神刀安全网

iOS开发 HOOK 下篇之 Cydia Substrate

一 Cydia Substrate

Cydia Substrate 原名为 Mobile Substrate ,它的主要作用是针对OC方法、C函数以及函数地址进行HOOK操作。当然它并不是仅仅针对iOS而设计的,安卓一样可以用。是对Method Swizzle和fishhook的封装。
Cydia Substrate主要由3部分组成:

  • MobileHooker
       MobileHooker顾名思义用于HOOK。它定义一系列的宏和函数,底层调用objc的runtime和fishhook来替换系统或者目标应用的函数.
    其中有两个函数:
    MSHookMessageEx 主要作用于Objective-C方法
    void MSHookMessageEx(Class class, SEL selector, IMP replacement, IMP result)
    MSHookFunction 主要作用于C和C++函数
    void MSHookFunction(voidfunction,void* replacement,void** p_original)
    Logos语法的%hook 就是对此函数做了一层封装
  • MobileLoader
       MobileLoader用于加载第三方dylib在运行的应用程序中。启动时MobileLoader会根据规则把指定目录的第三方的动态库加载进去,第三方的动态库也就是我们写的破解程序.
  • safe mode

因为APP程序质量参差不齐崩溃再所难免,破解程序本质是dylib,寄生在别人进程里。 系统进程一旦出错,可能导致整个进程崩溃,崩溃后就会造成iOS瘫痪。所以CydiaSubstrate引入了安全模式,在安全模 式下所有基于CydiaSubstratede 的三方dylib都会被禁用,便于查错与修复。

二 逆向hook过程

  1. 找到包内容中的MachO文件,然后 把可执行文件的头文件导出来class-dump -H MachO文件 -o 文件夹
  2. 新建MonkeyApp,把ipa拖到MonkeyApp的TargetApp文件夹中,然后真机运行
  3. 利用Xcode的Debug View Hierarchy功能,找到需要hook的类和方法名,然后去class-dump出来的头文件里找出来。
  4. 如果某些方法无法通过UI来判定,那么就hook住这个类中的所有方法,然后%log 看输出,分析出自己想要的方法
  5. 得到方法名和类名后就可以开始hook了

Logos语法

  • %hook 要hook的类
%hook ViewController //要hook的类  - (void)loginBtnClick:(id)arg1 {          %log     UIAlertController *alertController = [UIAlertController alertControllerWithTitle:@"group1" message:nil preferredStyle:UIAlertControllerStyleAlert];     UIAlertAction *connectAction = [UIAlertAction actionWithTitle:@"确定" style:UIAlertActionStyleDefault handler:nil];     [alertController addAction:connectAction];     [self presentViewController:alertController animated:YES completion:nil]; } %end 

当只有一个分组时,有隐性的构造函数,所以直接%hook %end就可以hook想要的类和方法。%hook %end可以hook一个类

  • %group 分组
    两个以上分组时要构造函数并初始化%group %%end是一个分组
%group group1  //第一个组  %hook ViewController //要hook的类 - (void)loginBtnClick:(id)arg1 {         %log  //输出方法的详细信息 } %end  %end  %group group2  //第二个组  %hook ViewController - (void)loginBtnClick:(id)arg1 {     %orig; //执行的流程 可以有参数和返回值     %log  //输出方法的信息     UIAlertController *alertController = [UIAlertController alertControllerWithTitle:@"group2" message:nil preferredStyle:UIAlertControllerStyleAlert];     UIAlertAction *connectAction = [UIAlertAction actionWithTitle:@"确定" style:UIAlertActionStyleDefault handler:nil];     [alertController addAction:connectAction];     [self presentViewController:alertController animated:YES completion:nil]; }  %end  %end 
  • %ctor 构造函数
//构造函数 constructor 指定加载哪个组 init的时候,后面的会覆盖前面的%init(group2)%init(group1) group1生效 //默认的 %ctor{  %init(_ungrouped)} // %ctor{     NSString * version = [UIDevice currentDevice].systemVersion;     if(version.doubleValue >= 11.1){         %init(group2)     }else{         %init(group1)     } } 
  • %new 添加方法
%new //给类添加方法 -(void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event{     [self.view endEditing:YES];     //调用类方法 //    [self.class HK_classMethod]; //    [NSClassFromString(@"ViewController") HK_classMethod];     [%c(ViewController) HK_classMethod];     //%c(ViewController) 拿到ViewController类 class }  %new //添加类方法 +(void)HK_classMethod{     NSLog(@"这是一个类方法!"); } 
  • %orig 执行原本方法的流程
- (void)viewDidAppear:(_Bool)arg1{     %orig;     UIButton * leftBtn = [UIButton buttonWithType:(UIButtonTypeContactAdd)];     [leftBtn addTarget:self action:@selector(HK_leftClick) forControlEvents:(UIControlEventTouchUpInside)];     [self.navigationItem setLeftBarButtonItem: [[UIBarButtonItem alloc] initWithCustomView:leftBtn]];  }  -(id)registerBtnClick:(id)arg1 {    id value = %orig(arg1) //执行原本方法的流程     //对value 进行一些自己的操作后     return value } 

给类添加方法时,编译不过去,编译器报找不到这个方法的错误,那么可以自己建立一个.h文件,里面放要hook的类的头文件,头文件里包括自己添加的方法就可以编译通过。

四 举个例子🌰

在微信的第一次加载界面,把背景图片换掉,再加一个按钮,按钮事件跟登录事件效果一样

  1. 新建MonkeyApp ,把微信ipa重签名,用Debug View查看界面信息:

    iOS开发 HOOK 下篇之 Cydia Substrate

  • 把可执行文件的头文件导出来
    ➜ WeChat.app class-dump -H WeChat -o /Users/mac/Desktop/wechatHeaders
    把wechatHeaders拖到Sublime Text打开,找到WCAccountLoginFirstViewController
  1. hook住WCAccountLoginFirstViewController,加一个按钮
UIButton *bu = [UIButton buttonWithType:UIButtonTypeCustom];     bu.frame = CGRectMake(10, 100, 100, 100);     [bu setTitle:@"自己的登录" forState:UIControlStateNormal];         [self.view addSubview:bu];     bu.center =self.view.center;     [bu addTarget:self action:@selector(clickToLogin) forControlEvents:UIControlEventTouchUpInside]; 
  1. 新建Header.h文件,文件里设置WCAccountLoginFirstViewController加上一个新方法- (void)clickToLogin
#import <UIKit/UIKit.h> @interface WCAccountLoginFirstViewController : UIViewController - (void)clickToLogin; @end  
  1. 那么怎么让图片点击事件跟登录事件效果一样呢?
  • 先确定登录按钮的事件

    iOS开发 HOOK 下篇之 Cydia Substrate

  • 得到登录按钮的Target和Action,lldb调试

(lldb) po 0x113b43c60  //Target {     className = WCAccountLoginControlLogic;     memoryAddress = 0x10d495f80; }  (lldb) po 0x113b46610 //Action {     className = "__NSCFString";     memoryAddress = 0x113b46480; } 

然后再获取Action的方法:

(lldb) po 0x113b46480 onFirstViewLogin 
  • 在 Sublime Text中找到WCAccountLoginControlLogic类看是否包含onFirstViewLogin方法,结果果然包含onFirstViewLogin方法
  • 那么要编译通过,就要声明WCAccountLoginControlLogic 和onFirstViewLogin,所以在Header.h中添加
@interface WCAccountLoginControlLogic : NSObject  - (void)onFirstViewLogin;  @end 
  1. 用cycript进行调试,找到登录按钮和背景UIImageView
1.获取当前控制器 cy# var control = UIApp.keyWindow.rootViewController.viewControllers[0] #"<WCAccountLoginFirstViewController: 0x1080d0a00>" 2. 获取背景UIImageView cy# var imagev = control.view.subviews[0].subviews[0] #"<UIImageView: 0x10b33d460; frame = (0 -20; 375 667); opaque = NO; userInteractionEnabled = NO; layer = <CALayer: 0x10b120150>>" 3. 获取到登录按钮 cy# var button = control.view.subviews[1].subviews[0] #"<FixTitleColorButton: 0x10b0d8c00; baseClass = UIButton; frame = (20 18; 157.5 47); clipsToBounds = YES; opaque = NO; autoresize = RM; layer = <CALayer: 0x10d5f9d40>>" 
  1. 替换背景图片
 UIImageView * imgv1 = self.view.subviews[0].subviews[0];     imgv1.image = [UIImage imageNamed:@"@1xGroup 3.png"]; 
  1. 实现自己的登录按钮事件
%new - (void)clickToLogin {     UIButton *btn = self.view.subviews[1].subviews[0];     NSArray *arr =[ btn.allTargets allObjects];     WCAccountLoginControlLogic *vc = arr[0];     [vc onFirstViewLogin];      } 
  1. 最后的完整代码为
#import "Header.h" %group group2 %hook WCAccountLoginFirstViewController - (void)viewDidAppear:(_Bool)arg1{     %orig;//执行原来的流程     //添加自己的按钮     UIButton *bu = [UIButton buttonWithType:UIButtonTypeCustom];     bu.frame = CGRectMake(10, 100, 100, 100);     [bu setTitle:@"自己的登录" forState:UIControlStateNormal];         [self.view addSubview:bu];     bu.center =self.view.center;     [bu addTarget:self action:@selector(clickToLogin) forControlEvents:UIControlEventTouchUpInside];     //替换背景图片     UIImageView * imgv1 = self.view.subviews[0].subviews[0];     imgv1.image = [UIImage imageNamed:@"@1xGroup 3.png"];    } %new - (void)clickToLogin {     UIButton *btn = self.view.subviews[1].subviews[0];     NSArray *arr =[ btn.allTargets allObjects];     WCAccountLoginControlLogic *vc = arr[0];     [vc onFirstViewLogin];   } %end %end %ctor{       %init(group2)    } 

转载本站任何文章请注明:转载至神刀安全网,谢谢神刀安全网 » iOS开发 HOOK 下篇之 Cydia Substrate

分享到:更多 ()