iOS逆向指南：界面分析

时间  2019-11-06
标签 ios 逆向 指南 界面 分析 栏目 iOS 繁體版
原文   原文链接

写几篇文章总结一下 iOS 逆向的整个流程，逆向初学者能够做为入门指南。内容包括逆向工具和环境配置、踩坑点、界面分析、砸壳、静态分析、动态分析、lldb 调试、推荐 hopper 和 IDA 插件、IDA 插件的编写、各类分析技巧。git

逆向的做用

对于 iOS 开发工程师：github

  • 经过查看界面、阅读汇编代码，研究参考其余 app 的实现方案
  • 研究系统库的实现逻辑，用于修复 bug
  • 查找使用私有 API，实现一些黑科技功能
  • 接触底层原理，对 iOS 安全防御有更深刻的掌握
  • 获取其余 app 中的资源，例如游戏贴图
  • 对第三方 app 进行一些自定义"改造"

我我的以为逆向对我最大的帮助就是可以查看各类闭源代码的实现，知足好奇心的同时也拓展了思路，可以学到不少。sass

工具

逆向中经常使用的工具备：安全

  • 越狱 iOS 设备一台（越狱后须要安装 openSSH 和一系列开发工具，建议使用 32 位的 armv七、armv7s 设备，由于旧版 Hopper Disassembler 不支持为 arm64 架构的汇编生成伪代码，最新版虽然支持，可是仍然不如 32 位的易读）
  • reveal：查看任意 app 界面
  • dumpdecrypted：对 app store 上下载的 app 进行砸壳解密的工具
  • clutch：和 dumpdecrypted 功能相同，也是 app 砸壳工具，用法更简单
  • class-dump, class-dump-z：分析 Mach-O 文件的类，导出 Objective-C 头文件
  • Hopper Disassembler：反编译 iOS app 工具
  • IDA：更强大的反编译工具， 缺点是价格贵

经过这些工具的做用，也差很少能一窥 iOS 逆向的面貌。bash

界面分析

这篇文章首先讲讲对普通开发者最有用的界面分析：如何查看任意 app 的界面结构。微信

有时候咱们对某个 app 的界面实现方式感兴趣，直接查看它的界面层级就能明白大体的思路。架构

使用 reveal 查看 app 界面

Reveal 是一个 Mac 端的商业软件，能够查看任意 app 的界面构成，以及所属的类名、约束等信息。找到对应的功能的类名后，就可使用后面的工具找对应的头文件查看方法。Reveal 有试用版，试用期30天，官方和淘宝店铺有正版合做，有国区优惠。使用方法以下。app

1.客户端安装reveal插件

Reveal 的环境配置有一些坑，而且在不一样的系统版本上配置方式不同。ide

配置

iPhone 越狱后在 Cydia 里搜索RevealLoader安装插件。Reveal 有多个版本，reveal 1.6.3支持 iOS 7，reveal 2（版本号从2一直增长到了最近的13）最低支持 iOS 8。若是用的是 reveal 2，则在 iOS 9 及如下系统仍然使用RevealLoader，iOS 10 越狱机上则安装Reveal2Loader。安装后在设置里会出现 reveal 工具栏（可能须要重启设备），找到须要查看的 app，打开开关，而后重启 app。工具

若是使用 reveal 2，还须要手动添加一个动态库到设备上，缘由是客户端的库须要和 Mac 端的库版本一致。在 Mac 端的 reveal 中打开 Help -> Show Reveal Library in Finder (根据目标机器的类型选择 iOS Library 或者 TvOS Library)，将RevealServer.framework拷贝出来。

若是是 iOS 9，使用RevealLoader插件时，须要把RevealServer.framework/RevealServer二进制文件重命名为libReveal.dylib，拷贝到设备的/Library/RHRevealLoader文件夹下，没有文件夹则手动建立一个。

若是是 iOS 10，使用Reveal2Loader插件时，则将RevealServer.framework拷贝到目标设备上的/Library/Frameworks/目录下，若是已经存在同名文件，则替换。

若是是 iOS 11，在 Cydia 里添加源http://www.alonemonkey.com/cydiarepo/，安装RevealLoaderFor11。把RevealServer.framework/RevealServer二进制文件重命名为libReveal.dylib，拷贝到设备的/Library/RevealLoader文件夹下，没有文件夹则手动建立一个。

最后，终端 SSH 到 iOS 设备，执行killall SpringBoard，重启 SpringBoard 便可。

reveal1.jpg

原理

这个工具是把 reveal 的库添加到了/Library/MobileSubstrate/DynamicLibraries，而且提供了一个管理界面，并非必须安装。当 app 启动时，MobileSubstrate 会自动把 reveal 的动态库注入到 app 中，而后和 Mac 端的软件进行通讯。

若是选择不安装此工具，配置方法请参考zhuanlan.zhihu.com/p/19646016?…。

2.Mac 端打开 reveal 软件

Mac 端安装 reveal 软件，把 iOS 设备和 Mac 链接到同一 wifi 下。 开启须要查看的 app，进入须要查看的界面，在 Mac 端 reveal 里选中，便可开启。

3.查看页面信息

你能够拖动界面，立体地查看界面结构。这个查看方式是 reveal 首先发布的，后来苹果官方把它集成到了 Xcode 中。

页面的右边，能够找到此页面对应的类名，以及尺寸、约束等信息。 下面是微信的扫一扫界面，能够看到界面的类名为 CameraScannerView 和 CameraScannerViewController。reveal2 开始，也能够查看 extension 的界面，好比通知中心插件。

reveal查看界面

其余界面查看方式

不用 reveal 也能够查看 app 的界面。

1. lldb 打印界面层级

能够在动态分析 app 时，用 lldb 打印出 app 的界面层级。命令是：

po [[UIApp keyWindow] recursiveDescription]
复制代码

打印出来的结果相似于：

<UIWindow: 0x7fbb91511d50; frame = (0 0; 375 667); gestureRecognizers = <NSArray: 0x60400025bc90>; layer = <UIWindowLayer: 0x604000235820>>
   | <UILayoutContainerView: 0x7fbb91513e00; frame = (0 0; 375 667); autoresize = W+H; layer = <CALayer: 0x604000235fe0>>
   |    | <UIView: 0x7fbb9151a440; frame = (0 0; 375 0); layer = <CALayer: 0x604000237420>>
   |    | <UILayoutContainerView: 0x7fbb91514420; frame = (0 0; 375 667); clipsToBounds = YES; gestureRecognizers = <NSArray: 0x60400025d9d0>; layer = <CALayer: 0x604000235e60>>
   |    |    | <UINavigationTransitionView: 0x7fbb91516070; frame = (0 0; 375 667); clipsToBounds = YES; autoresize = W+H; layer = <CALayer: 0x604000236920>>
   |    |    |    | <UIViewControllerWrapperView: 0x7fbb9151aa20; frame = (0 0; 375 667); autoresize = W+H; layer = <CALayer: 0x6040000379e0>>
   |    |    |    |    | <UIView: 0x7fbb9160d7b0; frame = (0 0; 375 667); autoresize = W+H; layer = <CALayer: 0x60400023e4c0>>
   |    |    |    |    |    | <UIButton: 0x7fbb917190d0; frame = (170 90; 34 30); opaque = NO; autoresize = RM+BM; layer = <CALayer: 0x60000022bf20>>
   |    |    |    |    |    |    | <UIButtonLabel: 0x7fbb91611210; frame = (0 6; 34 18); text = 'push'; opaque = NO; userInteractionEnabled = NO; layer = <_UILabelLayer: 0x604000292fc0>>
   |    |    |    |    |    | <UIButton: 0x7fbb91606c30; frame = (123 207; 128 30); opaque = NO; autoresize = RM+BM; layer = <CALayer: 0x60400023a820>>
   |    |    |    |    |    |    | <UIButtonLabel: 0x7fbb91418310; frame = (0 6; 128 18); text = 'push and auto pop'; opaque = NO; userInteractionEnabled = NO; layer = <_UILabelLayer: 0x600000299cd0>>
   |    |    |    |    |    | <_UILayoutGuide: 0x7fbb9160db40; frame = (0 0; 0 64); hidden = YES; layer = <CALayer: 0x60400023e920>>
   |    |    |    |    |    | <_UILayoutGuide: 0x7fbb9160df50; frame = (0 667; 0 0); hidden = YES; layer = <CALayer: 0x60400023e700>>
   |    |    | <UINavigationBar: 0x7fbb9150b170; frame = (0 20; 375 44); opaque = NO; autoresize = W; layer = <CALayer: 0x604000039660>>
   |    |    |    | <_UIBarBackground: 0x7fbb9150e540; frame = (0 -20; 375 64); userInteractionEnabled = NO; layer = <CALayer: 0x6040000395e0>>
   |    |    |    |    | <UIImageView: 0x7fbb9150e9d0; frame = (0 64; 375 0.5); userInteractionEnabled = NO; layer = <CALayer: 0x604000039500>>
   |    |    |    |    | <UIVisualEffectView: 0x7fbb9150ec00; frame = (0 0; 375 64); layer = <CALayer: 0x6040000394e0>>
   |    |    |    |    |    | <_UIVisualEffectBackdropView: 0x7fbb91710df0; frame = (0 0; 375 64); autoresize = W+H; userInteractionEnabled = NO; layer = <UICABackdropLayer: 0x600000228da0>>
   |    |    |    |    |    | <_UIVisualEffectSubview: 0x7fbb917119a0; frame = (0 0; 375 64); autoresize = W+H; userInteractionEnabled = NO; layer = <CALayer: 0x600000228f40>>
   |    |    |    | <_UINavigationBarLargeTitleView: 0x7fbb91511290; frame = (0 0; 0 44); clipsToBounds = YES; alpha = 0; hidden = YES; layer = <CALayer: 0x604000039720>>
   |    |    |    |    | <UILabel: 0x7fbb9171bae0; frame = (0 0; 0 0); userInteractionEnabled = NO; layer = <_UILabelLayer: 0x6000002972f0>>
   |    |    |    | <_UINavigationBarContentView: 0x7fbb9150f560; frame = (0 0; 375 44); clipsToBounds = YES; layer = <CALayer: 0x604000039400>>
   |    |    |    |    | <_UIButtonBarButton: 0x7fbb9171c570; frame = (0 0; 80 44); layer = <CALayer: 0x60400023d6c0>>
   |    |    |    |    |    | <_UIModernBarButton: 0x7fbb915178e0; frame = (8 11.5; 13 21); opaque = NO; userInteractionEnabled = NO; layer = <CALayer: 0x60400023f200>>
   |    |    |    |    |    |    | <UIImageView: 0x7fbb9141caf0; frame = (0 0; 13 21); clipsToBounds = YES; opaque = NO; userInteractionEnabled = NO; layer = <CALayer: 0x600000230300>>
   |    |    |    |    |    | <_UIBackButtonContainerView: 0x7fbb91419ef0; frame = (0 0; 80 44); autoresize = W+H; userInteractionEnabled = NO; layer = <CALayer: 0x60000022ec20>>
   |    |    |    |    |    |    | <_UIModernBarButton: 0x7fbb9150c480; frame = (27 9; 53 23.5); opaque = NO; userInteractionEnabled = NO; layer = <CALayer: 0x60400023e900>>
   |    |    |    |    |    |    |    | <UIButtonLabel: 0x7fbb91511700; frame = (-1.5 3; 53 20.5); text = 'Master'; opaque = NO; userInteractionEnabled = NO; layer = <_UILabelLayer: 0x604000291b70>>
   |    |    |    |    | <UILabel: 0x7fbb9171c290; frame = (148.5 12; 78.5 20.5); text = 'Test Push'; userInteractionEnabled = NO; layer = <_UILabelLayer: 0x600000297ca0>>
   |    |    |    | <_UINavigationBarModernPromptView: 0x7fbb9170cf10; frame = (0 0; 0 44); alpha = 0; hidden = YES; layer = <CALayer: 0x6000002270c0>>
   |    |    |    |    | <UILabel: 0x7fbb9170d430; frame = (0 25.5; 0 0); text = ''; userInteractionEnabled = NO; layer = <_UILabelLayer: 0x600000290400>>
复制代码

recursiveDescription是UIView的私有API，注意不是全部的UIView都能使用，在有些视图上会crash。

能够再用nextResponder获取UIView对应的 view controller。

因为看得眼花，因此这个方式我不多用。

2. 直接使用 Xcode 的Debug View Hierarchy

能够用 Xcode 直接调试重签名后的 app，而后就能够用Debug View Hierarchy查看界面层级了。

参考：iOS逆向：用Xcode直接调试第三方app

3. 越狱插件：FLEX

能够安装越狱插件，直接注入到 app 中，打印出界面信息。能够去 Cydia 中直接下载安装，也能够去这里编译源码使用：FLEX。

总结

界面分析对于猜测某个界面的实现方式有很大帮助。想要分析其它功能时，也能够经过界面分析先找到对应的类，再进一步进行静态分析和动态分析。下一篇文章将会讲解如何进行静态分析。

相关文章
相关标签/搜索
每日一句
    每一个你不满意的现在，都有一个你没有努力的曾经。
本站公众号
   欢迎关注本站公众号,获取更多信息
联系我们 最近搜索 最新文章 沪ICP备13005482号-10 MyBatis教程 SQL 教程 MySQL教程 Java 教程 Thymeleaf 教程 Hibernate教程 Spring教程 Redis教程