教你如何反編譯app,拿到加密方式
大家知道app 有安卓和ios
安卓是apk 現(xiàn)在基本上apk都是經(jīng)過加密的 想動(dòng)態(tài)脫殼沒一定的技術(shù)是搞不定的
IOS是ipa 今天我主要講的是這個(gè)
準(zhǔn)備好反編譯設(shè)備
1.一套越獄的ios手機(jī) 我的設(shè)備是iphone6 ios8.3 已越獄
2.一個(gè)mac系統(tǒng) 可以是vmware上的mac 黑蘋果 或者直接用自己的mac電腦 我為了方便就用了黑蘋果(如何搞黑蘋果可以看我之前發(fā)表的博客)
給大家看下我的環(huán)境吧：
準(zhǔn)備反編譯環(huán)境
1. 越獄手機(jī)上
1.1 Cydia上面安裝 OpenSSH 安裝成功后 可以remote到你的手機(jī) 默認(rèn)的密碼是 alpine
1.2 github上下載clutch然后放置在手機(jī)的 bin目錄下(可以使用Itools工具)
解釋一下這個(gè)工具是干什么的：如果app是直接從appstore下載的話 默認(rèn)會(huì)被加密的 那么你用反編譯工具IDA(下面會(huì)說到)的話就不行。得用這個(gè)工具解密生成一個(gè)ipa
2. mac機(jī)器上面準(zhǔn)備好 LLDB Remote Debug 環(huán)境 (lldb是什么具體可以搜索Google)
2.1 配置Debug Server
從 /Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/ DeviceSupport/7.0.3\ /DeveloperDiskImage.dmg 獲得debugserver 然后復(fù)制到桌面（中間的那個(gè) DeviceSupport 可以根據(jù)具體路徑替換）
2.2 光有這個(gè)不行 還得弄下簽名
創(chuàng)建一個(gè) 文件叫 Entitlements.plist 然后用 xcode打開進(jìn)行編輯寫入
輸入命令 codesign -s - --entitlements entitlements.plist -f debugserver 之后 把這個(gè) debugserver 傳回 手機(jī)設(shè)備 的 /usr/bin/debugserver (可以使用Itools工具)
3. windows系統(tǒng)上安裝反編譯利器IDA工具,大家可以百度搜破解版
反編譯實(shí)驗(yàn)開始
在mac系統(tǒng)上 ssh連接 手機(jī)設(shè)備
如果你的app是從appstore上下載的那么請(qǐng)先用clutch解密 【我這里就舉了一個(gè)Discord程序的例子】
1 用clutch -i 命理 找到你安裝的app的編號(hào)
2 用clutch -d 2命令進(jìn)行解密操作
由于某頭條我是從越獄版本Itools上下載的 本身就已經(jīng)解密過了 所以不需要上面的操作
我直接用Itools導(dǎo)出ipa包
打開 Fiddler 進(jìn)行抓包分析(如何配置手機(jī)代理請(qǐng)自行百度了)
打開app的注冊(cè)頁面
這里有一個(gè)獲取驗(yàn)證碼的圖片的請(qǐng)求
請(qǐng)求的url里面有一個(gè)sign參數(shù) 一看就知道這個(gè)是md5加密
接下來我們就是要拿到這個(gè)md5是如何生成的
用IDA打開ipa包(第一次打開需要花點(diǎn)時(shí)間)
按SHift+F12打開 搜索String關(guān)鍵字 "sign"
雙擊進(jìn)入
繼續(xù)雙擊進(jìn)入 Function
按 F5
這里我們可以得知 加密的類叫 BFCrytor 里面有一個(gè) MD5方法
在Function列表搜索一下 果然有
好了 已經(jīng)成功找到了 加密md5的類和方法名稱了
接下來開始最重要的步驟了 要根據(jù) 類和方法名稱找到 程序運(yùn)行的 內(nèi)存地址 然后對(duì)這個(gè)內(nèi)存地址進(jìn)行下斷點(diǎn)
1.把ipa包c(diǎn)opy到mac系統(tǒng)里面 然后 用 Class-Dump****XApp -H -A -S -o****headers/
dump出來的頭文件里面標(biāo)記了 IMP 的地址 輸入到 header文件夾
在該文件夾搜索剛剛我們找到的類名稱 BFCryptor 用Xcode打開
記錄下這個(gè)內(nèi)存地址 0x0000000100241e30
lldb 掛載
用 px -a 命令找到 app 運(yùn)行的 id
然后用命令執(zhí)行掛載 執(zhí)行完后 發(fā)現(xiàn)app被卡主了 一切都靜止了
再打開另外一個(gè)bash 執(zhí)行本地命令
lldb> platform select remote-ios> process connect connect://iOSIP:8888
過一會(huì)兒就會(huì)看到下面這個(gè)就代表掛載成功
獲取 ASLR 偏移量
那么 斷線的內(nèi)存地址 的算法 就是 基址 + 偏移量
也就是md5 方法的內(nèi)存地址 = 0x00000000000fc000 + 0x0000000100241e30
用下面的命令進(jìn)行下斷點(diǎn)
斷點(diǎn)下完后 執(zhí)行 c 命令 讓 app 跑起來 觸發(fā)一個(gè)網(wǎng)絡(luò)請(qǐng)求 就會(huì)發(fā)現(xiàn) 斷點(diǎn)停下來的
用 po 命令打印參數(shù) 發(fā)現(xiàn) arg3就是我們md5加密前的數(shù)據(jù)
接下來 就寫一個(gè)模擬請(qǐng)求實(shí)驗(yàn)一下
請(qǐng)求成功了！！！！！
總結(jié)：
這篇文章給大家講了 如何配置反編譯環(huán)境
反編譯一個(gè)app 拿到加密方式的一般步驟是怎樣的。
md5的方式還是比較簡單的，用rsa算法加密(例如國壽app,12306app等)的就比較難。但是方法都是一樣的。
祝大家好運(yùn)!
