【iOS】iOS逆向系列五 - 脱壳

发表于 | 分类于 ，
| 字数统计 550 字 | 阅读时长 2 分钟

脱壳和加壳是什么意思？

一、脱壳

1.1. 加壳

什么是加壳？利用特殊的算法，对可执行文件的编码进行改变（比如压缩、加密），以达到保护程序代码的目的。

上传到应用市场的APP，AppStore都会对其可执行文件进行加壳操作。

1.2. 脱壳

什么是脱壳？摘掉壳程序，将未加密的可执行文件还原出来（有些人也称为“砸壳”）。

脱壳主要有2种方法：硬脱壳、动态脱壳。

iOS中有很多好用的脱壳工具：

1.3. 验证脱壳状态

第一种使用MachOView软件，查看Load Commands -> LC_ENCRYPTION_INFO -> Crypt ID的值，0代表未加密，其他值代表已加密。

另外一种方式是通过otool命令行：otool -l 可执行文件路径 | grep crypt 。

1.4. Clutch

1.4.1. 配置

下载最新的Release版：

https://github.com/KJCracks/Clutch/releases

建议去掉版本号，改名为Clutch。将Clutch文件拷贝到iPhone的/usr/bin目录。

如果在iPhone上执行Clutch指令，权限不够，对其赋予“可执行的权限”

1.4.2. 使用

  1. 列出已安装的APP：Clutch -i

  1. 输入APP序号或者Bundle Id进行脱壳操作：Clutch -d APP序号或BundleId

  1. 脱壳成功后会生成一个ipa文件

1.5. dumpdecrypted

下载源代码（https://github.com/stefanesser/dumpdecrypted/），然后在源代码目录执行make指令进行编译，获得dylib动态库文件。

  1. 将dylib文件拷贝到iPhone上（如果是root用户，建议放/var/root目录）
  2. 终端进入dylib所在的目录
    • 使用环境变量DYLD_INSERT_LIBRARIES将dylib注入到需要脱壳的可执行文件（可执行文件路径可以通过ps -A查看获取）
1
DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib 可执行文件路径

.decrypted文件就是脱壳后的可执行文件。

使用注意：

在使用过程中，可能会遇到以下错误：

原因：对dylib所在的文件夹权限不够。

解决方案：将dylib放在用户所在文件夹，比如：

  • 如果是root用户，请将dylib放在/var/root目录
  • 如果是mobile用户，请将dylib放在/var/mobile目录