iOS 逆向08 -- 加壳与脱壳

加壳

• 利用特殊算法，对可执行文件的编码进行改变(比如压缩，加密)，以达到保护程序代码的目的；

加壳.png

• 未加壳时，直接将可执行文件加载进入内存；
• 加壳之后，会在可执行文件上包装一层壳程序，执行时会将包装壳程序的可执行文件加载进入内存，然后进行解密操作，最终得到可执行文件，然后运行；

脱壳

• 摘掉壳程序，将未加密的可执行文件还原出来，也可称之为砸壳；
• 脱壳主要有两种方法：硬脱壳，动态脱壳

• 在iOS中通常采取硬脱壳的方式；

  
  
  脱壳.png

查看Mach-O文件是否加壳

• 第一种方式：使用otool工具查看，命令行输入otool -l Mach-O文件名 | grep crypt，如下图所示：
  
  Snip20210617_22.png
• cryptid = 1时表示已经加壳，cryptid = 0时表示未加壳

iPhone提取App的ipa安装包

• 注意此方法获取的ipa包，一般是未脱壳的；
  参考：https://www.jianshu.com/p/fdb50d303ad6

脱壳工具

第一种：Clutch工具

• 其下载地址为：https://github.com/KJCracks/Clutch/releases，如下所示：

Snip20210618_23.png

• 下载成功后，去除后面的版本号，直接名称为Clutch
• USB连接越狱iPhone，执行SSH登录，打开IFunBox，然后将刚下载的Clutch文件，复制到iPhone的/usr/bin文件目录下；

Snip20210618_24.png

• 在终端输入：Clutch，可能会遇到下面的情况：

Snip20210618_25.png

• 重新输入chmod +x /usr/bin/Clutch，结果如下所示：

Snip20210618_26.png

• 接着输入：Clutch -i，打印出所有未脱壳的App，如下所示：

Snip20210618_27.png

• 然后输入：Clutch -d 3，将编号为3的笔趣阁app进行脱壳，

Snip20210618_47.png

• 最后输出ipa文件，利用IFunBox查看其路径如下所示：

Snip20210618_31.png

• 在IFunBox中将其重命名为sss.ipa，主要为了防止远程拷贝到Mac时会报错；
• 在Mac环境下，执行scp -P 10010 root@localhost:/private/var/mobile/Documents/Dumped/sss.ipa ~/Desktop/，将其拷贝到Mac的桌面，执行如下：

Snip20210619_48.png

• 千万不能直接将其拖拽到Mac上，只能使用命令行拷贝，否则ipa文件无法解压，不能获取到资源文件和可执行的Mach-O文件；
• 然后将Mac桌面上的sss.ipa文件重命名为sss.zip，再进行解压得到Payload文件，里面有一个Efforts应用程序文件，右键显示包内容，可以看到资源文件和可执行的Mach-O文件Efforts；
• 终端执行otool -l Efforts | grep crypt，查看是否脱壳，如下所示：

Snip20210619_49.png

• cryptid = 0，说明已经脱壳；
• 然后执行class-dump -H Efforts -o Headers，如下所示：

Snip20210619_50.png

• 在当前路径下会生成一个Headers文件夹，里面包含了所有头文件，如下所示：

Snip20210619_51.png

• 再将EffortsMach-O可执行文件拖入Hopper Disassembler工具中，如下所示：

Snip20210619_52.png

第二种：dumpdecrypted工具

• 下载地址：https://github.com/stefanesser/dumpdecrypted/
• 直接下载，下载完成之后如下所示：

Snip20210618_34.png

• 打开终端cd到当前下载的文件路径执行：make，输出结果如下：

Snip20210618_35.png

• 将上面生成的dumpdecrypted.dylib动态库文件，拷贝到iPhone的/var/root文件路径下，如下所示：

Snip20210618_36.png

• 使用环境变量DYLD_INSERT_LIBRARIES将dumpdecrypted.dylib注入到需要脱壳的可执行文件中，可使用ps -A命令获取可执行文件的路径，终端输入DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib /var/containers/Bundle/Application/E00911AF-4584-4769-8118-A211AA56ABC8/Efforts.app/Efforts，但是报错了，如下所示：

Snip20210618_38.png

第三种：Frida工具

• 首先需要安装Homebrew，其官方网址为：https://brew.sh HomeBrew是一款Mac OS平台下的软件包管理工具，拥有安装、卸载、更新、查看、搜索等很多实用的功能；
• 命令行输入安装HomeBrew命令：/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"，会出现报错 Failed to connect to raw.githubusercontent.com port 443: Connection refused，意思无法连接到这个域名下的端口，解决方案如下：
• 找到/etc/hosts路径下的hosts文件，在hosts文件中添加关于raw.githubusercontent.com的IP地址，raw.githubusercontent.com 其IP地址的获取，前往https://www.ipaddress.com，结果如下：

[图片上传中...(Snip20210622_60.png-698de2-1624325066729-0)]

Snip20210622_60.png

• 在hosts文件中添加185.199.108.133 raw.githubusercontent.com，如下所示：

Snip20210622_61.png

• 保存，然后终端重新输入安装命令：/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"，会去下载相关组件了，如下所示：

Snip20210622_62.png

• 当执行到Downloading and installing Homebrew...，会出现漫长的等待，且可能会出现以下错误：
  

  Snip20210621_54.png

• 又是网络的问题，没得办法，我又重新输入安装的命令/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"，频繁输入了好多次，最终出现了安装进度，如下所示：
  

  Snip20210621_57.png

• 最后安装成功，输入brew info检测是否安装成功；

Snip20210621_58.png