逆向破解二 - 脱壳

加壳

• 什么是加壳？
  我们的ipa文件上传appstore，苹果会给我们做一个加密，其实我们运行在内存中的过程是一个加密的壳程序，当然在手机中我们会对他进行解密壳程序，来直接运行可执行的文件，当然苹果这样做的目的是为了保护我们的程序。

  
  image.png

脱壳

• 脱壳的方式
  1.硬脱壳：
  所谓的硬脱壳就是将苹果加密的程序用算法进行破解出来，比如加壳采用的是加法，那么我们破解他就采用减法来进行破解。
  2.动态脱壳：
  我们知道在手机中是会将壳程序进行破解的，那么我们可以通过一定的手段来从内存中拿到可执行文件，但是因为我们手机的环境是比较复杂的，所以在iOS中我们一般采用的都是硬脱壳。

  
  image.png
• 查看是否脱壳以及脱壳的工具
  1.怎样查看脱壳？
  方法1：我们可以通过MachOView来进行查看，怎样下载和使用MachOView我在上一篇文章中有说。
  我们可以在MachOView 中的Load Commands ->LC_ENCRYPTION_INFO中查看Crypt ID ，如果是0 那么就是已经脱壳了，如果不是0那么就是加壳的。比如我如下操作：
  image.png
  但是我们知道这种方式是稍微复杂的，因为我们需要将他的可执行文件导入MachOView，这种算是一种办法但是我还是不建议用这种。
  方法2：
  我们需要安装一个工具Clutch，具体的下载地址在：https://github.com/KJCracks/Clutch/releases
  或者我们安装这个工具也是可以的：
  https://github.com/stefanesser/dumpdecrypted/
  一般来说我们都是安装的第一个工具，怎样安装如下：
  image.png
  如果你输入Clutch出现了这样的界面说明你安装成功了
  image.png
  那么我们怎样可以查看是否脱壳了呢？
  使用命令(前提是已经连接上手机，并且用mac控制手机，我前面的文章有说到)

Clutch -i

比如我的是这样的：

image.png

如果出现了这样的app就说明你是appstore安装的或者是没有脱壳的，因为这样的ipa即使你找到可执行文件你还是解析不出.h文件或者.m文件不是汇编语言。

• 其中dumpdecrypted怎样安装和使用

  
  image.png
  image.png
• 注意：
  除了上述的错误你可能还会出现没有签名的错误，那么你需要对你的dumpdecrypted.dylib进行签名，我们现在已经知道dumpdecrypted.dylib在/var/root目录下，在此目录下执行命令：

ldid -S dumpdecrypted.dylib

这样的话就签了名了，在执行上面的命令应该就能成功了，说明：有时候Clutch 会破解失败这个dumpdecrypted 还是值得拥有。

对加壳app进行破解获取可执行文件

1.首先查看手机中哪些app是加了壳的（我以我自己手机为例）
执行命令：

Clutch -i

执行结果如图：

image.png

2. 输入app的序列号或者app的BundleId号（<序列号>）进行生成ipa文件，执行命令(包越大等待的时间就越长)

Clutch -d APP序号或BundleId

比如我的是：把微信给破解了

image.png

我可以到手机中找到那个ipa包，因为他已经把目录打印出来了。拿到他的ipa包之后直接将ipa的包改为zip，然后直接解压缩，在payload这个文件下就是包文件。通过显示包内容找到他的可执行文件，我们用class-dump 进行破解即可获取头文件，用Hopper Disassembler找他的.m文件（前面的文章有说到）。
这是图片展示的Clutch的使用

image.png