iOS App 攻与防

签名

签名

作为一个 iOS 开发者，在你开发使用的机器上应该已经有一个证书，一个公钥，以及一个私钥。这些是代码签名机制的核心。

OS X 上代码签名技术和相应的 API 是在 Mac OS X Leopard 10.5 上首次出现的，这刚好是第一台 iPhone 发布的时候。这并非巧合，因为在 iOS 上，代码签名起到的作用更加重要。iPhone 是在众多游戏主机之后第一个大规模出售并且从头就开始使用代码签名的计算平台。只有在越狱之后，iOS 才能运行没有签名的代码。越狱使应用可以绕过代码签名和沙盒安全机制的全部限制，这会是一个非常危险的行为。

显示出你的系统中能用来对代码进行签名的认证的方法

security find-identity -v -p codesigning

查找出来的签名

设置签名

codesign -s 'iPhone Developer:XXXX'

强制重签

codesign -f -s 'iPhone Developer:XXXX'

查看签名状态

codesign -vv -d 'XXX.app'

攻

我们知道iOS的证书是分类型的，从AppStore下载的App是经过发布证书签过名的，发布证书的App仅能从AppStore获取安装，所以我们需要重签App。
但是，从AppStore下载的App不仅含有签名，还被进行了一次加固（加密），我们需要先进行脱壳才可以对签名和代码进行修改和Hook
使用Clutch在iOS端安装并进行脱壳

Clutch查找App

clutch -i

Clutch进行脱壳

clutch -d "id"

脱壳

本身Clutch脱壳后会显示路径，但是这里因为WatchOSApp无法脱壳，有报错信息，所以看到路径，但其实主App已经脱壳成功。
脱壳后的路径与Clutch版本有关，请自行查询。
拷贝脱壳后的App到Mac。

脱壳后的App

接下来我们就可以使用iReSign对这个App重签（需要删除没有被脱壳的Extension），就可以安装到证书可以覆盖的设备，这是网上大多盗版App的常用套路。

iReSign

防

根据证书ID的唯一性，我们可以从provision中读取证书ID，和我们预设的做比对，我们就知道App被Hack，可以进行退出程序等操作。

#import "AppDelegate.h"

// 证书ID
#define kIdentifier @"55R3QD4LZ2"

@interface AppDelegate ()

@end

@implementation AppDelegate


- (BOOL)application:(UIApplication *)application didFinishLaunchingWithOptions:(NSDictionary *)launchOptions {

    // 反重签名
    [self checkCodesign];

    return YES;
}

- (void)checkCodesign {
    
    // 描述文件路径
    NSString *embeddedPath = [[NSBundle mainBundle] pathForResource:@"embedded" ofType:@"mobileprovision"];
    
    if ([[NSFileManager defaultManager] fileExistsAtPath:embeddedPath]) {
        
        // 读取application-identifier
        NSString *embeddedProvisioning = [NSString stringWithContentsOfFile:embeddedPath encoding:NSASCIIStringEncoding error:nil];
        NSArray *embeddedProvisioningLines = [embeddedProvisioning componentsSeparatedByCharactersInSet:[NSCharacterSet newlineCharacterSet]];
        
        for (int i = 0; i < [embeddedProvisioningLines count]; i++) {
            if ([[embeddedProvisioningLines objectAtIndex:i] rangeOfString:@"application-identifier"].location != NSNotFound) {
                
                NSInteger fromPosition = [[embeddedProvisioningLines objectAtIndex:i+1] rangeOfString:@"<string>"].location+8;
                
                NSInteger toPosition = [[embeddedProvisioningLines objectAtIndex:i+1] rangeOfString:@"</string>"].location;
                
                NSRange range;
                range.location = fromPosition;
                range.length = toPosition - fromPosition;
                
                NSString *fullIdentifier = [[embeddedProvisioningLines objectAtIndex:i+1] substringWithRange:range];
                
//                NSLog(@"%@", fullIdentifier);
                
                NSArray *identifierComponents = [fullIdentifier componentsSeparatedByString:@"."];
                NSString *appIdentifier = [identifierComponents firstObject];
                
                // 对比签名ID
                if (![appIdentifier isEqual:kIdentifier]) {
                    UIAlertView *alert = [[UIAlertView alloc] initWithTitle:@"Error" message:@"codesign verification failed." delegate:self cancelButtonTitle:@"OK" otherButtonTitles:nil, nil];
                    [alert show];
                }
                break;
            }
        }
    }
    
    
}

#pragma mark - UIAlertViewDelegate

- (void)alertView:(UIAlertView *)alertView clickedButtonAtIndex:(NSInteger)buttonIndex {
    exit(0);
}

@end

代码

攻

获取到了脱壳后的App，我们可以使用class-dump导出App的文件，来分析Hook代码

./class-dump --arch arm64 -S -s -H /Users/Name/Downloads/com.tencent.xin-iOS7.0-\(Clutch-2.0.4\)/Payload/WeChat.app   -o WeChatHeaders/

导出后的头文件，我们可以导入Xcode，方便我们进行分析

WeChat头文件

防

我们通过构造一个demo来分析class-dump导出了什么
//TODO: demo git
通过分析我们可以发现

1. class-dump会将.h和.m所有的方法导出，所以，import .m从安全角度分析是无所谓的，不过不建议这么做。
2. class-dump不会导出宏定义，所以使用宏定义去定义一些比较敏感的信息是可以的。
   防止被class-dump的思路：比较容易理解的方法名称还是会带来一定的风险，我们可以通过编译阶段的脚本，将方法名称重命名，进而混淆。不过随之也带来了一部分问题，值得讨论。

网络

攻

WWDC 2015上， iOS 9 和 OSX 10.11 公开底层网络接口给第三方，叫做 Network Extension API （需要单独申请entitlement）。允许第三方 app 控制虚拟网卡并修改系统路由表。从而衍生出很多的代理软件，其中可以抓包的，比较有名的就属Surge了

Surge

Surge基于代理实现了很多功能，不过高昂的售价让人望而却步。不过，同一开发者还有免费版的Replica提供给开发者进行调试的工具。

Replica Replica

防

现阶段这些使用Apple API的App，还是对HTTPS没有办法。好在，Apple已经对App的服务升级HTTPS进行了要求，不过需要注意的是一定要开启对服务器证书的校验，避免伪造证书等操作。

UI

攻

关于UI的调试这里要给大家推荐一款软件Reveal

Reveal是iOS开发工具中的神器之一，它能够在应用程序运行过程中调试应用程序界面。 通过Reveal我们可以连接到应用程序，并允许开发者编辑各种用户界面参数，结果会马上在用户界面上呈现。就像Web开发人员用浏览器提供的开发人员工具调试页面一样，Reveal允许开发者在不修改代码、不重新构建项目、不重新部署应用程序的情况下就能够调试iOS应用的用户界面。

Reveal调试微信 被Reveal修改过的微信

Reveal使用的方法：

1. 越狱后，将Reveal的iOS的Framework集成在iOS系统中，通过Plist控制需要检视的App。
2. 开发中，直接集成Reveal的Framework。
3. 编译时，注入Reveal的Framework。（Xcode编译参数和脚本，AppCode Reveal插件）
4. 脱壳后，注入Reveal的Framework，重签后安装App。（IPAPatch 说明）

AppCode Reveal插件