美文网首页
19-Cycript

19-Cycript

作者: 深圳_你要的昵称 | 来源:发表于2021-05-29 18:46 被阅读0次

前言

本篇文章将介绍逆向实战中经常使用的一门语言 👉 Cycript，它是由Cydia创始人Saurik推出的一款脚本语言，Cycript混合了OC、JavaScript语法的解释器，这意味着我们能够在一个命令中使用OC或者JavaScript，甚至两者并用。它能够挂钩正在运行的进程，能够在运行时修改很多东西。

一、Cycript安装

Cycript官网，目前最新版本0.9.594。直接下载SDK解压放在/opt目录中👇

接着在~/.bash_profile、~/.zshrc中配置环境变量👇

export PATH=/opt/cycript_0.9.594/cycript

接着验证一下👇

cycript

进入cy#表示配置成功。

⚠️注意：如果已经安装了Monkey则不需要配置和安装cycript了。因为monkey自带了cycript，并且配置环境变量应改为👇

export CY=/opt/cycript_0.9.594/
export PATH=/opt/MonkeyDev/bin:$PATH:$CY

二、基本使用

只要将cycript注入到应用中，我们就可以调用其中的命令了，Monkey重签名注入的时候帮我们注入了，例如我们之前文章15-Hook原理（二）反Hook防护 & MokeyDev
中的例子MonKeyDemo👇

app包里面就包含了libcycript.dylib，当Cycript注入到目标应用，应用进程就会调用Cycript的方法，开启相应的端口，以供第三方监听。第三方可通过端口链接进程，进入cy环境，HOOK当前进程中的内存数据。

2.1 进入Cycript环境

cycript

2.2 退出Cycript环境

control + d

2.3 附加进程

连接进程进入Cycript环境，例如👇

cycript -r 192.168.3.127:6666

这里手机和电脑要在同一wifi，并且进入应用程序进程。ip为手机的ip。端口号默认为6666。

2.4 cycript调试命令

以上附加进程链接好了后，就可以使用cycript调试命令查看信息了，例如👇

  • 获取keyWindow 
UIWindow.keyWindow()
-------------------------
#"<iConsoleWindow: 0x125f560b0; baseClass = UIWindow; frame = (0 0; 414 736); gestureRecognizers = <NSArray: 0x283f09680>; layer = <UIWindowLayer: 0x283179fc0>>"
  • 获取UIApplication单例对象
UIApp
-------------------------
#"<UIApplication: 0x14aa16c80>"
  • 定义变量并赋值
var keyWd = UIWindow.keyWindow()
-------------------------
#"<iConsoleWindow: 0x125f560b0; baseClass = UIWindow; frame = (0 0; 414 736); gestureRecognizers = <NSArray: 0x283f09680>; layer = <UIWindowLayer: 0x283179fc0>>"

keyWd.rootViewController
-------------------------
#"<MMUINavigationController: 0x1270e9200> ChildViewControllers:(\n    \"<WCAccountLoginFirstViewController: 0x1270d7600>\"\n)"

当程序的进程结束，定义的所有变量会一起释放。

  1. #对象地址 👉 拿到该对象，可用于调用方法
#0x1270e9200
-------------------------
#"<MMUINavigationController: 0x1270e9200> ChildViewControllers:(\n    \"<WCAccountLoginFirstViewController: 0x1270d7600>\"\n)"
  1. *对象 👉 可以取出对象的成员变量
*keyWd
-------------------------
{isa:iConsoleWindow,_responderFlags:@error,_constraintsExceptingSubviewAutoresizingConstraints:null,...
  • 查看视图结构 
keyWd.recursiveDescription()
-------------------------
@"<iConsoleWindow: 0x125f560b0; baseClass = UIWindow; frame = (0 0; 414 736); gestureRecognizers = <NSArray: 0x283f09680>; layer = <UIWindowLayer: 0x283179fc0>>\n   | <UITransitionView: 0x125f51960; frame = (0 0; 414 736); autoresize = W+H; layer = <CALayer: 0x28317a500>>\n...

也可格式化打印，遇\n换行👇

keyWd.recursiveDescription().toString()
-------------------------
`<iConsoleWindow: 0x125f560b0; baseClass = UIWindow; frame = (0 0; 414 736); gestureRecognizers = <NSArray: 0x283f09680>; layer = <UIWindowLayer: 0x283179fc0>>
  | <UITransitionView: 0x125f51960; frame = (0 0; 414 736); autoresize = W+H; layer = <CALayer: 0x28317a500>>
  |    | <UIDropShadowView: 0x125f59770; frame = (0 0; 414 736); autoresize = W+H; layer = <CALayer: 0x28317a680>>
  |    |    | <UILayoutContainerView: 0x125e71790; frame = (0 0; 414 736); clipsToBounds = YES; autoresize = W+H; gestureRecognizers = <NSArray: 0x283f0ff90>; layer = <CALayer: 0x283140140>>
  |    |    |    | <UINavigationTransitionView: 0x125e7a190; frame = (0 0; 414 736); clipsToBounds = YES; autoresize = W+H; layer = <CALayer: 0x283140360>>
  |    |    |    |    | <UIViewControllerWrapperView: 0x125f37540; frame = (0 0; 414 736); autoresize = W+H; layer = <CALayer: 0x28315abc0>>
...
  • 查询当前进程中指定类型的对象 
choose (UIButton)
-------------------------
[#"<FixTitleColorButton: 0x125e2b280; baseClass = UIButton; frame = (20 18; 177 47); clipsToBounds = YES; opaque = NO; autoresize = RM; layer = <CALayer: 0x2831463c0>>",#"<FixTitleColorButton: 0x125e55b20; baseClass = UIButton; frame = (217 18; 177 47); clipsToBounds = YES; opaque = NO; autoresize = LM; layer = <CALayer: 0x283138820>>",...

这和LLDB中search很像。

三、进阶

3.1 脚本自动连接

  1. 创建cyShell目录
  2. 在cyShell目录下，创建cyConnect.sh脚本
  3. 打开cyConnect.sh脚本，写入以下代码👇
cycript -r 10.165.44.19:6666
  1. 增加可执行权限👇
chmod +x cyConnect.sh
  1. 配置环境变量👇
export cyShell=/Users/Aron/cyShell/
export PATH=/opt/MonkeyDev/bin:$cyShell:$PATH

这样能全局使用👇

cyConnect.sh
cy#

直接就能自动连接了。

3.2 Cycript 修改内存

接下来通过几个案例，使用Cycript脚本，看看如何修改内存。

案例一：修改应用图标的红点数
  1. 使用MonkeyDev安装并运行wx8.0.2.ipa
  2. 使用cyConnect.sh附加进程
  3. 修改BadgeString👇
[UIApp setApplicationBadgeString: @"999"]

⚠️注意：修改当前内存中的数据，应用重复挂起唤醒，数据就会被刷新。

案例二：修改红包金额

例如：正常的红包内容如下👇

  1. 首先通过choose(UILabel)找到红包金额👇
choose(UILabel).toString()

搜索1.00得到地址0x149eaef00👇

  1. 修改红包的金额👇
cy# #0x149eaef00.text = @"￥88888888.00"

同样的方式，找到借款UILabel的地址 0x14c33b460，将text改为还款👇

cy# #0x14c33b460.text = @"还款"
  1. 修改后的内容👇
案例三：修改聊天内容

有2种方式👇

  1. 通过cycript搜索控件进行修改
  2. 通过Xcode的 view debug找到控件进行修改

可以看到内容在accessibility的description中👇

接着我们在logos文件夹下的.xm文件中，使用logos语法hook方法，代码如下👇

%hook RichTextView

- (_Bool)setPrefixContent:(id)arg1 TargetContent:(NSString *)arg2 TargetParserString:(id)arg3 SuffixContent:(id)arg4 {
//    arg2 为文案
    if([arg2 isEqualToString:@"钱已经借给你了。"]) {
        arg2 = @"钱已经换给你了，请查收！";
    }
    return %orig;
}

%end

至此整个内容就修改完成了👇

3.3 高级用法

  • 获取bundle identifier
    使用APPID命令👇
cy# APPID
-------------------------
@"com.xxxxxx.MonKeyDemo"
  • 获取视图层级
    使用pviews()命令👇
pviews()
-------------------------
`<iConsoleWindow: 0x113790b60; baseClass = UIWindow; frame = (0 0; 375 667); gestureRecognizers = <NSArray: 0x2811ce0d0>; layer = <UIWindowLayer: 0x281f12020>>
   | <UITransitionView: 0x113797170; frame = (0 0; 375 667); autoresize = W+H; layer = <CALayer: 0x281f13120>>
   |    | <UIDropShadowView: 0x113798100; frame = (0 0; 375 667); autoresize = W+H; layer = <CALayer: 0x281f13240>>
   |    |    | <UILayoutContainerView: 0x113793ba0; frame = (0 0; 375 667); clipsToBounds = YES; autoresize = W+H; gestureRecognizers = <NSArray: 0x2811cf060>; layer = <CALayer: 0x281f124c0>>
   |    |    |    | <UINavigationTransitionView: 0x1137950f0; frame = (0 0; 375 667); clipsToBounds = YES; autoresize = W+H; layer = <CALayer: 0x281f12760>>
   |    |    |    |    | <UIViewControllerWrapperView: 0x11378b1d0; frame = (0 0; 375 667); autoresize = W+H; layer = <CALayer: 0x281fd9400>>
   |    |    |    |    |    | <UIView: 0x113794990; frame = (0 0; 375 667); autoresize = W+H; layer = <CALayer: 0x281fe8180>>
   |    |    |    |    |    |    | <UIView: 0x113793980; frame = (0 20; 375 732); autoresize = W; layer = <CALayer: 0x281fe8ac0>>
   |    |    |    |    |    |    |    | <UIImageView: 0x113316830; frame = (0 -20; 375 667); opaque = NO; userInteractionEnabled = NO; layer = <CALayer: 0x281fec780>>
   |    |    |    |    |    |    | <UIView: 0x113316140; frame = (0 582; 375 65); autoresize = W+TM; layer = <CALayer: 0x281fecc60>>
   |    |    |    |    |    |    |    | <FixTitleColorButton: 0x113306f70; baseClass = UIButton; frame = (20 18; 157.5 47); clipsToBounds = YES; opaque = NO; autoresize = RM; layer = <CALayer: 0x281fecea0>>
   |    |    |    |    |    |    |    |    | <UIButtonLabel: 0x113328f90; frame = (60.5 12.5; 37 22); text = '\u767b\u5f55'; opaque = NO; userInteractionEnabled = NO; layer = <_UILabelLayer: 0x283c4acb0>>
   |    |    |    |    |    |    |    | <FixTitleColorButton: 0x1137562e0; baseClass = UIButton; frame = (197.5 18; 157.5 47); clipsToBounds = YES; opaque = NO; autoresize = LM; layer = <CALayer: 0x281fc70a0>>
   |    |    |    |    |    |    |    |    | <UIButtonLabel: 0x1137590e0; frame = (60.5 12.5; 37 22); text = '\u6ce8\u518c'; opaque = NO; userInteractionEnabled = NO; layer = <_UILabelLayer: 0x283c46710>>
   |    |    |    |    |    |    | <UIButton: 0x11375a080; frame = (287 20; 88 49); opaque = NO; autoresize = LM; layer = <CALayer: 0x281fc72e0>>
   |    |    |    |    |    |    |    | <UIButtonLabel: 0x113762910; frame = (15 16; 58 17); text = '\u7b80\u4f53\u4e2d\u6587'; opaque = NO; userInteractionEnabled = NO; layer = <_UILabelLayer: 0x283c46850>>
   |    |    |    | <MMUINavigationBar: 0x113793d20; baseClass = UINavigationBar; frame = (0 20; 375 44); opaque = NO; autoresize = W; layer = <CALayer: 0x281f124e0>>
   |    |    |    |    | <_UIBarBackground: 0x113794170; frame = (0 -20; 375 64); userInteractionEnabled = NO; layer = <CALayer: 0x281f12560>>
   |    |    |    |    |    | <UIImageView: 0x11378df60; frame = (0 0; 375 64); opaque = NO; userInteractionEnabled = NO; layer = <CALayer: 0x281fd9a80>>
   |    |    |    |    |    | <_UIBarBackgroundShadowView: 0x1137957a0; frame = (0 64; 375 0); layer = <CALayer: 0x281f129a0>> clientRequestedContentView effect=none
   |    |    |    |    |    |    | <_UIBarBackgroundShadowContentImageView: 0x113795b10; frame = (0 0; 375 0); opaque = NO; autoresize = W+H; userInteractionEnabled = NO; layer = <CALayer: 0x281f12a60>>
   |    |    |    |    | <_UINavigationBarContentView: 0x113794350; frame = (0 0; 375 44); layer = <CALayer: 0x281f12580>> layout=0x1137945d0
   |    |    |    |    |    | <_UITAMICAdaptorView: 0x11378e920; frame = (187 4; 1 36); autoresizesSubviews = NO; layer = <CALayer: 0x281fe81a0>>
   |    |    |    |    |    |    | <MMTitleView: 0x113338b90; frame = (0 0; 1 36); layer = <CALayer: 0x281f36fa0>>
   |    |    |    |    |    |    |    | <MMUILabel: 0x1133382f0; baseClass = UILabel; frame = (0 0; 0 36); userInteractionEnabled = NO; layer = <_UILabelLayer: 0x283c48a00>>
   |    |    |    |    | <UIView: 0x11373a720; frame = (0 44; 375 0.5); hidden = YES; autoresize = W+TM; layer = <CALayer: 0x281f5a3a0>>
   |    |    |    |    | <UIView: 0x1137903d0; frame = (0 0; 0 0); userInteractionEnabled = NO; layer = <CALayer: 0x281f127a0>>`

也可以查看pviews方法的代码实现👇

pviews
-------------------------
function (){return UIApp.keyWindow.recursiveDescription().toString()}
  • 获取视图控制器
    使用pvcs()命令👇
cy# pvcs()
-------------------------
"<MMUINavigationController 0x11396f600>, state: appeared, view: <UILayoutContainerView 0x113793ba0>\n   | <WCAccountLoginFirstViewController 0x11400fa00>, state: appeared, view: <UIView 0x113794990>"

pvcs方法的代码实现👇

pvcs
-------------------------
function (){return UIWindow.keyWindow().rootViewController._printHierarchy().toString()}

上面这些功能，Cycript脚本也有，但是这些命令却不是Cycript自带的，那么它们是哪里来的呢？

在Monkey工程我们可以在Config->MDConfig.plist中发现Cycript下有ms和md两个.cy文件👇

这些命令就封装在这两个文件中（工程运行的时候自动从网络上下载）。
ms.cy
md.cy

使用Cycript找到指定控制器的某个控件，过程比较繁琐。
更好的方式 👉 在非越狱设备上，使用应用重签名，通过Debug View Hierarchy快速定位控件，找到对应的地址，然后使用Cycript对其进行修改。

四、cy文件的封装

案例一：封装简单案例
  1. 在MokeyDemo项目中，创建test.cy文件
  2. 打开test.cy文件，写入以下代码👇
sum = function(a,b){
   return a + b;
}
  1. 将test.cy文件拖入项目，在MokeyDemo项目中，使用Copy Files添加test.cy👇

⚠️注意：test.cy是脚本文件，不是MachO，不需要勾选签名。

  1. 重新运行项目，使用cyConnect.sh附加进程

  2. 导入脚本👇

@import test
-------------------------
{}

调用sum方法👇

sum(10,20)
-------------------------
30
案例二：实现获取当前控制器
  1. 修改test.cy文件的代码👇
(function(exports){
   APPID = [NSBundle mainBundle].bundleIdentifier,
   APPPATH = [NSBundle mainBundle].bundlePath,
   APPHOME = NSHomeDirectory(),

   rootVC = function(){
       return UIApp.keyWindow.rootViewController;
   };

   keyWindow = function(){
       return UIApp.keyWindow;
   };

   getCurrentVC = function(rootVC){

       var currentVC;
       if([rootVC presentedViewController]){
           rootVC = [rootVC presentedViewController];
       }

       if([rootVC isKindOfClass:[UITabBarController class]]){
           currentVC = getCurrentVC(rootVC.selectedViewController);
       }
       else if([rootVC isKindOfClass:[UINavigationController class]]){
           currentVC = getCurrentVC(rootVC.visibleViewController);
       }
       else{
           currentVC = rootVC;
       }

       return currentVC;
   };

   currentVC = function(){
       return getCurrentVC(rootVC());
   };

})(exports);
  1. 重新运行项目，使用cyConnect.sh附加进程
  2. 同样导入脚本👇
@import test
-------------------------
{}
  1. 调用方法👇
  • 获取APPID 
APPID
-------------------------
@"com.xxxxxx.MokeyDemo"
  • 获取APPPATH 
APPPATH
-------------------------
@"/private/var/containers/Bundle/Application/D620C178-5030-48E4-9276-981150FF7299/MokeyDemo.app"
  • 获取APPHOME 
APPHOME
-------------------------
@"/var/mobile/Containers/Data/Application/C2ED1E99-47C4-4C29-8AE6-9C5C136CEE04"
  • 调用currentVC() 
currentVC()
-------------------------
#"<WCAccountLoginFirstViewController: 0x14b0b4200>"

总结

  • Cycipt
    • 是一种脚本语言，兼容了多种语法（支持多种语法的解释器）
    • Cycipt可以附加到进程，用来动态调试
      • 也可自定义脚本，配置到环境变量中，方便执行
    • 将常用功能封装为.cy文件

相关文章

  • 19-Cycript

    前言 本篇文章将介绍逆向实战中经常使用的一门语言 ? Cycript，它是由Cydia创始人Saurik推出的一款...

  • iOS-逆向19-Cycript高级用法和Logos

    谁的青春不迷茫，总是在想的多，做的少。 《iOS底层原理文章汇总》[https://www.jianshu.com...

网友评论

      本文标题：19-Cycript

      本文链接：https://www.haomeiwen.com/subject/rkpysltx.html

      延伸阅读

      深度阅读

      • 您也可以注册成为美文阅读网的作者，发表您的原创作品、分享您的心情！

      栏目导航

      热点阅读

      关于我们|服务条款|联系我们|19-Cycript|投稿指南|网站地图|RSS订阅|排版工具|手机版

      提供经典美文摘抄,优美散文欣赏,现代诗歌精选,短篇小说,心情随笔,表白情书范文,故事会在线阅读欣赏

      Copyright © 2014-2023 Haomeiwen.com All Rights Reserved. 好美文阅读网 版权所有

      备案信息：桂公网安备 45052102000051号 · 桂ICP备13007215号-3

      本站所收录作品、热点评论等信息部分来源互联网，目的只是为了系统归纳学习和传递资讯

      所有作品版权归原创作者所有，与本站立场无关，如不慎侵犯了你的权益，请联系我们告知，我们将做删除处理！