iOS越狱

一、概述

越狱(jailBreak)，通过iOS系统安全启动链漏洞，从而禁止掉信任链中负责验证的组件。拿到iOS系统最大权限ROOT权限。

iOS系统安全启动链
当启动一台iOS设备时，系统首先会从只读的ROM中读取初始化指令，也就是系统的引导程序(事实上所有的操作系统启动时都要经过这一步，只是过程略有不同)。这个引导ROM包含苹果官方权威认证的公钥，他会验证底层启动加载器(LLB)的签名，一旦通过验证后就启动系统。LLB会做一些基础工作，然后验证第二级引导程序iBoot。iBoot启动后，设备就可以进入恢复模式或启动内核。在iBoot验证完内核签名的合法性之后，整个启动程序开始步入正轨：加载驱动程序、检测设备、启动系统守护进程。这个信任链会确保所有的系统组件都有苹果官方写入、签名、分发，不能来自第三方机构。

iOS系统安全启动链

越狱 的工作原理正是攻击这一信任链。所有的越狱工具的作者都需要找到这一信任链上的漏洞，从而禁止掉信任链中负责验证的组件。拿到iOS系统最大权限ROOT权限。

熟悉越狱的都听说过 完美越狱 和 非完美越狱：

• 完美越狱：所谓完美越狱就是破解iOS系统漏洞之后，每次系统重启都能自动调用注入的恶意代码，达到破坏安全验证，再次获得ROOT权限。

• 非完美越狱：所谓非完美越狱是指越狱系统后，并没有完全破解安全链，有部分信息或功能应用不佳；比如关机以后必须去连接越狱软件来引导开机；或者重启会导致越狱的失效；这样的越狱称为 不完美越狱。

目前iOS10以上没有完美越狱工具开放出来，iOS10以下有。目前比较靠谱的两个越狱工具：uncOver 和 Odyssey。

二、unc0ver越狱

macOS下unc0ver有3种越狱方式，这里使用Xcode重签名的方式越狱。其它方式参考官网方式就可以了。

2.1 环境配置

• Xcode
• unc0ver
• iOS App Signer（️：脚本/Monkey方式不需要这个）

#1.网站下载
https://dantheman827.github.io/ios-app-signer/
#2.命令安装
sudo gem install sigh

• 设备 iPhone7 14.0（需要确保设备在自己的账号下）

2.2 工程配置

1.安装好Xcode并且新建一个iOS App
确保自己的设备加入到自己的账号中（我这里使用免费账号）

image.png

2.连接手机build新建的iOS App到设备
在这个过程中需要手机信任证书（设置->通用->描述文件与设备管理）

2.3 方式一：iOS App Signer 重签名

1.导出embedded.mobileprovision
个人开发者账号有效期为7天，由于个人开发者账号苹果官网没有提供导出入口，需要build成功后在products app 中拷贝。如果有付费账号直接官网导出就可以了。

image.png

image.png

2.Signer重签名
Input File为要重签名的ipa包，这里是下载好的unc0ver，证书选择自己的证书（免费开发者账号也可以，有效期7天，前提是自己的设备已经加入免费账号并且导出.mobileprovision）。当然有企业证书是最好的。

image.png

3.Xcode安装重签名后的unc0ver
Xcode中打开Window → Devices and Simulators（command + shift +2），然后在Installed Apps中拖入重签名的unc0ver进行安装。

image.png

4.打开unc0ver进行越狱
越狱成功后桌面会出现Cydia和Substitute。没有出现的话uncover重新操作一遍。

2.4 方式二：脚本重签名

1.项目根目录下创建IPA文件夹并将unc0ver ipa包拷贝放到目录中

image.png

2.根目录下创建appResign.sh重签名脚本
脚本内容如下：

# SRCROOT 为工程所在目录，Temp 为创建的临时存放 ipa 解压文件的文件夹。
TEMP_PATH="${SRCROOT}/Temp"
# APP 文件夹，存放要重签名的ipa包。
IPA_PATH="${SRCROOT}/IPA"
#重签名 ipa 包路径
TARGRT_IPA_PATH="${IPA_PATH}/*.ipa"

#清空 Temp 文件夹，重新创建目录
rm -rf "$TEMP_PATH"
mkdir -p "$TEMP_PATH"



#1.解压 ipa 包到 Temp 目录下
unzip -oqq "$TARGRT_IPA_PATH" -d "$TEMP_PATH"
#获取解压后临时 App 路径
TEMP_APP_PATH=$(set -- "$TEMP_PATH/Payload/"*.app;echo "$1")
echo "临时App路径：$TEMP_APP_PATH"

#2.将解压出来的 .app 拷贝到工程目录，
# BUILT_PRODUCTS_DIR 工程生成的App包路径
# TARGET_NAME target 名称
TARGET_APP_PATH="$BUILT_PRODUCTS_DIR/$TARGET_NAME.app"
echo "app路径：$TARGET_APP_PATH"

#删除工程自己创建的 app
rm -rf "$TARGET_APP_PATH"
mkdir -p "$TARGET_APP_PATH"
#拷贝解压的临时 Temp 文件到工程目录
cp -rf "$TEMP_APP_PATH/" "$TARGET_APP_PATH"

#3.删除 extension 和 WatchAPP。个人证书无法签名 Extention
rm -rf "$TARGET_APP_PATH/PlugIns"
rm -rf "$TARGET_APP_PATH/Watch"


#4.更新 info.plist 文件 CFBundleIdentifier
# 设置:"Set :KEY Value" "目标文件路径"
/usr/libexec/PlistBuddy -c "Set :CFBundleIdentifier $PRODUCT_BUNDLE_IDENTIFIER" "$TARGET_APP_PATH/Info.plist"


#5. macho 文件加上可执行权限。
#获取 macho 文件路径
APP_BINARY=`plutil -convert xml1 -o - $TARGET_APP_PATH/Info.plist|grep -A1 Exec|tail -n1|cut -f2 -d\>|cut -f1 -d\<`
#加上可执行权限
chmod +x "$TARGET_APP_PATH/$APP_BINARY"


#6.重签名第三方 FrameWorks
TARGET_APP_FRAMEWORKS_PATH="$TARGET_APP_PATH/Frameworks"
if [ -d "$TARGET_APP_FRAMEWORKS_PATH" ];
then
for FRAMEWORK in "$TARGET_APP_FRAMEWORKS_PATH/"*
do
#签名
/usr/bin/codesign --force --sign "$EXPANDED_CODE_SIGN_IDENTITY" "$FRAMEWORK"
done
fi

3.在Xcode工程中配置重签名脚本

image.png

4.重新build工程到手机上。

5.打开unc0ver进行越狱
越狱成功后桌面会出现Cydia和Substitute。没有出现的话uncover重新操作一遍。

2.5 方式三：MonkeyDev

通过Monkey可以帮助我们自动重签名，只需要准备好要签名的包和配置好证书运行工程就可以了，具体参考：使用monkey

️：Settings -> Restore RootFS 可以恢复到未越狱状态（越狱相关的内容会被删干净）

image.png

越狱前最好在设置中勾选OpenSSH选项，一个连接手机的工具。

AppResign demo

三、Odyssey越狱

Odyssey和unc0ver越狱流程差不多，推荐使用Monkey。区别是Odyssey安装好后的应用商店是Sileo，unc0ver是Cydia。更推荐使用unc0ver。

️越狱注意事项：

• odyssey 越狱中断开网络开始执行越狱，等需要开启网络的时候再联网。
• 两种越狱方式都在安装好包后断开Xcode连接再进行越狱操作。（Xcode启动应用是附加的状态）
• 在越狱的过程中遇到任何错误重新恢复手机再尝试。
• iOS10以下设备直接用爱思助手越狱。
• 恢复和越狱出错的情况下请删除unc0ver重新安装尝试。

总结

越狱：通过破解iOS的安全启启动链的漏洞，拿到iOS的Root权限。

• 完美越狱：每次系统重新启动都会再次进入越狱状态。
• 非完美越狱：没有完全破解，一般重启以后会失去越狱环境。

越狱系统查询