iOS攻防 - （九）將iOS應用hook和注入dylib後，重新簽名並打包

1.下載微信，並解密WeChat.ipa

2.檢視解密後的微信的基本資訊

通過cd命令到解密後微信的目錄，名稱com.tencent.xin-iOS7.0-(Clutch-2.0.4)是利用Clutch解密後生成的ipa，並解壓壓縮包的目錄

$ cd com.tencent.xin-iOS7.0-(Clutch-2.0.4)/Payload/WeChat.app/

$ file WeChat

得到微信編譯使用的架構：

WeChat: Mach-O universal binary with 2 architectures: [arm_v7: Mach-O executable arm_v7] [arm64]
WeChat (for architecture armv7): Mach-O executable arm_v7
WeChat (for architecture arm64): Mach-O 64-bit executable arm64

然後檢視微信是否解密成功，利用otool工具，安裝過xcode就表明已經安裝過otool

$ otool -l WeChat | grep crypt

得到如下資訊，cryptid 等於1表示加密，0表示解密

cryptoff 16384
cryptsize 52756480
cryptid 0
cryptoff 16384
cryptsize 56770560
cryptid 0

3.安裝iOSOpenDev

3.1 先安裝MacPorts，選擇你的MacBook相應的版本安裝
3.2 重啟啟動終端，輸入如下，也就是更新MacPorts

sudo port -v selfupdate

3.3 安裝DPKG，安裝過程中有一個提示，輸入Y即可

sudo port -f install dpkg

3.6 去瀏覽器開啟以下地址，下載必須要用的openssl和Specifications

解壓後，把Specifications目錄下的，

3.6.1 iPhone.Simulator開頭的四個檔案拷貝到/Applications/Xcode/Content/Developer/Platforms/iPhoneSimulator.platform/Developer/Library/Xcode/Specifications 如果Specifications目錄不存在，則建立一個

3.6.2 將iPhoneOS開頭的四個檔案拷貝到/Applications/Xcode/Content/Developer/Platforms/IphoneOS.platform/Developer/Library/Xcode/Specifications 如果Specifications目錄不存在，則建立一個

4.建立hook工程專案

4.1 建立一個Xcode工程，選擇iOSOpenDev模板裡的CaptainHook Tweak，給專案命名為hook

4.2 替換hook.mm檔案的內容如下：

attribute((constructor)) static void entry() {
NSLog(@”hello, world!”);
}

4.3 Edit Scheme = Debug, 然後編譯專案command + B，在專案的目錄LatestBuild下找到hook.dylib, 並把hook.dylib拷貝到WeChat.app/目錄下

4.4 下載yololib , 編譯後，把yololib可執行檔案拷貝到com.tencent.xin-iOS7.0-\(Clutch-2.0.4\) 同級目錄，並執行如下命令，其實意思就是向WeChat可執行檔案裡注入hook.dylib庫

./yololib com.tencent.xin-iOS7.0-(Clutch-2.0.4)/Payload/WeChat.app/WeChat hook.dylib

會輸出如下所示

[email protected]:~/Desktop/apps/WeChat$ ./yololib com.tencent.xin-iOS7.0-\(Clutch-2.0.4\)/Payload/WeChat.app/WeChat hook.dylib 
2017-05-28 13:13:22.001 yololib[1079:122842] dylib path @executable_path/hook.dylib
2017-05-28 13:13:22.002 yololib[1079:122842] dylib path @executable_path/hook.dylib
Reading binary: com.tencent.xin-iOS7.0-(Clutch-2.0.4)/Payload/WeChat.app/WeChat

2017-05-28 13:13:22.003 yololib[1079:122842] FAT binary!
2017-05-28 13:13:22.003 yololib[1079:122842] Injecting to arch 9
2017-05-28 13:13:22.003 yololib[1079:122842] Patching mach_header..
2017-05-28 13:13:22.003 yololib[1079:122842] Attaching dylib..

2017-05-28 13:13:22.003 yololib[1079:122842] Injecting to arch 0
2017-05-28 13:13:22.003 yololib[1079:122842] 64bit arch wow
2017-05-28 13:13:22.003 yololib[1079:122842] dylib size wow 56
2017-05-28 13:13:22.003 yololib[1079:122842] mach.ncmds 77
2017-05-28 13:13:22.003 yololib[1079:122842] mach.ncmds 78
2017-05-28 13:13:22.003 yololib[1079:122842] Patching mach_header..
2017-05-28 13:13:22.004 yololib[1079:122842] Attaching dylib..

2017-05-28 13:13:22.004 yololib[1079:122842] size 51
2017-05-28 13:13:22.004 yololib[1079:122842] complete!

4.5 拷貝hook.dylib到WeChat.app/目錄下

cp hook.dylib WeChat.app/

4.6 建立一個專案，bundle identifier可以取為com.tencent.xin2 ，當然你取什麼都可以，然後在https://developer.apple.com 建立它的App ID和Provisioning Profile證書（distribution版）,並且打一個release包，把這個包裡面包含的 embedded.mobileprovision 檔案拷貝到 WeChat.app/ 下

4.7 在 https://developer.apple.com 查詢到證書的對應的AppID=com.tencent.xin2的provisioning profile證書，下載下來，通過如下命令可以看到.mobileprovision 的內容

security cms -D -i example.mobileprovision

4.8 通過簽名命令可以得到如下Entitlements的配置資訊，

codesign -d –entitlements - WeChat.app

並建立一個Entitlements.plist檔案，貼上上面命令輸出的內容，檔案基本內容如下：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
 <dict>
  <key>application-identifier</key>
  <string>BA7DZZ39KJ.com.domain.projectname</string>
  <key>com.apple.developer.team-identifier</key>
  <string>BA7DZZ39KJ</string>
  <key>get-task-allow</key>
  <true/>
  <key>keychain-access-groups</key>
  <array>
      <string>BA7DZZ39KJ.*</string>
  </array>
 </dict>
</plist>

4.9 檢視所有可用於簽名的證書

security find-identity -v -p codesigning

4.10 對hook.dylib動態庫進行簽名，並驗證，其中B3C14FC452E835C09B70D5C24961EBAFC0A2C4B9是證書的一個字串，可以從4.9的步驟檢視到，驗證無報錯資訊，則表示通過

codesign -f -s B3C14FC452E835C09B70D5C24961EBAFC0A2C4B9 WeChat.app/hook.dylib
codesign –verify WeChat.app/hook.dylib

4.11 先把WeChat.app/_CodeSignature 目錄刪除掉，然後把WeChat.app裡的Info.plist檔案裡的BundleID改成com.tencent.xin2，接著對WeChat.app進行簽名，驗證

codesign -f -s B3C14FC452E835C09B70D5C24961EBAFC0A2C4B9 WeChat.app
codesign –verify WeChat.app

4.12 檢視WeChat.app可執行檔案簽名狀態的資訊，這些資訊在出現不明錯誤時會提供巨大的幫助：

codesign -vv -d WeChat.app

4.13 ipa打包

xcrun -sdk iphoneos PackageApplication -v WeChat.app -o $(pwd)/WeChat2.ipa

但是，自從Xcode 8.3.2 後，PackageApplication 就不可用了，先google找找問題吧，解決方案如下：

我把Xcode 8.3.2之前的PackageApplication指令碼複製到了/Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/usr/bin目錄下，然後使用 chmod 777 PackageApplication 給這個指令碼執行許可權，最後可以正常打包了，下載地址

我們知道正常打包的流程如下
1.清除快取

xcodebuild clean

2.編譯專案，編譯後，當前專案目錄會出現 `build/Release-iphoneos/TodaysAppForReSign.app’ 檔案

xcodebuild -sdk iphoneos10.3 -target TodaysAppForReSign -configuration Release -arch arm64 -arch armv7 CODE_SIGN_IDENTITY=”iPhone Distribution: victor zhang (BBBBAAAACCCC888899)”

3.生成ipa包

xcrun -sdk iphoneos PackageApplication -v build/Release-iphoneos/TodaysAppForReSign.app -o $(pwd)/TodaysAppForReSign.ipa

在這裡，我們只需要使用第三步即可

未完待續。。。