vlad/reverse-skills-max
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
Files
aecfc9365536c6f06d3590cf3c1321875c2426d3
reverse-skills-max/vendor-new/rev-skills/.claude/skills/re-ios/SKILL.md

9.1 KiB
Raw Blame History

name, description, capabilities
name description capabilities
re-ios iOS 应用分析：Mach-O、class-dump、越狱环境。 触发词：ios逆向、ipa、class-dump、越狱
macho-parser

iOS 应用分析

何时使用 / 何时不用

  • 用：拿到 IPA / 已安装 iOS 应用，需要看 Mach-O 结构、OC 类结构、代码签名、越狱环境动态分析
  • 用：App Store 加密二进制需要脱壳
  • 不用：目标只是 Mach-O 结构 / load commands（直接走 re-format-macho）
  • 不用：需要运行时 hook / 绕过（走 re-frida）
  • 不用：无越狱、无受管设备时的动态分析场景（静态先行，动态受限说明见坑 3）

工具准备

静态分析（解包 / class-dump / otool）可免沙箱；动态（越狱设备 / 模拟器 / 受管设备）按 re-analyze/platform-tips 最高原则在受控环境执行。

unzip / zipinfo —— ipa 解包

  • Linux: apt install unzip / dnf install unzip / pacman -S unzip
  • macOS: 自带 /usr/bin/unzip；Windows/WSL: WSL 内 Linux 版
  • 验证: unzip -v

class-dump —— OC 头文件导出

  • macOS: 官方仓库 nygard/class-dump 最新 release 3.4 仅源码无预编译二进制——源码构建（xcodebuild）使用；brew install class-dump 公式已从 homebrew-core 下架（2026 实测 formulae.brew.sh 无此公式），不再可用
  • 替代: class-dump-swift（mxms0/class-dump-swift）同样支持 OC 与 Swift 类/方法导出，源码构建（依赖 LLVM + make，非 Swift 工具链）——Swift 目标优先用它
  • Linux/Windows: 无官方版；用 class-dump-swift 源码编译（依赖 LLVM + make，非 Swift 工具链），或在 macOS 虚拟机 / 远程 macOS 上执行
  • 验证: class-dump --help（输出 usage 即可）

otool —— Mach-O 结构 / 符号查看（Apple 自带）

  • macOS: xcode-select --install（Xcode Command Line Tools）
  • Linux 替代: llvm-otool（apt install llvm / brew install llvm）
  • 验证: otool -h /bin/ls

idevice 工具链（libimobiledevice）—— 设备识别 / 信息

  • macOS: brew install libimobiledevice（含 idevice_id / ideviceinfo / ideviceinstaller）
  • Linux: apt install libimobiledevice-utils（Debian/Ubuntu）；Arch: pacman -S libimobiledevice
  • 验证: idevice_id -l 列出已连接设备 UDID；ideviceinfo 输出设备型号/iOS 版本/UDID

越狱环境（可选）

  • 越狱工具：unc0ver / checkra1n / palera1n（按设备型号与 iOS 版本选择），越狱后安装 OpenSSH + 包管理器（Sileo / Cydia）
  • 验证: ssh root@<设备IP> 能登录
  • 未越狱但需真机：Apple 开发者账号签名安装（免费账号签名 7 天有效，见坑 2）；越狱环境专项（tweak 开发/越狱检测）见 re-ios-jb

iOS FairPlay 解密 / 脱壳（backend 按环境选择）

App Store 加密应用的解密后端按目标 iOS 与越狱版本选择已适配当前 Frida API 的维护实现，没有跨版本通用的单一工具。

  • 前置：越狱设备 + frida-server（见 re-frida 工具准备）+ usbmuxd 转发
  • 选型：先 frida --version 与设备 frida-server 版本对齐，再选与该 Frida 世代兼容的 dumper。Frida 17 起移除了静态 Module 查找/枚举 API（见 re-frida 常见坑），仍依赖这些旧 API 的 dumper 在 Frida 17 下直接报错
  • legacy / 参考实现：AloneMonkey/frida-ios-dump 的 Frida agent 使用 Module.ensureInitialized、静态 Memory.read*、Module.findExportByName(null, …)、Process.enumerateModulesSync——这些 API 在 Frida 17 已移除，该仓库更适合作为脱壳算法与 Mach-O 重组逻辑的参考；直接使用需搭配 Frida 16 及以下的 frida-server，或自行按新版 API 移植
  • 另一路线：基于 mremap_encrypted 的实现（UnFairPlay / unfaird 一类），不依赖 frida 运行时插桩，按目标 iOS 版本评估可用性
  • 设备通道：macOS brew install libusbmuxd（原 usbmuxd 公式已改名）；Linux apt install usbmuxd（Debian/Ubuntu，含 iproxy）；Arch pacman -S libusbmuxd
  • 验证: iproxy -h（转发工具可用性）；选定 dumper 按其自身 -h 输出确认参数

操作步骤

按顺序执行，每步记下结果（证据路径 + sha256，见 re-triage）。

  1. ipa 解包与签名检查：

    unzip app.ipa -d app/
file app/Payload/*.app/*                   # 确认主二进制是 arm64 Mach-O
codesign -dv app/Payload/*.app/ 2>&1       # 签名类型（Apple Distribution / Development / adhoc）
otool -l app/Payload/*.app/ | grep -B1 -A4 LC_ENCRYPTION_INFO   # 查 cryptid

    cryptid 1 = App Store 加密，磁盘上代码是密文，先脱壳（步骤 5）再继续。

    • 包结构速览：Payload/<App>.app/ 是主二进制与资源；SwiftSupport/ 是系统 Swift 库（模拟器包常见）；embedded.mobileprovision 是签名描述文件（macOS 上 security cms -D -i 可读 entitlement 与过期时间）
    • file 确认主二进制是 arm64/arm64e 真机架构——x86_64 模拟器产物无动态分析价值，直接跳过

  2. class-dump 头文件：

    class-dump -H app/Payload/*.app/ -o headers/

    类名 / 方法名 / 属性即大部分业务接口，先看 headers 再进反编译。加密二进制先脱壳（步骤 5）再 dump，否则只得到壳的类。Swift 方法不进 OC 头文件（见坑 4）。

  3. 二进制走 re-format-macho：

    otool -h app/Payload/*.app/                # 架构 / cputype
otool -L app/Payload/*.app/                # 依赖 dylib（framework 清单）

    结构、load commands、入口、段、签名按 re-format-macho 步骤执行；Swift 二进制用 strings -n 6 找符号与错误消息辅助定位。

  4. 越狱环境动态调试：

    iproxy 2222 22 &                           # usbmuxd 转发设备 ssh 到本机 2222
ssh -p 2222 root@127.0.0.1                 # 登录越狱设备

    设备上启动目标 App；断点 / 单步调试经 debugserver + lldb（见 re-lldb）；hook / 绕过优先 re-frida（frida-server 安装见该技能）。

  5. 脱壳（FairPlay 解密）：

    frida --version                            # 主机 Frida 世代——选 dumper 前先定
iproxy 2222 22 &
<选定 dumper> <BundleID 或 App 名>          # 按目标 iOS / Frida 版本选维护实现，拉取并解密
file <输出>.ipa
otool -l <输出>/Payload/*.app/ | grep -A4 LC_ENCRYPTION_INFO # 确认 cryptid 0

    思路：从已解密的内存镜像读取 Mach-O 头与段，重组为解密 ipa。dumper 必须与主机 frida --version 及设备 frida-server 的世代匹配（见工具准备）；脱壳产物回到步骤 1-3 复跑。

跨域联合

  • re-mobile：工作流第 2 步（iOS 分支）固定调用本技能
  • 二进制解析 → re-format-macho；断点调试 → re-lldb；插桩 / 绕过 / 脱壳执行 → re-frida
  • 本技能被 re-analyze 的 triage「移动 App 分析」路径调用（re-mobile → re-ios）
  • 桌面 macOS 生态（签名/entitlements/Secure Enclave）→ re-macos
  • Swift 层分析（mangling/witness table）→ re-swift
  • 越狱环境专项（tweak 分析与开发、越狱检测识别绕过）→ re-ios-jb

常见坑与陷阱

  • App Store 加密二进制直接分析：现象——class-dump 无输出 / otool 结构残缺、反编译只见壳；原因——cryptid 1 加密，磁盘上的代码是密文；对策——步骤 1 先查 LC_ENCRYPTION_INFO，加密先按步骤 5 脱壳
  • 签名失效无法安装：现象——重打包 / 修改后真机安装报"无法验证 App"或无法安装；原因——签名与内容不一致，或免费证书 7 天过期；对策——codesign -f -s - adhoc 重签（仅自签场景）或重新用开发者证书签名；免费账号到期重新安装
  • 无越狱 → 动态分析受限：现象——没有越狱设备，脱壳 / lldb attach / frida 全不可用；原因——iOS 沙盒与签名强制限制动态调试；对策——静态分析先行（步骤 1-3），动态转模拟器（需不加密应用）或受管设备（Apple Configurator 部署 + 开发证书），实在不行只做静态
  • Swift 方法不进 class-dump 头：现象——类头文件里找不到业务方法；原因——Swift 不导出 OC 运行时元数据；对策——strings / swift-demangle 找符号，逻辑分析靠 re-format-macho + 反编译（re-binary-core）
  • class-dump 对 arm64e 二进制报错：现象——class-dump 崩溃或输出为空；原因——arm64e 指针签名（PAC）干扰元数据遍历；对策——换新版 class-dump / class-dump-swift，或先脱壳再 dump
  • 拿到模拟器产物当真机分析：现象——file 显示主二进制是 x86_64，动态分析全不可用；原因——分发方给了模拟器包（常带 SwiftSupport/）；对策——步骤 1 用 file 确认 arm64/arm64e 真机架构，模拟器产物跳过
  • class-dump 装不上（brew 公式下架）：现象——brew install class-dump 报 No available formula；原因——homebrew-core 已移除该公式（2026 实测）；对策——nygard/class-dump 源码构建，或换 class-dump-swift（见工具准备）