手把手教你制作一款iOS越狱App，伪装微信位置

      • 说明

        • 缘由
        • 严重声明
      • 概念
        • 越狱的原理
        • iOS 目录层级结构
        • iOS 程序类型
      • 准备工作
        • 硬件设备
        • 辅助软件
        • Mac 需要的工具
          • iOS 需要使用的辅助开发工具
      • 逆向过程
        • 静态分析

          • 给App砸壳
          • 使用IDA静态分析
        • 动态调试
      • iOS 工程目录
      • 制作Tweak
        • Tweak 是什么
        • 了解 Theos
        • 安装iOSOpenDev
      • 制作App
      • App和Tweak通信交换数据
        • App如何加载Tweak
        • App如何和Tweak 交互传输数据
      • 打包安装
        • 整理目录结构
        • 执行打包命令
        • 安装验证
      • 发布App
      • 总结
      • 常见问题
      • 参考

说明

缘由

本文是我个人在对逆向工程强烈的兴趣驱使下，拜读《iOS应用逆向工程》，所实现的一个好玩的功能，与大家分享，也是对自己学习的一个简单总结。BTW iOS逆向论坛 iOSRe 是一个很好的iOS逆向交流社区。

所有文章中工具和代码都托管到GitHub，欢迎访问：项目地址：https://github.com/jackrex/FakeWeChatLoc

严重声明

本文所有纯属个人娱乐学习值用,相关技术仅用于学习交流，请勿用于非法目的，不得有其他任何商业用途！！！

概念

越狱的原理：

iOS系统越狱，其实说白了，和Android的Root类似，相当于对手机权限的提升，使得让你可以操纵之前你操纵不了的事物。

由于Objective-C 是面向对象的高级语言，iOS 采用的文件格式 Mach-O 包含了很多metadata 信息可以让我们使用 class-dump 还原其头文件，这个为iOS 的逆向有了很好的开端。

MobileSubstrate 是一个能够让iOS 开发方便hook的一个framework，MobileSubstrate由如下三部分组成：

MobileSubstrate

1. MobileHooker 利用iOS Runtime 动态替换函数，转发消息达到所谓的hook技术

2. MobileLoader 主要用来加载第三方动态库 即是tweak/*.dylib

3. Safe Mode 安全模式，防止第三方插件的Crash对主体App造成的影响

  • 由此可见 有了MobileSubstrate 作为基石，加上逆向工程，我们几乎可以完成我们想做的任何事情

iOS 目录层级结构

这种基于Unix 衍生的操作系统一般目录层级都有相通之初，不妨可以对比Android 以及 MacOS，会发现好多目录名是一致的，我么来挑一些简单讲解下：

/bin binnary ，系统常用的基本二进制文件 例如 cd, ls, ps 等
/usr 包含大多用户工具库
/var variable 存放经常更改的东西，例如 logs，用户数据，/var/mobile/Applications 是纺织AppStore 下载的 App
/Applications 存放所有系统App，以及从Cydia下载的App路径
/Library  存放了系统App的数据，其中有一个/Library/MobileSubstrate 目录，MobileSubstrate 是一个hook 功能开发平台，其中内容如下图所示，我们所开发的插件都被放置到这个里面

/Library/MobileSubstrate 里面文件类型主要有 dylib，plist
dylib 是动态加载库，就是tweak
plist 配合dylib 使用的filter 文件，指定注入目标，及hook的目标
/System 存放iOS 各种系统framework
/User 指向 /var/mobile 即是我们一般用户的主目录

iOS 程序类型

  • iOS 安装包格式

    1. ipa 苹果推出的iOS 专有安装包，一般从AppStore下载的包格式，安装路径/var/mobile/Applications，长按可删除
    2. deb 是属于Debain系(使用过debain linux 系统的都知道)特有的安装包，iOS 系统起源于Unix，所以兼容deb安装包，Cydia下载的App就是deb格式的，安装路径为到 /Applications ，长按不可删除，必须使用root 权限的命令行或者Cydia移除
    3. pxl （这种格式起源于Mac上的pkg，现在已经废弃）
  • iOS 安装包对比

    其实各大软件包虽然格式不一样，诸如 .apk, .ipa .deb .app 等等，其实实质都是一个zip 将二进制和资源文件合理的规划罗列出来

    1. 包内容对比：

    Payload文件夹:里面包含了app使用的图片以及二进制文件等

    iTunesArtwork:实际上是无后缀的png图片，在iTunes等上显示用

    iTunesMetadata.plist记录购买者的信息，软件版本，售价等

    com.apple.ZipMetadata.plist 是

Deb 结构其实是对Library Applications gzip 为 data.tar.gz里面

control 文件放到 control.tar.gz 中

  1. 权限： deb 安装到/Applications 下属于 root 用户组，所以可以读写权限和 一般的 .ipa mobile 用户不一样
  2. Deb 文件的安装方式就例如把本身自己文件路径完全拷贝到iOS 系统中
    • 其他iOS程序类型
  3. Dynamic Library

    我们上面说的DynamicLibraries 就是放置动态库的地方

  4. Daemon

    这个是后台运行程序，守护进程的程序，例如一直监听通话来电的进程 等等，这个就不多将了。

准备工作

硬件设备：

  • Mac
  • 已越狱的iDevice

辅助软件 :

Mac 需要的工具

在逆向工程中常见的 动态调试和静态分析使用的工具:

- class-dump

class-dump 用来dump 出越狱后的App 所有头文件的工具

  • IDA

    IDA 是最好的反编译工具，其实简单的逆向只用IDA就可以完全搞定了

  • LLDB

    动态调试的利器 配合 IDA 一动一静

  • Reveal

    一个方便UI调试定位的Debug的工具，我们可以快速的对应某个App界面对应的是某个类

  • iFunBox

    方便的文件管理辅助软件

iOS 需要使用的辅助开发工具
  • OpenSSH

    OpenSSH 可以让你的电脑远程登录你的手机

  • Cycript

    非常强大的工具，可以让开发者在命令行下和应用交互，在运行时查看和修改应用

  • iFile

    一个在手机方便管理文件系统的软件，犹如iFunbox ，Android 的Re管理器，可以方便的修改文件 安装Deb二进制文件

  • AppSync

    同步App，让安装的Deb App icon 出现在桌面

逆向过程

静态分析

根据上述所理解的情况，由于我们是想在微信中模拟定位，所以我们把微信作为我们的分析对象。

使用 class-dump 导出微信的头文件, 虽然我们在class-dump 官网上看到 直接导出的方式 class-dump -H xxx -o output/ 但是我们直接解压ipa 中的wechat 里面 去dump 是不行，我们会发现在output 文件夹里只有 CDStructures.h文件，而且是空的

这个原因是因为在上传AppStore 之后，AppStore自动给所有的ipa 进行了加密处理，所以我们要dump之前需要对微信的二进制文件进行砸壳处理

给App砸壳

我们需要一个dumpdecrypted.dylib 这样一个工具对我们的App 砸壳

我们 先ssh 到我们的iOS手机上，我们把所有的程序都结束掉，单单开微信一个然后执行

ps -e //列出当前运行的进程

TODO

可以看到以/var/mobile/Containers/ 开头列出的进程就是WeChat进程，我们知道所有App的的沙盒路径在 /var/mobile/Containers/Bundle/Application/03B61840-2349-4559-B28E-0E2C6541F879/ 中，但是我们并不知道 03B61840-2349-4559-B28E-0E2C6541F879 到底是哪一个App ，如果我们去目录中一个一个找的话，就太不容易了

这时候 cycript 就派上用处了，执行

 cycript -p WeChat
 cy# [[NSFileManager defaultManager] URLsForDirectory:NSDocumentDirectory inDomains:NSUserDomainMask][0]
#"file:///var/mobile/Containers/Data/Application/D41C4343-63AA-4BFF-904B-2146128611EE/Documents/"

这样我们就得到了微信Documents 目录，接下来使用scp 或者 ifunbox 吧拷贝到微信的Documents目录下 dumpdecrypted.dylib

开始砸壳

DYLD_INSERT_LIBRARIES=/path/to/dumpdecrypted.dylib /path/to/executable

当前目录下会生成WeChat.decrypted

这个就是砸过壳的WeChat，我们可以对它进行dump

执行

./class-dump -H WeChat.decrypted --arch armv7  -o output/

在当前目录下生成一个Output文件夹里面具有微信导出所有的头文件，包括第三方sdk等，我们把这些所有头文件放到一个空的Xcode 工程中方便查看。

我们根据直觉发现 Appdelegate 是微信的MircoMessengerAppDelegate，可以大概看到微信的项目结构等，其实逆向也是学习的一种方式

接着我们来想想我们要实现的功能，我们要改变我们的位置从而改变附近的人，我们大致可以猜想这个类应该交 Nearby Location 之类的，我们可以搜索对应的头文件。

我们发现搜Nearby 之后有这么多，到底哪一个是呢

其实我们除了排除法和一个一个推测之外，我们可以使用Reaveal 这个强大的工具帮我们定位

使用IDA静态分析

可以说class-dump 帮我们列出了整个header 文件，让我们对项目的整体结构有了一个大概的认识，但是对应具体.m 中的实现方案是哪一种，对于我们来说还是黑盒。这个时候我们就需要使用IDA强大的工具 进行分析。

打开IDA，选择new

我们把从Wechat.app 里面的WeChat 二进制拿出来，拖到上面IDA中，

由于我使用的是itouch 5 cpu 架构是armv7 所有用第一个，如果用错的话，则打断点得到的offset 是错误的，从而不能正常的debg

处理完成后如下图所示

其中我们可以轻易的看到 MicroMessengerAppDelegate 里面具体方法的实现，按空格键展开到视图模式

这里我们就可以看到.m中的实现了

动态调试

动态调试是我们没有源码的情况下，使用lldb 对代码的位置设断点进行调试，主要是算得相应代码的执行地址，以及如何Debug 获取我们想要的值。更具上述所说我们使用IDA的反编译结果

  1. iOS 开启debugserver 监听1234端口

    debugserver *:1234 -a “WeChat”

  2. Mac端运行lldb 和iOS server保持连接

    运行 lldb

    process connect connect://iOSIP:1234

  1. 获取ASLR的offset

    image list -o -f

offset 是 0xd000

  1. 获取断点地址

    br s -a 0xd000+0x649D8 // 下断点

  2. 开始调试

    ni po 等调试命令

直接启动一个App ：debugserver -x backboard *:1234 /path/to/app/executable

iOS 工程目录

libsubstrate.dylib

制作Tweak

Tweak 是什么

Tweak 在单词中的意思是”微调”的意思，其实就是第三方动态链接库dylib

Tweak 是基于MobileSubstrate 编写的，可以在运行时更改hook的App

了解 Theos

Theos 是一个越狱开发工具包，在《iOS应用逆向工程书中》也是介绍了这种方式，但是我个人更喜欢使用iOSOpenDev 的方式去创建项目(ps: 就和熟悉了git 命令行之后觉得用sourceTree 更直观)，所以这里简单提及一下，感觉iOSOpenDev 像是把命令行式的NIC模板变成了可视化的，其实差不多都没有多难。

安装iOSOpenDev

  1. 安装很简单，大家下载 installer 进行安装
  2. 安装完成后，创建新项目会在template 中iOS出现 iOSOpenDev

  3. 在这里我们选择Logos Tweak，创建完成如下

其中有一个fakeloc.xm 的文件，这个就是我们要进行代码编写的地方。打开fakeloc.xm文件我们可以看到里面的代码使用 logos 完成的，对于logos 这种新的一门语言，大家不用担心，其基本的语法和Objc类似，有几个特定的语法需要特别注意下：

Logos 基本语法 :

%hook 指定需要hook的类， 必须和 %end 结尾

%log 将函数信息写入syslog 进行打印信息

%orig 执行被hook住的函数，只能在 %hook 具体方法内执行

fakeloc.xm 对应的是 fakeloc.mm

我们在上述

在build Settings 上可以看到，底下有一栏是User-Define，这里是我们自定义的部分，在 iOSOpenDevDevice 的地方写上我们iOS 设备的ip地址 （局域网地址 如 192.168.1.103),前提是iOS 设备安装 OpenSSH

ssh 认证错误

iosod sshkey -h 192.168.1.109

制作App

最开始还以为创建越狱的App 都要用 Logos 语法去写，吓死宝宝了，其实iOS 越狱App的开发几乎和正常App 一模一样

首先我们还是创建一个工程，和普通创建工程一样，也可以用CocoaPods来管理你对于的第三方库

先创建一个新的项目和正常一样,按照如下方法配置后更改Build Settings。

增加Run Script，把control 从copy bundle resources 移除

项目整体结构

Build for Profiling 执行程序

App和Tweak通信交换数据

App如何加载Tweak

在生成了App 和 Tweak 之后，那我们App 中如何调用Tweak 呢？

答案是采用 dlopen

 void *handle = dlopen(TWEAK_PATH, RTLD_LAZY); //TWEAK_PATH 是dylib 的地址
    if (handle) {
        NSLog(@"handle");
        if (0 != dlclose(handle)) {
            printf("dlclose failed! %s\n", dlerror());
        }else {

        }
    } else {
         NSLog(@"nohandle");
        printf("dlopen failed! %s\n", dlerror());
    }

然后动态的获取对应的自定义类

Class TweakBridge = NSClassFromString(@”TweakBridge”);

App如何和Tweak 交互传输数据

这个问题最开始我也百思不得其解，最后采用了最稳定，最为简单的方法实现，就是往同一个文件中读写数据，这个文件可以作为传输数据的媒介。

但是刚开始笔者把文件放到 /var/mobile/xxx.plist， tweak 总是读取不到值，纠其原因是因为tweak 和我们的App 权限不一样，所以需要找到一个可以公共写的地方，这个地方是 /var/mobile/Library/Preferences/ 所以我们App 和 Tweak 信息交互采用一个写，另一个读的方式达到传输的目的，如果你有更好更直接的方法，可以提出来大家一起讨论

所以最后的代码是：

- (void)setLocWithLat:(double)lat andLng:(double)lng {
    NSLog(@"set lat & lng is %f &&&& %f", lat, lng);
    Class TweakBridge = NSClassFromString(@"TweakBridge");
    void *handle = dlopen(TWEAK_PATH, RTLD_LAZY);
    if (handle) {
        NSLog(@"handle");
        TweakBridge = NSClassFromString(@"TweakBridge");
        NSDictionary *dict = @{@"lat":[NSNumber numberWithDouble:lat], @"long":[NSNumber numberWithDouble:lng]};
        BOOL isSuccess = [dict writeToFile:LOCATION_PATH atomically:YES];
        NSLog(@"isSuccess, %d", isSuccess);
        CLLocation *location = [[TweakBridge shareInstance] getCoreLocation];
        if (0 != dlclose(handle)) {
            printf("dlclose failed! %s\n", dlerror());
        }else {

        }
    } else {
         NSLog(@"nohandle");
        printf("dlopen failed! %s\n", dlerror());
    }
}

打包安装

整理目录结构

那我们如何将我们的Tweak 和 我们的App 结合在一起，让用户安装后就可以直接使用呢，鉴于我们上文说到的deb 格式，打包的方式和结构和zip 其实是一致的

iOS 系统可安装的包格式和结构我们在上文已经阐述过，现在是如何生成Deb 包

我们分别取出 dylib 和 app 的生成的目录

统一都放到一个单独的Package 目录下，最后的目录结构如下图

执行打包命令

我们按照Deb 排布的目录结构把所有的文件按照下图层级排放，然后使用 dpkg-deb 方式进行打包，注意打包的时候deb 中最好不要有 .DS_Store 文件，我写了如下的脚本去去除，同时生成Deb文件

#!/bin/bash
find ./Package -name ".DS_Store" -depth -exec rm {} \;
dpkg-deb -Zgzip -b Package fakeLoc.deb

生成的安装包如下，然后我们scp 到设备中

我们使用iFunbox 把生成好的fakeLoc .deb 拖到根目录下，然后在手机上打开iFile，点击fakeLoc.deb 安装程序，安装完之后我们把AppSync 重新安装一遍重启手机，然后就能打开我们的App了，同时发现长按我们的App 和系统应用， Cydia 等一样，是不可以卸载的，应

为我们是安装到了/Applications 下面，卸载可以使用命令行删除，或者使用Cydia。

安装完成，之后重启设备就行

安装验证

打开App 让我们输入精度和纬度，然后执行，最后打开微信附近的人看看，是不是附近的人发生了改变，如果做的更好，精度纬度在地图上选取，当让我们的核心功能就讲解到这里为止了，我们简单的测试结果如下：

我们可以在 地图选址器 选择不同的位置，进行测试

  1. 首先我们先输入北京的坐标

  2. 然后打开微信附件的人

可以看到大部分人都是北京的

  1. 我们在重新输入一个地址，比如广州，然后在打开微信

成功模拟了微信附近的人

发布App

这可不向发布到AppStore那样，首先你需要一个托管源，如果不想自己搭建则可以采用

thebigboss.org/hosting-repository-cydia/submit-your-app

填写相关信息，这些就不再叙述了。

如果你的App被拒，你就邮件和回邮件的人沟通（一般是管理员 optimo），对方挺Nice的，你只要按照他们说的要求改，坚持自己正确的原则，一般是没有问题的~

总结

本文抛砖引玉，希望你对iOS越狱有一个初步的理解，能够完成自己的任意App，开发出更好玩的Tweak，比如微信抢红包的插件是不是就看似也不难实现了呢，本示例工程都托管在Github上，其中fakeloc 是 dylib 即tweak TestFakeTweak是app 工程，HackAppTool 我们上述文章描述需要用的第三方工具

项目地址：https://github.com/jackrex/FakeWeChatLoc

常见问题

  1. 安装软件后桌面没有出现软件

    解决方案：

重新安装下AppSync 并重启SpringBoard
  1. iOS6 系统Crash

    解决方案：

由于iOS7之后引入一些新的类库等，在iOS6设备上的兼容性一般，所以在工程的framework 中把 require 改为 option
  1. iOS 越狱后忘记了root 密码

    解决方案 ：

root密码文件存放地方：/etc/master.passwd
用iFile的文本编辑功能打开master.passwd，更改之前记得权限
你会找到类似这样的一行字符——root:UlD3amElwHEpc:0:0::0:0:System
UlD3amElwHEpc就是加密过的密码
把它更替为ab3z4hnHA5WdU，这是对应的密码就是abc123。
保存，重启。
有了密码abc123你就可以进一步修改成其它的密码了

参考

  1. 《iOS应用逆向工程》
  2. http://iosopendev.com/
  3. http://iphonedevwiki.net/
  4. http://security.ios-wiki.com/
时间： 2024-11-07 23:15:04

手把手教你制作一款iOS越狱App，伪装微信位置的相关文章

教你动手做一个 iOS 越狱 app

前言 俗话说得好, 万事开头难. 仅仅是上图一个如此简单地不能再简单的小app, 其实都不算是app, 只是注入了一段代码进系统中, 等到特定的函数方法调用的时候就会被我们hook掉, 执行我们写的代码, 仅此而已. 哈哈, 就是这样一个小功能, 搞得我焦头烂额了一个晚上, 所以大家不用害怕, 连我这样的菜鸟都能实现, 大家只要认真看我的总结, 就一定可以自己也动手在自己越狱iPhone, iPad上嗨起来! ps : 为了纪念这神圣的一刻, 就算是这么简单的程序我也把它放到了我的Github上

手把手教你从零开始做一个好看的 APP

前言 从零开始,手把手带你实现一个「专注睡前的 APP」.睡觉之前如果能有一个 APP,能让我们写一写这一天的见闻或者心得,同时又能看一会段子.瞄一会好看的妹子,放松一下疲惫的身心那该多好,这也是我完成这个 APP 的原因.APP 的全部代码我已经分享到?Github?上了,需要的直接 点击这里,如果喜欢的话,麻烦给个 star,谢谢啦. 本文为这一系列文章的总述,如果觉得篇幅过长,请点击下面的连接 手把手教你从零开始做一个好看的 APP - Day one 手把手教你从零开始做一个好看的 AP

UWP Jenkins + NuGet + MSBuild 手把手教你做自动UWP Build 和 App store包

背景 项目上需要做UWP的自动安装包,在以前的公司接触的是TFS来做自动build. 公司要求用Jenkins来做,别笑话我,之前还真不晓得这个东西. 会的同学请看一下支持错误,不会的同学请先自行脑补,我们一步一步的来. 首先我们准备2个安装包,Jenkins,NuGet 都下载最新的好了. 1. 安装Jenkins,下一步下一步.安装好了会自动浏览器跳转到http://localhost:8080/ 如下图 按照提示去C:\Program Files (x86)\Jenkins\secrets

手把手教你制作3.3V的Arduino

Arduino pro mini是基于ATmega328的微控制板,支持5V/3.3V电压.但是默认是5V电压.怎样才能让这款板板支持3.3V电压呢.        准备工作 1.  如果你从来没有使用过Arduino,你首先需要下载IDE.如何安装在此不赘述. 2.  准备两块板板,一块是我们的Arduino pro mini目标板,另一块是用来烧写目标板的arduino板板,本文使用一块同样的Arduino pro mini作为烧写板.(没有特殊原因,只因为博主刚好有两块Arduino pr

ps图标制作教学：手把手教你制作蓝色六角形的水晶图标

下面将会教大家用Photoshop去制作图标,本教程是以制作蓝色六角形的水晶图标,效果图为比较简单的图形图标,制作过程:先用路径或形状工具画出想要的图形,然后用图层样式等加上质感和纹理,顶部再添加一些小的文字或图形等即可.最终效果 ? 初学者到精通的进阶视频教程:E学堂ps cs6从入门到精通视频教程 素材搜集推介:e良师益友网设计制作 1.首先我们将整个图标分解开来,共有四部分组成,然后我们分层制作. 2.先在画布上绘制一个圆角六边形,然后添加下图所示的图层样式. 3.将之前那个圆角六边形复制

手把手教你制作AppPreview视频并上传到appStore进行审核

注意,你需要使用iMovie才能够制作AppPreview视频文件,用QuickTime录制的无效! 最终效果 1. 新建一个事件 2. 创建应用程序预览 3. 导入视频文件(该视频文件需要你用QuickTime事先进行录制,此处不赘述) 4. 导入音频文件 5. 将视频文件音频文件拖到编辑区域 6. 加载转场文件 7. 分离文件并添加转场文件 8. 剪辑结束 9. 导出并生成App Preview文件 注意: 导出文件的时候,需要选择正确的分辨率,否则提交不了(此处需要选择640x1136)

【openstack N版】——手把手教你制作生产环境镜像

一.CentOS7镜像制作 1.1创建CentOS7虚拟机 1.1.1创建虚拟磁盘 1 #注:尽量将虚拟机创建在控制节点,以便于将镜像上传至glance 2 [[email protected] ~]# qemu-img create -f qcow2 /tmp/centos7.qcow2 10G 1.1.2创建虚拟机 #非桥接网卡 [[email protected]-node1 ~]# virt-install --virt-type kvm --name centos --ram 1024

建模、纹理、后期，手把手教你制作《向日葵公主》

转自:http://www.gameres.com/769713.html <向日葵公主>的这个画像是一个个人项目,当我看到Gop Gap的概念原画时,我感觉其十分的神奇,我真的想在3D中做出这个角色.在<向日葵公主>这幅画的制作中,我将展示我是如何通过调整建模,纹理,光线和后期制作的方式来创建这个作品的. 步骤1:建模01 我最开始在ZBrush中对角色进行建模.我特别喜欢在ZBrush中进行建模,因为这样一来得出成果会非常的快.同时这个方法也非常简单,也可以用ZBrush在设计

Caffe系列2——制作LMDB数据详细过程（手把手教你制作LMDB）

制作LMDB详细教程 摘要: 当我们在使用Caffe做深度学习项目时,经常需要制作Caffe常用的数据类型lmdb.leveldb以及hdf5等(尽管可以使用原始图片,效率低),而不是我们常见的JPG.PNG.TIF.因此,我们需要对我们采集的数据进行格式转换,即通过输入我们自己的图片目录(包含有训练集和验证集的大量图片)转换成一个lmdb库文件的输出:这个过程一般是有Caffe工具中的convert_imageset,该工具在编译过的Caffe中,具体位置是:D:\你的caffe根目录\caf