一、砸壳

软件脱壳，顾名思义，就是对软件加壳的逆操作，把软件上存在的壳去掉（解密）。

1.1 砸壳原理

1.1.1 应用加壳（加密）

提交给Appstore发布的App，都经过官方保护而加密，这样可以保证机器上跑的应用是苹果审核过的，也可以管理软件授权（企业包默认情况下也是没有加密的，TF是加壳的。）。经过App Store加密的应用，我们无法通过Hopper等反编译静态分析，也无法Class-Dump，在逆向分析过程中需要对加密的二进制文件进行解密才可以进行静态分析，这一过程就是大家熟知的砸壳（脱壳）。

App Store是通过对称加密（AES）加壳的，为了速度和效率。

1.1.2 应用砸壳（解密）

静态砸壳
静态砸壳就是在已经掌握和了解到了壳应用的加密算法和逻辑后在不运行壳应用程序的前提下将壳应用程序进行解密处理。静态脱壳的方法难度大，而且加密方发现应用被破解后就可能会改用更加高级和复杂的加密技术。

动态砸壳  
动态砸壳就是从运行在进程内存空间中的可执行程序映像(image)入手，来将内存中的内容进行转储(dump)处理来实现脱壳处理。这种方法实现起来相对简单，且不必关心使用的是何种加密技术。在iOS中都是用的动态砸壳。

1.2 iOS应用运行原理

二、Clutch

Clutch是由KJCracks开发的一款开源砸壳工具。工具支持iPhone、iPod Touch、iPad。该工具需要使用iOS8.0以上的越狱手机应用。

2.1安装

➜ file Clutch-2.0.4
Clutch-2.0.4: Mach-O universal binary with 3 architectures: [arm_v7:Mach-O executable arm_v7] [arm_v7s:Mach-O executable arm_v7s] [arm64:Mach-O 64-bit executable arm64]
Clutch-2.0.4 (for architecture armv7):  Mach-O executable arm_v7
Clutch-2.0.4 (for architecture armv7s): Mach-O executable arm_v7s
Clutch-2.0.4 (for architecture arm64):  Mach-O 64-bit executable arm64

2.2 使用

usbConnect.sh

2. 拷贝Clutch到手机（注意加可执行权限）
   scp -P 端口 文件 用户@地址:目录/别名

➜ scp -P 12345 ./Clutch-2.0.4  root@localhost:/var/root/Clutch
Clutch-2.0.4                                  100% 1204KB  32.1MB/s   00:00

zaizai:~ root# ls
Application\ Support/  Clutch  Library/  Media/

zaizai:~ root# ls -l
total 1204
drwxr-xr-x  3 root wheel      96 Mar 17  2018 Application\ Support/
-rw-r--r--  1 root wheel 1232832 May 25 16:59 Clutch
drwxr-xr-x 11 root wheel     352 Oct 23  2019 Library/
drwxr-xr-x  2 root wheel      64 Feb 27  2008 Media/

zaizai:~ root# chmod +x Clutch
zaizai:~ root# ls -l
total 1204
drwxr-xr-x  3 root wheel      96 Mar 17  2018 Application\ Support/
-rwxr-xr-x  1 root wheel 1232832 May 25 16:59 Clutch*
drwxr-xr-x 11 root wheel     352 Oct 23  2019 Library/
drwxr-xr-x  2 root wheel      64 Feb 27  2008 Media/

3. 列出可以砸壳的应用列表 Clutch -i

root# ./Clutch -i

4. 砸壳 Clutch –d 应用ID

root# Clutch –d  4

自己拷贝的应用是加壳的。

1. 在手机端通过ps -A找到进程：

14837 ??         0:03.93 /var/containers/Bundle/Application/8F382114-BBA7-4D81-AA3E-3CD02E03E23E/WeChat.app/WeChat
16560 ttys000    0:00.02 grep WeChat

scp -P 12345 root@localhost://var/containers/Bundle/Application/8F382114-BBA7-4D81-AA3E-3CD02E03E23E/WeChat.app/WeChat

➜ otool -l WeChat  | grep crypt
cryptoff 28672
cryptsize 4096
cryptid 1

三、插入动态库

是通过DYLD_INSERT_LIBRARIES来实现的。

1. 创建一个HPHook动态库，创建一个类实现一个+load方法：

+ (void)load {
NSLog(@"\n\n\nInject SUCCESS 🍉🍉🍉\n\n\n");

}

编译拷贝出HPHook.framework。

2. 拷贝HPHook.framework到越狱手机

➜ scp -r -P 12345 HPHook.framework root@localhost:/var/root
CodeResources                                                                   100% 2258   301.0KB/s   00:00
HPHook                                                                          100%   85KB   9.0MB/s   00:00
HPHook.h                                                                        100%  422    91.2KB/s   00:00
module.modulemap                                                                100%   93    25.4KB/s   00:00
Info.plist                                                                      100%  744   187.8KB/s   00:00

• -r：代表循环拷贝文件夹。

3. 查看手机App进程（任意一个）

zaizai:/var/root mobile$ ps -A | grep InsertDemo
16708 ??         0:00.13 /var/containers/Bundle/Application/5AC46FE0-EB40-4FE2-BEA5-1AED9C95E7E9/InsertDemo.app/InsertDemo
16710 ttys000    0:00.01 grep InsertDemo

4. HPHook.framework插入步骤3中的App

zaizai:/var/root mobile$ DYLD_INSERT_LIBRARIES=HPHook.framework/HPHook  /var/containers/Bundle/Application/5AC46FE0-EB40-4FE2-BEA5-1AED9C95E7E9/InsertDemo.app/InsertDemo
2021-05-25 18:32:07.606 InsertDemo[16797:7420505]


Inject SUCCESS 🍉🍉🍉

这个时候就插入成功了。

➜  dumpdecrypted-master make
`xcrun --sdk iphoneos --find gcc` -Os  -Wimplicit -isysroot `xcrun --sdk iphoneos --show-sdk-path` -F`xcrun --sdk iphoneos --show-sdk-path`/System/Library/Frameworks -F`xcrun --sdk iphoneos --show-sdk-path`/System/Library/PrivateFrameworks -arch armv7 -arch armv7s -arch arm64 -dynamiclib -o dumpdecrypted.dylib dumpdecrypted.o

ld: warning: directory not found for option '-F/Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/SDKs/iPhoneOS14.4.sdk/System/Library/PrivateFrameworks'

ld: warning: directory not found for option '-F/Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/SDKs/iPhoneOS14.4.sdk/System/Library/PrivateFrameworks'

ld: warning: directory not found for option '-F/Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/SDKs/iPhoneOS14.4.sdk/System/Library/PrivateFrameworks'

3. 拷贝到手机

➜  dumpdecrypted-master scp  -P 12345  dumpdecrypted.dylib  mobile@localhost:/var/mobile/

mobile@localhost's password:

dumpdecrypted.dylib                           100%  209KB  24.6MB/s   00:00

4. 通过DYLD_INSERT_LIBRARIES 环境变量插入动态库执行

DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib /var/containers/Bundle/Application/36B02DC8-B625-4633-A2C7-45079855BFAC/Aweme.app/Aweme

➜  ~ python --version
Python 2.7.16

➜  ~ pip --version
pip 19.0.1 from /Library/Python/2.7/site-packages/pip-19.0.1-py2.7.egg/pip (python 2.7)

sudo easy_install pip

sudo pip install frida-tools

sudo -H pip install frida-tools

https://build.frida.re

sudo git clone https://github.com/AloneMonkey/frida-ios-dump

5.4 砸壳

5.4.1 查看安装的应用

dump.py -l可以查看已经安装的应用

➜  ~ dump.py -l
/Library/Python/2.7/site-packages/paramiko/transport.py:33: CryptographyDeprecationWarning: Python 2 is no longer supported by the Python core team. Support for it is now deprecated in cryptography, and will be removed in the next release.

  from cryptography.hazmat.backends import default_backend
PID  Name          Identifier
-----  ------------  -------------------------------
13582  微信            com.tencent.xin
10769  支付宝           com.alipay.iphoneclient
9912  相机            com.apple.camera
11265  腾讯手机管家        com.tencent.mqqsecure
-  Acrobat       com.adobe.Adobe-Reader
-  App Store     com.apple.AppStore
-  Cydia         com.saurik.Cydia
-  Enframe       me.sspai.Enframe
-  Excel         com.microsoft.Office.Excel

这个时候是不需要映射的。

5.4.2 导出ipa包

dump.py bundleId/displayName:

//dump.py 微信
dump.py com.tencent.xin

• cryptid为0表示没有加密，否则是加密的包。

➜  ~ sudo pip install frida-tools
Traceback (most recent call last):

  File "/usr/local/bin/pip", line 11, in <module>

    load_entry_point('pip==21.1.1', 'console_scripts', 'pip')()

  File "/System/Library/Frameworks/Python.framework/Versions/2.7/Extras/lib/python/pkg_resources/__init__.py", line 489, in load_entry_point

    return get_distribution(dist).load_entry_point(group, name)

  File "/System/Library/Frameworks/Python.framework/Versions/2.7/Extras/lib/python/pkg_resources/__init__.py", line 2843, in load_entry_point

    return ep.load()

  File "/System/Library/Frameworks/Python.framework/Versions/2.7/Extras/lib/python/pkg_resources/__init__.py", line 2434, in load

    return self.resolve()

  File "/System/Library/Frameworks/Python.framework/Versions/2.7/Extras/lib/python/pkg_resources/__init__.py", line 2440, in resolve

    module = __import__(self.module_name, fromlist=['__name__'], level=0)

  File "/Library/Python/2.7/site-packages/pip-21.1.1-py2.7.egg/pip/__init__.py", line 1, in <module>

    from typing import List, Optional

ImportError: No module named typing

sudo easy_install pip==19.0.1

//sudo pip install -r /opt/frida-ios-dump/requirements.txt –upgrade

sudo pip install -r requirements.txt --ignore-installed six