IOS逆向获取摩拜单车扫一扫捷径

作者: DkJone | 来源:发表于2019-06-03 18:06 被阅读0次

IOS逆向获取摩拜单车扫一扫捷径
摩拜单车和ofo的体验对比
微信扫一扫把单车骑走，用小程序骑摩拜单车
10张图是我对摩拜单车的几点思考
摩拜+小程序，让单车变得“触手可骑”
扫一扫摩拜单车，居然扫出了兑奖信息！
摩拜单车故障增多，摩拜能不能战胜人性的恶？
哈罗单车如何凭借支付宝迅速崛起？这6点任何行业都适用
宁波老外滩
摩拜单车产品分析

每天扫单车的时候都要在众多APP中路那个找到摩拜，然后打开扫一扫。作为一名开发者我不得不面临这一个严峻的问题我需要把两步操作合并，并且越快达到目的越好。我第一个想到的就是IOS 10 以后的负一屏，就想使用支付宝二维码付款了一样，不打开APP最好了。

F6D47A7B438DC343C21ED0340336247B.png
看到摩拜也内置了TodayWidget，我就试着加到了负一屏，但是负一屏的空间有限，摩拜提供的4个功能对我来说只有扫码有用，于是我想了不能只要这一个功能呢，提起单一扫一扫功能，我就想到了~~今年下半年即将。。。emmm~~ workflow,也就是现在的快捷指令。那么根据其他打开应用扫一扫的方法（通过应用的URL Schemes打开应用对应的页面如支付宝的alipayqr?://....和微信的wexin://scanqrcode）,我们只要找到了对应的URL我们也可以制作一个workflow去打开摩拜的扫码界面。
思路有了，那我们开始动手。（ps偷懒百度一下，万一有现成的呢？醒醒吧！如果有你也就看不到这篇文章了）
第一步：去某P助手下载砸壳后的IPA文件，解压之后打开找到info.plist文件直接接从里面找看看有没有完整的。

<dict>
            <key>CFBundleTypeRole</key>
            <string>Editor</string>
            <key>CFBundleURLName</key>
            <string>com.mobike.firstBike</string>
            <key>CFBundleURLSchemes</key>
            <array>
                <string>mobike</string>
            </array>
</dict>

很遗憾我们只找到了前缀是mobike。
第二部：既然简单的找不到，那就暴力点直接HOOK APP了，最先想到的的HOOK APP处理URL的方法,于是我们利用MonkeyDev创建APP hook 项目，然后

%hook AppDelegate

- (_Bool)handleOpenUrl:(id)arg1{
     NSLog(@"==================\n%@\n==================\n",arg1);
    return %orig();
}
- (_Bool)application:(id)arg1 openURL:(id)arg2 options:(id)arg3{
     NSLog(@"==================\n%@\n==================\n",arg2);
    return %orig();
}
- (_Bool)application:(id)arg1 openURL:(id)arg2 sourceApplication:(id)arg3 annotation:(id)arg4{
     NSLog(@"==================\n%@\n==================\n",arg2);
    return %orig();
}
- (_Bool)application:(id)arg1 handleOpenURL:(id)arg2{
     NSLog(@"==================\n%@\n==================\n",arg2);
    return %orig();
}

%end

如果处理了跳转的URL应该可以直接打印出URL的内容。但是问题来了，我们没办法调用URL跳转到APP，因为MonkeyDev并不会把todaywidge一起重签名，安装到手机，好在摩拜还提供了3D touch打开4个功能的入口和todaywidge功能一样如图

TodayWidget	3D Touch
8344833D0E4096AA1C60DDB8A852BD01.png	451A0CDE0002434A1A457986B926B4A9.png

那试一下吧，咦并没有打印URL，什么地方错了？好吧3D touch处理是在应用内部不必须调用URL，可以直接打开对应的页面。
第三步：SO ，这个方法貌似行不通，下载原版的APP是可以通过TodayWidget调用URL的但是你不确定是hook了的APP先响应还是原APP先响应URL，所以我们换一种更为直接的方式。
第四步：直接上Hopper，把IPA解包后的文件夹中的TodayWidget二进制文件扔进hopper （文件名MBKTodayWidget），插件只有一个viewController代码也比较少明早起来还是很方便的，
观察得知页面用了一个collectionView，在其代理里找到处理方法，

F7523A87-BE4D-48A5-8622-D64FB29ED62F.png
其方法具体内容如下

void -[MBKTodayViewController setupItemDataWithIndex:](void * self, void * _cmd, int arg2) {
    r7 = (sp - 0x14) + 0xc;
    r5 = self;
    r4 = @"";
    r0 = [r4 retain];
    if (arg2 > 0x3) goto loc_ab1a;
loc_aad0:
    switch (r0) {
        case 0:
            r4 = @"mobike://home/scanqr/todayWidget";
            break;
        case 1:
            r4 = @"mobike://home/reportfault/todayWidget";
            break;
        case 2:
            r4 = @"mobike://home/parkviolationreport/todayWidget";
            break;
        case 3:
            r4 = @"mobike://home/mobeans/todayWidget";
            break;
    }
    [r4 retain];
    goto loc_ab1a;
loc_ab1a:
    r5 = [[r5 extensionContext] retain];
    r6 = [[NSURL URLWithString:r4] retain];
    [r5 openURL:r6 completionHandler:0x10148];
    r0 = r4;
    return;
}

不出意外我们找到了我们想要的URL，通过URL我做了一个workflow，在手机自带浏览器打开下载摩拜扫码,一键直达摩拜APP扫码页面。