128 lines
9.1 KiB
Markdown
128 lines
9.1 KiB
Markdown
---
|
||
name: re-ios
|
||
description: >
|
||
iOS 应用分析：Mach-O、class-dump、越狱环境。
|
||
触发词：ios逆向、ipa、class-dump、越狱
|
||
capabilities: [macho-parser]
|
||
---
|
||
|
||
# iOS 应用分析
|
||
|
||
## 何时使用 / 何时不用
|
||
|
||
- 用：拿到 IPA / 已安装 iOS 应用，需要看 Mach-O 结构、OC 类结构、代码签名、越狱环境动态分析
|
||
- 用：App Store 加密二进制需要脱壳
|
||
- 不用：目标只是 Mach-O 结构 / load commands（直接走 [[re-format-macho]]）
|
||
- 不用：需要运行时 hook / 绕过（走 [[re-frida]]）
|
||
- 不用：无越狱、无受管设备时的动态分析场景（静态先行，动态受限说明见坑 3）
|
||
|
||
## 工具准备
|
||
|
||
静态分析（解包 / class-dump / otool）可免沙箱；动态（越狱设备 / 模拟器 / 受管设备）按 [[re-analyze/platform-tips]] 最高原则在受控环境执行。
|
||
|
||
### unzip / zipinfo —— ipa 解包
|
||
|
||
- Linux: `apt install unzip` / `dnf install unzip` / `pacman -S unzip`
|
||
- macOS: 自带 /usr/bin/unzip；Windows/WSL: WSL 内 Linux 版
|
||
- 验证: `unzip -v`
|
||
|
||
### class-dump —— OC 头文件导出
|
||
|
||
- macOS: 官方仓库 nygard/class-dump 最新 release 3.4 仅源码无预编译二进制——源码构建（xcodebuild）使用；`brew install class-dump` 公式已从 homebrew-core 下架（2026 实测 formulae.brew.sh 无此公式），不再可用
|
||
- 替代: class-dump-swift（mxms0/class-dump-swift）同样支持 OC 与 Swift 类/方法导出，源码构建（依赖 LLVM + make，非 Swift 工具链）——Swift 目标优先用它
|
||
- Linux/Windows: 无官方版；用 class-dump-swift 源码编译（依赖 LLVM + make，非 Swift 工具链），或在 macOS 虚拟机 / 远程 macOS 上执行
|
||
- 验证: `class-dump --help`（输出 usage 即可）
|
||
|
||
### otool —— Mach-O 结构 / 符号查看（Apple 自带）
|
||
|
||
- macOS: `xcode-select --install`（Xcode Command Line Tools）
|
||
- Linux 替代: `llvm-otool`（`apt install llvm` / `brew install llvm`）
|
||
- 验证: `otool -h /bin/ls`
|
||
|
||
### idevice 工具链（libimobiledevice）—— 设备识别 / 信息
|
||
|
||
- macOS: `brew install libimobiledevice`（含 idevice_id / ideviceinfo / ideviceinstaller）
|
||
- Linux: `apt install libimobiledevice-utils`（Debian/Ubuntu）；Arch: `pacman -S libimobiledevice`
|
||
- 验证: `idevice_id -l` 列出已连接设备 UDID；`ideviceinfo` 输出设备型号/iOS 版本/UDID
|
||
|
||
### 越狱环境（可选）
|
||
|
||
- 越狱工具：unc0ver / checkra1n / palera1n（按设备型号与 iOS 版本选择），越狱后安装 OpenSSH + 包管理器（Sileo / Cydia）
|
||
- 验证: `ssh root@<设备IP>` 能登录
|
||
- 未越狱但需真机：Apple 开发者账号签名安装（免费账号签名 7 天有效，见坑 2）；越狱环境专项（tweak 开发/越狱检测）见 [[re-ios-jb]]
|
||
|
||
### iOS FairPlay 解密 / 脱壳（backend 按环境选择）
|
||
|
||
App Store 加密应用的解密后端按目标 iOS 与越狱版本选择已适配当前 Frida API 的维护实现，没有跨版本通用的单一工具。
|
||
|
||
- 前置：越狱设备 + frida-server（见 [[re-frida]] 工具准备）+ usbmuxd 转发
|
||
- 选型：先 `frida --version` 与设备 frida-server 版本对齐，再选与该 Frida 世代兼容的 dumper。Frida 17 起移除了静态 `Module` 查找/枚举 API（见 [[re-frida]] 常见坑），仍依赖这些旧 API 的 dumper 在 Frida 17 下直接报错
|
||
- legacy / 参考实现：`AloneMonkey/frida-ios-dump` 的 Frida agent 使用 `Module.ensureInitialized`、静态 `Memory.read*`、`Module.findExportByName(null, …)`、`Process.enumerateModulesSync`——这些 API 在 Frida 17 已移除，该仓库更适合作为脱壳算法与 Mach-O 重组逻辑的参考；直接使用需搭配 Frida 16 及以下的 frida-server，或自行按新版 API 移植
|
||
- 另一路线：基于 `mremap_encrypted` 的实现（UnFairPlay / unfaird 一类），不依赖 frida 运行时插桩，按目标 iOS 版本评估可用性
|
||
- 设备通道：macOS `brew install libusbmuxd`（原 usbmuxd 公式已改名）；Linux `apt install usbmuxd`（Debian/Ubuntu，含 iproxy）；Arch `pacman -S libusbmuxd`
|
||
- 验证: `iproxy -h`（转发工具可用性）；选定 dumper 按其自身 `-h` 输出确认参数
|
||
|
||
## 操作步骤
|
||
|
||
按顺序执行，每步记下结果（证据路径 + sha256，见 [[re-triage]]）。
|
||
|
||
1. **ipa 解包与签名检查**：
|
||
```sh
|
||
unzip app.ipa -d app/
|
||
file app/Payload/*.app/* # 确认主二进制是 arm64 Mach-O
|
||
codesign -dv app/Payload/*.app/ 2>&1 # 签名类型（Apple Distribution / Development / adhoc）
|
||
otool -l app/Payload/*.app/ | grep -B1 -A4 LC_ENCRYPTION_INFO # 查 cryptid
|
||
```
|
||
`cryptid 1` = App Store 加密，磁盘上代码是密文，先脱壳（步骤 5）再继续。
|
||
- 包结构速览：`Payload/<App>.app/` 是主二进制与资源；`SwiftSupport/` 是系统 Swift 库（模拟器包常见）；`embedded.mobileprovision` 是签名描述文件（macOS 上 `security cms -D -i` 可读 entitlement 与过期时间）
|
||
- `file` 确认主二进制是 arm64/arm64e 真机架构——x86_64 模拟器产物无动态分析价值，直接跳过
|
||
|
||
2. **class-dump 头文件**：
|
||
```sh
|
||
class-dump -H app/Payload/*.app/ -o headers/
|
||
```
|
||
类名 / 方法名 / 属性即大部分业务接口，先看 headers 再进反编译。加密二进制先脱壳（步骤 5）再 dump，否则只得到壳的类。Swift 方法不进 OC 头文件（见坑 4）。
|
||
|
||
3. **二进制走 [[re-format-macho]]**：
|
||
```sh
|
||
otool -h app/Payload/*.app/ # 架构 / cputype
|
||
otool -L app/Payload/*.app/ # 依赖 dylib（framework 清单）
|
||
```
|
||
结构、load commands、入口、段、签名按 [[re-format-macho]] 步骤执行；Swift 二进制用 `strings -n 6` 找符号与错误消息辅助定位。
|
||
|
||
4. **越狱环境动态调试**：
|
||
```sh
|
||
iproxy 2222 22 & # usbmuxd 转发设备 ssh 到本机 2222
|
||
ssh -p 2222 root@127.0.0.1 # 登录越狱设备
|
||
```
|
||
设备上启动目标 App；断点 / 单步调试经 debugserver + lldb（见 [[re-lldb]]）；hook / 绕过优先 [[re-frida]]（frida-server 安装见该技能）。
|
||
|
||
5. **脱壳（FairPlay 解密）**：
|
||
```sh
|
||
frida --version # 主机 Frida 世代——选 dumper 前先定
|
||
iproxy 2222 22 &
|
||
<选定 dumper> <BundleID 或 App 名> # 按目标 iOS / Frida 版本选维护实现，拉取并解密
|
||
file <输出>.ipa
|
||
otool -l <输出>/Payload/*.app/ | grep -A4 LC_ENCRYPTION_INFO # 确认 cryptid 0
|
||
```
|
||
思路：从已解密的内存镜像读取 Mach-O 头与段，重组为解密 ipa。dumper 必须与主机 `frida --version` 及设备 frida-server 的世代匹配（见工具准备）；脱壳产物回到步骤 1-3 复跑。
|
||
|
||
## 跨域联合
|
||
|
||
- [[re-mobile]]：工作流第 2 步（iOS 分支）固定调用本技能
|
||
- 二进制解析 → [[re-format-macho]]；断点调试 → [[re-lldb]]；插桩 / 绕过 / 脱壳执行 → [[re-frida]]
|
||
- 本技能被 [[re-analyze]] 的 triage「移动 App 分析」路径调用（re-mobile → re-ios）
|
||
- 桌面 macOS 生态（签名/entitlements/Secure Enclave）→ [[re-macos]]
|
||
- Swift 层分析（mangling/witness table）→ [[re-swift]]
|
||
- 越狱环境专项（tweak 分析与开发、越狱检测识别绕过）→ [[re-ios-jb]]
|
||
|
||
## 常见坑与陷阱
|
||
|
||
- **App Store 加密二进制直接分析**：现象——class-dump 无输出 / otool 结构残缺、反编译只见壳；原因——`cryptid 1` 加密，磁盘上的代码是密文；对策——步骤 1 先查 LC_ENCRYPTION_INFO，加密先按步骤 5 脱壳
|
||
- **签名失效无法安装**：现象——重打包 / 修改后真机安装报"无法验证 App"或无法安装；原因——签名与内容不一致，或免费证书 7 天过期；对策——`codesign -f -s -` adhoc 重签（仅自签场景）或重新用开发者证书签名；免费账号到期重新安装
|
||
- **无越狱 → 动态分析受限**：现象——没有越狱设备，脱壳 / lldb attach / frida 全不可用；原因——iOS 沙盒与签名强制限制动态调试；对策——静态分析先行（步骤 1-3），动态转模拟器（需不加密应用）或受管设备（Apple Configurator 部署 + 开发证书），实在不行只做静态
|
||
- **Swift 方法不进 class-dump 头**：现象——类头文件里找不到业务方法；原因——Swift 不导出 OC 运行时元数据；对策——`strings` / `swift-demangle` 找符号，逻辑分析靠 [[re-format-macho]] + 反编译（[[re-binary-core]]）
|
||
- **class-dump 对 arm64e 二进制报错**：现象——class-dump 崩溃或输出为空；原因——arm64e 指针签名（PAC）干扰元数据遍历；对策——换新版 class-dump / class-dump-swift，或先脱壳再 dump
|
||
- **拿到模拟器产物当真机分析**：现象——`file` 显示主二进制是 x86_64，动态分析全不可用；原因——分发方给了模拟器包（常带 SwiftSupport/）；对策——步骤 1 用 `file` 确认 arm64/arm64e 真机架构，模拟器产物跳过
|
||
- **class-dump 装不上（brew 公式下架）**：现象——`brew install class-dump` 报 No available formula；原因——homebrew-core 已移除该公式（2026 实测）；对策——nygard/class-dump 源码构建，或换 class-dump-swift（见工具准备）
|