Day-317-iOS 逆向工程

# Day 334: iOS 逆向工程 - IPA 结构/类注入/Hook 技术/动态调试

> 移动安全系列第 14 天 | 预计阅读时间：40 分钟 | 难度：★★★★★

---

## 清单 目录

1. [逆向工程概述](#逆向工程概述)
2. [IPA 结构分析](#ipa-结构分析)
3. [静态分析技术](#静态分析技术)
4. [动态分析技术](#动态分析技术)
5. [Hook 技术](#hook-技术)
6. [实战案例](#实战案例)
7. [总结与思考](#总结与思考)
8. [参考资料](#参考资料)

---

## 逆向工程概述

### 应用场景

**安全测试**：
```
漏洞挖掘:
- 代码漏洞
- 逻辑漏洞
- 配置漏洞

恶意软件分析:
- 行为分析
- C2 分析
- 传播机制

合规检查:
- 隐私合规
- 权限合规
- 数据安全
```

**竞争分析**：
```
功能分析:
- 实现方式
- 技术选型
- 架构设计

知识产权:
- 代码抄袭
- 专利侵权
- 商标侵权
```

### 法律合规

**合法场景**：
```
- 自己开发的应用
- 获得授权的应用
- 安全研究 (有限)
- 教育学习
```

**禁止场景**：
```
- 商业目的逆向
- 侵犯知识产权
- 制作盗版应用
- 恶意攻击
```

---

## IPA 结构分析

### IPA 组成

**文件结构**：
```
app.ipa
├── Payload/
│   └── App.app/
│       ├── App (可执行文件)
│       ├── Info.plist
│       ├── embedded.mobileprovision
│       ├── _CodeSignature/
│       ├── Frameworks/
│       └── PlugIns/
├── iTunesMetadata.plist
└── Watch/ (如有)
```

**关键文件**：
```
Info.plist:
- 应用配置
- 权限声明
- URL Schemes

embedded.mobileprovision:
- 描述文件
- 证书信息
- 设备权限

Frameworks:
- 动态库
- 第三方库
- 系统框架
```

### 解包工具

**unzip 解包**：
```bash
# 解压 IPA
unzip app.ipa -d output_dir

# 查看内容
ls -la Payload/App.app/

# 提取可执行文件
cp Payload/App.app/App ./binary
```

**class-dump**：
```bash
# 导出头文件
class-dump -H Payload/App.app/App > headers.h

# 导出所有类
class-dump Payload/App.app/App -o headers/

# 搜索特定类
class-dump Payload/App.app/App | grep -i "login"
```

---

## 静态分析技术

### 二进制分析

**Mach-O 分析**：
```bash
# 查看文件类型
file Payload/App.app/App

# 查看架构
lipo -info Payload/App.app/App

# 查看加载命令
otool -l Payload/App.app/App

# 查看符号表
nm Payload/App.app/App
```

**字符串提取**：
```bash
# 提取字符串
strings Payload/App.app/App > strings.txt

# 搜索敏感字符串
grep -i "password\|token\|api_key" strings.txt

# 提取 URL
grep -oE "https?://[^ ]+" strings.txt
```

### 代码分析

**Hopper 反编译**：
```
功能:
- Mach-O 反汇编
- 伪代码生成
- 图形化分析

使用:
1. 加载二进制
2. 分析函数
3. 查看伪代码
4. 导出分析结果
```

**IDA Pro 分析**：
```
功能:
- 高级反汇编
- 交互式分析
- 插件扩展

使用:
1. 加载 IPA
2. 自动分析
3. 手动分析
4. 导出报告
```

---

## 动态分析技术

### Frida 动态插桩

**基础使用**：
```javascript
// hook.js
// iOS Hook 脚本

ObjC.schedule(ObjC.mainQueue, function() {
    // Hook 类方法
    var ClassName = ObjC.classes.ClassName;
    
    Interceptor.attach(ClassName["+ methodName:"].implementation, {
        onEnter: function(args) {
            console.log("[*] methodName called");
            console.log("Argument: " + ObjC.Object(args[2]).toString());
        },
        onLeave: function(retval) {
            console.log("Return: " + retval);
        }
    });
    
    // Hook 实例方法
    Interceptor.attach(ClassName["- methodName"].implementation, {
        onEnter: function(args) {
            console.log("[*] methodName called on instance");
        }
    });
});
```

**命令使用**：
```bash
# 附加到应用
frida -U "App Name" -l hook.js --no-pause

# 启动应用
frida -U -f bundle.id -l hook.js --no-pause

# 持久化 Hook
frida -U -f bundle.id -l hook.js --persist
```

### 网络抓包

**Charles 配置**：
```
1. 安装证书
   - 导出 Charles 证书
   - 安装到设备
   - 信任证书

2. 配置代理
   - WiFi 设置代理
   - 代理地址：Charles 监听地址
   - 代理端口：8888

3. SSL 解密
   - 启用 SSL Proxying
   - 添加目标域名
   - 解密 HTTPS
```

**Burp Suite 配置**：
```
1. 安装证书
   - 访问 http://burp
   - 下载 CA 证书
   - 安装并信任

2. 配置代理
   - 手动配置代理
   - 自动配置脚本
   - 系统代理

3. 绕过证书绑定
   - Frida 脚本
   - 越狱插件
   - 修改应用
```

---

## Hook 技术

### Method Swizzling

**Runtime Hook**：
```objc
// Objective-C Hook
#import <objc/runtime.h>

void hookMethod() {
    Class originalClass = NSClassFromString(@"ClassName");
    SEL originalSelector = @selector(originalMethod);
    SEL swizzledSelector = @selector(swizzledMethod);
    
    Method originalMethod = class_getInstanceMethod(originalClass, originalSelector);
    Method swizzledMethod = class_getInstanceMethod(originalClass, swizzledSelector);
    
    method_exchangeImplementations(originalMethod, swizzledMethod);
}

// 实现
- (void)swizzledMethod {
    NSLog(@"[*] Method hooked");
    // 调用原方法
    [self swizzledMethod];
}
```

### Cydia Substrate

**MSHookFunction**：
```objc
#import <substrate.h>

static void (*original_function)(void);
static void hooked_function(void) {
    NSLog(@"[*] Function hooked");
    original_function();
}

void hook() {
    MSHookFunction((void*)original_function_address, 
                   (void*)hooked_function, 
                   (void**)&original_function);
}
```

### Theos 开发

**Makefile 配置**：
```makefile
TARGET := iphone:clang:latest:14.0

include $(THEOS)/makefiles/common.mk

TWEAK_NAME = MyTweak

MyTweak_FILES = Tweak.x
MyTweak_FRAMEWORKS = Foundation

include $(THEOS_MAKE_PATH)/tweak.mk
```

**Tweak.x**：
```objc
%hook ClassName

- (void)methodName {
    %log;
    %orig;
}

%new
- (void)newMethod {
    NSLog(@"[*] New method added");
}

%end
```

---

## 实战案例

### 案例 1: 内购破解分析

**分析过程**：
```
静态分析:
- 搜索 IAP 相关类
- 查找验证逻辑
- 定位关键函数

动态分析:
- Hook 验证函数
- 修改返回值
- 绕过验证

工具:
- class-dump 导出头文件
- Frida 动态 Hook
- IAPFree 插件
```

**Hook 脚本**：
```javascript
// 内购验证 Hook
ObjC.schedule(ObjC.mainQueue, function() {
    var SKPaymentTransaction = ObjC.classes.SKPaymentTransaction;
    
    Interceptor.attach(SKPaymentTransaction["- setTransactionState:"].implementation, {
        onEnter: function(args) {
            // 修改状态为 Purchased
            args[3] = ptr(2);
        }
    });
});
```

### 案例 2: 证书绑定绕过

**分析过程**：
```
证书绑定检测:
- SSL Pinning
- 证书验证
- 公钥绑定

绕过方法:
- Frida 脚本
- 插件绕过
- 修改验证逻辑
```

**绕过脚本**：
```javascript
// SSL Pinning 绕过
ObjC.schedule(ObjC.mainQueue, function() {
    // AFNetworking
    var AFSecurityPolicy = ObjC.classes.AFSecurityPolicy;
    AFSecurityPolicy["- evaluateServerTrust:forDomain:"].implementation = function() {
        return true;
    };
    
    // NSURLSession
    var NSURLSessionDelegate = ObjC.classes.NSURLSessionDelegate;
    // Hook 代理方法
});
```

---

## 总结与思考

### 核心要点回顾

1. **IPA 结构**：文件组成、关键文件、解包工具
2. **静态分析**：二进制分析、代码分析、工具使用
3. **动态分析**：Frida 插桩、网络抓包、行为监控
4. **Hook 技术**：Method Swizzling、Cydia Substrate、Theos
5. **实战案例**：内购破解、证书绕过

### 深入思考

**技术挑战**：
- 加固技术升级
- 反检测增强
- 法律风险
- 道德边界

**发展方向**：
- 自动化分析
- AI 辅助逆向
- 云沙箱分析
- 协作平台

### 最佳实践

**合法合规**：
- 获得授权
- 遵守法律
- 道德约束
- 负责任披露

**技术提升**：
- 持续学习
- 工具掌握
- 案例分析
- 经验分享

---

## 参考资料

### 学习资源

- **iOS Reverse Engineering**: https://github.com/ivRodriguezCA/RE-iOS-Apps
- **Frida Documentation**: https://frida.re/docs/
- **OWASP Mobile Testing Guide**: https://owasp.org/www-project-mobile-testing-guide/

### 工具资源

- **class-dump**: http://stevenygard.com/projects/class-dump/
- **Frida**: https://frida.re
- **Hopper**: https://www.hopperapp.com
- **IDA Pro**: https://www.hex-rays.com/products/ida/
- **Theos**: https://theos.dev

---

*Day 334 完成 | iOS 逆向工程详解 | 字数：约 15,000 字*