深圳_你要的昵称
深圳_你要的昵称

19-Cycript

前言

本篇文章将介绍逆向实战中经常使用的一门语言 Cycript，它是由Cydia创始人Saurik推出的一款脚本语言，Cycript混合了OC、JavaScript语法的解释器，这意味着我们能够在一个命令中使用OC或者JavaScript，甚至两者并用。它能够挂钩正在运行的进程，能够在运行时修改很多东西。

一、Cycript安装

Cycript官网，目前最新版本0.9.594。直接下载SDK解压放在/opt目录中

接着在~/.bash_profile、~/.zshrc中配置环境变量

export PATH=/opt/cycript_0.9.594/cycript

接着验证一下

cycript

进入cy#表示配置成功。

⚠️注意：如果已经安装了Monkey则不需要配置和安装cycript了。因为monkey自带了cycript，并且配置环境变量应改为

export CY=/opt/cycript_0.9.594/
export PATH=/opt/MonkeyDev/bin:$PATH:$CY

二、基本使用

只要将cycript注入到应用中，我们就可以调用其中的命令了，Monkey重签名注入的时候帮我们注入了，例如我们之前文章15-Hook原理（二）反Hook防护 & MokeyDev
中的例子MonKeyDemo

app包里面就包含了libcycript.dylib，当Cycript注入到目标应用，应用进程就会调用Cycript的方法，开启相应的端口，以供第三方监听。第三方可通过端口链接进程，进入cy环境，HOOK当前进程中的内存数据。

2.1 进入Cycript环境

cycript

2.2 退出Cycript环境

control + d

2.3 附加进程

连接进程进入Cycript环境，例如

cycript -r 192.168.3.127:6666

这里手机和电脑要在同一wifi，并且进入应用程序进程。ip为手机的ip。端口号默认为6666。

2.4 cycript调试命令

以上附加进程链接好了后，就可以使用cycript调试命令查看信息了，例如

  • 获取keyWindow 
UIWindow.keyWindow()
-------------------------
#"; layer = >"
  • 获取UIApplication单例对象
UIApp
-------------------------
#""
  • 定义变量并赋值
var keyWd = UIWindow.keyWindow()
-------------------------
#"; layer = >"

keyWd.rootViewController
-------------------------
#" ChildViewControllers:(\n    \"\"\n)"

当程序的进程结束，定义的所有变量会一起释放。

  1. #对象地址 拿到该对象，可用于调用方法
#0x1270e9200
-------------------------
#" ChildViewControllers:(\n    \"\"\n)"
  1. *对象 可以取出对象的成员变量
*keyWd
-------------------------
{isa:iConsoleWindow,_responderFlags:@error,_constraintsExceptingSubviewAutoresizingConstraints:null,...
  • 查看视图结构 
keyWd.recursiveDescription()
-------------------------
@"; layer = >\n   | >\n...

也可格式化打印，遇\n换行

keyWd.recursiveDescription().toString()
-------------------------
`; layer = >
  | >
  |    | >
  |    |    | ; layer = >
  |    |    |    | >
  |    |    |    |    | >
...
  • 查询当前进程中指定类型的对象 
choose (UIButton)
-------------------------
[#">",#">",...

这和LLDB中search很像。

三、进阶

3.1 脚本自动连接

  1. 创建cyShell目录
  2. 在cyShell目录下，创建cyConnect.sh脚本
  3. 打开cyConnect.sh脚本，写入以下代码
cycript -r 10.165.44.19:6666
  1. 增加可执行权限
chmod +x cyConnect.sh
  1. 配置环境变量
export cyShell=/Users/Aron/cyShell/
export PATH=/opt/MonkeyDev/bin:$cyShell:$PATH

这样能全局使用

cyConnect.sh
cy#

直接就能自动连接了。

3.2 Cycript 修改内存

接下来通过几个案例，使用Cycript脚本，看看如何修改内存。

案例一：修改应用图标的红点数
  1. 使用MonkeyDev安装并运行wx8.0.2.ipa
  2. 使用cyConnect.sh附加进程
  3. 修改BadgeString
[UIApp setApplicationBadgeString: @"999"]

⚠️注意：修改当前内存中的数据，应用重复挂起唤醒，数据就会被刷新。

案例二：修改红包金额

例如：正常的红包内容如下

  1. 首先通过choose(UILabel)找到红包金额
choose(UILabel).toString()

搜索1.00得到地址0x149eaef00

  1. 修改红包的金额
cy# #0x149eaef00.text = @"￥88888888.00"

同样的方式，找到借款UILabel的地址 0x14c33b460，将text改为还款

cy# #0x14c33b460.text = @"还款"
  1. 修改后的内容
案例三：修改聊天内容

有2种方式

  1. 通过cycript搜索控件进行修改
  2. 通过Xcode的 view debug找到控件进行修改

可以看到内容在accessibility的description中

接着我们在logos文件夹下的.xm文件中，使用logos语法hook方法，代码如下

%hook RichTextView

- (_Bool)setPrefixContent:(id)arg1 TargetContent:(NSString *)arg2 TargetParserString:(id)arg3 SuffixContent:(id)arg4 {
//    arg2 为文案
    if([arg2 isEqualToString:@"钱已经借给你了。"]) {
        arg2 = @"钱已经换给你了，请查收！";
    }
    return %orig;
}

%end

至此整个内容就修改完成了

3.3 高级用法

  • 获取bundle identifier
    使用APPID命令
cy# APPID
-------------------------
@"com.xxxxxx.MonKeyDemo"
  • 获取视图层级
    使用pviews()命令
pviews()
-------------------------
`; layer = >
   | >
   |    | >
   |    |    | ; layer = >
   |    |    |    | >
   |    |    |    |    | >
   |    |    |    |    |    | >
   |    |    |    |    |    |    | >
   |    |    |    |    |    |    |    | >
   |    |    |    |    |    |    | >
   |    |    |    |    |    |    |    | >
   |    |    |    |    |    |    |    |    | >
   |    |    |    |    |    |    |    | >
   |    |    |    |    |    |    |    |    | >
   |    |    |    |    |    |    | >
   |    |    |    |    |    |    |    | >
   |    |    |    | >
   |    |    |    |    | <_UIBarBackground: 0x113794170; frame = (0 -20; 375 64); userInteractionEnabled = NO; layer = >
   |    |    |    |    |    | >
   |    |    |    |    |    | <_UIBarBackgroundShadowView: 0x1137957a0; frame = (0 64; 375 0); layer = > clientRequestedContentView effect=none
   |    |    |    |    |    |    | <_UIBarBackgroundShadowContentImageView: 0x113795b10; frame = (0 0; 375 0); opaque = NO; autoresize = W+H; userInteractionEnabled = NO; layer = >
   |    |    |    |    | <_UINavigationBarContentView: 0x113794350; frame = (0 0; 375 44); layer = > layout=0x1137945d0
   |    |    |    |    |    | <_UITAMICAdaptorView: 0x11378e920; frame = (187 4; 1 36); autoresizesSubviews = NO; layer = >
   |    |    |    |    |    |    | >
   |    |    |    |    |    |    |    | >
   |    |    |    |    |

也可以查看pviews方法的代码实现

pviews
-------------------------
function (){return UIApp.keyWindow.recursiveDescription().toString()}
  • 获取视图控制器
    使用pvcs()命令
cy# pvcs()
-------------------------
", state: appeared, view: \n   | , state: appeared, view: "

pvcs方法的代码实现

pvcs
-------------------------
function (){return UIWindow.keyWindow().rootViewController._printHierarchy().toString()}

上面这些功能，Cycript脚本也有，但是这些命令却不是Cycript自带的，那么它们是哪里来的呢？

在Monkey工程我们可以在Config->MDConfig.plist中发现Cycript下有ms和md两个.cy文件

这些命令就封装在这两个文件中（工程运行的时候自动从网络上下载）。
ms.cy
md.cy

使用Cycript找到指定控制器的某个控件，过程比较繁琐。
更好的方式 在非越狱设备上，使用应用重签名，通过Debug View Hierarchy快速定位控件，找到对应的地址，然后使用Cycript对其进行修改。

四、cy文件的封装

案例一：封装简单案例
  1. 在MokeyDemo项目中，创建test.cy文件
  2. 打开test.cy文件，写入以下代码
sum = function(a,b){
   return a + b;
}
  1. 将test.cy文件拖入项目，在MokeyDemo项目中，使用Copy Files添加test.cy

⚠️注意：test.cy是脚本文件，不是MachO，不需要勾选签名。

  1. 重新运行项目，使用cyConnect.sh附加进程

  2. 导入脚本

@import test
-------------------------
{}

调用sum方法

sum(10,20)
-------------------------
30
案例二：实现获取当前控制器
  1. 修改test.cy文件的代码
(function(exports){
   APPID = [NSBundle mainBundle].bundleIdentifier,
   APPPATH = [NSBundle mainBundle].bundlePath,
   APPHOME = NSHomeDirectory(),

   rootVC = function(){
       return UIApp.keyWindow.rootViewController;
   };

   keyWindow = function(){
       return UIApp.keyWindow;
   };

   getCurrentVC = function(rootVC){

       var currentVC;
       if([rootVC presentedViewController]){
           rootVC = [rootVC presentedViewController];
       }

       if([rootVC isKindOfClass:[UITabBarController class]]){
           currentVC = getCurrentVC(rootVC.selectedViewController);
       }
       else if([rootVC isKindOfClass:[UINavigationController class]]){
           currentVC = getCurrentVC(rootVC.visibleViewController);
       }
       else{
           currentVC = rootVC;
       }

       return currentVC;
   };

   currentVC = function(){
       return getCurrentVC(rootVC());
   };

})(exports);
  1. 重新运行项目，使用cyConnect.sh附加进程
  2. 同样导入脚本
@import test
-------------------------
{}
  1. 调用方法
  • 获取APPID 
APPID
-------------------------
@"com.xxxxxx.MokeyDemo"
  • 获取APPPATH 
APPPATH
-------------------------
@"/private/var/containers/Bundle/Application/D620C178-5030-48E4-9276-981150FF7299/MokeyDemo.app"
  • 获取APPHOME 
APPHOME
-------------------------
@"/var/mobile/Containers/Data/Application/C2ED1E99-47C4-4C29-8AE6-9C5C136CEE04"
  • 调用currentVC() 
currentVC()
-------------------------
#""

总结

  • Cycipt
    • 是一种脚本语言，兼容了多种语法（支持多种语法的解释器）
    • Cycipt可以附加到进程，用来动态调试
      • 也可自定义脚本，配置到环境变量中，方便执行
    • 将常用功能封装为.cy文件

你可能感兴趣的:(19-Cycript)

  • 21-自动抢红包UI 深圳_你要的昵称
    前言本篇文章将使用前面所讲的工具和语法，做一个实战演练，修改微信的【设置】页面增加2个cell，包含是否启用自动抢红包功能的开关，以及抢红包时的手速设置，最终效果图如下当然，在做这个之前，需要使用MokeyDev对WeChat进行重签名并安装。请参考15-Hook原理（二）反Hook防护&MokeyDev一、UI分析使用Cycript附加进程。具体请参考19-Cycript使用pvcs()找到设置
  • 19-Cycript 深圳_你要的昵称
    前言本篇文章将介绍逆向实战中经常使用的一门语言Cycript，它是由Cydia创始人Saurik推出的一款脚本语言，Cycript混合了OC、JavaScript语法的解释器，这意味着我们能够在一个命令中使用OC或者JavaScript，甚至两者并用。它能够挂钩正在运行的进程，能够在运行时修改很多东西。一、Cycript安装Cycript官网，目前最新版本0.9.594。直接下载SDK解压放在/o
  • 设计模式介绍 tntxia 设计模式
    设计模式来源于土木工程师 克里斯托弗 亚历山大（http://en.wikipedia.org/wiki/Christopher_Alexander）的早期作品。他经常发表一些作品，内容是总结他在解决设计问题方面的经验，以及这些知识与城市和建筑模式之间有何关联。有一天，亚历山大突然发现，重复使用这些模式可以让某些设计构造取得我们期望的最佳效果。 亚历山大与萨拉-石川佳纯和穆雷 西乐弗斯坦合作
  • android高级组件使用(一) 百合不是茶 androidRatingBarSpinner
    1、自动完成文本框（AutoCompleteTextView） AutoCompleteTextView从EditText派生出来，实际上也是一个文本编辑框，但它比普通编辑框多一个功能：当用户输入一个字符后，自动完成文本框会显示一个下拉菜单，供用户从中选择，当用户选择某个菜单项之后，AutoCompleteTextView按用户选择自动填写该文本框。 使用AutoCompleteTex
  • [网络与通讯]路由器市场大有潜力可挖掘 comsci 网络
              如果国内的电子厂商和计算机设备厂商觉得手机市场已经有点饱和了,那么可以考虑一下交换机和路由器市场的进入问题.....        这方面的技术和知识,目前处在一个开放型的状态,有利于各类小型电子企业进入  &nbs
  • 自写简单Redis内存统计shell 商人shang Linux shell统计Redis内存
    #!/bin/bash address="192.168.150.128:6666,192.168.150.128:6666" hosts=(${address//,/ }) sfile="staticts.log" for hostitem in ${hosts[@]} do ipport=(${hostitem
  • 单例模式(饿汉 vs懒汉) oloz 单例模式
    package 单例模式; /* * 应用场景:保证在整个应用之中某个对象的实例只有一个 * 单例模式种的《 懒汉模式》 * */ public class Singleton { //01 将构造方法私有化，外界就无法用new Singleton()的方式获得实例 private Singleton(){}; //02 申明类得唯一实例 priva
  • springMvc json支持 杨白白 json springmvc
    1.Spring mvc处理json需要使用jackson的类库，因此需要先引入jackson包 2在spring mvc中解析输入为json格式的数据:使用@RequestBody来设置输入 @RequestMapping("helloJson") public @ResponseBody JsonTest helloJson() {
  • android播放，掃描添加本地音頻文件 小桔子
            最近幾乎沒有什麽事情，繼續鼓搗我的小東西。想在項目中加入一個簡易的音樂播放器功能，就像華為p6桌面上那麼大小的音樂播放器。用過天天動聽或者QQ音樂播放器的人都知道，可已通過本地掃描添加歌曲。不知道他們是怎麼實現的，我覺得應該掃描設備上的所有文件，過濾出音頻文件，每個文件實例化為一個實體，記錄文件名、路徑、歌手、類型、大小等信息。具體算法思想，
  • oracle常用命令 aichenglong oracledba常用命令
    1 创建临时表空间 create temporary tablespace user_temp  tempfile 'D:\oracle\oradata\Oracle9i\user_temp.dbf' size 50m  autoextend on  next 50m maxsize 20480m  extent management local
  • 25个Eclipse插件 AILIKES eclipse插件
    提高代码质量的插件1. FindBugsFindBugs可以帮你找到Java代码中的bug，它使用Lesser GNU Public License的自由软件许可。2. CheckstyleCheckstyle插件可以集成到Eclipse IDE中去，能确保Java代码遵循标准代码样式。3. ECLemmaECLemma是一款拥有Eclipse Public License许可的免费工具，它提供了
  • Spring MVC拦截器+注解方式实现防止表单重复提交 baalwolf spring mvc
    原理：在新建页面中Session保存token随机码，当保存时验证，通过后删除，当再次点击保存时由于服务器端的Session中已经不存在了，所有无法验证通过。   1.新建注解：   ? 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18
  • 《Javascript高级程序设计(第3版)》闭包理解 bijian1013 JavaScript
    “闭包是指有权访问另一个函数作用域中的变量的函数。”--《Javascript高级程序设计(第3版)》         看以下代码： <script type="text/javascript"> function outer() { var i = 10; return f
  • AngularJS Module类的方法 bijian1013 JavaScriptAngularJSModule
            AngularJS中的Module类负责定义应用如何启动，它还可以通过声明的方式定义应用中的各个片段。我们来看看它是如何实现这些功能的。 一.Main方法在哪里         如果你是从Java或者Python编程语言转过来的，那么你可能很想知道AngularJS里面的main方法在哪里？这个把所
  • [Maven学习笔记七]Maven插件和目标 bit1129 maven插件
    插件(plugin)和目标(goal) Maven，就其本质而言，是一个插件执行框架，Maven的每个目标的执行逻辑都是由插件来完成的，一个插件可以有1个或者几个目标，比如maven-compiler-plugin插件包含compile和testCompile，即maven-compiler-plugin提供了源代码编译和测试源代码编译的两个目标   使用插件和目标使得我们可以干预
  • 【Hadoop八】Yarn的资源调度策略 bit1129 hadoop
    1. Hadoop的三种调度策略 Hadoop提供了3中作业调用的策略， FIFO Scheduler Fair Scheduler Capacity Scheduler 以上三种调度算法，在Hadoop MR1中就引入了，在Yarn中对它们进行了改进和完善.Fair和Capacity Scheduler用于多用户共享的资源调度   2. 多用户资源共享的调度
  • Nginx使用Linux内存加速静态文件访问 ronin47
    Nginx是一个非常出色的静态资源web服务器。如果你嫌它还不够快，可以把放在磁盘中的文件，映射到内存中，减少高并发下的磁盘IO。 先做几个假设。nginx.conf中所配置站点的路径是/home/wwwroot/res，站点所对应文件原始存储路径：/opt/web/res shell脚本非常简单，思路就是拷贝资源文件到内存中，然后在把网站的静态文件链接指向到内存中即可。具体如下：
  • 关于Unity3D中的Shader的知识 brotherlamp unityunity资料unity教程unity视频unity自学
    首先先解释下Unity3D的Shader，Unity里面的Shaders是使用一种叫ShaderLab的语言编写的，它同微软的FX文件或者NVIDIA的CgFX有些类似。传统意义上的vertex shader和pixel shader还是使用标准的Cg/HLSL 编程语言编写的。因此Unity文档里面的Shader，都是指用ShaderLab编写的代码，然后我们来看下Unity3D自带的60多个S
  • CopyOnWriteArrayList vs ArrayList bylijinnan java
    package com.ljn.base; import java.util.ArrayList; import java.util.Iterator; import java.util.List; import java.util.concurrent.CopyOnWriteArrayList; /** * 总述： * 1.ArrayListi不是线程安全的，CopyO
  • 内存中栈和堆的区别 chicony 内存
    1、内存分配方面：     堆：一般由程序员分配释放， 若程序员不释放，程序结束时可能由OS回收 。注意它与数据结构中的堆是两回事，分配方式是类似于链表。可能用到的关键字如下：new、malloc、delete、free等等。     栈：由编译器(Compiler)自动分配释放，存放函数的参数值，局部变量的值等。其操作方式类似于数据结构中
  • 回答一位网友对Scala的提问 chenchao051 scalamap
    本来准备在私信里直接回复了，但是发现不太方便，就简要回答在这里。 问题 写道 对于scala的简洁十分佩服，但又觉得比较晦涩，例如一例，Map("a" -> List(11,111)).flatMap(_._2)，可否说下最后那个函数做了什么，真正在开发的时候也会如此简洁？谢谢    先回答一点，在实际使用中，Scala毫无疑问就是这么简单。
  • mysql 取每组前几条记录 daizj mysql分组最大值最小值每组三条记录
    一、对分组的记录取前N条记录：例如：取每组的前3条最大的记录 1.用子查询： SELECT * FROM tableName a  WHERE 3> (SELECT COUNT(*) FROM  tableName b WHERE b.id=a.id AND b.cnt>a. cnt) ORDER BY a.id,a.account DE
  • HTTP深入浅出 http请求 dcj3sjt126com http
      HTTP(HyperText Transfer Protocol)是一套计算机通过网络进行通信的规则。计算机专家设计出HTTP，使HTTP客户（如Web浏览器）能够从HTTP服务器(Web服务器)请求信息和服务，HTTP目前协议的版本是1.1.HTTP是一种无状态的协议，无状态是指Web浏览器和Web服务器之间不需要建立持久的连接，这意味着当一个客户端向服务器端发出请求，然后We
  • 判断MySQL记录是否存在方法比较 dcj3sjt126com mysql
    把数据写入到数据库的时，常常会碰到先要检测要插入的记录是否存在，然后决定是否要写入。 　　我这里总结了判断记录是否存在的常用方法： 　　sql语句： select   count ( * )  from  tablename; 　　然后读取count(*)的值判断记录是否存在。对于这种方法性能上有些浪费，我们只是想判断记录记录是否存在，没有必要全部都查出来。
  • 对HTML XML的一点认识 e200702084 htmlxml
    感谢http://www.w3school.com.cn提供的资料 HTML 文档中的每个成分都是一个节点。 节点 根据 DOM，HTML 文档中的每个成分都是一个节点。 DOM 是这样规定的： 整个文档是一个文档节点 每个 HTML 标签是一个元素节点 包含在 HTML 元素中的文本是文本节点 每一个 HTML 属性是一个属性节点 注释属于注释节点 Node 层次
  • jquery分页插件 genaiwei jqueryWeb前端分页插件
    //jquery页码控件// 创建一个闭包    (function($) {      // 插件的定义      $.fn.pageTool = function(options) {        var totalPa
  • Mybatis与Ibatis对照入门于学习 Josh_Persistence mybatisibatis区别联系
    一、为什么使用IBatis/Mybatis         对于从事 Java EE 的开发人员来说，iBatis 是一个再熟悉不过的持久层框架了，在 Hibernate、JPA 这样的一站式对象 / 关系映射（O/R Mapping）解决方案盛行之前，iBaits 基本是持久层框架的不二选择。即使在持久层框架层出不穷的今天，iBatis 凭借着易学易用、
  • C中怎样合理决定使用那种整数类型？ 秋风扫落叶 c数据类型
    如果需要大数值(大于32767或小于32767), 使用long 型。 否则, 如果空间很重要 (如有大数组或很多结构), 使用 short 型。 除此之外, 就使用 int 型。 如果严格定义的溢出特征很重要而负值无关紧要, 或者你希望在操作二进制位和字节时避免符号扩展的问题, 请使用对应的无符号类型。 但是, 要注意在表达式中混用有符号和无符号值的情况。    &nbs
  • maven问题 zhb8015 maven问题
      问题1： Eclipse 中 新建maven项目 无法添加src/main/java 问题    eclipse创建maevn web项目，在选择maven_archetype_web原型后，默认只有src/main/resources这个Source Floder。     按照maven目录结构，添加src/main/ja
  • (二)androidpn-server tomcat版源码解析之--push消息处理 spjich javaandrodipn推送
    在 (一)androidpn-server tomcat版源码解析之--项目启动这篇中，已经描述了整个推送服务器的启动过程，并且把握到了消息的入口即XmppIoHandler这个类，今天我将继续往下分析下面的核心代码，主要分为3大块，链接创建，消息的发送，链接关闭。 先贴一段XmppIoHandler的部分代码 /** * Invoked from an I/O proc
  • 用js中的formData类型解决ajax提交表单时文件不能被serialize方法序列化的问题 中华好儿孙 JavaScriptAjaxWeb上传文件FormData
    var formData = new FormData($("#inputFileForm")[0]); $.ajax({ type:'post', url:webRoot+"/electronicContractUrl/webapp/uploadfile", data:formData, async: false, ca
  • mybatis常用jdbcType数据类型 ysj5125094 mybatismapperjdbcType
      MyBatis 通过包含的jdbcType 类型 BIT         FLOAT      CHAR          
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他