内容字号:默认大号超大号

段落设置:段首缩进取消段首缩进

字体设置:切换到微软雅黑切换到宋体

iOS开发HOOK下篇之Cydia Substrate

2018-06-08 19:37 出处:清屏网 人气: 评论(0

一 Cydia Substrate

Cydia Substrate 原名为 Mobile Substrate ,它的主要作用是针对OC方法、C函数以及函数地址进行HOOK操作。当然它并不是仅仅针对iOS而设计的,安卓一样可以用。是对Method Swizzle和fishhook的封装。

Cydia Substrate主要由3部分组成:

  • MobileHooker
    MobileHooker顾名思义用于HOOK。它定义一系列的宏和函数,底层调用objc的runtime和fishhook来替换系统或者目标应用的函数.
    其中有两个函数:
    MSHookMessageEx 主要作用于Objective-C方法
    void MSHookMessageEx(Class class, SEL selector, IMP replacement, IMP result)
    MSHookFunction 主要作用于C和C++函数
    void MSHookFunction(voidfunction,void* replacement,void** p_original)
    Logos语法的%hook 就是对此函数做了一层封装
  • MobileLoader
    MobileLoader用于加载第三方dylib在运行的应用程序中。启动时MobileLoader会根据规则把指定目录的第三方的动态库加载进去,第三方的动态库也就是我们写的破解程序.
  • safe mode

因为APP程序质量参差不齐崩溃再所难免,破解程序本质是dylib,寄生在别人进程里。 系统进程一旦出错,可能导致整个进程崩溃,崩溃后就会造成iOS瘫痪。所以CydiaSubstrate引入了安全模式,在安全模 式下所有基于CydiaSubstratede 的三方dylib都会被禁用,便于查错与修复。

二 逆向hook过程

  1. 找到包内容中的MachO文件,然后 把可执行文件的头文件导出来 class-dump -H MachO文件 -o 文件夹
  2. 新建MonkeyApp,把ipa拖到MonkeyApp的TargetApp文件夹中,然后真机运行
  3. 利用Xcode的Debug View Hierarchy功能,找到需要hook的类和方法名,然后去class-dump出来的头文件里找出来。
  4. 如果某些方法无法通过UI来判定,那么就hook住这个类中的所有方法,然后%log 看输出,分析出自己想要的方法
  5. 得到方法名和类名后就可以开始hook了

三 Logos语法

  • %hook 要hook的类
%hook ViewController //要hook的类

- (void)loginBtnClick:(id)arg1
{
    
    %log
    UIAlertController *alertController = [UIAlertController alertControllerWithTitle:@"group1" message:nil preferredStyle:UIAlertControllerStyleAlert];
    UIAlertAction *connectAction = [UIAlertAction actionWithTitle:@"确定" style:UIAlertActionStyleDefault handler:nil];
    [alertController addAction:connectAction];
    [self presentViewController:alertController animated:YES completion:nil];
}
%end

当只有一个分组时,有隐性的构造函数,所以直接%hook %end就可以hook想要的类和方法。%hook %end可以hook一个类

  • %group 分组

    两个以上分组时要构造函数并初始化%group %%end是一个分组

%group group1  //第一个组

%hook ViewController //要hook的类
- (void)loginBtnClick:(id)arg1
{    
    %log  //输出方法的详细信息
}
%end

%end

%group group2  //第二个组

%hook ViewController
- (void)loginBtnClick:(id)arg1
{
    %orig; //执行的流程 可以有参数和返回值
    %log  //输出方法的信息
    UIAlertController *alertController = [UIAlertController alertControllerWithTitle:@"group2" message:nil preferredStyle:UIAlertControllerStyleAlert];
    UIAlertAction *connectAction = [UIAlertAction actionWithTitle:@"确定" style:UIAlertActionStyleDefault handler:nil];
    [alertController addAction:connectAction];
    [self presentViewController:alertController animated:YES completion:nil];
}

%end

%end
  • %ctor 构造函数
//构造函数 constructor 指定加载哪个组 init的时候,后面的会覆盖前面的%init(group2)%init(group1) group1生效
//默认的 %ctor{  %init(_ungrouped)}
//
%ctor{
    NSString * version = [UIDevice currentDevice].systemVersion;
    if(version.doubleValue >= 11.1){
        %init(group2)
    }else{
        %init(group1)
    }
}
  • %new 添加方法
%new //给类添加方法
-(void)touchesBegan:(NSSet<UITouch *> *)touches withEvent:(UIEvent *)event{
    [self.view endEditing:YES];
    //调用类方法
//    [self.class HK_classMethod];
//    [NSClassFromString(@"ViewController") HK_classMethod];
    [%c(ViewController) HK_classMethod];
    //%c(ViewController) 拿到ViewController类 class
}

%new //添加类方法
+(void)HK_classMethod{
    NSLog(@"这是一个类方法!");
}
  • %orig 执行原本方法的流程
- (void)viewDidAppear:(_Bool)arg1{
    %orig;
    UIButton * leftBtn = [UIButton buttonWithType:(UIButtonTypeContactAdd)];
    [leftBtn addTarget:self action:@selector(HK_leftClick) forControlEvents:(UIControlEventTouchUpInside)];
    [self.navigationItem setLeftBarButtonItem: [[UIBarButtonItem alloc] initWithCustomView:leftBtn]]; 
}

-(id)registerBtnClick:(id)arg1
{
   id value = %orig(arg1) //执行原本方法的流程
    //对value 进行一些自己的操作后
    return value
}

给类添加方法时,编译不过去,编译器报找不到这个方法的错误,那么可以自己建立一个.h文件,里面放要hook的类的头文件,头文件里包括自己添加的方法就可以编译通过。

四 举个例子:chestnut:

在微信的第一次加载界面,把背景图片换掉,再加一个按钮,按钮事件跟登录事件效果一样

  1. 新建MonkeyApp ,把微信ipa重签名,用Debug View查看界面信息:

  • 把可执行文件的头文件导出来

    ➜ WeChat.app class-dump -H WeChat -o /Users/mac/Desktop/wechatHeaders

    把wechatHeaders拖到Sublime Text打开,找到WCAccountLoginFirstViewController

  1. hook住WCAccountLoginFirstViewController,加一个按钮
UIButton *bu = [UIButton buttonWithType:UIButtonTypeCustom];
    bu.frame = CGRectMake(10, 100, 100, 100);
    [bu setTitle:@"自己的登录" forState:UIControlStateNormal];
   
    [self.view addSubview:bu];
    bu.center =self.view.center;
    [bu addTarget:self action:@selector(clickToLogin) forControlEvents:UIControlEventTouchUpInside];
  1. 新建Header.h文件,文件里设置WCAccountLoginFirstViewController加上一个新方法- (void)clickToLogin
#import <UIKit/UIKit.h>
@interface WCAccountLoginFirstViewController : UIViewController
- (void)clickToLogin;
@end
  1. 那么怎么让图片点击事件跟登录事件效果一样呢?
  • 先确定登录按钮的事件

  • 得到登录按钮的Target和Action,lldb调试

(lldb) po 0x113b43c60  //Target
{
    className = WCAccountLoginControlLogic;
    memoryAddress = 0x10d495f80;
}

(lldb) po 0x113b46610 //Action
{
    className = "__NSCFString";
    memoryAddress = 0x113b46480;
}

然后再获取Action的方法:

(lldb) po 0x113b46480
onFirstViewLogin
  • 在 Sublime Text中找到WCAccountLoginControlLogic类看是否包含onFirstViewLogin方法,结果果然包含onFirstViewLogin方法
  • 那么要编译通过,就要声明WCAccountLoginControlLogic 和onFirstViewLogin,所以在Header.h中添加
@interface WCAccountLoginControlLogic : NSObject 
- (void)onFirstViewLogin;

@end
  1. 用cycript进行调试,找到登录按钮和背景UIImageView
1.获取当前控制器
cy# var control = UIApp.keyWindow.rootViewController.viewControllers[0]
#"<WCAccountLoginFirstViewController: 0x1080d0a00>"
2. 获取背景UIImageView
cy# var imagev = control.view.subviews[0].subviews[0]
#"<UIImageView: 0x10b33d460; frame = (0 -20; 375 667); opaque = NO; userInteractionEnabled = NO; layer = <CALayer: 0x10b120150>>"
3. 获取到登录按钮
cy# var button = control.view.subviews[1].subviews[0]
#"<FixTitleColorButton: 0x10b0d8c00; baseClass = UIButton; frame = (20 18; 157.5 47); clipsToBounds = YES; opaque = NO; autoresize = RM; layer = <CALayer: 0x10d5f9d40>>"
  1. 替换背景图片
UIImageView * imgv1 = self.view.subviews[0].subviews[0];
    imgv1.image = [UIImage imageNamed:@"@1xGroup 3.png"];
  1. 实现自己的登录按钮事件
%new
- (void)clickToLogin
{
    UIButton *btn = self.view.subviews[1].subviews[0];
    NSArray *arr =[ btn.allTargets allObjects];
    WCAccountLoginControlLogic *vc = arr[0];
    [vc onFirstViewLogin];
    
}
  1. 最后的完整代码为
#import "Header.h"
%group group2
%hook WCAccountLoginFirstViewController
- (void)viewDidAppear:(_Bool)arg1{
    %orig;//执行原来的流程
    //添加自己的按钮
    UIButton *bu = [UIButton buttonWithType:UIButtonTypeCustom];
    bu.frame = CGRectMake(10, 100, 100, 100);
    [bu setTitle:@"自己的登录" forState:UIControlStateNormal];
   
    [self.view addSubview:bu];
    bu.center =self.view.center;
    [bu addTarget:self action:@selector(clickToLogin) forControlEvents:UIControlEventTouchUpInside];
    //替换背景图片
    UIImageView * imgv1 = self.view.subviews[0].subviews[0];
    imgv1.image = [UIImage imageNamed:@"@1xGroup 3.png"];   
}
%new
- (void)clickToLogin
{
    UIButton *btn = self.view.subviews[1].subviews[0];
    NSArray *arr =[ btn.allTargets allObjects];
    WCAccountLoginControlLogic *vc = arr[0];
    [vc onFirstViewLogin];  
}
%end
%end
%ctor{  
    %init(group2)
  
}
分享给小伙伴们:
本文标签: HOOKiOS开发Cydia

相关文章

发表评论愿您的每句评论,都能给大家的生活添色彩,带来共鸣,带来思索,带来快乐。

CopyRight © 2015-2016 QingPingShan.com , All Rights Reserved.

清屏网 版权所有 豫ICP备15026204号