iOS后台长活及逆向验证

之前我有问过同事(RocketChild)火箭闹钟的长后台,点击home键后,app一直长活,她提示他们是反编译了”怪物闹钟”得到的启发,然而在没有去反编译怪物闹钟的时候我猜测是播放静音文件,抓包看过没有voip的长连接。接下来我反编译过后得出的结论印证了我的猜测。

##App常见的后台长活处理

  • Voip voip实现长连接
    XMPPFramework 有个属性就是开启后台长活的
  • 后台下载(Server push notification iOS7+)
  • 定位服务(显著位置更新)
  • 播放静音文件 (相比之前实现成本较低,通过合理设置audio的声音通道不会污染其他声音源)

播放静音文件 实现iOS应用在进入到后台之后,依旧可以执行任务,并不受时间的限制

swift实现播放静音文件

播放静音文件的demo

oc实现播放静音文件

思路:

  1. 使用UIApplication对象的beginBackgroundTaskWithExpirationHandler申请后台执行任务,该任务只有大概3分钟的运行时间
  2. 应用申请到后台执行任务后,使用NSTimer开启一个定时任务,主要负责监控应用剩余的后台可执行时间,当可用的时间少于一个值时,播放一段默声音乐,然后调用UIApplication对象的endBackgroundTask方法将之前申请的后台执行任务结束掉,最后再重新申请一个后台执行任务,这样就可以实现后台不限时执行任务了
  3. 应用在后台播放音乐,需要开启Background Modes,然后勾选Audio and AirPlay即可

注:应用在后台运行的过程中重新申请后台执行任务是无效的,通过在网上查找资料,播放音乐可以让应用进入到一个假前台的状态,此时重新申请后台执行任务是有效的,如此循环n次,就可以获得大约3n的后台执行时间,从而达到后台无限时执行任务

Show me the code(oc)

1
2
3
4
5
6
7
8
9
10
- (BOOL)application:(UIApplication *)application didFinishLaunchingWithOptions:(NSDictionary *)launchOptions
{
    NSError *error = nil;
    [[AVAudioSession sharedInstance] setCategory:AVAudioSessionCategoryPlayback withOptions:AVAudioSessionCategoryOptionMixWithOthers error:&error];
    
    [NSTimer scheduledTimerWithTimeInterval:60 target:self selector:@selector(tik) userInfo:nil repeats:YES];
    // Override point for customization after application launch.
    return YES;
}

在tik方法中判断下后台保留的时间是多少秒,这里为了稳妥,设置为61s。

1
2
3
4
5
6
7
8
9
10
- (void)tik{
    
    if ([[UIApplication sharedApplication] backgroundTimeRemaining] < 61.0)
    {
        [self longTimeTask];
        [[UIApplication sharedApplication] beginBackgroundTaskWithExpirationHandler:nil];
    }
    
}

如何避免上架过程中被reject掉,闹钟类App中有播放声音文件的需求,可以在App的plist主动声明。

那么如果我们一开始没有猜中开头和结尾常规的方法就是沿用套路。

套路

  • UI层分析

    在日常开发中我们可以用Xcode自带的工具进行视图层次的摸索,这里省略。那么如何去分析别人家的app,我们需要借助的工具Reveal。
    Reveal如何在越狱设备上调试

  • 网络层分析

    青花瓷大法:Charles用来抓网络传输数据包,如丝般顺滑。基础功能这里也不用介绍了,值得注意的地方这里列举两个
    1.如果要抓取https的包,我们需要配置SSL设置
    2.上面那步骤完成后,有小伙伴说在真机上面还是不能抓取https的数据,要么你的Charles版本有点老,在iOS9中是有开启ATS功能的,普通的App为了向下兼容都是默认关闭了,在旧版本的Charles中对开启ATS功能的app确实无法抓包,在目前的版本中已经突破了这个限制。
    Charles抓包的原理
    本质还是”中间人”攻击。需要抓取https的包你的设备上还需要信任由Charles下发的证书。


逆向套路

让目标程序破茧而出 -- dumpdecrypted
1.运行时分析 -- cycript
2.追踪神器 -- logify
3.反汇编工具 -- hopper
4.断点调试工具 -- lldb+debugserver
5.注入工具 -- insert_dylib + install_name_tool

  • 砸壳

    apple市场里面的应用默认就加了一道屏障,需要自备砸壳大法。
    砸壳参考
    这样岂不是太繁琐了,有没有舒爽的姿势,有的!
    我会告诉你用pp助手下载越狱市场里面的app都是砸过壳的吗?

  • 砸壳后我们能干点什么(class-dump & 找线索)

    class-dump 使用相信大家都比较熟悉,这里也略过。拿到.h文件后我们可以看下类中的方法以及成员变量;拿到的.h 文件为后面配置 theos的一个插件logify来自动生成Tweak.xm
    keyword:mute.mp3 silent.wav 等
    分析app的plist文件也可以获得它有哪些声明的文件

  • Cycript 运行时分析(这里参考微信读书团队分享中的例子作为案列)

    砸完壳之后,我们再 dump出头文件,但是微信的类太多了,头文件有几百个,如此多的头文件,让人眼花缭乱,所以要找到突破口,我们得缩小范围,我喜欢用的思路是从 ui入手,先找到微信对话界面的 controller,然后再追踪 controller中对应的消息处理函数。
    这样第二个工具 cycript 隆重出场了 ,它也是个手机端 的工具,用于查看 app运行时数据,大伙儿可以通过 cydia安装,安装完之后,ssh到越狱手机的终端。
    先找到微信的进程id:ps aux | grep WeChat再执行:cycript -p 微信的pid

微信app从UI树分析

Cycript打印UI树

1 找到当前的进程id

1
ps aux | grep Appname

2 cycript -p Target app pid

1
UIApp.keyWindow.recursiveDescription().toString()

打印的是当前的ui树,随便找一个节点(树的中间,为什么要在中间,大家可以思考下 ),copy它的内存地址,例如 0x14da3f000

1
[#内存地址 nextResponder]

直到找到一个ViewController,然后再去.h里面 找到对应的类头文件。

  • Hopper

    然而真的要看到.h里面的方法实现,我们还是得借助IDA类似的工具来进行分析,简单些的就使用Hopper进行iOS包中的二进制文件分析,在工具里面点击if(b)f(x)可以查看,某个方法的伪代码实现,这里虽然是伪代码,但是其实可以看见许多关键信息了,结合我们自己的经验基本可以得出想要模仿的 app的关键信息点了(如果对方写法不按照规范来,不按照常理出牌,我们也没法!)如视频播放某个app什么格式都能播放,我们主要分析其解码用了什么框架,是否用了三方的东西,或者用了哪个三方的库,基本可以构面了,然后再模仿下就好了。

怪物闹钟

火箭闹钟

基于播放静音文件的线索我在Hopper里面搜索下关键字,省去了我去用lldb+debugserver的步骤。其实这里只是一个抛砖引玉的过程,我觉得我们在做功能的同时如果能从反方向的角度来思考下问题。

####写在最后关于用Theos编写、改写tweak的时候要注意的地方有:
1,Tweak的control 里面的name 必须要和plist名字对应

改写一个tweak

2,Tweak.plist的
你想要hook的app的签名和tweak中的签名要匹配,否则后面执行make package install安装后没有效果

3,Tweak.wx 加入了%new新方法你需要在你导入的类.h文件中添加你新加方法的声明

Tweak新增加方法需要在引入头文件中声明

4,Makefile的书写,疑惑的地方是我自己创建了个theos的替身,执行的时候报错,我下载了个微信红包的Tweak.xm替换自己的theos替身就好了,应该是文件夹权限的问题。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
THEOS_DEVICE_IP = 172.16.0.115
THEOS_DEVICE_PORT = 22
ARCHS = armv7 arm64
TARGET = iphone:latest:9.0
include theos/makefiles/common.mk
TWEAK_NAME = GodTest
GodTest_FILES = Tweak.xm
GodTest_FRAMEWORKS = UIKit Foundation
include $(THEOS_MAKE_PATH)/tweak.mk
after-install::
install.exec "killall -9 GodTest"

Makefile注意事项
测试的Tweak工程和Xcode工程打包

参考链接:
http://dev.qq.com/topic/5791da152168f2690e72daa4