一、APP从开发到安装到手机的过程
-
1.1、生成ipa包的过程
- 选择手机下的可执行文件
-
1.2、真正安装的过程
- 安装方式一：Xcode 直接跑在手机上
- 安装方式二：上传到 App Store 下载
- 安装方式三：使用 通过PP助手、iFunBox、Xcode等工具安装，我采用的是 PP助手，直接把
1.1里面的ipa直接拖进去就好
PP助手
二、逆向APP的思路
- 2.1、界面分析，工具如下，在上一篇博客：iOS逆向-day3：Cycript 有介绍
Cycript、Reveal - 2.2、代码分析
对Mach-O文件的静态分析
MachOView、class-dump、Hopper Disassembler、ida等 - 2.3、动态调试
对运行中的APP进行代码调试
debugserver、LLDB - 2.4、代码编写
注入代码到APP中
必要时还可能需要重新签名、打包ipa
三、class-dump
-
3.1、class-dump 介绍
-
顾名思义，它的作用就是把Mach-O文件的class信息给dump出来（把类信息给导出来），生成对应的.h头文件
class-dump -
下载完工具包后将class-dump文件复制到Mac的
/usr/local/bin目录，这样在终端就能识别class-dump命令了
-
-
3.2、常用格式
class-dump -H Mach-O 文件路径 -o 头文件存放目录-
-H表示要生成头文件 -
-o用于制定头文件的存放目录
- 举例：我们以
一里面我们自己的app：qainshou为例，首先拿到qainshou.ipa
- 我们可以看到上面最后一步，.h文件都可以拿到
- 提示：如果大家是从PP助手下载的非越狱的app，在执行上面的操作的时候可能只会拿到一个文件：
CDStructures.h文件，后面会说到砸壳
-
四、代码编译过程 (OC或者Swift语言怎么变成Mach-O文件)
- 4.1、在同一种架构平台下，每一条汇编指令都有与之对应的唯一的机器指令
- 4.2、不同的OC代码，编译出来的汇编代码可能是一样的
五、Hopper Disassmbler
- 5.1、Hopper Disassmbler介绍
- Hopper Disassmbler能够将Mach-O文件的机器语言代码反编译成汇编代码、OC伪代码或者Swift伪代码
- 常用快捷键：
Shift + Option + X找出哪里引用了这个方法
- 5.2、使用方法:
首先找打mach-o文件(上面1.1或者3.2都有介绍找到
Mach-O文件)-
打开软件 Hopper Disassmbler 把mach-o文件拖入软件内
-
可以的到汇编代码如下图
-
把汇编代码转为伪代码
六、动态库共享缓存（dyld shared cache）
-
6.1、从
iOS3.1开始，为了提高性能，绝大部分的系统动态库文件都打包存放到了一个缓存文件中（dyld shared cache）- 缓存文件路径：
/System/Library/Caches/com.apple.dyld/dyld_shared_cache_armX
- 缓存文件路径：
-
6.2、dyld_shared_cache_armX的X代表ARM处理器指令集架构
- v6
iPhone、iPhone3G
iPod Touch、iPod Touch2 - v7
iPhone3GS、iPhone4、iPhone4S
iPad、iPad2、iPad3(The New iPad)
iPad mini
iPod Touch3G、iPod Touch4、iPod Touch5 - v7s
iPhone5、iPhone5C
iPad4 - arm64
iPhone5S、iPhone6、iPhone6 Plus、iPhone6S、iPhone6S Plus
iPhoneSE、iPhone7、iPhone7 Plus、iPhone8、iPhone8 Plus、iPhoneX
iPad5、iPad Air、iPad Air2、iPad Pro、iPad Pro2
iPad mini with Retina display、iPad mini3、iPad mini4
iPod Touch6
- 所有指令集原则上都是向下兼容的
- 动态库共享缓存一个非常明显的好处是节省内存
-
现在的ida、Hopper反编译工具都可以识别动态库共享缓存
动态库共享缓存
- v6
七、动态库的加载
- 7.1、在
Mac\iOS中，是使用了/usr/lib/dyld程序来加载动态库-
dyld
dynamic link editor，动态链接编辑器
dynamic loader，动态加载器提示：dyld源码
-
- 7.2、从动态库共享缓存抽取动态库
可以使用dyld源码中的launch-cache/dsc_extractor.cpp-
将
#if 0前面的代码删除（包括#if 0），把最后面的#endif也删掉
-
编译dsc_extractor.cpp
clang++ -o dsc_extractor dsc_extractor.cpp -
使用dsc_extractor
./dsc_extractor 动态库共享缓存文件的路径 用于存放抽取结果的文件夹
-
八、Mach-O文件
8.1、Mach-O 是
Mach object的缩写，是Mac\iOS上用于存储程序、库的标准格式-
8.2、属于Mach-O格式的文件类型有
- 可以在xnu源码中，查看到Mach-O格式的详细定义
- EXTERNAL_HEADERS/mach-o/fat.h
- EXTERNAL_HEADERS/mach-o/loader.h
- 可以在xnu源码中，查看到Mach-O格式的详细定义
-
8.3、常见的 Mach-O 文件类型
- MH_OBJECT
目标文件（.o）
静态库文件(.a），静态库其实就是N个.o合并在一起 - MH_EXECUTE：可执行文件
.app/xx - MH_DYLIB：动态库文件
.dylib
.framework/xx - MH_DYLINKER：动态链接编辑器
/usr/lib/dyld - MH_DSYM：存储着二进制文件符号信息的文件
.dSYM/Contents/Resources/DWARF/xx（常用于分析APP的崩溃信息）
-
提示：在Xcode中查看target的Mach-O类型
- MH_OBJECT
-
8.4、Mach-O 的基本结构
- 官方描述
https://developer.apple.com/library/content/documentation/DeveloperTools/Conceptual/MachOTopics/0-Introduction/introduction.html - 一个Mach-O文件包含3个主要区域
-
Header：文件类型、目标架构类型等 -
Load commands：描述文件在虚拟内存中的逻辑结构、布局 -
Raw segment data：在Load commands中定义的Segment的原始数据
-
- 官方描述
-
8.5、窥探Mach-O的结构
-
命令行工具
file：查看Mach-O的文件类型file 文件路径- 这里以我在桌面的 qainshou 的Mach-O文件为例
otool：查看Mach-O特定部分和段的内容
lipo：常用于多架构Mach-O文件的处理- 查看架构信息：lipo -info 文件路径
导出某种特定架构：lipo 文件路径 -thin 架构类型 -output 输出文件路径
合并多种架构：lipo 文件路径1 文件路径2 -output 输出文件路径
GUI工具：MachOView，官网下载完使用是有问题的，建议去我的QQ群：
584599353的逆向文件里面获取
-
-
8.6、Universal Binary（通用二进制文件）
- 通用二进制文件
同时适用于多种架构的二进制文件
包含了多种不同架构的独立的二进制文件 - 因为需要储存多种架构的代码，通用二进制文件通常比单一平台二进制的程序要大
- 由于两种架构有共同的一些资源，所以并不会达到单一版本的两倍之多
- 由于执行过程中，只调用一部分代码，运行起来也不需要额外的内存
- 因为文件比原来的要大，也被称为“胖二进制文件”（Fat Binary）
- 通用二进制文件
-
8.6、dyld 和 Mach-O
- dyld用于加载以下类型的Mach-O文件
MH_EXECUTE
MH_DYLIB
MH_BUNDLE - APP的可执行文件、动态库都是由dyld负责加载的
- dyld用于加载以下类型的Mach-O文件
