前言
近期实战了一次 IDA + Hopper 逆向破解。讲真，第一次体验了一回把别人“衣服”扒光了的快感～简直 High 翻～所以，特此，利用 AlipayWallet 总结分享一下 IDA 和 Hopper 的基本使用。希望对大家有帮助。
先回顾一下，之前两篇文章已经学习的内容：
获得一台越狱设备
利用 SSH 连接访问越狱设备
利用 Clutch 解密砸壳
利用 class-dump 导出应用头文件
利用 Cycript 进行应用运行时的动态分析与修改
这么一看确实学了不少技能，而接下来这篇文章，会简单介绍两个反编译的利器 IDA 和 Hopper 的使用。
注，本次实验利用的并不是最新版本的支付宝 Mach-O 文件，因此可能本次实验中涉及的函数方法在最新版本中无法找到，但由于本文章只作为学习，所以，只提供具体的方法。如果有需要，可自行砸壳获得。
动态分析与静态分析
我们前两篇学习的 Cycript ，就是典型的动态分析工具。Cycript 可以在应用进行运行时方法分析，视图层级分析等操作。而动态分析除了 Cycript 以外，常用的工具还有 lldb & debugserver 远程断点调试，logify 追踪等，以后一起慢慢学习这些技能方法。
Static program analysis is the analysis of computer software that is performed without actually executing programs (analysis performed on executing programs is known as dynamic analysis).[1] In most cases the analysis is performed on some version of the source code, and in the other cases, some form of the object code.
以上是 Wikipedia 对静态分析的英文介绍，中文翻译如下。
静态程序分析是指，没有实际执行程序的电脑软件分析方法（与之相对的是，被人们所知的实际执行软件的动态分析）。在绝大部分的例子中，分析是运行在源代码的某些版本，而其余则是运行在目标代码中。
之前学习的 class-dump 工具导出 Mach-O 头文件，就是对软件应用进行静态分析。而今天我们要学习的两个工具，IDA 和 Hopper 反汇编二进制文件同样也是静态分析的方法。
IDA is the Interactive DisAssembler: the world’s smartest and most feature-full disassembler, which many software security specialists are familiar with.
IDA 是世界上最敏捷和多功能的反编译工具，被众多软件安全专家所熟知的交互的反汇编工具。
安装 IDA
IDA 的官方网站是https://www.hex-rays.com/。在网页上可以看到 IDA 的插件、SDK 等内容。IDA 会在官网提供 Demo 版的下载https://www.hex-rays.com/products/ida/support/download_demo.shtml。然而， Demo 版没有 IDA 最强大的反汇编功能，神器 F5～！如果自己学习使用正版，很难承担巨额的证书费用，所以一般情况是在网上找破解版（囧。。并不推荐，土豪还是建议买证书）。很不幸的是 IDA Pro 的 Mac 版非常难找（我是没找到）。所以，本文是在 Windows 下找破解 IDA Pro 来学习。
打开 IDA 会出现About和Support message等提示对话框，点击OK继续后弹出Quick Start对话框，在这个对话框里可以看到之前打开过的 IDA 反汇编二进制文件，也可以新建一个新的反汇编文件。这里我们点击New新建一个反汇编，这次以支付宝为例。
准备 Mach-O
回顾之前的内容，先进行 Clutch 砸壳，然后 scp AlipayWallet 到 Mac 目录下，再利用 class-dump 导出头文件。
导入 IDA
这里可以直接将 Mach-O 文件拖拽进 IDA 的工作区，也可以点击打开文件夹的图标将 Mach-O 导入。检测到 Objective-C 2.0 代码时会提示，点击OK继续即可。
之后就是漫长的等待～～～（Hopper 相对于 IDA 等待的时间会短一些，但是反编译结果没有 IDA 更接近真实的 C 语言代码，会包含很多寄存器变量）
认识 IDA 工作区
当 IDA 对 Mach-O 解析完成后，会默认出现 6 个选项卡视图，分别是汇编视图，16 进制字节视图，结构体视图，枚举类型视图，导入的函数视图，导出的函数视图。
另外，红框标注的是工具栏，蓝框标注的是二进制文件解析的进度，在蓝框下面，用不同颜色区分库函数、数据、常规函数等不同类型的解析数据。
静态分析：还原源代码
使用 IDA 反汇编二进制文件的目的是，利用工具得到反汇编之后的伪代码，还原出真正的程序源码。比如，我们如果要看一下登录方法是如何写的，可以在已经导出的 AlipayWallet.h 中查询login关键字，并查找相关代码，我们发现会有LoginProtocol协议和LoginAdapter类的相关代码，那我们不妨就拿LoginAdapter这个类作为实战研究对象。
@protocol LoginProtocol NSObject>
+ (id)sharedInstantce;
- (NSDictionary *)currentSession;
- (void)loginWithLoginOption:(int)arg1 extraInfo:(NSDictionary *)arg2 completionHandler:(void (^)(BOOL, NSDictionary *))arg3 cancelationHandler:(void (^)(void))arg4;
- (void)loginWithLoginOption:(int)arg1 completionHandler:(void (^)(BOOL, NSDictionary *))arg2 cancelationHandler:(void (^)(void))arg3;
- (BOOL)isValidLogin;
@optional
- (void)logout;
- (void)markInvalidLogin;
- (BOOL)isProcessingLogin;
@end
@interface LoginAdapter : NSObject LoginProtocol>
{
int _is_login_doing;
int _is_processing_pending;
id _network_config;
id _login_service;
NSMutableArray *_loginPendingRequests;
NSRecursiveLock *_pending_lock;
}
+ (id)sharedInstantce;
@property(retain, nonatomic) NSRecursiveLock *pending_lock; // @synthesize pending_lock=_pending_lock;
@property(retain, nonatomic) NSMutableArray *loginPendingRequests; // @synthesize loginPendingRequests=_loginPendingRequests;
@property(retain, nonatomic) id login_service; // @synthesize login_service=_login_service;
@property(retain, nonatomic) id network_config; // @synthesize network_config=_network_config;
- (void).cxx_destruct;
- (void)storeSessionWithLoginResult:(id)arg1;
- (id)currentUserId;
- (void)notifyNetworkSDK:(id)arg1;
- (void)logout:(id)arg1;
- (void)logined:(id)arg1;
- (void)loadAlu:(Class)arg1;
- (void)loadLoginModule;
- (void)loadNetworSDKConfig;
- (void)failedPendingLoginRequests;
- (void)redoPendingLoginRequests;
- (void)pendingLoginRequest:(id)arg1;
- (void)releasePendingLock;
- (void)accquirePendingLock;
- (void)releaseLoginLock;
- (BOOL)accquireLoginLock;
- (int)tryLogin:(id)arg1 isForce:(BOOL)arg2;
- (int)tryLogin:(id)arg1;
- (void)logout;
- (id)currentSession;
- (int)loginWithLoginOption:(int)arg1 isForce:(BOOL)arg2 extraInfo:(id)arg3 completionHandler:(CDUnknownBlockType)arg4 cancelationHandler:(CDUnknownBlockType)arg5 request:(id)arg6;
- (void)loginWithLoginOption:(int)arg1 extraInfo:(id)arg2 completionHandler:(CDUnknownBlockType)arg3 cancelationHandler:(CDUnknownBlockType)arg4;
- (void)loginWithLoginOption:(int)arg1 completionHandler:(CDUnknownBlockType)arg2 cancelationHandler:(CDUnknownBlockType)arg3;
- (BOOL)isValidLogin;
- (BOOL)isProcessingLogin;
- (void)markInvalidLogin;
- (id)setCustomLoginModule:(id)arg1;
- (void)dealloc;
- (id)init;
// Remaining properties
@property(readonly, copy) NSString *debugDescription;
@property(readonly, copy) NSString *description;
@property(readonly) unsigned int hash;
@property(readonly) Class superclass;
@end
在头文件里查找可以得到上面结果，以LoginAdapter为例。我们可以在 function 窗口中按住 Ctrl+F 键查找LoginAdapter的相关函数。
双击[LoginAdapter sharedInstan]到达这个函数在二进制文件中的内存地址，按F5可以就查看这个反编译的伪码。
这里可以看一下登录方法 Alipay 是如何写的，双击[LoginAdapter loginWithLoginOption:isForce:extraInfo:completionHandler:cancelationHandler:request:]，按F5键查看这个方法的反编译伪代码。伪代码如下。
#import"LoginAdapter.h
#import"LogAdapter.h"
#import"MtopExtRequest.h"
@implementation LoginAdapter
- (NSInteger)loginWithLoginOption:(int)option
isForce:(BOOL)isForce
extraInfo:(NSDictionary *)extraInfo
completionHandler:(AlipayCompletionHandler)completionHandler
cancelationHandler:(AlipayCancelationHandler)cancelationHandler
request:(MtopExtRequest *)request {
// self是当前实例指针，a2对应方法选择器，a3对应方法参数option; a4对应方法参数isForce; a5对应方法参数extraInfo;
// a6对应方法参数completionHandler; a7对应方法参数cancelationHandler; a8对应方法参数request
NSInteger returnValue =0;// v18
if(!self.login_service) {
returnValue =0;
}
if(request) {
[self accquirePendingLock];
}
if([self accquireLoginLock]) {
if(extraInfo || ![self isValidLogin]) {
if(request) {
[self pendingLoginRequest:request];
}
LogAdapter *logAdapter = [LogAdapter getInstance];
NSString *apiName = [request getApiName];
NSString *apiVersion = [request getApiVersion];
NSString *logString = [NSString stringWithFormat:@"[LoginAdapter] apiName: %@, apiVersion: %@ pull login module", apiName, apiVersion];
[logAdapter warn:logString];
[self.login_service loginWithLoginOption:option
extraInfo:extraInfo
completionHandler:completionHandler
cancelationHandler:cancelationHandler];
}// extraInfo || ![self isValidLogin] end
[self releaseLoginLock];
if(completionHandler) {
NSDictionary *currentSession = [self.login_service currentSession];
completionHandler(1, currentSession);
}else{
// v38 = v8即，对self进行retain操作，无需翻译成oc代码
}
returnValue =3;
}else{
if(request) {
if(self.loginPendingRequests.count) {
returnValue =0;
}else{
[self pendingLoginRequest:request];
returnValue =1;
}
}else{
returnValue =0;
}
if(completionHandler) {
completionHandler(0, [NSDictionary dictionary]);
}else{
completionHandler = nil;
}
}
if(request) {
[self releaseLoginLock];
}
returnreturnValue;
}
@end
Hopper 的基本使用
对于 Hopper 的学习，依然使用 AlipayWallet 这个文件进行分析，与 IDA 做比较，类比进行。
Hopper Disassembler, the reverse engineering tool that lets you disassemble, decompile and debug your applications.
Hopper 反汇编工具，是逆向工程的工具，能够让你进行反汇编、反编译并且调试你的应用。
Hopper 的官网是https://www.hopperapp.com/，与 IDA 相同，官网也提供了 Demo 的试用版。试用版也可以进行反汇编，但是不能保存 *.hop 文件。所以，用于学习的话 Hopper 的 Demo 版就足够了。
与 IDA 不同， Hopper 不能直接将 Mach-O 文件导入工作区，需要下载应用的 *.ipa 文件，并将文件后缀改为 *.zip，解压该 zip 文件后就可看到 Payload 文件目录，在该目录下就存有对应应用的 package 包文件。右击该 package 出现菜单，选择Show Package Contents选项，就可看到包内容。
认识 Hopper 工作区
与 IDA 类似， Hopper 也有二进制文件的解析进度条，左边是符号 Label 等区域，中间是 ARM 的汇编代码，右边是相关信息栏。
如图，在最左列的搜索栏中输入loginWithLoginOption关键字，双击选择[LoginAdapter loginWithLoginOption:isForce:extraInfo:completionHandler:cancelationHandler:request:]方法，在中间的汇编代码区域，光标就会跳到该方法的内存地址处。
当 Hopper 分析完全部二进制后，按住Option + Enter键，就可看到 Hopper 反编译后的伪代码，如下所示。
int -[LoginAdapter loginWithLoginOption:isForce:extraInfo:completionHandler:cancelationHandler:request:](void * self, void * _cmd, int arg2, char arg3, void * arg4, void * arg5, void * arg6, void * arg7) {
stack[2048] = arg4;
r7 = (sp - 0x14) + 0xc;
sp = sp - 0x74;
r8 = self;
r5 = arg3;
stack[2051] = arg2;
stack[2053] = [arg4 retain];
r6 = [arg5 retain];
r11 = [arg6 retain];
r10 = [arg7 retain];
if (r8->_login_service == 0x0) goto loc_2aaee0a;
loc_2aaed6c:
stack[2054] = r6;
if (r10 != 0x0) {
[r8 accquirePendingLock];
}
if (([r8 accquireLoginLock] & 0xff) == 0x0) goto loc_2aaefa8;
loc_2aaeda0:
if (((r5 & 0xff) != 0x0) || (([r8 isValidLogin] & 0xff) == 0x0)) goto loc_2aaee10;
loc_2aaedbe:
[r8 releaseLoginLock];
r6 = stack[2054];
if (r6 != 0x0) {
stack[2052] = r8;
r5 = [[r8->_login_service currentSession] retain];
(*(r6 + 0xc))(r6, 0x1, r5, *(r6 + 0xc));
[r5 release];
}
else {
stack[2052] = r8;
}
r5 = 0x3;
goto loc_2aaf044;
loc_2aaf044:
r4 = stack[2053];
goto loc_2aaf046;
loc_2aaf046:
if (r10 != 0x0) {
[stack[2052] releasePendingLock];
}
r6 = stack[2054];
goto loc_2aaf060;
loc_2aaf060:
[r10 release];
[r11 release];
[r6 release];
[r4 release];
r0 = r5;
return r0;
loc_2aaee10:
stack[2050] = r11;
if (r10 != 0x0) {
[r8 pendingLoginRequest:r10];
}
r6 = [[LogAdapter getInstance] retain];
stack[2052] = r8;
r8 = [[r10 getApiName] retain];
r11 = [[r10 getApiVersion] retain];
r5 = [[NSString stringWithFormat:@"[LoginAdapter] apiName: %@, apiVersion: %@ pull login module", r8, r11] retain];
[r6 warn:r5];
[r5 release];
[r11 release];
[r8 release];
[r6 release];
r5 = [stack[2052] retain];
stack[2068] = [stack[2054] retain];
r11 = stack[2050];
stack[2060] = [r5 retain];
r4 = stack[2053];
stack[2061] = [r11 retain];
[stack[2052]->_login_service loginWithLoginOption:stack[2051] extraInfo:r4 completionHandler:sp + 0x38 cancelationHandler:sp + 0x1c, stack[2050], stack[2051], stack[2052], stack[2053], stack[2054], __NSConcreteStackBlock, 0xc2000000, 0x0];
[stack[2061] release];
[stack[2060] release];
[stack[2068] release];
[r5 release];
r5 = 0x2;
goto loc_2aaf046;
loc_2aaefa8:
if (r10 != 0x0) {
r6 = stack[2054];
if ([r8->_loginPendingRequests count] <= 0xff) {
stack[2052] = r8;
[r8 pendingLoginRequest:r10];
r5 = 0x1;
}
else {
stack[2052] = r8;
r5 = 0x0;
}
}
else {
stack[2052] = r8;
r5 = 0x0;
r6 = stack[2054];
}
if (r6 != 0x0) {
r4 = [[NSDictionary dictionary] retain];
stack[2054] = r6;
(*(r6 + 0xc))(r6, 0x0, r4, *(r6 + 0xc), stack[2048]);
[r4 release];
}
else {
stack[2054] = r6;
}
goto loc_2aaf044;
loc_2aaee0a:
r5 = 0x0;
r4 = stack[2053];
goto loc_2aaf060;
}
与 IDA 相比， Hopper 反编译后的伪代码的逻辑与 IDA 反编译得到的伪代码逻辑类似，但多了 r0~r8 等寄存器，阅读性相较而言差一些，但是，仍然可以根据伪代码还原出源代码。
其实我们可以用这个伪代码来检查我们之前还原的源代码，保证还原代码的正确性。
以上，便是 Hopper 的简单使用。 Hopper 除了可以查看汇编代码以外，还可以直接对 Mach-O 文件进行修改，然后重新生成二进制文件（Demo 版没有这个功能）。
感兴趣的同学可以阅读这篇文章学习， 《如何让 Mac 版微信客户端防撤回》http://t.cn/RxzeMIx
