跳到主要內容

代碼注入及其拓展--逆向開發

今天繼續講述逆向開發中另一個比較重要的課程是代碼注入內容,本篇篇幅比較長,但還是有很多乾貨的,希望大家通過此篇文章更加了解逆向開發中的要點和知識點.我們將分解幾個內容,進行講解:



  1. Framework注入

  2. Dylib注入

  3. MethodSwizzle

  4. 微信示例講解

  5. 總結


讓代碼執行自己的代碼,整體方案如下:



如何讓別人的app來執行自己的代碼呢? 這就要通過代碼注入的方式來達到,而代碼注入的方式有兩種: 一種是通過framework, 一種是dylib方式,另種方案,可以通過Runtime機制


代碼注入思路:


DYLD會動態加載動態庫Framework中所有動態庫,在frameworks中加入自己的一個動態庫,然後在動態庫中hook和注入代碼.


一、FrameWork注入


 1.準備工作



  • 微信6.6.5（越獄應用）

  • MachOView軟件


　　MachOView的下載地址：


　　如果想看源碼如下：MachOView源碼：



  • yololib工具（給MachOView注入framework）


　　yololib工具下載地址：



  • 簽名文件appsign文件


2.流程


2.1 加入準備工作，導入微信6.6.5版本以及腳本appSign.sh重簽名文件



2.2 將appSign導入到項目腳本中



 


 


 2.3 有了上面的兩個步驟后，然後編譯一下工程，會出現一個temp工程，裡面包含了payload文件



2.4 显示包內容，查看可執行文件



 2.5 我們通過MachOView軟件查看WeChat



我們看到有很多的DYLIB，代表的是加載動態庫


2.6  我們在項目中新建framework



 


2.7 新建文件用於驗證



2.8 想要達到剛加載就運行，代碼要寫在load方法



 2.9 編譯一下，查看app包位置會多出一個framework



2.10 显示包內容，在framework查看



由上可知，WJHookFrameWork已經加入成功。


2.11 但是運行並沒有成功，沒有執行load里的代碼


原因：用MachOView打開可執行的WeChat，沒有找到WJHookFrameWork


下面我們講述怎麼將WJHookFramework寫入到MachoView文件中？


3. WJHookFramework寫入到MachOView文件中


需要使用yololib工具，建議將yololib放到 /usr/local/bin



3.1 解壓越獄包



3.2 將WeChat.app显示包內容，找到WeChat可執行的文件


需要增加執行權限： chmod +x WeChat


3.3 寫入WeChat可執行文件


yololib WeChat Frameworks/WJHookFrameWork.framework/WJHookFrameWork


通過上面的過程，查看MachOView文件Load commands中是否有WJHookFrameWork



上面圖显示已經加入成功。


3.4 刪除原有的ipa，打包payload


zip -ry WeChat.ipa Payload


將WeChat.ipa放入App目錄中，刪除其他的文件夾。



 


3.5 再次運行，發現成功！！！



上面就是framework方式代碼注入。大家可以私信我，如有不懂！！！


 二、Dylib注入


2.1 新建工程，添加腳本到build phases 




加入腳本文件



2.2添加第三方庫dylib（mac os的，非ios）



2.3 添加依賴




2.4 修改第三方類庫僅限mac使用，修改Base SDK



2.5 修改signing 



2.6 腳本中注入動態庫的代碼


# ${SRCROOT} 它是工程文件所在的目錄
 TEMP_PATH="${SRCROOT}/Temp"
 #資源文件夾，我們提前在工程目錄下新建一個APP文件夾，裏面放ipa包
 ASSETS_PATH="${SRCROOT}/APP"
 #目標ipa包路徑
 TARGET_IPA_PATH="${ASSETS_PATH}/*.ipa"
 #清空Temp文件夾
 rm -rf "${SRCROOT}/Temp"
 mkdir -p "${SRCROOT}/Temp"
 
 #----------------------------------------
 # 1. 解壓IPA到Temp下
 unzip -oqq "$TARGET_IPA_PATH" -d "$TEMP_PATH"
 # 拿到解壓的臨時的APP的路徑
 TEMP_APP_PATH=$(set -- "$TEMP_PATH/Payload/"*.app;echo "$1")
 # echo "路徑是:$TEMP_APP_PATH"
 
 #----------------------------------------
 # 2. 將解壓出來的.app拷貝進入工程下
 # BUILT_PRODUCTS_DIR 工程生成的APP包的路徑
 # TARGET_NAME target名稱
 TARGET_APP_PATH="$BUILT_PRODUCTS_DIR/$TARGET_NAME.app"
 echo "app路徑:$TARGET_APP_PATH"
 
 rm -rf "$TARGET_APP_PATH"
 mkdir -p "$TARGET_APP_PATH"
 cp -rf "$TEMP_APP_PATH/" "$TARGET_APP_PATH"
 
 #----------------------------------------
 # 3. 刪除extension和WatchAPP.個人證書沒法簽名Extention
 rm -rf "$TARGET_APP_PATH/PlugIns"
 rm -rf "$TARGET_APP_PATH/Watch"
 
 #----------------------------------------
 # 4. 更新info.plist文件 CFBundleIdentifier
 #  設置:"Set : KEY Value" "目標文件路徑"
 /usr/libexec/PlistBuddy -c "Set :CFBundleIdentifier $PRODUCT_BUNDLE_IDENTIFIER" "$TARGET_APP_PATH/Info.plist"
 
 #----------------------------------------
 # 5. 給MachO文件上執行權限
 # 拿到MachO文件的路徑
 APP_BINARY=`plutil -convert xml1 -o - $TARGET_APP_PATH/Info.plist|grep -A1 Exec|tail -n1|cut -f2 -d\>|cut -f1 -d\<`
 #上可執行權限
 chmod +x "$TARGET_APP_PATH/$APP_BINARY"
 
 #----------------------------------------
 # 6. 重簽名第三方 FrameWorks
 TARGET_APP_FRAMEWORKS_PATH="$TARGET_APP_PATH/Frameworks"
 if [ -d "$TARGET_APP_FRAMEWORKS_PATH" ];
 then
 for FRAMEWORK in "$TARGET_APP_FRAMEWORKS_PATH/"*
 do
 
 #簽名
 /usr/bin/codesign --force --sign "$EXPANDED_CODE_SIGN_IDENTITY" "$FRAMEWORK"
 done
 fi
 
 #注入
 yololib "$TARGET_APP_PATH/$APP_BINARY" "Frameworks/libHankHook.dylib"

2.7 編譯運行成功（也和上面一樣在類中加入load代碼）



 


上面就是dylib方式代碼注入，希望對大家有所幫助！！！


 通過上面的兩種方式實現代碼注入,讓別人的app運行自己的app,下面總結如下:



 三、MethodSwizzle


3.1 概念


iOS 中實現AOP編程思想的方式其中之一是Method Swizzling,而 Method Swizzling 是利用Runtime特性把一個方法和另個方法的實現做替換,程序運行時修改Dispatch Table里SEL和IMP之間的映射關係.


通過swizzling method改變目標函數selector所指向實現,在新的實現中來實現所要改的內容即可.



3.2 特點



  • 繼承: 修改較多,無法敢保證他人一定繼承基類

  • 類別: 類別中重寫方法會覆蓋到原有的實現,其實,在真實的開發中,重寫方法並不是為了取代它,而是為了添加一些實現; 如果幾個類別實現了同樣的方法, 但只有一個類別的方法會被調用.

  • AOP優勢: 減少了重複代碼


3.3 代碼


@implementation NSURL (HKURL)
 
 +(void)load
 {
     Method URLWithStr = class_getClassMethod(self, @selector(URLWithString:));
     
     Method HKURL = class_getClassMethod(self, @selector(HKURLWithStr:));
     
     //交換
     method_exchangeImplementations(URLWithStr, HKURL);
 }
 
 +(instancetype)HKURLWithStr:(NSString *)str{
     //調用系統原來的方法
     NSURL * url = [NSURL HKURLWithStr:str];
     if (url == nil) {
         str = @"https://www.blog.com";
     }
     url = [NSURL HKURLWithStr:str];
     
     return url;
 }

在上面的代碼中,利用method swizzling的交換方法.其他Runtime的使用方法,以及為什麼寫在load方法中,請參考本人另篇博客


拓展: 為什麼寫在load中?



  • load方法在源文件被裝載到程序中會被自動調用,不需要手動調用,也不需要該類使用不使用無關,在main()前被執行.

  • 當子類重寫了load,假如子類的類別重寫了load,load的調用順序會這樣: 父類、子類、子類類別

  • 但是如果有多個子類category都重寫了load,每個子類category中load都會調用一次

  • 假如子類沒有重寫load,子類的默認load也不會去調用父類的load.此與正常繼承不太一樣.

  • 在正常的開發中, 除了method swizzle ,其他的邏輯代碼盡量不放在load,load方法中的代碼邏輯要盡量簡單


 


四、微信示例Demo


4.1 微信--破壞註冊


4.1.1 將微信程序運行出來,如下圖所示



4.1.2 根據上面紅色找出類名,方法名



4.1.3 通過插件class-dump導出微信的.h文件


class-dump是將OC運行時聲明的信息導出來的工具, 其實可以導出.h文件. 用此工具將未經過加密的app的頭文件導出來.


使用它同樣也要講此工具拷貝到MAC的目錄下/usr/local/bin下.



4.1.4 經過sublime text來找出對應的文件



4.1.5 通過第三部分講解,利用runtime交換方法



4.1.6 結果



 


4.2 竊取微信密碼


4.2.1 找到輸入密碼框的內容



從上面看出，登錄按鈕為一個FixTitleColorButton對象，Target名字存放的地址為0x280afaa40，Action名字存放地址是0x280afac00。


4.2.2 查看賬號密碼的輸入框



發現賬號密碼輸入框對象屬於都一個對象，叫做WCUITextField


4.2.3 利用LLDB查看登錄具體的Target和Action



從上面卡出，登錄按鈕在WCAccountMainLoginViewController頁面中；


登錄點擊方法叫做onNext


4.2.4 利用Sublime查看WeChat文件


發現確實有onNext（）方法，並從中看出賬號輸入框和密碼輸入框都是WCAccountTextFieldItem中，但是並沒有發現textFileld，但是可以看到WCAccountTextFieldItem是繼承於WCBaseTextFieldItem，我們再看看WCBaseTextFieldItem文件內容



看出一個m_textField對象，通過tex字段取出string。


4.2.5 在賬號欄中輸入賬號和密碼


po [(WCAccountMainLoginViewController *)0x1128bbc00 valueForKey:@"_textFieldUserPwdItem"]
 po [(WCAccountTextFieldItem *)0x28328e880 valueForKey:@"m_textField"]
 po [(WCUITextField *)0x112163a00 text]


通過LLDB調試輸入的密碼是123456。


4.2.6 Hook登錄，獲取密碼


+ (void)load {
     NSLog(@"來了，老弟");
     Method onNext = class_getInstanceMethod(objc_getClass("WCAccountMainLoginViewController"), sel_registerName("onNext"));
     //1.保存原始的IMP
     old_onNext = method_getImplementation(onNext);
     //2.SET
     method_setImplementation(onNext, (IMP)my_next);
 }
 
 IMP (*old_onNext)(id self,SEL _cmd);
 
 void my_next(id self,SEL _cmd){
     // 獲取密碼
     NSString *pwd = [[[self valueForKey:@"_textFieldUserPwdItem"] valueForKey:@"m_textField"] performSelector:@selector(text)];
     NSString *accountTF = [[[self valueForKey:@"_textFieldUserNameItem"] valueForKey:@"m_textField"] performSelector:@selector(text)];
     NSLog(@"密碼是！%@",pwd);
     // 將密碼追加在賬號欄的後面
     [[[self valueForKey:@"_textFieldUserNameItem"] valueForKey:@"m_textField"] performSelector:@selector(setText:) withObject:[NSString stringWithFormat:@"%@+%@",accountTF,pwd]];
     //調用原來的方法
     old_onNext(self,_cmd);
 }

上面用的是setIMP和getIMP的方式，對原方法進行Hook，也可以用class_replaceMethod（），method_exchangeImplementations（）。


 


五、總結


首先從代碼注入的方式：framework和dylib兩種方式，然後講到Method swizzling方式嘗試Hook，最後又以demo的方式來闡述代碼注入和Hook，希望對大家理解逆向開發的代碼注入有所幫助！！！，歡迎大家繼續關注！！！


 


 

本站聲明:網站內容來源於博客園,如有侵權,請聯繫我們,我們將及時處理

【其他文章推薦】

※想知道網站建置、網站改版該如何進行嗎?將由專業工程師為您規劃客製化網頁設計及後台網頁設計



※不管是台北網頁設計公司、台中網頁設計公司，全省皆有專員為您服務



※Google地圖已可更新顯示潭子電動車充電站設置地點!!



※帶您來看台北網站建置，台北網頁設計，各種案例分享


Orignal From: 代碼注入及其拓展--逆向開發

留言

張貼留言

這個網誌中的熱門文章

旅館疑有臭蟲 北市府稽查找嘸

有民眾抱怨，日前投宿的北市某旅館疑似出現臭蟲，北市觀傳局與衛生局、環保局聯合稽查，但因為沒有發現蟲屍，無法確認該旅館是否真有臭蟲，市府下周將召開專家會議處理該案，市長蔣萬安則允諾會以最高規格防範臭蟲。 北市某旅館傳出疑有臭蟲，議員陳宥丞23日在市政總質詢詢問市府處理進度，並指出法國、澳洲、韓國的臭蟲，起初都現蹤公車或地鐵卻沒被發現，直到大規模爆發，才付出大量社會成本處理，而且一般殺蟲劑無法殺掉臭蟲，北市是否有因應措施？ 觀傳局主任祕書蕭君杰表示，21日聯合環保局、衛生局到該旅館稽查，但沒有發現臭蟲，也沒有查到蟲卵跡象，只能檢查現場環境是否符合衛生相關規定，但環保局有指導業者如何針對臭蟲清潔消毒。觀傳局長王秋冬指出，下周會與專家學者召開會議，以最高規格處理此案。 想知道購買電動車哪裡補助最多? 台中電動車 補助資訊懶人包彙整 ；推薦評價好的 iphone維修 中心擁有專業的維修技術團隊，同時聘請資深iphone手機維修專家，現場說明手機問題，快速修理，沒修好不收錢住家的頂樓裝 太陽光電 聽說可發揮隔熱功效一線推薦東陽能源擁有核心技術、產品研發、系統規劃設置、專業團隊的太陽能發電廠商。 網頁設計 一頭霧水該從何著手呢? 回頭車 貨運收費標準宇安交通關係企業，自成立迄今，即秉持著「以誠待人」、「以實處事」的企業信念 台中搬家公司 教你幾個打包小技巧,輕鬆整理裝箱!還在煩惱搬家費用要多少哪？台中大展搬家線上試算搬家費用，從此不再擔心「物品怎麼計費」、「多少車才能裝完」 台中搬家 公司費用怎麼算?擁有20年純熟搬遷經驗，提供免費估價且流程透明更是5星評價的搬家公司好山好水 露營車 漫遊體驗露營車x公路旅行的十一個出遊特色。走到哪、玩到哪，彈性的出遊方案，行程跟出發地也可客製 廣告預算用在刀口上， 台北網頁設計 公司幫您達到更多曝光效益； 電動車補助 衛生局疾病管制科長張惠美表示，現場查到與臭蟲無關的多項衛生缺失，包含未提供從業人員體檢報告、簡易外傷藥品及器材超過有效期、紗窗有破損等，已要求業者2周內改善，將擇期複查，如果複查不合格，將依法裁罰3000元至2萬元罰鍰。 但陳宥丞批評，環保局未公告哪些藥劑能殺死臭蟲，很擔心北市會和韓國、法國一樣，把臭蟲防治交給民間恐造成大規模爆發，且北市內的廢棄傢俱回收廠也有可能成為臭蟲孳生的...
張貼留言
閱讀完整內容

必知必會-存儲器層次結構

相信大家一定都用過各種存儲技術，比如mysql，mongodb，redis，mq等，這些存儲服務性能有非常大的區別，其中之一就是底層使用的存儲設備不同。作為一個程序員，你需要理解存儲器的層次結構，這樣才能對程序的性能差別瞭然於心。今天帶大家了解下計算機系統存儲器的層次結構。 存儲技術 首先了解下什麼是存儲器系統？ 實質上就是一個具有不同容量、成本和訪問時間的存儲設備的層次結構。從快到慢依次為：CPU寄存器、高速緩存、主存、磁盤； 這裏給大家介紹一組數據，讓大家有一個更清晰的認識： 如果數據存儲在CPU寄存器，需要0個時鐘周期就能訪問到，存儲在高速緩存中需要4~75個時鐘周期。如果存儲在主存需要上百個周期，而如果存儲在磁盤上，大約需要幾千萬個周期！ -- 出自 CSAPP 接下來一起深入了解下計算機系統涉及的幾個存儲設備： 隨機訪問存儲器 隨機訪問存儲器（RAM）分為靜態RAM （SRAM） 和動態RAM（DRAM）。SRAM的速度更快，但也貴很多，一般不會超過幾兆字節，通常用來做告訴緩存存儲器。DRAM就是就是我們常說的主存。 訪問主存 數據流是通過操作系統中的總線的共享电子電路在處理器和DRAM之間來來回回。每次CPU和主存之間的數據傳送都是通過一系列複雜的步驟完成，這些步驟成為總線事務。讀事務是將主存傳送數據到CPU。寫事務從CPU傳送數據到主存。 總線是一組并行的導線，能攜帶地址、數據和控制信號。下圖展示了CPU芯片是如何與主存DRAM連接的。 那麼我們在加載數據和存儲數據時，CPU和主存到底是怎樣交互實現的呢？ 首先來看一個基本指令，加載內存數據到CPU寄存器中: movq A,%rax 將地址A的內容加載到寄存器%rax中，這個命令會使CPU芯片上稱為總線接口（bus interface）的電路在總線上發起讀事務，具體分為三個步驟： CPU將地址A放到系統總線上，I/O橋將信號傳遞到內存總線。詳情看下下圖a 主存感覺到內存總線上的地址信號，從內存總線讀地址，從DRAM取出數據字，將其寫到內存總線。I/O橋將內存總線信號翻譯成系統總線信號，沿着系統總線傳遞到CPU總線接口。下圖b CPU感覺到系統總線上的數據，從總線上讀數據，並將數據複製到寄存器%rax...
張貼留言
閱讀完整內容

2016年電動車和插電式混合動力車銷量預計將超過70萬輛

中汽協日前預測，2016年全國電動汽車和插電式混合動力車的銷量預計將超過70萬輛，較2015年的銷量增長一倍。 2015年電動車和插電式混合動力車的合併銷量為331092輛，較2014年增長了340%。其中包括247482輛電動車和83610輛插電式混合動力車，在24萬輛多的電動汽車銷量中，包括146719輛乘用車，另有100763輛為商用車。插電式混合動力車的銷量中，60663輛為乘用車，22947輛為商用車。 根據2015年起草的藍圖，政府計畫到2020年在全國範圍內新建12000個充電站和480枚充電樁。2014年年底，全國共有780個充電站共31000枚充電樁。2015年政府還為27個省市自治區設定了電動車的最低銷量目標。 政府預計，這些措施到位後，自主品牌車企的電動車和插電式混合動力車銷量到2020年可達100萬輛，到2025年可達300萬輛。 本站聲明:網站內容來源於EnergyTrend https://www.energytrend.com.tw/ev/,如有侵權,請聯繫我們,我們將及時處理 【其他文章推薦】 ※為什麼 USB CONNECTOR 是電子產業重要的元件? ※ 網頁設計 一頭霧水??該從何著手呢? 找到專業技術的 網頁設計公司 ，幫您輕鬆架站! ※想要讓你的商品成為最夯、最多人討論的話題? 網頁設計公司 讓你強力曝光 ※想知道最厲害的 台北網頁設計公司推薦 、 台中網頁設計公司推薦 專業設計師"嚨底家"!! Orignal From: 2016年電動車和插電式混合動力車銷量預計將超過70萬輛
張貼留言
閱讀完整內容