iOS 逆向开发25：越狱调试上

iOS 逆向开发 文章汇总

目录

• 一、Cycript
• 二、获取ZFB登录密码
  • 2.3 Theos创建插件进行HOOK
• 三、Reveal
• 四、debugserver

前面的文章中使用砸壳后重签的APP进行调试，本篇文章在越狱环境下不重签APP进行调试。

一、Cycript

和iOS 逆向开发20：LLDB 动态调试中在重签的APP中使用Cycript不同，这里是在越狱环境下对不重签APP使用Cycript。

1.1 进入Cycript调试

• 手机中通过Cydia安装Cycript插件

• USB连接手机后查看微信进程ID：2797

sh usbConnect.sh
sh 6sp.sh
ps -A | grep WeChat

• 进入cycript环境（需要启动微信）
  cycript -p 2797或cycript -p WeChat

1.2 引入自定义的cy文件

这里导入iOS 逆向开发20：LLDB 动态调试中自定义的differ.cy文件

• 创建保存自定义cy文件的文件夹

手机终端
cd /usr/lib/cycript0.9/com
mkdir Differ
ls // 查看是否创建成功

• 拷贝cy文件

Mac 终端
scp -P 12345 /Users/ztkj/Desktop/differ.cy root@localhost:/usr/lib/cycript0.9/com/Differ

• 导入differ.cy文件

APPID命令可查看BundleID：需导入differ.cy
或使用：[NSBundle mainBundle].bundleIdentifier

二、获取ZFB登录密码

2.1 使用cycript调试ZFB

• 连接手机，打开ZFB，进入ZFB密码登录界面

sh 6sp.sh
ps -A | grep Ali
cycript -p AlipayWallet

• 找到登录按钮控件
  获取登录Unicode编码

python  // 进入python环境
>>> str = u"登录"
>>> str
u'\u767b\u5f55'

打印出界面上的所有控件
UIApp.keyWindow.recursiveDescription().toString()

• 终端中搜索\u767b\u5f55
  可以发现登录控件为：AUButton: 0x120cc0e50

• 找到登录按钮调用的方法

#0x120cc0e50.allTargets
#0x120cc0e50.allControlEvent
[#0x120cc0e50 actionsForTarget:#0x121706be0 forControlEvent:64]

因此登录按钮调用的是：[ALUAccuratePWDView onNext]方法

• 密码框中输入eeeeee，终端中搜索eeeeee
  可以发现输入的密码在aluTextField: 0x110dd3c00控件中

2.2 使用dump.py砸壳并获取头文件

// USB连接手机
sh usbConnect.sh

// 砸壳（需要打开ZFB）
frida-ps -U
cd /Users/ztkj/Desktop/Temp
dump.py 支付宝

// 获取头文件（解压ipa包，并复制AlipayWallet可执行文件出来）
class-dump -H AlipayWallet -o AlipayWalletHeaders/

将AlipayWalletHeaders拖入Sublime Text打开，结合头文件分析里面的成员变量可以找密码框：
ALUAccuratePWDView: 0x121706be0
#0x121706be0->_loginBox->_passwordInputBox->_textField

2.3 Theos创建插件进行HOOK

• 安装Theos、ldid
  安装参考

• 创建AliPayPwdDemo插件

nic.pl

Choose a Template (required): 15
Project Name (required): AliPayPwdDemo
// 包名所有小写（如果有多个Xcode还需要指定一个：xcode-select --switch 路径(/Applications/Xcode.app/Contents/Develope)）
Package Name [com.yourcompany.alipaypwddemo]: com.differ.alipaypwddemo
// 不输入使用默认的
Author/Maintainer Name [differ]:
// 进入cycript环境，APPID命令可查看BundleID
[iphone/tweak] MobileSubstrate Bundle filter [com.apple.springboard]: com.alipay.iphoneclient
// 需要重新打开的应用，默认重启所有应用
[iphone/tweak] List of applications to terminate upon installation (space-separated, '-' for none) [SpringBoard]: AlipayWallet

• 将AliPayPwdDemo拖到Sublime Text打开
  Makefile文件中添加SSH配置

也可以在./.zshrc中添加THEOS的环境变量，这样以后就不用再重复配置了

• 在Tweak.x文件中写Logs HOOK代码
  将Tweak.x文件后缀改为.xm（Makefile文件中也需要修改为Tweak.xm）。Tweak.xm文件内容如下：

#import 

%hook ALUAccuratePWDView

- (void)onNext {
    NSLog(@"\n\n\n注入成功！！！\n\n\n");

    UIView *v1 = MSHookIvar(self, "_loginBox");
    UIView *v2 = MSHookIvar(v1, "_passwordInputBox");
    UITextField *pwd = MSHookIvar(v2, "_textField");
    
    NSLog(@"密码是：%@",pwd.text);
}

%end

编译安装AliPayPwdDemo插件

cd alipaypwddemo文件夹

make // 编译，路径中不能有中文
make package
make install

可以在Cydia中的已安装中看到AliPayPwdDemo插件安装成功

在Xcode中的Device中Open Console

重新打开支付宝，输入密码并点击登录按钮，可以看到控制台输出：

三、Reveal

Reveal是一款UI调试神器，对iOS开发非常有帮助。我们使用的是Version 4 (8796)的版本。Reveal可以对未重签的APP进行界面调试。下载链接

安装

环境配置

sh usbConnect.sh
sh 6sp.sh

cd /Library/
mkdir RHRevealLoader

// Mac终端
cd /Applications/Reveal.app/Contents/SharedSupport/iOS-Libraries/RevealServer.framework
scp -r -P 12345 RevealServer root@localhost:/Library/RHRevealLoader/libReveal.dylib

注意需要手机和Mac连接统一WIFi。
先退出Mac上Reveal并打开手机上的APP，然后再打开Mac上Reveal。

微信调试

App Store 调试

四、debugserver

我们Xcode中的lldb可以调试手机中的应用，是因为手机中的debugserver开启的相关服务。所以在越狱环境中，我们只需要开启debugserver服务就可以利用LLDB远程调试三方应用了。

可以尝试使用Xcode-Debug-Attach to Proccess附加程序将手机中运行的APP进行断点调试和界面调试

• 使用Xcode附加进程需要打开一个iOS项目，并且项目运行目标为当前手机
• 非越狱手机只能附加自己的APP，越狱手机可以附加所有APP

debugserver

启动debugserver

如果有权限问题执行以下操作：

• ldid -e debugserver > debugserver.entitlements
• 将debugserver.entitlements中添加task_for_pid-allow、get-task-allow 值为1
• ldid -Sdebugserver.entitlements debugserver
• 将处理后的debugserver重新拷贝到手机即可