十、Tweak（一）

需求1：把手机桌面APP的提示数字都去掉。

思路：桌面也应该是个应用SpringBoard，找到这个应用。
步骤：

连接登录手机
ps -A, 确定有/System/Library/CoreServices/SpringBoard.app/SpringBoard这个应用；
监视 cycript -p SpringBoard
用iFunBox导出SpringBoard的Mach-O头文件
确定是否加壳，方式一：otool -l 可执行文件路径 | grep crypt，如果没有打印，说明没加壳；方式二：用MachOView工具查看，在Load Commands下没有LC_ENCRYPTION_INFO_64这项，也可说明没加壳；
脱壳：Clutch -i，Clutch -d APP序号或BundleId，脱壳后的文件在
导出头文件class-dump -H SpringBoard -o headers/
找到是哪个类是设置app右上角数字提示的（靠经验猜）。1、没法用reveal查看到手机桌面app的数字提示view；2、用MJTool打印，找到keyWindow:MJKeyWin()，打印keyWindow的子view：MJSubviews (#0x1271867a0)，根据名字观察，把SBIconView的属性hidden设置为1 #0x1281b25a0.hidden = 1，发现有app的图标消失，这说明SBIconView下的SBIconParallaxBadgeView可能是数字提示的，设置它的属性hidden为隐藏#0x1276d7fb0.hidden = 1，发现红色背景提示的view消失了，说明0x1276d7fb0对应的那个类SBIconParallaxBadgeView是管桌面app数字提示的；
打开该类的头文件，hook它的init方法，让它return nil；
创建tweak项目，cd到SpringBoardTweak文件夹下，nic.pl（用MJAppId获取bundleId）
开始编辑Tweak.xm
编译-打包-安装make && make package && make install
（顺便在~/文件夹下vim tweak.sh，把make && make package && make install放在tweak.sh中，方便以后执行）

需求2：在『发现-小程序』下面增加两行

思路：hook tableView数据源方法。

分析界面：
通过reveal和MJTool确定，MMMainTableView界面继承自UITableView，当前类是FindFriendEntryViewController（MJFrontVc()），数据源代理是FindFriendEntryViewController（#0x12e133600.dataSource）
导出头文件：
-->a. 导出Mach-O文件（ps-A确定位置）；
-->b. 确定是否有加壳（otool -l 可执行文件路径 | grep crypt；或用MachOView工具查看，在Load Commands下看是否有LC_ENCRYPTION_INFO_64这项进入看看）；Clutch -i能列出来就是加了密要脱壳；
-->c.脱壳，Clutch -d 3脱壳失败（此非官方方法）；DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib 可执行文件路径（ps-A查看路径），得到的脱壳文件就在手机/root/文件夹下；
-->d.导出头文件，class-dump -H WeChat -o headers/
编写hook代码：
找到数据源控制器FindFriendEntryViewController，hook数据源方法。
-->a. nic.pl创建tweak项目；
-->b. 拖拽项目到Sublime编写Tweak.xm，多少组、每组多少行、cell返回方法、cell高度、点击方法、添加UISwitch（注意返回以前的实现%orig）

3.1 实现优雅闪退：exit(0)有点卡的感觉，abort()可立即闪退。

3.2 加载图片：
a. 在Tweak.xm文件夹下新建layout/PreferenceLoader/Preferences/LFWeChat或layout/Library/Caches/LFWeChat/（推荐后者路径），这里的layout文件夹就相当于手机上的Device根路径；

b. 加载图片API：
[UIImage imageWithContentsOffFile:@"/Library/Caches/LFWeChat/skullo.png"]；

c. 把图片加载路径写成宏

#define LFFile(path) @"/Library/Caches/LFWeChat/" #path

图片资源路径：
旧：#define LFFile(path) @"/Library/PreferenceLoader/Perferences/MJWeChat/"
新：（推荐）#define LFFile(path) @"/Library/Caches/MJWeChat/" #path

3.3 本地存储

取
#define LFDefaults [NSUserDefaults standardUserDefaults]
s.on = [LFDefaults boolForKey:LFStorageKey];

存
%new
- (void)lf_switchChange:(UISwitch *)switchView {
    [LFDefaults setBool:switchView.on forKey:LFStorageKey];
    [LFDefaults synchronize];
}

3.4 如何添加新方法

Tweak.xm中写的方法会认为是替换原有的方法
如果要新增新方法，前面要加%new；

看一个崩溃信息：点击UISwitch的时候奔溃了，查看控制台：

WeChat -[FindFriendEntryViewController lf_switchChange:]: unrecognized selector sent to instance 0x12e9c3800，控制器不认识UISwitch绑定的方法，是因为原来的FindFriendEntryViewController控制器里面没有这个方法，lf_switchChange:属于新的方法，方法前加%new即可。

3.5 代码 Tweak.xm

#define LFDefaults [NSUserDefaults standardUserDefaults]
#define LFStorageKey @"lf_storage_key"
// #define LFFile(path) @"/Library/PreferenceLoader/Perferences/LFWeChat/" #path
#define LFFile(path) @"/Library/Caches/LFWeChat/" #path

%hook FindFriendEntryViewController

- (long long)numberOfSectionsInTableView:(UITableView *)arg1 
{
    return %orig + 1;
}

- (long long)tableView:(UITableView *)tableView numberOfRowsInSection:(long long)section
{
    if (section != [self numberOfSectionsInTableView:tableView] - 1)
    {
        return %orig;
    } else {
        return 2;
    }
}

- (UITableViewCell *)tableView:(UITableView *)tableView cellForRowAtIndexPath:(NSIndexPath *)indexPath 
{
    if ([indexPath section] != [self numberOfSectionsInTableView:tableView] - 1)
    {
        return %orig;
    }

    UITableViewCell *cell = nil;
    if ([indexPath row] == 0)
    {
        NSString *autoCellId = @"autoCellId";
        cell = [tableView dequeueReusableCellWithIdentifier:autoCellId];
        if (cell == nil){
            cell = [[UITableViewCell alloc] initWithStyle:UITableViewCellStyleDefault reuseIdentifier:autoCellId];
        }

        UISwitch *s = [[UISwitch alloc] init];
        s.on = [LFDefaults boolForKey:LFStorageKey];
        [s addTarget:self action:@selector(lf_switchChange:) forControlEvents:UIControlEventValueChanged];
        cell.accessoryView = s;
        cell.textLabel.text = @"自动抢红包";
        cell.accessoryView.hidden = NO;

    } else if ([indexPath row] == 1) {

        NSString *exitCellId = @"exitCellId";
        cell = [tableView dequeueReusableCellWithIdentifier:exitCellId];
        if (cell == nil){
            cell = [[UITableViewCell alloc] initWithStyle:UITableViewCellStyleDefault reuseIdentifier:exitCellId];
        }
        cell.textLabel.text = @"退出微信";
        cell.accessoryView.hidden = YES;
    }

    cell.backgroundColor = [UIColor whiteColor];
    cell.imageView.image = [UIImage imageWithContentsOfFile:LFFile(skullo.png)];
    return cell;
}

- (double)tableView:(UITableView *)tableView heightForRowAtIndexPath:(NSIndexPath *)indexPath 
{
    if ([indexPath section] != ([self numberOfSectionsInTableView:tableView] - 1))
    {
        return %orig;
    } else {
        return 44;
    }
}

// 修复点击崩溃的问题
-(void)tableView:(UITableView *)tableView didSelectRowAtIndexPath:(NSIndexPath *)indexPath {
    if ([indexPath section] != ([self numberOfSectionsInTableView:tableView] - 1))
    {
        return %orig;
    }  else {
        [tableView deselectRowAtIndexPath:indexPath animated:YES];
        if ([indexPath row] == 1)
        {
            // exit(0);
            //终止进程
            abort();
        }
    }
}

%new
- (void)lf_switchChange:(UISwitch *)switchView {
    [LFDefaults setBool:switchView.on forKey:LFStorageKey];
    [LFDefaults synchronize];
}

%end

需求3：theos - tweak的原理

——Tweak.xm中的代码是怎么影响到微信的呢？

01 安装过程

最初文件夹中有这些东西：

make编译操作后：

有个weChatTweak.dylib动态库，由Tweak.xm中代码编译而来。动态库是没办法直接装到手机上的，下一步打包

make package操作打包：
将动态库打包成deb插件。

> Making stage for tweak weChatTweak…
dm.pl: building package `com.lf.wechattweak:iphoneos-arm' in `./packages/com.lf.wechattweak_0.0.1-1+debug_iphoneos-arm.deb'

告诉你包的位置./packages/com.lf.wechattweak_0.0.1-1+debug_iphoneos-arm.deb

make install：
会SSH远程登录手机，根据~/.bash_profile中的export THEOS_DEVICE_IP=127.0.0.1和export THEOS_DEVICE_PORT=10010找到IP地址和端口，去登录和传递数据，由于我们做了端口映射，当访问127.0.0.1的10010端口的时候，就相当于访问远程的22端口，就相当于能登录到手机，就能传递数据。

手机接收到deb包的时候，就会让Cydia去安装deb包，安装好后，会将weChatTweak.dylib动态库放到/Library/MobileSubstrate/DynamicLibraries文件夹

1、weChatTweak.plist：里面的内容就是创建Tweak项目时候填的appId——com.tencent.xin；
2、weChatTweak.dylib：在Tweak.xm里面写的代码

DynamicLibraries这个文件夹是谁在管呢？
是Cydia中的Cydia Substrate插件，就是通过它来安装从Mac端传来的的deb包，把weChatTweak.dylib动态库和plist文件安装到/Library/MobileSubstrate/DynamicLibraries下。

02运行过程

weChatTweak.dylib动态库又是怎么影响到微信呢？

点击微信app、
启动微信app，启动的时候Cydia Substrate插件就会去看DynamicLibraries文件夹下的.plist文件中的AppID，如果发现和启动的app的appID是一样的，Cydia Substrate插件就会让微信加载对应的动态库，接着Cydia Substrate插件就会改变内存中的一些代码，改变代码的一些执行流程，比如控制器原本调用numberOfSectionsInTableView:方法，那他会调用到动态库中的对应函数。

微信的可执行文件我们没有改过，并没有注入到微信原来的可执行文件中去，目前仅是Cydia Substrate插件改了内存中的一些代码。

--> 验证weChatTweak.dylib动态库被加载到内存：

打开控制台：

只要是MS开头的，就是Cydia Substrate插件在帮助做的事情。

--> 如何验证内存中的代码发生了改变

——从汇编的角度分析

创建一个XCode测试项目；
断点step into查看汇编代码，保留着对比；
创建Tweak项目；
deb包安装到手机；
断点step into查看汇编代码，保留着对比；

对比前后是否有变。

XCode测试项目

Tweak代码

前后汇编对比

从前后的汇编代码的不同可以看出，内存中的代码确实发生了改变，调用了动态库里面的方法。究竟是怎么调用的，后面再看。

需求4：Tweak多文件开发

4.1 代码的格式不一定要是.xm、.x，也可以是.m或.h。

4.2 分文件夹：但要指定所有要编译的文件，由Makefile中的TweakTest_FILES变量来指定文件路径，用空格拼接，路径从Makefile文件当前位置开始找。可用*做为通配符，后缀不能省（经验证，通配符*不好使，只能通配一个文件，无法通配多个文件，还是不要用吧）。

4.3 导入头文件：Tweak.xm中导入头文件，头文件的路径是从Tweak.xm当前位置开始找。

需求5：Tweak细节-发布release版本

release包比debug包会小一点。

打包release版本的指令：

make package debug=0

修改tweak.sh：

make clean && make package debug=0 && make install

debug版本

release版本，没有debug标识了

release包和debug包