shell脚本实现iOS包重签名及代码注入

Qinz

当我们要逆向第三方应用时，首先就是要将应用安装在我们的手机上，然后进行hook分析，找到对应的方法调用，进行代码注入，破解其正常流程，从而达到逆向目的。接下来将详细讲解分析该过程具体实现。

一、shell脚本实现重签名

1. 我们以最常见的应用微信为例，其他应用原理一样！首先我们去PP助手下载越狱版本的微信应用，如下图：

01

• 1.1 越狱版本的应用是没有加密的，正式版本的应用是加过密的,我们用MachOView来查看应用的可执行文件信息，演示如下：

   

  02

• 1.2 从上图中我们可以看到LC_ENCRYPTION_INFO_64加密信息这一栏中的Crypt ID为0，代表没有加密，而微信的正式版本此处为1，代表用到了某一种加密方式，加密的我们是很难去进行代码注入的。

2.我们先来看一下重签微信app的效果，演示如下：

03

• 2.1 接下来我们将详细讲解重签过程，这里的重签可以手动也可以使用脚本，手动比较繁琐，这里就不演示了。下面我们基于shell脚本来完成代码的重新签名，总计不超过20条命令，在进行shell脚本讲解之前，如果你不熟悉shell脚本,请先花点时间看下入门教程。

•  

   

  2.2 我们新建立一个WeChat的同名工程，方便后续文件的替换，其他应用类似。然后在工程目录下新建一个APP文件，这里用于放置我们刚下载的ipa包，演示如下：

  04

• 2.3 我们为工程创建一个脚本文件，然后添加证书管理，接下来运行即可，三步就解决了重签名问题，演示如下：

   

  05

• 2.4 关键就在于shell脚本的实现过程，这里给出shell签名脚本，脚本中每一行都做了详细注释，完整脚本地址。

#获取手动创建的APP文件夹，用来放置越狱版本的Ipa包,${SRCROOT} 代表工程文件所在的目录
crackPath="${SRCROOT}/APP"
#获取越狱版本Ipa路径
oldIpaPath="${crackPath}/*.ipa"
# 创建一个临时文件夹，用来放置解压的Ipa文件
tempPath="${SRCROOT}/Temp"

#首先先清空Temp文件夹
rm -rf "$tempPath"
#创建临时文件夹目录
mkdir -p "$tempPath"


# 1. 解压IPA到temp下
unzip -oqq "$oldIpaPath" -d "$tempPath"
# 拿到解压的临时的APP的路径
oldIPaPath=$(set -- "$tempPath/Payload/"*.app;echo "$1")

# 2. 将解压出来的.app拷贝进入工程下
# BUILT_PRODUCTS_DIR 工程生成的APP包的路径(系统创建的)
# TARGET_NAME target名称(系统创建的)
targetAppPath="$BUILT_PRODUCTS_DIR/$TARGET_NAME.app"
# 打印app编译后的路径
echo "app路径:$targetAppPath"

#先删除app所在路径文件
rm -rf "$targetAppPath"
#重新创建该文件路径
mkdir -p "$targetAppPath"
#将解压的app文件拷贝到Xcode编译的app文件目录，让Xcode认为这是它编译出来的，Xcode就会帮我们完成签名工作
cp -rf "$oldIPaPath/" "$targetAppPath"


# 3. 删除extension和WatchAPP.个人证书没法签名Extention
rm -rf "$targetAppPath/PlugIns"
rm -rf "$targetAppPath/Watch"


# 4. 更新info.plist文件 CFBundleIdentifier,PlistBuddy是更改plist文件的可执行文件
#  设置:"Set : KEY Value" "目标文件路径"
/usr/libexec/PlistBuddy -c "Set :CFBundleIdentifier $PRODUCT_BUNDLE_IDENTIFIER" "$targetAppPath/Info.plist"


# 5. 重签名第三方 FrameWorks
tagetAppFramworkPath="$targetAppPath/Frameworks"
if [ -d "$tagetAppFramworkPath" ];
then
for frameWork in "$tagetAppFramworkPath/"*
do

#签名
/usr/bin/codesign --force --sign "$EXPANDED_CODE_SIGN_IDENTITY" "$frameWork"
done
fi

二、framework代码注入

1. 首先我们在代码签名的工程的基础上，创建一个framework库，并添加一个load方法，里面写入我们需要注入的代码，演示如下:

06

• 1.1 然后我们在脚本后面增加注入代码

# 拿到MachO文件的路径
APP_BINARY=`plutil -convert xml1 -o - $targetAppPath/Info.plist|grep -A1 Exec|tail -n1|cut -f2 -d\>|cut -f1 -d\<`
#注入
yololib "$targetAppPath/$APP_BINARY" "Frameworks/Inject.framework/Inject"

• 1.2 运行工程，可以看到我们注入的代码成功了，演示如下:

   

  07

• 1.3 上面工程有306个报错，这个是我电脑权限的问题，可以忽略，你的电脑运行应该不会有问题。我们可以看到代码已经注入成功，至于为什么是在load方法中添加，详细了解请查看我的另一篇文章《dyld加载应用启动原理详解》，里面有分析代码的注入时机！

• 1.4 接下来我们来分析yololib这句脚本到底干了什么？首先我们将自己创建的framework可执行文件和wechat的可执行文件拿出来，然后执行yololib命令演示如下图:

   

  08

• 1.5 yololib下载地址。使用yololib将自己的framework注入到WeChat可执行文件中，演示如下图:

  09

   

• 1.6 接着用machOView来查看WeChat可执行文件中是否存在自己创建的库问题,如下图:

   

  

  10

2. 截获微信注册方法

• 2.1 我们使用调试工具查看注册按钮的调用方法，演示如下图:

   

  11

• 2.2 我们可以看到调用的Target是"WCAccountLoginControlLogic"，点击注册按钮执行的方法为"onFirstViewRegester",有了这个，接下来就是简单的方法交换了。

• 2.3 我们在自己的framwork中写入方法交换方法，如下：

+(void)load
    {
        Method oldMethod = class_getInstanceMethod(objc_getClass("WCAccountLoginControlLogic"), @selector(onFirstViewRegester));
        
        Method newMethod = class_getInstanceMethod(self, @selector(test));
        
        method_exchangeImplementations(oldMethod, newMethod);
    }
    
-(void)test{
    NSLog(@"----截获到微信注册按钮点击------");
}

• 2.4 接下来我们运行程序，点击按钮，演示如下:

   

  12

到此，shell脚本的自动签名和framework代码注入到此完成，还有一种dylib的注入，是用macOS的库来完成的，相对来说这个比较简单，如果有需要我会更新dylib的相关文章，主要熟悉掌握framwork的注入即可。附上脚本下载，帮助到你请给一个Star。

我是Qinz,希望我的文章对你有帮助。

作者：Qinz
链接：https://www.jianshu.com/p/7d5daf6436b2
来源：简书
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。