進入工程下
 # BUILT_PRODUCTS_DIR 工程生成的APP包的路徑
 # TARGET_NAME target名稱
 TARGET_APP_PATH="$BUILT_PRODUCTS_DIR/$TARGET_NAME.app"
 echo "app路徑:$TARGET_APP_PATH"
 
 rm -rf "$TARGET_APP_PATH"
 mkdir -p "$TARGET_APP_PATH"
 cp -rf "$TEMP_APP_PATH/" "$TARGET_APP_PATH"
 
 #----------------------------------------
 # 3. 刪除extension和WatchAPP.個人證書沒法簽名Extention
 rm -rf "$TARGET_APP_PATH/PlugIns"
 rm -rf "$TARGET_APP_PATH/Watch"
 
 #----------------------------------------
 # 4. 更新info.plist文件 CFBundleIdentifier
 #  設置:"Set : KEY Value" "目標文件路徑"
 /usr/libexec/PlistBuddy -c "Set :CFBundleIdentifier $PRODUCT_BUNDLE_IDENTIFIER" "$TARGET_APP_PATH/Info.plist"
 
 #----------------------------------------
 # 5. 給MachO文件上執行權限
 # 拿到MachO文件的路徑
 APP_BINARY=`plutil -convert xml1 -o - $TARGET_APP_PATH/Info.plist|grep -A1 Exec|tail -n1|cut -f2 -d\>|cut -f1 -d\<`
 #上可執行權限
 chmod +x "$TARGET_APP_PATH/$APP_BINARY"
 
 #----------------------------------------
 # 6. 重簽名第三方 FrameWorks
 TARGET_APP_FRAMEWORKS_PATH="$TARGET_APP_PATH/Frameworks"
 if [ -d "$TARGET_APP_FRAMEWORKS_PATH" ];
 then
 for FRAMEWORK in "$TARGET_APP_FRAMEWORKS_PATH/"*
 do
 
 #簽名
 /usr/bin/codesign --force --sign "$EXPANDED_CODE_SIGN_IDENTITY" "$FRAMEWORK"
 done
 fi
 
 #注入
 yololib "$TARGET_APP_PATH/$APP_BINARY" "Frameworks/libHankHook.dylib"

2.7 編譯運行成功（也和上面一樣在類中加入load代碼）



 


上面就是dylib方式代碼注入，希望對大家有所幫助！！！


 通過上面的兩種方式實現代碼注入,讓別人的app運行自己的app,下面總結如下:



 三、MethodSwizzle


3.1 概念


iOS 中實現AOP編程思想的方式其中之一是Method Swizzling,而 Method Swizzling 是利用Runtime特性把一個方法和另個方法的實現做替換,程序運行時修改Dispatch Table里SEL和IMP之間的映射關係.


通過swizzling method改變目標函數selector所指向實現,在新的實現中來實現所要改的內容即可.



3.2 特點



  • 繼承: 修改較多,無法敢保證他人一定繼承基類

  • 類別: 類別中重寫方法會覆蓋到原有的實現,其實,在真實的開發中,重寫方法並不是為了取代它,而是為了添加一些實現; 如果幾個類別實現了同樣的方法, 但只有一個類別的方法會被調用.

  • AOP優勢: 減少了重複代碼


3.3 代碼


@implementation NSURL (HKURL)
 
 +(void)load
 {
     Method URLWithStr = class_getClassMethod(self, @selector(URLWithString:));
     
     Method HKURL = class_getClassMethod(self, @selector(HKURLWithStr:));
     
     //交換
     method_exchangeImplementations(URLWithStr, HKURL);
 }
 
 +(instancetype)HKURLWithStr:(NSString *)str{
     //調用系統原來的方法
     NSURL * url = [NSURL HKURLWithStr:str];
     if (url == nil) {
         str = @"https://www.blog.com";
     }
     url = [NSURL HKURLWithStr:str];
     
     return url;
 }

在上面的代碼中,利用method swizzling的交換方法.其他Runtime的使用方法,以及為什麼寫在load方法中,請參考本人另篇博客


拓展: 為什麼寫在load中?



  • load方法在源文件被裝載到程序中會被自動調用,不需要手動調用,也不需要該類使用不使用無關,在main()前被執行.

  • 當子類重寫了load,假如子類的類別重寫了load,load的調用順序會這樣: 父類、子類、子類類別

  • 但是如果有多個子類category都重寫了load,每個子類category中load都會調用一次

  • 假如子類沒有重寫load,子類的默認load也不會去調用父類的load.此與正常繼承不太一樣.

  • 在正常的開發中, 除了method swizzle ,其他的邏輯代碼盡量不放在load,load方法中的代碼邏輯要盡量簡單


 


四、微信示例Demo


4.1 微信--破壞註冊


4.1.1 將微信程序運行出來,如下圖所示



4.1.2 根據上面紅色找出類名,方法名



4.1.3 通過插件class-dump導出微信的.h文件


class-dump是將OC運行時聲明的信息導出來的工具, 其實可以導出.h文件. 用此工具將未經過加密的app的頭文件導出來.


使用它同樣也要講此工具拷貝到MAC的目錄下/usr/local/bin下.



4.1.4 經過sublime text來找出對應的文件



4.1.5 通過第三部分講解,利用runtime交換方法



4.1.6 結果



 


4.2 竊取微信密碼


4.2.1 找到輸入密碼框的內容



從上面看出，登錄按鈕為一個FixTitleColorButton對象，Target名字存放的地址為0x280afaa40，Action名字存放地址是0x280afac00。


4.2.2 查看賬號密碼的輸入框



發現賬號密碼輸入框對象屬於都一個對象，叫做WCUITextField


4.2.3 利用LLDB查看登錄具體的Target和Action



從上面卡出，登錄按鈕在WCAccountMainLoginViewController頁面中；


登錄點擊方法叫做onNext


4.2.4 利用Sublime查看WeChat文件


發現確實有onNext（）方法，並從中看出賬號輸入框和密碼輸入框都是WCAccountTextFieldItem中，但是並沒有發現textFileld，但是可以看到WCAccountTextFieldItem是繼承於WCBaseTextFieldItem，我們再看看WCBaseTextFieldItem文件內容



看出一個m_textField對象，通過tex字段取出string。


4.2.5 在賬號欄中輸入賬號和密碼


po [(WCAccountMainLoginViewController *)0x1128bbc00 valueForKey:@"_textFieldUserPwdItem"]
 po [(WCAccountTextFieldItem *)0x28328e880 valueForKey:@"m_textField"]
 po [(WCUITextField *)0x112163a00 text]


通過LLDB調試輸入的密碼是123456。


4.2.6 Hook登錄，獲取密碼


+ (void)load {
     NSLog(@"來了，老弟");
     Method onNext = class_getInstanceMethod(objc_getClass("WCAccountMainLoginViewController"), sel_registerName("onNext"));
     //1.保存原始的IMP
     old_onNext = method_getImplementation(onNext);
     //2.SET
     method_setImplementation(onNext, (IMP)my_next);
 }
 
 IMP (*old_onNext)(id self,SEL _cmd);
 
 void my_next(id self,SEL _cmd){
     // 獲取密碼
     NSString *pwd = [[[self valueForKey:@"_textFieldUserPwdItem"] valueForKey:@"m_textField"] performSelector:@selector(text)];
     NSString *accountTF = [[[self valueForKey:@"_textFieldUserNameItem"] valueForKey:@"m_textField"] performSelector:@selector(text)];
     NSLog(@"密碼是！%@",pwd);
     // 將密碼追加在賬號欄的後面
     [[[self valueForKey:@"_textFieldUserNameItem"] valueForKey:@"m_textField"] performSelector:@selector(setText:) withObject:[NSString stringWithFormat:@"%@+%@",accountTF,pwd]];
     //調用原來的方法
     old_onNext(self,_cmd);
 }

上面用的是setIMP和getIMP的方式，對原方法進行Hook，也可以用class_replaceMethod（），method_exchangeImplementations（）。


 


五、總結


首先從代碼注入的方式：framework和dylib兩種方式，然後講到Method swizzling方式嘗試Hook，最後又以demo的方式來闡述代碼注入和Hook，希望對大家理解逆向開發的代碼注入有所幫助！！！，歡迎大家繼續關注！！！


 


 

本站聲明:網站內容來源於博客園,如有侵權,請聯繫我們,我們將及時處理

【其他文章推薦】

※想知道網站建置、網站改版該如何進行嗎?將由專業工程師為您規劃客製化網頁設計及後台網頁設計



※不管是台北網頁設計公司、台中網頁設計公司，全省皆有專員為您服務



※Google地圖已可更新顯示潭子電動車充電站設置地點!!



※帶您來看台北網站建置，台北網頁設計，各種案例分享


Orignal From: 代碼注入及其拓展--逆向開發

留言

張貼留言

這個網誌中的熱門文章

架構設計 | 異步處理流程，多種實現模式詳解

本文源碼：GitHub·點這裏 || GitEE·點這裏 一、異步處理 1、異步概念 異步處理不用阻塞當前線程來等待處理完成，而是允許後續操作，直至其它線程將處理完成，並回調通知此線程。 必須強調一個基礎邏輯，異步是一種設計理念，異步操作不等於多線程，MQ中間件，或者消息廣播，這些是可以實現異步處理的方式。 同步處理和異步處理相對，需要實時處理並響應，一旦超過時間會結束會話，在該過程中調用方一直在等待響應方處理完成並返回。同步類似電話溝通，需要實時對話，異步則類似短信交流，發送消息之後無需保持等待狀態。 2、異步處理優點 雖然異步處理不能實時響應，但是處理複雜業務場景，多數情況都會使用異步處理。 異步可以解耦業務間的流程關聯，降低耦合度； 降低接口響應時間，例如用戶註冊，異步生成相關信息表； 異步可以提高系統性能，提升吞吐量； 流量削峰即把請求先承接下來，然後在異步處理； 異步用在不同服務間，可以隔離服務，避免雪崩； 異步處理的實現方式有很多種，常見多線程，消息中間件，發布訂閱的廣播模式，其根據邏輯在於先把請求承接下來，放入容器中，在從容器中把請求取出，統一調度處理。 注意 ：一定要監控任務是否產生積壓過度情況，任務如果積壓到雪崩之勢的地步，你會感覺每一片雪花都想勇闖天涯。 3、異步處理模式 異步流程處理的實現有好多方式，但是實際開發中常用的就那麼幾種，例如： 基於接口異步響應，常用在第三方對接流程； 基於消息生產和消費模式，解耦複雜流程； 基於發布和訂閱的廣播模式，常見系統通知 異步適用的業務場景，對數據強一致性的要求不高，異步處理的數據更多時候追求的是最終一致性。 二、接口響應異步 1、流程描述 基於接口異步響應的方式，有一個本地業務服務，第三方接口服務，流程如下： 本地服務發起請求，調用第三方服務接口； 請求包含業務參數，和成功或失敗的回調地址； 第三方服務實時響應流水號，作為該調用的標識； 之後第三方服務處理請求，得到最終處理結果； 如果處理成功，回調本地服務的成功通知接口； 如果處理失敗，回調本地服務的失敗通知接口； 整個流程基於部分異步和部分實時的模式，完整處理； 注意 ：如...
張貼留言
閱讀完整內容

.NET Core前後端分離快速開發框架(Core.3.0+AntdVue)

.NET Core前後端分離快速開發框架(Core.3.0+AntdVue) 目錄 引言 時間真快，轉眼今年又要過去了。回想今年，依次開源發布了 Colder.Fx.Net.AdminLTE(254Star) 、 Colder.Fx.Core.AdminLTE(335Star) 、 DotNettySocket(82Star) 、 IdHelper(47Star) ，這些框架及組件都是本着以實際出發，實事求是的態度，力求提高開發效率（我自己都是第一個使用者），目前來看反響不錯。但是隨着前端和後端技術的不斷變革，尤其是前端，目前大環境已經是前後端完全分離為主的開發模式，在這樣的大環境和必然趨勢之下，傳統的MVC就顯得有些落伍了。在這樣的背景下，一款前後端分離的.NET開發框架就顯得尤為必要，由此便定了框架的升級目標： 前後端分離 。 首先後端技術的選擇，從目前的數據來看，.NET Core的發展遠遠快於.NET Framework，最簡單的分析就是Colder.Fx.Core.AdminLTE發布比Colder.Fx.Net.AdminLTE晚，但是星星卻後來居上而且比前者多30%，並且這個差距在不斷擴大，由點及面的分析可以看出我們廣大.NET開發人員學習的熱情和积極向上的態度，並不是某些人所認為的那麼不堪（ 走自己的路，讓別人說去吧 ）。大環境上微軟积極擁抱開源，大力發展.NET Core， 可以說前途一片光明。因此後端決定採用 .NET Core3.0 ，不再浪費精力去支持.NET Framework。 然後是前端技術選擇，首選是三大js框架選擇，也是從實際出發，Vue相對其它而言更加容易上手，並且功能也毫不遜色，深得各種大小公司喜歡，如果偏要說缺點的話，那就是對TS支持不行，但是即將發布Vue3.0肯定會改變這一缺陷。選擇了Vue之後，然後就是UI框架的選擇了，這裏的選擇更多了，我選擇了Ant Design Vue，理由便是簡潔方便，十分符合我的設計理念。 技術選型完畢之後便...
張貼留言
閱讀完整內容

台北市住宅、社區建創儲能設備 最高可獲600萬元補助

為了推廣分散式發電，台北市環保局預計補助1億元供住宅社區設置創能、儲能設備，計有3種方案可供選擇。環保局說明，每案補助額度不超過建制總經費49％，社區每案最高可獲200萬至600萬元補助，住宅每案補助上限100萬元，5月1日起開放申請。 環保局說明，台北市溫室氣體排放量7成以上來自住商部門，其中以使用電力造成間接溫室氣體排放為大宗，台北市平均年用電量約159.86億度，1度電約等同排放0.5公斤二氧化碳，若想達成2050年淨零排放目標，僅靠節能減碳無法達成，必須發展綠色創能、儲能，並且參考歐洲、日本的做法，採分散式發電方式，推廣到社區、住家、商辦，達到供電自給自足目標。 因此，環保局推出「台北市住宅社區創能儲能及節能補助計畫」，補助對象為台北市轄內房屋所有權人及社區管理委員會，補助方案共計3種，每一申請人或每一場址僅能獲1次補助，每案補助額度不超過建置總經費49％為限，5月1日到7月31日開放申請，但補助經費用完即停止申請。 環保局說明，方案A補助對象以社區為主，公共區域申請創能儲能及節能項目，每案補助上限新台幣600萬元；方案B分為住宅或社區公共區域申請創能搭配儲能項目（創能或儲能方案不得單獨申請），社區每案補助上限新台幣400萬元，住宅每案補助上限100萬元。方案C補助對象也是社區，公共區域申請節能項目，每案補助上限新台幣200萬元。 網頁設計 最專業,超強功能平台可客製,窩窩以「數位行銷」「品牌經營」「網站與應用程式」「印刷品設計」等四大主軸，為每一位客戶客製建立行銷脈絡及洞燭市場先機,請問 台中電動車 哪裡在賣比較便宜可以到台中景泰電動車門市去看看總店：臺中市潭子區潭秀里雅潭路一段102-1號。 電動車補助 推薦評價好的 iphone維修 中心擁有專業的維修技術團隊，同時聘請資深iphone手機維修專家，現場說明手機問題，快速修理，沒修好不收錢住家的頂樓裝 太陽光電 聽說可發揮隔熱功效一線推薦東陽能源擁有核心技術、產品研發、系統規劃設置、專業團隊的太陽能發電廠商。 網頁設計 一頭霧水該從何著手呢? 回頭車 貨運收費標準宇安交通關係企業，自成立迄今，即秉持著「以誠待人」、「以實處事」的企業信念 台中搬家公司 教你幾個打包小技巧,輕鬆整理裝箱!還在煩惱搬家費用要多少哪？台中大展搬家線上試算搬家費用，從此不再擔心「物品怎麼計費」、「多...
張貼留言
閱讀完整內容