MonkeyDev安装与使用

一、前言
二、MonkeyDev插件的安装
三、MonkeyApp的简单使用
四、微信步数修改
五、自动抢红包
六、修改钉钉打卡位置

一、前言

前面介绍了APP应用重签名及方法函数的hook，有这些准备工作，就能够对其他应用做一些小改动，修改微信步数、自动抢红包、钉钉打卡定位等等。以上需要我们配置脚本，创建动态库，步骤不复杂但Facebook也给出了更简单的方法，提供了逆向开发的插件 《MonkeyDev》，安装后，我们可以在xcode上直接创建逆向开发工程。

相关链接

安装方法：https://github.com/AloneMonkey/MonkeyDev/wiki/%E5%AE%89%E8%A3%85
使用方法：https://iphonedevwiki.net/index.php/Logos

二、MonkeyDev插件的安装

官方给出的步骤：

环境要求

1、安装最新的theos

sudo git clone --recursive https://github.com/theos/theos.git /opt/theos

2、安装ldid

brew install ldid

安装

1、选择指定的Xcode进行安装

sudo xcode-select -s /Applications/Xcode-beta.app

2、默认安装的Xcode

xcode-select -p

3、执行安装命令

sudo /bin/sh -c "$(curl -fsSL https://raw.githubusercontent.com/AloneMonkey/MonkeyDev/master/bin/md-install)"

4、卸载命令

sudo /bin/sh -c "$(curl -fsSL https://raw.githubusercontent.com/AloneMonkey/MonkeyDev/master/bin/md-uninstall)"

5、更新命令

sudo /bin/sh -c "$(curl -fsSL https://raw.githubusercontent.com/AloneMonkey/MonkeyDev/master/bin/md-update)"

安装完成后重启Xcode即可。如下：

monkey.jpg

至此就可以开始逆向开发了。

注意：安装过程可能出现安装失败问题（raw.githubusercontent.com不能访问）。可直接下载源码安装。

问题：
执行sudo ./md-install安装命令报错如下：

Failed to download https://raw.githubusercontent.com/AloneMonkey/frida-ios-dump/3.x/dump.py to /opt/MonkeyDev/bin/dump.py

解决：

  • 从https://github.com/AloneMonkey/frida-ios-dump地址下载firda-ios-dump
  • 将dump.py、dump.js复制到/opt/MonkeyDev/bin下
  • 给执行权限sudo chmod +x dump.py、sudo chmod +x dump.js
  • 用Xcode、sublime或其他编辑器编辑md-install可执行文件，将下载报错地方注释掉即可。重新执行安装sudo ./md-install。
#下载一些基础文件和模板文件
# downloadGithubTarball "https://codeload.github.com/AloneMonkey/MonkeyDev/tar.gz/$branch" "$MonkeyDevPath" "MonkeyDev base"
# downloadGithubTarball "https://codeload.github.com/AloneMonkey/MonkeyDev-Xcode-Templates/tar.gz/$branch" "$MonkeyDevPath/templates" "Xcode templates"

# #下载frida-ios-dump
# echo "Downloading frida-ios-dump from Github..."
# downloadFile "https://raw.githubusercontent.com/AloneMonkey/frida-ios-dump/3.x/dump.py" "$MonkeyDevPath/bin/dump.py"
# downloadFile "https://raw.githubusercontent.com/AloneMonkey/frida-ios-dump/3.x/dump.js" "$MonkeyDevPath/bin/dump.js"

报错：File /Applications/Xcode.app/Contents/Developer/Platforms/MacOSX.platform/Developer/Library/Xcode/Specifications/MacOSX Package Types.xcspec not found

解决：
把

macosxSDKSpecificationsPath=$macosSdkPlatformPath/Developer/Library/Xcode/Specifications

修改为：

macosxSDKSpecificationsPath=$macosSdkPlatformPath/Developer/Library/Xcode/PrivatePlugIns/IDEOSXSupportCore.ideplugin/Contents/Resources

三、MonkeyApp的简单使用

MonkeyApp原理和 《动态库注入》 的原理一毛一样，这里逆向一个应用，只需要将相应的ipa包加入到TargetApp文件中即可，此处的TargetApp既是 《动态库注入》 中的app文件夹。

在MonkeyApp工程中，使用的是Logos语法，使用比较简单，可以参考相关用法：《Logos语法》

下面使用MonkeyApp完成一个简单的功能。

破壳ipa获取：
1、通过越狱手机获取破壳应用；
2、通过PP助手获取越狱应用。

微信.ipa下载

创建MonkeyApp工程

创建工程，选择MonkeyApp工程，点击create会自动生成逆向相关的文件：

create.jpg
  • TargetApp：放目标ipa的文件，将需要逆向的破壳ipa放在此处
  • Logos：编写相关hook的文件，所有hook操作在此处
  • fishhook：用来hook系统函数的库

配置MonkeyApp工程

1、设置TARGETS->MonkeyDemo->Signing & Capabilities->Signing

target.jpg

2、设置TARGETS->MonkeyDemoDylib->Build Settings->Signing->Development Team

dylib.jpg

以上Development Team处保持一致。

常用logos语法

选择Logos下的MonkeyDemoDylib.xm文件，这里有说明

// See http://iphonedevwiki.net/index.php/Logos

#import <UIKit/UIKit.h>

@interface CustomViewController

@property (nonatomic, copy) NSString* newProperty;

+ (void)classMethod;

- (NSString*)getMyName;

- (void)newMethod:(NSString*) output;

@end

%hook CustomViewController

+ (void)classMethod
{
    %log;

    %orig;
}

%new
-(void)newMethod:(NSString*) output{
    NSLog(@"This is a new method : %@", output);
}

%new
- (id)newProperty {
    return objc_getAssociatedObject(self, @selector(newProperty));
}

%new
- (void)setNewProperty:(id)value {
    objc_setAssociatedObject(self, @selector(newProperty), value, OBJC_ASSOCIATION_RETAIN_NONATOMIC);
}

- (NSString*)getMyName
{
    %log;
    
    NSString* password = MSHookIvar<NSString*>(self,"_password");
    
    NSLog(@"password:%@", password);
    
    [%c(CustomViewController) classMethod];
    
    [self newMethod:@"output"];
    
    self.newProperty = @"newProperty";
    
    NSLog(@"newProperty : %@", self.newProperty);

    return %orig();
}

%end

和iOS应用开发类似，不同之处，逆向在于修改其他应用代码的执行流程，因此需要hook方法、添加方法。这里以%开头的都是逆向插件所特有的一些功能。

1、%hook指定需要hook的类名，以%end结尾。

%hook CustomViewController

+ (void)classMethod {
    //编写hook代码
    %orig;//执行原始方法
}

%end

classMethod为要hook的应用的方法，在内部编写自己的代码。

2、% orig调用原有方法，根据原有方法有无参数，可以选择添加参数%orig(arge1,arge2)

%orig;
或
%orig(1,2);

3、%log用来打印log的,将信息输入到syslog中，格式%log([(<type><expr>，…)])。

+ (void)classMethod {
    %orig;
    %log((NSString *)@"iOSRE",(NSString *)@"Debug");
}

4、%new该指令用来给指定的class添加一个新的函数。与Runtime中的class_addMethod相同。

%new
-(void)newMethod:(NSString*) output{
    NSLog(@"This is a new method : %@", output);
}

如果方法没找到，在%hook上方加入interface，如下：

@interface UIViewController
-(void)newMethod:(NSString*) output;
@end

5、%c该指令用来获取一个类的名称，类似于objc_getClass。

[%c(CustomViewController) classMethod];

其他标签

6、%group该指令用于给%hook分组，%group后边跟的是组名，以%end结尾，可以包含多个%hook。

%group1
%hook class
-(void)function {
    nslog();
}
%end
%end

%group2
%hook class
-(void)function {
    nslog();
}
%end
%end

//构造函数，初始化那一组使用哪一组
%ctor{
    NSString *v = [UIDevice currentDevice].systemVersion;
    CGFloat version = [v floatValue];
    if(version >= 12.0){
        %init(group1);
    }else {
        %init(group2);
    }
}

7、%init指令用来初始化某个%group，group被初始化后生效。

%init(group1);

8、%ctor为构造器，用来做初始化操作。

%ctor{
    NSString *v = [UIDevice currentDevice].systemVersion;
    CGFloat version = [v floatValue];
    if(version >= 12.0){
        %init(group1);
    }else {
        %init(group2);
    }
}

更多参考官方 >>>

编写logos代码

1、准备工具

Class-dump：能够将存储在Mach-O文件中的@interface、@protocal信息提取并生产对应的.h文件，通过该文件可查看被逆向应用所有的类，及类的属性、成员变量、方法。

sublime：编辑器，帮助开始定位代码位置。

安装后找到微信ipa包中的可执行二进制，执行如下命令：

class-dump -H WeChat -o wxh

头文件便全部导出，根据头文件信息，通过sublime搜索，快速定位类和方法的位置。

2、使用monkey工程运行被逆向的应用

将砸壳后的ipa包放入到TargetApp文件中，并运行，通过图层调试（Debug > View Debugging > Capture View Hierarchy或快捷方式），如下：

wx_layer.png

在图层属性中很快定位到了登录按钮的方法Action onFirstViewLogin，和所在的控制器，也可以使用sublime打开头文件，全局搜索该方法，能够定位到方法所在的类WCAccountLoginControlLogic。

3、监听登录按钮

基于以上信息，编写相关代码，来监听登录按钮。代码如下：

#import <UIKit/UIKit.h>

%hook WCAccountLoginControlLogic

- (void)onFirstViewLogin {
    UIAlertController *alert = [UIAlertController alertControllerWithTitle:@"提示" message:@" 这个按钮是我的！"   preferredStyle:UIAlertControllerStyleAlert];
    [alert addAction:[UIAlertAction actionWithTitle:@"好的" style:UIAlertActionStyleDefault handler:nil]];
    [[[UIApplication sharedApplication] keyWindow].rootViewController presentViewController:alert animated:YES completion:nil];
}

%end

运行代码，点击登录按钮，显示如下：

result.png

该工程帮助我们来hook相关类的方法，这里我们只需要插入要修改的内容即可，除了Logos限定的规则，具体修改内容还是使用OC相关的语法，使用很简单。

四、微信步数修改

这里只上一张图作为参考，具体查看 《动态库注入》。

通过class-dump工具获取头文件信息，结合视图属性，查找对应的方法及方法所在类。

modify.png

使用MonkeyDev插件来逆向应用就很简单了，只需要几行代码就能修改原有业务。步数修改代码如下：

#import <UIKit/UIKit.h>

%hook WCDeviceStepObject
- (int)m7StepCount {
    return 54321;
}
%end

代码就这些，不能再多了，看一下微信排行：

result.jpeg

五、自动抢红包

redEnvelope（更新：2022.1.2）

注意：
新版本微信包，会出现报错Unable to install ""，根据报错描述，删除.app包中的com.apple.WatchPlaceholder，cmd+k清除再运行即可。其他报错，根据错误提示修改。

六、修改钉钉打卡位置

……

七、常见问题

1、库缺失报错

ld: file not found: /usr/lib/libstdc++.dylib

Xcode10之后废弃了libstdc++库。相关的库文件：

libstdc++.6.0.9.dylib
libstdc++.6.dylib
libstdc++.dylib
libstdc++.6.0.9.tbd
libstdc++.6.tbd
libstdc++.tbd

下载地址：https://github.com/devdawei/libstdc-
目录：/Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Library/Developer/CoreSimulator/Profiles/Runtimes/iOS.simruntime/Contents/Resources/RuntimeRoot/usr/lib/

2、插件导致错误

The xxxKit app's Info.plist must have a WKCompanionAppBundleIdentifier key set to the bundle identifier of the companion app.
Domain: com.apple.dt.MobileDeviceErrorDomain

根据提示信息，进入.app文件，将相应的插件文件删除即可。

3、CydiaSubstrate.tbd文件报错

Ignoring file /opt/theos/vendor/lib/CydiaSubstrate.framework/CydiaSubstrate.tbd, missing required architecture x86_64 in file /opt/theos/vendor/lib/CydiaSubstrate.framework/CydiaSubstrate.tbd (4 slices)

找到该文件，编辑器打开，将i386、x86_64架构符号删除。

4、Logos Tweak工程编译报错

Showing All Messages An empty identity is not valid when signing a binary for the product type 'Dynamic Library'.

在TARGETS - Build Settings中点击加号添加 CODE_SIGNING_ALLOWED设置为NO，重新Build报错解决

5、安装报错

Failed to download https://raw.githubusercontent.com/AloneMonkey/frida-ios-dump/3.x/dump.pyto /opt/MonkeyDev/bin/dump.py

终端上 ping github.com 获取IP，打开hosts：vim /etc/hosts，在最后添加：
20.205.243.166 raw.githubusercontent.com
添加后重新安装即可。

最后编辑于 ：
©著作权归作者所有,转载或内容合作请联系作者
  • 人面猴
    序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
    沈念sama阅读 201,552评论 5赞 474
  • 死咒
    序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
    沈念sama阅读 84,666评论 2赞 377
  • 救了他两次的神仙让他今天三更去死
    文/潘晓璐 我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
    开封第一讲书人阅读 148,519评论 0赞 334
  • 道士缉凶录：失踪的卖姜人
    文/不坏的土叔 我叫张陵，是天一观的道长。 经常有香客问我，道长，这世上最难降的妖魔是什么？ 我笑而不...
    开封第一讲书人阅读 54,180评论 1赞 272
  • 港岛之恋（遗憾婚礼）
    正文 为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
    茶点故事阅读 63,205评论 5赞 363
  • 恶毒庶女顶嫁案：这布局不是一般人想出来的
    文/花漫 我一把揭开白布。 她就那样静静地躺着，像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上，一...
    开封第一讲书人阅读 48,344评论 1赞 281
  • 城市分裂传说
    那天，我揣着相机与录音，去河边找鬼。 笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。 我是一名探鬼主播，决...
    沈念sama阅读 37,781评论 3赞 393
  • 双鸳鸯连环套：你想象不到人心有多黑
    文/苍兰香墨 我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
    开封第一讲书人阅读 36,449评论 0赞 256
  • 万荣杀人案实录
    序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
    沈念sama阅读 40,635评论 1赞 295
  • 护林员之死
    正文 独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 35,467评论 2赞 317
  • 白月光启示录
    正文 我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 37,515评论 1赞 329
  • 活死人
    序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
    沈念sama阅读 33,217评论 3赞 318
  • 日本核电站爆炸内幕
    正文 年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
    茶点故事阅读 38,775评论 3赞 303
  • 男人毒药：我在死后第九天来索命
    文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 29,851评论 0赞 19
  • 一桩弑父案，背后竟有这般阴谋
    文/苍兰香墨 我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 31,084评论 1赞 258
  • 情欲美人皮
    我被黑心中介骗来泰国打工， 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。 一个月前我还...
    沈念sama阅读 42,637评论 2赞 348
  • 代替公主和亲
    正文 我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
    茶点故事阅读 42,204评论 2赞 341