原理:是一个js脚本通过注入到native App动态的hook或执行一些native的函数

//越狱机器使用

1.打印设备信息

新建main.py 脚本

#!/usr/bin/env python

# -*- coding: utf-8 -*-

#By:heiZiORZ

# 获取第一个usb设备

import frida

import threading #定义事件的模块

def get_usb_iphone():

dManager = frida.get_device_manager();

changed = threading.Event(); #定义一个事件

def on_changed():

changed.set()

dManager.on('changed',on_changed)

device = None

while device is None:

devices =[dev for dev in dManager.enumerate_devices() if dev.type == 'usb']

!!! 这边注意一点 我用的是庆总的demo 他的dev.type =  ‘tether’ 会导致 waitting for usb device… 找不到设备

if len(devices) == 0:#如果拿到的数据为0 那么就等待usb接入

print 'Waiting for usb device...'

changed.wait()

else:

device = devices[0] #拿到这个设备

dManager.off('changed',on_changed)

return device

def main():

#1.获取usb设备

device = get_usb_iphone()

print '设备信息:' + str(device)

if __name__ == '__main__':

try:

main()

except Exception as e:

raise

else:

pass

finally:

pass

先加个权限 然后终端运行./main.py  就能看到设备信息

---

2.枚举运行进程信息

正常获取安装应用信息,可以通过调用LSApplicationWorkspace的私有API来实现.那么,如何通过Frida来获取这些信息呢?肯定还是要注入进程,然后再进程里面通过注入JS代码去调用Native的函数,调用私有api去获取这些信息.由JS返回,在和python通信,从而将结果输出到控制台.如果是这样 那么就会有两个问题

 i:如何通过注入JS代码执行native方法

ii:Python如何通过与js通信获取执行结果

需要以下四个步骤

1⃣️注入进程 获取session 

session = device.attach(u'SpringBoard')#附加到SpringBoard上

2⃣️注入JS文件设置回调

#加载JS文件脚本 

def loadJsFile(session, filename):

source = ''

with codecs.open(filename, 'r', 'utf-8') as f:

source = source + f.read()

script = session.create_script(source)

script.on('message', on_message)#设置js返回数据的python回调

script.load() #加载js脚本

return script

对应的js文件代码如下

const LSApplicationWorkspace = ObjC.classes.LSApplicationWorkspace;

const LSApplicationProxy = ObjC.classes.LSApplicationProxy;

function getDataDocument(appid){

const dataUrl = LSApplicationProxy.applicationProxyForIdentifier_(appid).dataContainerURL();

if(dataUrl){

return dataUrl.toString() + '/Documents';

}else{

return "null";

}

}

function installed(){

const workspace = LSApplicationWorkspace.defaultWorkspace();

const apps = workspace.allApplications();

var result;

for(var index = 0; index < apps.count(); index++){

var proxy = apps.objectAtIndex_(index);

result = result + proxy.localizedName().toString() + '\t' + proxy.bundleIdentifier().toString()+'\t'+getDataDocument(proxy.bundleIdentifier().toString())+'\n';

}

send({app : result}); #将结果返回到python

};

#处理python发送过来的消息

function handleMessage(message) {

  if(message['cmd']){

if(message['cmd'] == 'installed'){

installed();

}

  }

  send({ mes: 'Successful operation!’});

  send({ finished: 'yes'});

}

recv(handleMessage);

个人理解相当于实例一个js的对象script

3⃣️python发送消息给js

script.post({'cmd' : 'installed'})

4⃣️python处理回调

#从JS接收信息

def on_message(message, data):

# print 123

# print data

if message.has_key('payload'):

payload = message['payload']

if isinstance(payload, dict): #isinstance 判断对象是否是一个已知的类型

deal_message(payload)

else:

print payload

#处理JS中不同的信息

def deal_message(payload):

#基本信息输出

if payload.has_key('mes'):

print payload['mes']

#安装app信息

if payload.has_key('app'):

app = payload['app']

lines = app.split('\n')

for line in lines:

if len(line):

arr = line.split('\t')

if len(arr) == 3:

outWrite('%-40s\t%-70s\t%-80s' % (arr[0], arr[1], arr[2]))

#处理UI界面输出

if payload.has_key('ui'):

print colorPrint(31, payload['ui'])

#处理完成事件

if payload.has_key('finished'):

finished.set()

代码执行后 就能直接获取某个应用的Bundle ID Document 目录,再也不用通过各种方式来查找了,具体如下

$./main.py 

---

3.枚举安装进程信息 (待更新)

4.枚举某个进程加载的模块信息(待更新)

    可以打印动态库的基地址

5.打印页面ui结构(待更新)

6.动态hook跟踪

首先对这个类的方法进行hook JS代码如下

var openURL = ObjC.classes.ViewController['+ isGL'];

Interceptor.attach(openURL.implementation,{

  onEnter: function(args){

    console.log('123');

  }

});

ObjC.classes保存了所有已经注册的类,所以可以直接获取目标的(-)对象方法 (+)类方法 

JS代码如下

        session = device.attach(u'123')

script = loadJsFile(session,HOOK_JS)

sys.stdin.read()