TrollStore

TrollStore 利用了 iOS 的 AMFI/CoreTrust 漏洞，允许在非越狱的手机上安装自签名的 ipa，并使通过 TrollStore 安装的应用程序能获得更高的权限（如获取手机内的应用列表等）。

版本限制：14.0 beta 2 - 16.6.1, 16.7 RC (20H18), 17.0

根据指引在手机上安装 TrollStore：安装指引

TrollFools

TrollFools 通过 TrollStore 安装手机上，可以对手机上的应用进行动态库注入和重签名。

关键逻辑在 Injector.swift 文件中，原理大致如下：

1. 对所有的 MachO 文件（包含主程序和注入的动态库）使用 Idid 进行重签名、使用 ChOma 绕过 CoreTrust、使用 chown 修改权限；
2. 使用 install_name_tool 注入依赖的系统框架，路径为@executable_path/Frameworks；
3. 使用 insert_dylib 注入 LC_LOAD_DYLIB；
4. 注入完成后对 MachO 文件再进行第 1 步。

Theos 和 Tweak

Theos 是一个强大的开源开发工具链，广泛用于开发 iOS 越狱插件（tweaks）。这些插件可以修改和扩展应用程序的功能。

二、Theos

1、环境

// 项目安装
sudo git clone --recursive https://github.com/theos/theos.git /opt/theos

// 配置环境变量
export THEOS=/opt/theos
export PATH=/opt/theos/bin/:$PATH

环境变量添加到 ~/.zshrc 后需要执行 source ~/.zshrc或者新开终端窗口。

2、创建项目

运行 $THEOS/bin/nic.pl 可以运行 theos 的项目创建程序，这里选择 19 创建一个 OC 应用的插件，然后按提示输入信息即可。

3、代码编写

编辑 Tweak.x 文件，添加以下代码

#import <AVFoundation/AVFoundation.h>

%hook AVCaptureVideoDataOutput
- (void)_processSampleBuffer:(CMSampleBufferRef)buffer {
    %orig(buffer);
    NSLog(@"delegate: %@ _processSampleBuffer: %@", [self sampleBufferDelegate], buffer);
}
%end

%hook AVCaptureFigVideoDevice
- (void)setVideoZoomFactor:(CGFloat)factor {
    %orig(factor);
    NSLog(@"Device: %@, Video zoom factor was set to: %f", self, factor);
}
%end

这段代码使用了 Logos 语法 hook 了相机数据输出的方法和设置 Zoom 的接口。

4、引用第三方库

FLEX_ROOT = libs/FLEX

# Function to convert /foo/bar to -I/foo/bar
dtoim = $(foreach d,$(1),-I$(d))

# Gather FLEX sources
SOURCES  = $(shell find $(FLEX_ROOT)/Classes -name '*.c')
SOURCES += $(shell find $(FLEX_ROOT)/Classes -name '*.m')
SOURCES += $(shell find $(FLEX_ROOT)/Classes -name '*.mm')
# Gather FLEX headers for search paths
_IMPORTS  = $(shell /bin/ls -d $(FLEX_ROOT)/Classes/*/)
_IMPORTS += $(shell /bin/ls -d $(FLEX_ROOT)/Classes/*/*/)
_IMPORTS += $(shell /bin/ls -d $(FLEX_ROOT)/Classes/*/*/*/)
_IMPORTS += $(shell /bin/ls -d $(FLEX_ROOT)/Classes/*/*/*/*/)
IMPORTS = -I$(FLEX_ROOT)/Classes/ $(call dtoim, $(_IMPORTS))

$(TWEAK_NAME)_CFLAGS += $(IMPORTS) -g
$(TWEAK_NAME)_CCFLAGS += -std=gnu++11

目前我以源码方式引入第三方库。把第三方库的源文件放到 libs 中，在 Makefile 中添加以上代码。

TODO：Theos 支持以动态库或静态库的方式引入第三方库，因本文的前提是非越狱手机，所以这里应该使用静态库的方式引入，并编译到输出的文件中。

5、编译

编辑 Makefile 文件，添加以下代码，表示项目依赖 AVFoundation 框架。

TestTweak_FRAMEWORKS = AVFoundation

在项目文件夹直接执行 make。

如果是越狱手机，可以运行 make do 把插件编译后直接安装到手机上，当然也需要其它的配置，这里先不讨论越狱手机的插件开发。

6、安装

arm64 架构的编译产物在路径 .theos/obj/debug/arm64/TestTweak.dylib 中。

把编译产物导入到手机（可用 AirDrop 或数据线导入，存到手机的 Files 中）。

打开已经安装的 TrollFools 应用，选择想要注入动态库的应用（如 BigoLive），选择需要注入的动态库（TestTweak.dylib）。

注入成功后，打开 BigoLive 开始直播，这时候可以从 Mac 上的 Console 查看到相关的打印信息。

7、Demo

https://github.com/oudushu/DSHookTweak

该 Demo 已实现：

1. 摇一摇呼出选择列表；
2. 内置 FLEX 工具集；
3. 内置 LookinServer，可使用 macOS 端的 Lookin 客户端快速查看应用的图层；
4. 日志写文件，并可把文件通过 AirDrop 分享出来；
5. 相机相关 hook。

三、总结

我们可以利用以上的工具，做到给非越狱手机安装插件，从而方便地 hook 从 App Store 安装的应用程序。

可以开发通用的插件，做到一个插件适用不同的应用，提高逆向的效率。

缺点：

1. 非越狱手机上无法调试；
2. 对 iOS 版本有限制，太新的版本暂不支持。

在逆向的过程中，我们经常需要往目标执行文件中注入自己的逻辑，从而实现 hook 的目的。

我们常用 optool 工具实现动态库注入。

Command Line Tool for interacting with MachO binaries on OSX/iOS

了解这个工具的原理，有助于我们对 MachO 文件有更深入的了解。

二、源码解析

关键代码如下：

BOOL insertLoadEntryIntoBinary(NSString *dylibPath, NSMutableData *binary, struct thin_header macho, uint32_t type) {
    // 判断 Load Command 类型
    if (type != LC_REEXPORT_DYLIB &&
        type != LC_LOAD_WEAK_DYLIB &&
        type != LC_LOAD_UPWARD_DYLIB &&
        type != LC_LOAD_DYLIB) {
        LOG("Invalid load command type");
        return NO;
    }
    // 判断动态库是否已经注入
    // parse load commands to see if our load command is already there
    uint32_t lastOffset = 0;
    if (binaryHasLoadCommandForDylib(binary, dylibPath, &lastOffset, macho)) {
        // there already exists a load command for this payload so change the command type
        uint32_t originalType = *(uint32_t *)(binary.bytes + lastOffset);
        if (originalType != type) {
            LOG("A load command already exists for %s. Changing command type from %s to desired %s", dylibPath.UTF8String, LC(originalType), LC(type));
            [binary replaceBytesInRange:NSMakeRange(lastOffset, sizeof(type)) withBytes:&type];
        } else {
            LOG("Load command already exists");
        }
        
        return YES;
    }
    
    // create a new load command
    unsigned int length = (unsigned int)sizeof(struct dylib_command) + (unsigned int)dylibPath.length;
    unsigned int padding = (8 - (length % 8));
    
    // 判断 Load Command 段末尾是否还有空白位置
    // check if data we are replacing is null
    NSData *occupant = [binary subdataWithRange:NSMakeRange(macho.header.sizeofcmds + macho.offset + macho.size,
                                                            length + padding)];

    // All operations in optool try to maintain a constant byte size of the executable
    // so we don't want to append new bytes to the binary (that would break the executable
    // since everything is offset-based–we'd have to go in and adjust every offset)
    // So instead take advantage of the huge amount of padding after the load commands
    if (strcmp([occupant bytes], "\0")) {
        NSLog(@"cannot inject payload into %s because there is no room", dylibPath.fileSystemRepresentation);
        return NO;
    }
    
    LOG("Inserting a %s command for architecture: %s", LC(type), CPU(macho.header.cputype));
    
    // 新建 dylib_command 并替换到对应位置的空白区域
    struct dylib_command command;
    struct dylib dylib;
    dylib.name.offset = sizeof(struct dylib_command);
    dylib.timestamp = 2; // load commands I've seen use 2 for some reason
    dylib.current_version = 0;
    dylib.compatibility_version = 0;
    command.cmd = type;
    command.dylib = dylib;
    command.cmdsize = length + padding;
    
    unsigned int zeroByte = 0;
    NSMutableData *commandData = [NSMutableData data];
    [commandData appendBytes:&command length:sizeof(struct dylib_command)];
    [commandData appendData:[dylibPath dataUsingEncoding:NSASCIIStringEncoding]];
    [commandData appendBytes:&zeroByte length:padding];
    
    // remove enough null bytes to account of our inserted data
    [binary replaceBytesInRange:NSMakeRange(macho.offset + macho.header.sizeofcmds + macho.size, commandData.length)
                      withBytes:0
                         length:0];
    // insert the data
    [binary replaceBytesInRange:NSMakeRange(lastOffset, 0) withBytes:commandData.bytes length:commandData.length];
    
    // 修改 header 内容，
    // fix the existing header
    macho.header.ncmds += 1;
    macho.header.sizeofcmds += command.cmdsize;
    
    // this is safe to do in 32bit because the 4 bytes after the header are still being put back
    [binary replaceBytesInRange:NSMakeRange(macho.offset, sizeof(macho.header)) withBytes:&macho.header];
    
    return YES;
}

三、MachO 文件变化

利用 MachOView 工具查看注入动态库后的 MachO 文件，可以发现在 Load Command 段的后面多了一个 LC，此 LC 明确了动态库的加载路径；且可发现其他段的 offset 并没有被修改。

四、总结

动态库注入的流程总结如下：

1. 判断 Load Command 类型（LC_REEXPORT_DYLIB/LC_LOAD_WEAK_DYLIB/LC_LOAD_UPWARD_DYLIB/LC_LOAD_DYLIB）；
2. 判断动态库是否已经注入（通过遍历 Load Command 段，取出几种 dylib 的 LC 的 name 字段跟加载动态库的路径做比对）；
3. 判断 Load Command 段末尾是否还有空白位置（1. segment 中进行页对齐时会产生空白区域；2. 避免改变可执行文件大小；3. MachO 里几乎所有操作都基于偏移量进行计算，如果直接插入新的数据，会导致后面的偏移量都需要调整。）；
4. 新建 dylib_command 并替换到对应位置的空白区域；
5. 修改 header 内容；
6. 把动态库复制到应用内的 Frameworks 文件夹中，重签名后打包成 ipa 包并安装到手机；
7. iOS 系统使用 dyld 加载应用，加载的 Load Command 时会找到对应的动态库并进行动态链接。

一、符号恢复

我们经常 hook 一个方法并加断点可快速获得参数值，但是使用 bt 命令打印堆栈信息时，只能看到 ___lldb_unnamed_symbol279180$$TikTok 的信息，原因是 Objective-C 在打包时会被 stripped out，导致无法看到具体符号。

1. restore-symbol 使用

可以利用 restore-symbol 工具恢复符号（只能恢复 Objective-C 符号，无法恢复 C/C++ 符号），具体使用如下：

# git clone --recursive https://github.com/tobefuturer/restore-symbol.git
# cd restore-symbol
# make
# ./restore-symbol TikTok -o TikTok_symbol

2. 错误处理

在运行时会报错：2022-01-06 18:07:15.103 restore-symbol[17534:7647405] *** Assertion failure in -[CDObjectiveC2Processor loadClassAtAddress:], CDObjectiveC2Processor.m:258，原因是使用了 Swift 语言，而解析 Swift 的方法已过期。我们可以简单粗暴地把抛出异常的代码注释掉，重新 make 即可成功恢复符号。

3. 验证

把 ipa 包里的 MachO 文件替换为恢复符号后的 MachO 文件，重签名后运行到手机上（MonkeyDev 工具已经集成重签名的功能，这里只需要替换 TargetApp 里面的 MachO 文件，clean 后 rebuild 即可）。

在断点处使用 bt 命令打印堆栈信息：

可以看到大部分 ___lldb_unnamed_symbol279180$$TikTok 都被恢复符号了，还有部分未被恢复的猜测是使用 Swift 语言编写的代码。

二、IDA Pro 反汇编工具

下面通过反编译上面输出的堆栈：frame #3: 0x000000010650cdac TikTok -[LSGLPreviewView newFrameReadyAtTime:atIndex:] + 512 简单介绍 IDA 的使用。

1. 使用 IDA 打开 MachO 文件

IDA 分析 MachO 文件时间较长，需要耐心等待。

2. 计算对应方法在 MachO 文件中的偏移地址

在断点处，输入 image list -o -f，可获得 ASLR 偏移地址，运行时基地址(0x000000010650cdac) = ASLR 偏移地址(0x0000000002a00000) + 基地址(0x103B0CDAC)

3. 定位到基地址

在 IDA 中使用快捷键 g，可跳转到地址

4. 反汇编

使用快捷键 F5，反汇编对应代码。至此，我们已经可以大致看到 -[LSGLPreviewView newFrameReadyAtTime:atIndex:] 这个方法的实现逻辑了。

三、暂未解决问题

1. Swift、C/C++ 的无法恢复符号问题；
2. 恢复符号后，Instruments 依然无法显示符号；

一、常用反逆向手段

1、反调试：ptrace

ptrace 被常用于防止 lldb 依附，原理是一个进程只能被 ptrace 只能被一次，先于别人调用 ptrace 则可以防止别人依附。

ptrace 有几种方式进行调用：

1）直接调用

#import <sys/ptrace.h>

ptrace(PT_DENY_ATTACH,0,0,0);

iOS SDK 中不包含 ptrace.h 头文件，无法使用此方法调用，可使用以下方法。

2）通过 dlopen + dlsym 调用

#import <dlfcn.h>
#import <sys/types.h>
 
typedef int (*ptrace_ptr_t)(int _request, pid_t _pid, caddr_t _addr, int _data);
#if !defined(PT_DENY_ATTACH)
#define PT_DENY_ATTACH 31
#endif
 
void disable_attach() {
    void* handle = dlopen(0, RTLD_GLOBAL | RTLD_NOW);
    ptrace_ptr_t ptrace_ptr = dlsym(handle, "ptrace");
    ptrace_ptr(PT_DENY_ATTACH, 0, 0, 0);
    dlclose(handle);
}

3）通过 syscall 调用

#import <sys/syscall.h>

#if !defined(PT_DENY_ATTACH)
#define PT_DENY_ATTACH 31
#endif

void disable_attach() {
    syscall(SYS_ptrace, PT_DENY_ATTACH, 0, 0, 0); // #define SYS_ptrace 26
}

4）通过汇编调用

内联 svc + ptrace 实现，相当于直接调用 ptrace(PT_DENY_ATTACH,0,0,0);

static __attribute__((always_inline)) void disable_attach() {
#ifdef __arm64__
    __asm__("mov X0, #0x1F");
    __asm__("mov X1, #0");
    __asm__("mov X2, #0");
    __asm__("mov X3, #0");
    __asm__("mov X16, #0x1A");
    __asm__("svc #0x80");
#endif
}

内联 svc + syscall + ptrace 实现，相当于 syscall(SYS_ptrace, PT_DENY_ATTACH, 0, 0, 0);

static __attribute__((always_inline)) void disable_attach() {
#ifdef __arm64__
    __asm__("mov X0, #0x1A");
    __asm__("mov X1, #0x1F");
    __asm__("mov X2, #0");
    __asm__("mov X3, #0");
    __asm__("mov X4, #0");
    __asm__("mov X16, #0");
    __asm__("svc #0x80");
#endif
}

2、sysctl

通过 sysctl 去查看当前进程的信息，看有没有这个标记位即可检查当前调试状态。

#import <sys/sysctl.h>

bool isBeingAttach() {
    size_t size = sizeof(struct kinfo_proc);
    struct kinfo_proc info;
    int ret = 0, name[4];
    memset(&info, 0, sizeof(struct kinfo_proc));
    
    name[0] = CTL_KERN;
    name[1] = KERN_PROC;
    name[2] = KERN_PROC_PID;
    name[3] = getpid();
    
    if (ret == (sysctl(name, 4, &info, &size, NULL, 0))) {
        return ret != 0;
    }
    return (info.kp_proc.p_flag & P_TRACED) ? YES : NO;
}

经过之前对 iOS 逆向的初步了解，想了个实现 TikTok 自动播放下一个视频的小需求实践一下。

二、实现过程

1、使用 class-dump 工具获取类信息

class-dump 工具通过解析 MachO 文件生成类信息，包括 OC 方法、属性、成员变量等。

有几个点需要留意：

1. C 语言函数无法 dump；
2. OC 方法的参数如果是对象类型，则只会显示 id；
3. dump 出来的 OC 方法包含了 .h .m 文件里面的。

2、通过视图堆栈找出对应文件

从视图堆栈里面可以很方便找出播放器相关的文件，从 class-dump 出来的文件中找到相关文件，在文件中找出相关方法。

比如我需要实现自动播放下一个视频的话，分为两个步骤：1.监听播放完一个视频的事件；2.播放下一个视频。

找到“播放下一个视频”的方法：

1. 我从视图堆栈里定位到 AWEFeedTableViewController 类；
2. 从 class-dump 出来的文件中打开 AWEFeedTableViewController.h；
3. 在文件中搜索 NextVideo，很容易可以找到 - (void)scrollToNextVideo; 方法。

类似的方法找出“播放完一个视频的事件”。

3、快速验证

从上一步找到的类还有对应方法是否真的可以实现“播放下一个视频”呢？我们可以在代码中 Hook 对应方法验证，但是这样验证的方法比较低效。

使用 Cycript 可以动态调试 App，这里简单介绍如何通过 Cycript 快速验证：

1. 越狱手机上通过 Cydia 安装 Cycript；
2. 通过 SSH 连接手机；
3. 找到进程：root# ps -e | grep 'TikTok'；
4. 依附到进程：cycript -p 进程号；
5. 打印视图堆栈，输入命令：UIApp.keyWindow.recursiveDescription() ；
6. 找到 AWEFeedTableViewController 内存地址并执行 [#0x1118da200 scrollToNextVideo]（内存地址前需要加 # 号）

此时发现 App 真的切换到了下一个视频，证明这个方法就是我们需要找的方法。

4、实现

CHDeclareClass(AWEAwemePlayVideoViewController)
CHDeclareClass(AWEFeedTableViewController)

CHOptimizedMethod1(self, void, AWEAwemePlayVideoViewController, playerWillLoopPlaying, id, arg1) {
    [[NSNotificationCenter defaultCenter] postNotificationName:@"DSScrollToNextVideo" object:nil];
    CHSuper1(AWEAwemePlayVideoViewController, playerWillLoopPlaying, arg1);
}

CHOptimizedMethod0(self, void, AWEFeedTableViewController, _addNotifications) {
    [[NSNotificationCenter defaultCenter] addObserver:self selector:@selector(scrollToNextVideo) name:@"DSScrollToNextVideo" object:nil];
    CHSuper0(AWEFeedTableViewController, _addNotifications);
}

CHConstructor {
    CHLoadLateClass(AWEAwemePlayVideoViewController);
    CHLoadLateClass(AWEFeedTableViewController);
    
    CHHook1(AWEAwemePlayVideoViewController, playerWillLoopPlaying);
    CHHook0(AWEFeedTableViewController, _addNotifications);
}

5、优化

编译运行后即可以实现自动播放下一个视频了，但是还存在一些问题，比如短视频列表中可能存在广告、直播，这两个场景就不会触发“播放完一个视频的事件”，但是我们也可以使用类似的方法去解决。

在「iOS 逆向入门 - TikTok 调试」文章中介绍了使用 MonkeyDev 工具对 TikTok 进行调试。使用同样的方法对抖音进行调试的过程中遇到了几个问题，在这里记录一下。

二、动态库注入失败

按照 TikTok 的方式运行后，发现控制台没有打印 insert dylib success 的信息，猜测动态库注入失败了，果然在编译信息的输出中找到相关错误打印：

在 MonkeyDev 的 change.log 中找到信息，尝试恢复使用 optool 工具注入动态库。

下载 optool 的二进制文件并复制到相应位置，然后修改以下代码：

# 注释原来的 MONKEYPARSER
# "$MONKEYPARSER" install -c load -p "@executable_path/Frameworks/lib""${TARGET_NAME}""Dylib.dylib" -t "${BUILD_APP_PATH}/${APP_BINARY}"
# 修改为 optool
OPTOOL="${MONKEYDEV_PATH}/bin/optool"
"$OPTOOL" install -c load -p "@executable_path/Frameworks/lib""${TARGET_NAME}""Dylib.dylib" -t "${BUILD_APP_PATH}/${APP_BINARY}"

重新编译运行后可发现控制台中出现 insert dylib success 信息，证明动态库已经注入成功。

三、绕过反调试

动态库注入成功后，发现控制台没有了任何输出，且 lldb 已经断开，证明抖音使用了某种反调试手段。

1、反调试常规手段

1）ptrace

ptrace 被常用于防止 lldb 依附，原理是一个进程只能被 ptrace 只能被一次，先于别人调用 ptrace 则可以防止别人依附。

ptrace 有几种方式进行调用：

1. 通过 dlsym 调用
2. 通过汇编调用；
3. 通过 syscall 调用，syscall(26,31,0,0)。

2）sysctl

通过 sysctl 去查看当前进程的信息，看有没有这个标记位即可检查当前调试状态。

bool isBeingAttach() {
    size_t size = sizeof(struct kinfo_proc);
    struct kinfo_proc info;
    int ret = 0, name[4];
    memset(&info, 0, sizeof(struct kinfo_proc));
    
    name[0] = CTL_KERN;
    name[1] = KERN_PROC;
    name[2] = KERN_PROC_PID;
    name[3] = getpid();
    
    if (ret == (sysctl(name, 4, &info, &size, NULL, 0))) {
        return ret != 0;
    }
    return (info.kp_proc.p_flag & P_TRACED) ? YES : NO;
}

2、反反调试常规手段

我们知道了反调试的常用函数，我们可以使用 fishhook hook 这些函数，达到反反调试的效果。

MonkeyDev 已经为我们写好了相关实现，我们打开注释即可：

3、进一步

打开上面的注释重新运行后，lldb 依然依附失败，说明抖音有更进一步的反调试手段。

通过网上查阅资料，有以下解题套路：

1）判断反调试代码的位置

Xcode 上添加 AppDelegate 的符号断点：

-[AppDelegate application:didFinishLaunchingWithOptions:]

运行后断点依然失败，证明反调试代码在 didFinishLaunchingWithOptions 之前。

2）利用 IDA 进行分析

把二进制文件拖入 IDA 后进行分析，在 start 函数中的 0x0000000109640CF4~0x0000000109640D00 就是反调试代码，相当于调用了上面提到的 syscall(26,31,0,0)，最终就是调用了 ptrace 函数。

3）绕过反调试代码

1. lldb 中执行 image list -o -f 打印链接的库，其中第一个地址则是 ASLR 的偏移地址。

运行时基地址(0x000000010BEC8D00) = ASLR 偏移地址(0x0000000002888000) + 基地址(0x0000000109640D00)

2. 添加地址断点，breakpoint set -a 0x000000010BEC8D00；

3. 断点到该地址后，执行 register write $x1 0，修改 x1 寄存器值。

继续运行后则发现已经成功依附到 lldb。

ASLR 偏移地址每次 App 运行都会被修改，所以每次运行都要进行上面的操作。

libimobiledevice 是一个与iOS设备通信的工具集，类似于安卓上的 adb 工具，像爱思助手、PP助手等底层都是用的这个工具。

A library to communicate with services on iOS devices using native protocols.

ideviceinstaller 依赖于 libimobiledevice，主要用于操作 App，如获取应用列表、安装卸载应用等。

A command-line application to manage apps and app archives on iOS devices.

二、安装

Mac 上可以直接利用 Homebrew 安装：

// 安装 libimobiledevice
brew install libimobiledevice
// 安装 ideviceinstaller
brew install ideviceinstaller

三、使用

下面介绍常用的命令：

1. idevice_id

打印连接的设备的 UUID

➜  ~ idevice_id -l
0e68ed5333802b17d5ac62bfa708619de597eef2

2. idevicecrashreport

把设备上的崩溃报告移到指定文件夹。

➜  ~ idevicecrashreport -u 0e68ed5333802b17d5ac62bfa708619de597eef2 crash
Move: /com.apple.appstored/appstored.log
Move: /Retired/rtcreportingd_2021-09-02-17-17-59_messageLog.ips
Move: /Retired/liveshow-2021-08-31-165309.ips
Move: /Retired/log-aggregated-2021-08-31-080228.ips
...

3. idevicedate

获取或者设置设备时间。

➜  ~ idevicedate
Thu Sep  2 17:21:12 CST 2021

4. idevicediagnostics

获取设备的诊断信息，重启设备、关闭设备等。

➜  ~ idevicediagnostics diagnostics
➜  ~ idevicediagnostics shutdown
➜  ~ idevicediagnostics restart

5. ideviceinfo

获取设备信息。

➜  ~ ideviceinfo
ActivationState: Activated
ActivationStateAcknowledged: true
BasebandActivationTicketVersion: V2
BasebandCertId: 2315222105
BasebandChipID: 241889
...

6. idevicename

获取或设置设备名称

➜  ~ idevicename iPhone🤓
device name set to 'iPhone🤓'

7. ideviceprovision

管理设备上的 provisioning profiles。

provisioning profiles 可以理解成包含了 证书、应用权限开关、appIDs、deviceIds等数据 的数据包。

➜  ~ ideviceprovision list
Device has 20 provisioning profiles installed:
50c80637-31ce-4229-805b-97f84cc0e17d - iOS Team Provisioning Profile: test.lydi.shareExtensions
...

8. idevicescreenshot

设备截图（需要设备已越狱），默认存放路径：~/screenshot-2021-09-06-03-29-15.png

➜  ~ idevicescreenshot
Screenshot saved to screenshot-2021-09-06-03-29-15.png

9. idevicesetlocation

设置设备的经纬度，可打开指南针 app 验证是否设置成功。如设置为北京的经纬度：

➜  ~ idevicesetlocation -- 39.9042 116.4074
➜  ~ idevicesetlocation reset

10. idevicesyslog

系统日志。

➜  ~ idevicesyslog -u 0e68ed5333802b17d5ac62bfa708619de597eef2
[connected]
Sep  6 11:44:02 atc(Apps)[43] <Notice>: found 42 apps using 4782030848 bytes (0 purgeable)
Sep  6 11:44:02 atc(LogsPlugin)[43] <Notice>: found 11 files [6361088 bytes] of logs in '/private/var/log/'
Sep  6 11:44:02 atc(LogsPlugin)[43] <Notice>: found 24 files [5181440 bytes] of logs in '/private/var/logs/'
Sep  6 11:44:02 atc(LogsPlugin)[43] <Notice>: found 11 files [4096 bytes] of logs in '/private/var/wireless/Library/Logs/'
...

11. ideviceinstaller

获取设备应用列表。

➜  ~ ideviceinstaller --list-apps
CFBundleIdentifier, CFBundleVersion, CFBundleDisplayName
com.buuuk.Klok, "81", "Klok"
com.tencent.xin, "7.0.4.40", "微信"
...

安装 ipa 包:

➜  ~ ideviceinstaller --install /Users/oudushu/Downloads/微信.ipa
WARNING: could not locate iTunesMetadata.plist in archive!
WARNING: could not locate Payload/liveshow.app/SC_Info/liveshow.sinf in archive!
Copying '/Users/oudushu/Downloads/微信.ipa' to device... DONE.
Installing '微信'
Install: CreatingStagingDirectory (5%)
Install: ExtractingPackage (15%)
Install: InspectingPackage (20%)
Install: TakingInstallLock (20%)
Install: PreflightingApplication (30%)
Install: InstallingEmbeddedProfile (30%)
Install: VerifyingApplication (40%)
Install: CreatingContainer (50%)
Install: InstallingApplication (60%)
Install: PostflightingApplication (70%)
Install: SandboxingApplication (80%)
Install: GeneratingApplicationMap (90%)
Install: Complete

卸载应用:

➜  ~ ideviceinstaller --uninstall 微信                                                      (ruby-2.6.5)
Uninstalling '微信'
Uninstall: RemovingApplication (50%)
Uninstall: GeneratingApplicationMap (90%)
Uninstall: Complete

ifuse 是一个文件系统工具，在未越狱的设备上可以挂载 App 的文件夹，在已越狱的设备上可以挂载根文件夹

This project allows mounting various directories of an iOS device locally using the FUSE file system interface.

二、安装

利用 Homebrew 进行安装：

// 期间可能需要输入电脑密码
brew install macfuse
brew install ifuse

安装时可能出现错误：

// 编辑 ifuse 的安装配置
vim `brew formula ifuse`

// 注释或删除以下几行
#  on_macos do
#    disable! date: "2021-04-08", because: "requires closed-source macFUSE"
#  end

// 重新安装
brew install ifuse

三、使用

1. 挂载

// 新建挂载点文件夹
mkdir ~/Sandbox

// 设置挂载点
ifuse --container ifuse.test ~/Sandbox

此时 ifuse.test 的沙盒被成功挂载到 Sandbox 文件夹：

2. 可能出现错误：

需要在 Info.plist 添加 key UIFileSharingEnabled value YES，重新编译即可。

1、简介

MonkeyDev 是一个工具集合，基于 iOSOpenDev 进行升级并集成到 Xcode 里面，可以用来开发越狱机器的插件，可以很方便地注入动态库并重签名安装到非越狱机器，堪称神器。

2、安装

参考官方文档进行安装：https://github.com/AloneMonkey/MonkeyDev/wiki

3、开始使用

1. 新建 MonkeyApp 项目。

2. 拖入 已砸壳 的 ipa 包到指定文件夹

3. 配置开发证书。

如无意外即可运行到手机上。

4、其它运行问题

1. 链接错误

ld: file not found: /usr/lib/libstdc++.dylib

这是由于 Xcode 10 开始就不再集成 libstdc++ 库，需要把相关的库文件重新添加到对应的路径。

使用 GitHub 上的这个库 https://github.com/devdawei/libstdc- 可以比较方便地添加 libstdc++ 库。

2. Bundle ID

TikTok 对 Bundle ID 应该有校验，用其它 Bundle ID 会导致无法联网，这时候可以在 Build Settings 里面，找到 MONKEYDEV_DEFAULT_BUNDLEID 设为 YES，这时候重新编辑安装到手机即可。

3. 需要国外手机卡

TikTok 对地区有限制，手机需要插上国外手机卡才能进行开播，这样对调试不太友好。

CTCarrier 是iOS上获取运营商信息的系统框架，我们可以对其进行 Hook，使其返回指定运营商信息。

得益于 MonkeyDev 维护了非越狱插件 CocoaPods 私有仓库（https://github.com/AloneMonkey/MonkeyDevSpecs），我们可以直接使用别人提供的插件，使用方法跟我们平时使用 CocoaPods 完全一致，添加对应的源地址即可：

source 'https://github.com/AloneMonkey/MonkeyDevSpecs.git'
source 'https://github.com/CocoaPods/Specs.git'

use_frameworks! 

target 'TikTokDevDylib' do
     pod 'FLEX'
     pod 'MonkeyDevPod', '2.0.0'
     pod 'AYTikTokPod'
     pod 'LookinServer'
end

5、Hook 相关函数

1. Objective-C

Objective-C 是一门动态语言，可以利用运行时的特性，使用 Method Swizzling 技术进行 Hook。

在 MonkeyDev 上使用如下：

CHDeclareClass(AVCaptureSession)

CHMethod1(void, AVCaptureSession, setSessionPreset, NSString *, arg1) {
    NSLog(@"---- - sessionPreset:%@", arg1);
    CHSuper1(AVCaptureSession, setSessionPreset, arg1);
}

CHConstructor {
    CHLoadLateClass(AVCaptureSession);
    CHHook1(AVCaptureSession, setSessionPreset);
}

2. C 语言

C 语言是静态语言，编译后变量、函数都已确定，我们使用 fishhook 框架即可对系统函数进行 Hook，fishhook 原理。

使用如下：

static OSStatus (*oldVTDecompressionSessionCreate)(CM_NULLABLE CFAllocatorRef allocator, CM_NONNULL CMVideoFormatDescriptionRef videoFormatDescription, CM_NULLABLE CFDictionaryRef videoDecoderSpecification, CM_NULLABLE CFDictionaryRef destinationImageBufferAttributes, const VTDecompressionOutputCallbackRecord * CM_NULLABLE outputCallback, CM_RETURNS_RETAINED_PARAMETER CM_NULLABLE VTDecompressionSessionRef * CM_NONNULL decompressionSessionOut);

OSStatus myVTDecompressionSessionCreate(CM_NULLABLE CFAllocatorRef allocator, CM_NONNULL CMVideoFormatDescriptionRef videoFormatDescription, CM_NULLABLE CFDictionaryRef videoDecoderSpecification, CM_NULLABLE CFDictionaryRef destinationImageBufferAttributes, const VTDecompressionOutputCallbackRecord * CM_NULLABLE outputCallback, CM_RETURNS_RETAINED_PARAMETER CM_NULLABLE VTDecompressionSessionRef * CM_NONNULL decompressionSessionOut) {
    NSLog(@"---- - myVTDecompressionSessionCreate");
    return oldVTDecompressionSessionCreate(allocator, videoFormatDescription, videoDecoderSpecification, destinationImageBufferAttributes, outputCallback, decompressionSessionOut);
}

CHConstructor {
    struct rebinding rebind;
    rebind.name = "VTDecompressionSessionCreate";
    rebind.replacement = myVTDecompressionSessionCreate;
    rebind.replaced = (void *)&oldVTDecompressionSessionCreate;
    
    struct rebinding rebs[] = {rebind};
    rebind_symbols(rebs, 3);
}

6、Instruments

可以使用 Instruments，但目前还无法查看符号。

二、frida

如果手机已经越狱，还可以使用 frida 工具进行调试。

1. 跟踪函数调用

➜  ~ frida-trace -U TikTok -i "VTCompressionSessionCreate"
Instrumenting...
VTCompressionSessionCreate: Loaded handler at "/Users/oudushu/__handlers__/VideoToolbox/VTCompressionSessionCreate.js"
Started tracing 1 function. Press Ctrl+C to stop.
           /* TID 0x25203 */
 45773 ms  VTCompressionSessionCreate()

2. 获取设备进程信息

➜  ~ frida-ps --usb
 PID  Name
----  ------------------------------------------------------------
1139      ACCHWComponentAuthService
1168      AccountExtension
1169      AppManagementExtension
 495      AppSSODaemon
  81      AppleCredentialManagerDaemon
1586      AssetCacheLocatorService
 112      BlueTool
4139      CAReportingService

3. 获取已连接的设备

➜  ~ frida-ls-devices
Id                                        Type    Name
----------------------------------------  ------  ------------
local                                     local   Local System
58e668d38f015b99730912550655d9671f3185fb  usb     iPhone
socket                                    remote  Local Socket

4. 结束进程

➜  ~ frida-kill -D 58e668d38f015b99730912550655d9671f3185fb 5136

5. 调试

➜  ~ frida -U Safari浏览器
     ____
    / _  |   Frida 15.0.18 - A world-class dynamic instrumentation toolkit
   | (_| |
    > _  |   Commands:
   /_/ |_|       help      -> Displays the help system
   . . . .       object?   -> Display information about 'object'
   . . . .       exit/quit -> Exit
   . . . .
   . . . .   More info at https://frida.re/docs/home/

[iPhone::Safari浏览器]-> help
Help: #TODO :)

三、其它

目前还处于使用工具的阶段，需要往深挖的话需要了解相关技术的原理，这里先挖一些坑：

1. class-dump 原理
2. restore-symbol 原理
3. fishhook 原理
4. 动态库注入原理
5. 重签名原理
6. …

在进行与竟品的性能对比中，需要知道竟品的部分参数，与竟品对齐参数后再进行性能测试。

在 hook TikTok 的摄像头输出参数时发现，PixelFormatType 的值是整数 875704422，这样的一串整数很难知道其含义。

分析

从 key PixelFormatType 可以猜出是 kCVPixelFormatType 枚举中的一个，kCVPixelFormatType 枚举中大部分的值是以 '420f' 这样的单引号形式来表示，通过逐一对比知道，原来 875704422 对应的就是 kCVPixelFormatType_420YpCbCr8BiPlanarFullRange 的值，也就是 '420f'。

那么，为什么 875704422 == '420f' ?

原来，可以通过 ascii 编码进行转换，以 '420f' 为例：

4/2/0/f 的 ascii 编码分别为 52/50/48/102 ，转换为二进制分别为 00110100/00110010/00110000/01100110，合并起来 00110100001100100011000001100110 转换为十进制，刚好就是 875704422。

为方便看出对应的字符串，写了以下转换算法：

转换算法

NSString * changeToTypeStr(int value) {
    char *str = malloc(10);
    int count = 0;
    while (value > 0) {
        char ch = (char)(value & 0xFF);
        str[count] = ch;
        value = value >> 8;
        count ++;
    }
    if (count > 1) {
        int left = 0, right = count - 1;
        while (left < right) {
            char tmp = str[left];
            str[left] = str[right];
            str[right] = tmp;
            left ++;
            right --;
        }
    }
    str[count] = '\0';
    NSString *res = [[NSString alloc] initWithUTF8String:str];
    free(str);
    return res;
}

iOS 手机通过 App Store 安装的应用都经过加密，无法直接进行逆向分析。我们需要对应用进行解密，称为“砸壳”。

我手上的设备是 iPhone 6s，系统是 iOS 13.5.1

二、手机越狱

安装爱思助手，一键越狱的工具里面有很多个工具（不一定需要安装爱思助手，可以直接从官网下载越狱工具）。

这里主要推荐两个：一个是通过硬件漏洞进行越狱的 checkra1n；一个是通过软件漏洞进行越狱的 Unc0ver。

相对来说通过硬件漏洞进行越狱的 checkra1n 会比较稳定，我使用的是 checkra1n。

按照提示进行操作，手机重启后会出现 checkra1n 应用，打开应用安装 Cydia （这个过程手机需要连接代理）。

注意：不同的越狱工具，对手机跟系统都有要求，太新的设备或者太新的系统都有可能不支持，需要仔细阅读官网的文档。另外，保证手机的重要资料都已经备份。

三、通过 SSH 连接手机

1. Wi-Fi

手机安装 Cydia 后，默认安装了 OpenSSH，可以直接通过 Wi-Fi 或者 USB 连接手机。

ssh root@your_device_ip_address
// 密码默认为 alpine

2. USB

// 安装 usbmuxd
brew install usbmuxd

// 建立端口映射（把 2222 映射到 22）
iproxy 2222 22

// 建立 ssh 连接
ssh -p 2222 root@localhost

建立端口映射时，终端会一直显示 “waiting for connection”，这是正常的，新建一个终端窗口进行其它操作即可。

四、砸壳

砸壳分为静态砸壳和动态砸壳，静态砸壳是指直接解密磁盘中的应用（难度较高），而动态砸壳是指系统把解密后的 MachO 文件加载到内存中后，将 MachO 文件拷贝出来。

1. 常用工具

常用的砸壳工具有以下三个：

1. dumpdecrypted
2. Clutch
3. frida-ios-dump

其中 frida-ios-dump 最为方便，以下简单介绍 frida-ios-dump 的使用。

2. frida-ios-dump 的简单实用

1) 手机上的操作

1. 手机上打开 Cydia，添加源 https://build.frida.re;
2. 搜索 Frida 并安装。

2) Mac上的操作

// 1. 克隆 frida-ios-dump
git clone https://github.com/AloneMonkey/frida-ios-dump.git

// 2. 安装环境
sudo pip3 install -r requirements.txt --upgrade

// 3. 获取应用名称
frida-ps --usb

// 4. 建立端口映射（把 2222 映射到 22）
iproxy 2222 22

// 5. 运行脚本，参数为应用显示名称或者 Bundle Id
// 这个过程需要打开应用（应用已加载到内存中）
./dump.py 美团

3) 验证是否已经砸壳

利用 otool 工具：

otool -l Payload/imeituan.app/imeituan | grep "crypt"

// cryptid 0 已砸壳

1. https://checkra.in/ （基于硬件漏洞，较稳定）
2. https://unc0ver.dev/ （基于软件漏洞，每次重启手机后都要再越狱）

App文件系统结构

1. https://www.i-funbox.com/zh-cn/index.html
2. https://macroplant.com/iexplorer

App UI调试工具

1. https://revealapp.com/
2. https://lookin.work/ （免费）

反编译工具

1. https://hex-rays.com/ida-pro/
2. https://www.hopperapp.com/

MachO

1. https://github.com/gdbinit/MachOView

越狱开发框架

1. https://github.com/theos/theos

ipa砸壳工具

1. https://github.com/stefanesser/dumpdecrypted
2. https://github.com/KJCracks/Clutch
3. https://github.com/AloneMonkey/frida-ios-dump

class-dump

1. http://stevenygard.com/projects/class-dump/

动态库注入

1. https://github.com/alexzielenski/optool

获取keychain信息

1. https://github.com/ptoomey3/Keychain-Dumper

工具集

1. https://github.com/kokoabim/iOSOpenDev
2. https://github.com/AloneMonkey/MonkeyDev （基于iOSOpenDev开发，可开发非越狱插件）

持续更新。。。