shell脚本实现iOS包重签名及代码注入

旧城等待， 2023-07-23 10:57 39阅读 0赞

![format_png][]

Qinz

当我们要逆向第三方应用时，首先就是要将应用安装在我们的手机上，然后进行hook分析，找到对应的方法调用，进行代码注入，破解其正常流程，从而达到逆向目的。接下来将详细讲解分析该过程具体实现。

一、shell脚本实现重签名

1. 我们以最常见的应用微信为例，其他应用原理一样！首先我们去PP助手下载越狱版本的微信应用，如下图：

![format_png 1][]

*  1.1 越狱版本的应用是没有加密的，正式版本的应用是加过密的,我们用MachOView来查看应用的可执行文件信息，演示如下：
    
     
    
    ![aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xNzE5ODc4LTNjMGZmZWY4ODhhMmVlODYuZ2lmP2ltYWdlTW9ncjIvYXV0by1vcmllbnQvc3RyaXB8aW1hZ2VWaWV3Mi8yL3cvMTEzOS9mb3JtYXQvd2VicA][]
    
    02
 *  1.2 从上图中我们可以看到LC\_ENCRYPTION\_INFO\_64加密信息这一栏中的Crypt ID为0，代表没有加密，而微信的正式版本此处为1，代表用到了某一种加密方式，加密的我们是很难去进行代码注入的。

2.我们先来看一下重签微信app的效果，演示如下：

![aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xNzE5ODc4LTExMWMyNjczYmI4NDE2N2EuZ2lmP2ltYWdlTW9ncjIvYXV0by1vcmllbnQvc3RyaXB8aW1hZ2VWaWV3Mi8yL3cvMTEzOS9mb3JtYXQvd2VicA][]

*  2.1 接下来我们将详细讲解重签过程，这里的重签可以手动也可以使用脚本，手动比较繁琐，这里就不演示了。下面我们基于shell脚本来完成代码的重新签名，总计不超过20条命令，在进行shell脚本讲解之前，如果你不熟悉shell脚本,请先花点时间看下[入门教程][Link 1]。
 *   
    
     
    
    2.2 我们新建立一个WeChat的同名工程，方便后续文件的替换，其他应用类似。然后在工程目录下新建一个APP文件，这里用于放置我们刚下载的ipa包，演示如下：
    
    ![aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xNzE5ODc4LWZjNDczYWVjOGU4NjIwYjcuZ2lmP2ltYWdlTW9ncjIvYXV0by1vcmllbnQvc3RyaXB8aW1hZ2VWaWV3Mi8yL3cvMTEzOS9mb3JtYXQvd2VicA][]
    
    04
 *  2.3 我们为工程创建一个脚本文件，然后添加证书管理，接下来运行即可，三步就解决了重签名问题，演示如下：
    
     
    
    ![aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xNzE5ODc4LWMxNWExY2U2ZjI3Y2Q4MjkuZ2lmP2ltYWdlTW9ncjIvYXV0by1vcmllbnQvc3RyaXB8aW1hZ2VWaWV3Mi8yL3cvMTE0Ny9mb3JtYXQvd2VicA][]
    
    05
 *  2.4 关键就在于shell脚本的实现过程，这里给出shell签名脚本，脚本中每一行都做了详细注释，[完整脚本地址][Link 2]。

#获取手动创建的APP文件夹，用来放置越狱版本的Ipa包,${SRCROOT} 代表工程文件所在的目录
    crackPath="${SRCROOT}/APP"
    #获取越狱版本Ipa路径
    oldIpaPath="${crackPath}/*.ipa"
    # 创建一个临时文件夹，用来放置解压的Ipa文件
    tempPath="${SRCROOT}/Temp"
    
    #首先先清空Temp文件夹
    rm -rf "$tempPath"
    #创建临时文件夹目录
    mkdir -p "$tempPath"
    
    
    # 1. 解压IPA到temp下
    unzip -oqq "$oldIpaPath" -d "$tempPath"
    # 拿到解压的临时的APP的路径
    oldIPaPath=$(set -- "$tempPath/Payload/"*.app;echo "$1")
    
    # 2. 将解压出来的.app拷贝进入工程下
    # BUILT_PRODUCTS_DIR 工程生成的APP包的路径(系统创建的)
    # TARGET_NAME target名称(系统创建的)
    targetAppPath="$BUILT_PRODUCTS_DIR/$TARGET_NAME.app"
    # 打印app编译后的路径
    echo "app路径:$targetAppPath"
    
    #先删除app所在路径文件
    rm -rf "$targetAppPath"
    #重新创建该文件路径
    mkdir -p "$targetAppPath"
    #将解压的app文件拷贝到Xcode编译的app文件目录，让Xcode认为这是它编译出来的，Xcode就会帮我们完成签名工作
    cp -rf "$oldIPaPath/" "$targetAppPath"
    
    
    # 3. 删除extension和WatchAPP.个人证书没法签名Extention
    rm -rf "$targetAppPath/PlugIns"
    rm -rf "$targetAppPath/Watch"
    
    
    # 4. 更新info.plist文件 CFBundleIdentifier,PlistBuddy是更改plist文件的可执行文件
    #  设置:"Set : KEY Value" "目标文件路径"
    /usr/libexec/PlistBuddy -c "Set :CFBundleIdentifier $PRODUCT_BUNDLE_IDENTIFIER" "$targetAppPath/Info.plist"
    
    
    # 5. 重签名第三方 FrameWorks
    tagetAppFramworkPath="$targetAppPath/Frameworks"
    if [ -d "$tagetAppFramworkPath" ];
    then
    for frameWork in "$tagetAppFramworkPath/"*
    do
    
    #签名
    /usr/bin/codesign --force --sign "$EXPANDED_CODE_SIGN_IDENTITY" "$frameWork"
    done
    fi

二、framework代码注入

1. 首先我们在代码签名的工程的基础上，创建一个framework库，并添加一个load方法，里面写入我们需要注入的代码，演示如下:

![aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xNzE5ODc4LWNjOTA1YTliYjJiODg0Y2UuZ2lmP2ltYWdlTW9ncjIvYXV0by1vcmllbnQvc3RyaXB8aW1hZ2VWaWV3Mi8yL3cvMTEyNy9mb3JtYXQvd2VicA][]

*  1.1 然后我们在脚本后面增加注入代码

# 拿到MachO文件的路径
    APP_BINARY=`plutil -convert xml1 -o - $targetAppPath/Info.plist|grep -A1 Exec|tail -n1|cut -f2 -d\>|cut -f1 -d\<`
    #注入
    yololib "$targetAppPath/$APP_BINARY" "Frameworks/Inject.framework/Inject"

*  1.2 运行工程，可以看到我们注入的代码成功了，演示如下:
    
     
    
    ![aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xNzE5ODc4LWE2M2U4NjA0MWFkZWFlM2MuZ2lmP2ltYWdlTW9ncjIvYXV0by1vcmllbnQvc3RyaXB8aW1hZ2VWaWV3Mi8yL3cvMTEyNy9mb3JtYXQvd2VicA][]
    
    07
 *  1.3 上面工程有306个报错，这个是我电脑权限的问题，可以忽略，你的电脑运行应该不会有问题。我们可以看到代码已经注入成功，至于为什么是在load方法中添加，详细了解请查看我的另一篇文章[《dyld加载应用启动原理详解》][dyld]，里面有分析代码的注入时机！
 *  1.4 接下来我们来分析yololib这句脚本到底干了什么？首先我们将自己创建的framework可执行文件和wechat的可执行文件拿出来，然后执行yololib命令演示如下图:
    
     
    
    08
 *  1.5 [yololib下载地址][yololib]。使用yololib将自己的framework注入到WeChat可执行文件中，演示如下图:
    
    ![aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xNzE5ODc4LTBkMzE2ZDRiY2I3NzRjMzkuZ2lmP2ltYWdlTW9ncjIvYXV0by1vcmllbnQvc3RyaXB8aW1hZ2VWaWV3Mi8yL3cvMTEyNy9mb3JtYXQvd2VicA][]
    
    09
    
     
 *  1.6 接着用machOView来查看WeChat可执行文件中是否存在自己创建的库问题,如下图:
    
     
    
    ![format_png 2][]
    
    10

2. 截获微信注册方法

*  2.1 我们使用调试工具查看注册按钮的调用方法，演示如下图:
    
     
    
    ![aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xNzE5ODc4LTkxZWUyZDljZmJhNWM1NWIuZ2lmP2ltYWdlTW9ncjIvYXV0by1vcmllbnQvc3RyaXB8aW1hZ2VWaWV3Mi8yL3cvMTEyNy9mb3JtYXQvd2VicA][]
    
    11
 *  2.2 我们可以看到调用的Target是"WCAccountLoginControlLogic"，点击注册按钮执行的方法为"onFirstViewRegester",有了这个，接下来就是简单的方法交换了。
 *  2.3 我们在自己的framwork中写入方法交换方法，如下：

+(void)load
        {
            Method oldMethod = class_getInstanceMethod(objc_getClass("WCAccountLoginControlLogic"), @selector(onFirstViewRegester));
            
            Method newMethod = class_getInstanceMethod(self, @selector(test));
            
            method_exchangeImplementations(oldMethod, newMethod);
        }
        
    -(void)test{
        NSLog(@"----截获到微信注册按钮点击------");
    }

*  2.4 接下来我们运行程序，点击按钮，演示如下:
    
     
    
    ![aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xNzE5ODc4LWIwZTQ2YzdiYjhkNDdkMmQuZ2lmP2ltYWdlTW9ncjIvYXV0by1vcmllbnQvc3RyaXB8aW1hZ2VWaWV3Mi8yL3cvMTA1Ny9mb3JtYXQvd2VicA][]
    
    12

到此，shell脚本的自动签名和framework代码注入到此完成，还有一种dylib的注入，是用macOS的库来完成的，相对来说这个比较简单，如果有需要我会更新dylib的相关文章，主要熟悉掌握framwork的注入即可。[附上脚本下载，帮助到你请给一个Star][Star]。

我是Qinz,希望我的文章对你有帮助。

作者：Qinz  
链接：https://www.jianshu.com/p/7d5daf6436b2  
来源：简书  
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。

[format_png]: /images/20230528/8b3481230b094aadb85c5a415c5c678a.png
[format_png 1]: /images/20230528/0a854de0e57c4f3789c94b723f53c68a.png
[aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xNzE5ODc4LTNjMGZmZWY4ODhhMmVlODYuZ2lmP2ltYWdlTW9ncjIvYXV0by1vcmllbnQvc3RyaXB8aW1hZ2VWaWV3Mi8yL3cvMTEzOS9mb3JtYXQvd2VicA]: /images/20230528/bd79f07f99a14ed880abad741835307f.png
[aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xNzE5ODc4LTExMWMyNjczYmI4NDE2N2EuZ2lmP2ltYWdlTW9ncjIvYXV0by1vcmllbnQvc3RyaXB8aW1hZ2VWaWV3Mi8yL3cvMTEzOS9mb3JtYXQvd2VicA]: /images/20230528/21c17b48d7e34b57b2b96c784571f30d.png
[Link 1]: https://links.jianshu.com/go?to=http%3A%2F%2Fwww.runoob.com%2Flinux%2Flinux-shell.html
[aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xNzE5ODc4LWZjNDczYWVjOGU4NjIwYjcuZ2lmP2ltYWdlTW9ncjIvYXV0by1vcmllbnQvc3RyaXB8aW1hZ2VWaWV3Mi8yL3cvMTEzOS9mb3JtYXQvd2VicA]: /images/20230528/6c7fdd87bf7245afafbee3afe87f5cad.png
[aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xNzE5ODc4LWMxNWExY2U2ZjI3Y2Q4MjkuZ2lmP2ltYWdlTW9ncjIvYXV0by1vcmllbnQvc3RyaXB8aW1hZ2VWaWV3Mi8yL3cvMTE0Ny9mb3JtYXQvd2VicA]: /images/20230528/84a80c1b1c3041afb8c035df8b97bb50.png
[Link 2]: https://links.jianshu.com/go?to=https%3A%2F%2Fgithub.com%2Fys323945%2FQinSignApp
[aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xNzE5ODc4LWNjOTA1YTliYjJiODg0Y2UuZ2lmP2ltYWdlTW9ncjIvYXV0by1vcmllbnQvc3RyaXB8aW1hZ2VWaWV3Mi8yL3cvMTEyNy9mb3JtYXQvd2VicA]: /images/20230528/8a176d1f386b4081b2873b2fbf10d854.png
[aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xNzE5ODc4LWE2M2U4NjA0MWFkZWFlM2MuZ2lmP2ltYWdlTW9ncjIvYXV0by1vcmllbnQvc3RyaXB8aW1hZ2VWaWV3Mi8yL3cvMTEyNy9mb3JtYXQvd2VicA]: /images/20230528/2a5a5c0869ad44cb8e25c51cb898a2e8.png
[dyld]: https://www.jianshu.com/p/1b9ca38b8b9f
[yololib]: https://links.jianshu.com/go?to=https%3A%2F%2Fgithub.com%2FKJCracks%2Fyololib
[aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xNzE5ODc4LTBkMzE2ZDRiY2I3NzRjMzkuZ2lmP2ltYWdlTW9ncjIvYXV0by1vcmllbnQvc3RyaXB8aW1hZ2VWaWV3Mi8yL3cvMTEyNy9mb3JtYXQvd2VicA]: /images/20230528/bc07b9eba6134be8a96f200ed5c6ecf4.png
[format_png 2]: /images/20230528/8d700d3f96584fb8ab430a7b179e7561.png
[aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xNzE5ODc4LTkxZWUyZDljZmJhNWM1NWIuZ2lmP2ltYWdlTW9ncjIvYXV0by1vcmllbnQvc3RyaXB8aW1hZ2VWaWV3Mi8yL3cvMTEyNy9mb3JtYXQvd2VicA]: /images/20230528/dab3bb03428c496c8cd156e7ecc578ed.png
[aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8xNzE5ODc4LWIwZTQ2YzdiYjhkNDdkMmQuZ2lmP2ltYWdlTW9ncjIvYXV0by1vcmllbnQvc3RyaXB8aW1hZ2VWaWV3Mi8yL3cvMTA1Ny9mb3JtYXQvd2VicA]: /images/20230528/8094cf2db3f041c9baa3058f673cdbae.png
[Star]: https://links.jianshu.com/go?to=https%3A%2F%2Fgithub.com%2Fys323945%2FQinSignApp%2Ftree%2Fmaster