iOS 安全攻防 -- 动态调试

本文基于重签名后的IPA包安装在越狱手机上运行的包实现动态调试。动态调试借助于ldid、debugserver、lldb 来实现。

ldid：调试工具需要自行安装至Mac端；
debugserver：存于手机系统中，但是原本手机上的 debugserver 不具备get-task-allow 和 task_for_pid-allow 权限，需要赋予权限后重新签名将其通过SSH传输至手机上；
LLDB(Low level Debuger)：轻量级调试位于Mac。

一、准备工作

1.ldid

如果Mac上未安装 ldid，则直接执行指令：

$ brew install ldid

2. debugserver

a. 获取

通过一下路径可获取到 debugserver，将其复制出至空文件夹中:

/Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/DeviceSupport/13.4/DeveloperDiskImage.dmg/usr/bin/debugserver

PS:真机调试包的版本号需与手机系统的版本号对应。

b. 赋予权限 & 重签名

导出 entitlements 文件

$ ldid -e debugserver > debugserver.entitlements

通过文本编辑打开 debugserver.entitlements（debugserver.entitlements 无法直接打开，因为文件内包含两份配置 arm64、arm64v），将其内文本替换为一下内容（entitlements 中添加 get-task-allow 和 task_for_pid-allow 权限）:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>com.apple.backboardd.debugapplications</key>
    <true/>
    <key>com.apple.backboardd.launchapplications</key>
    <true/>
    <key>com.apple.frontboard.debugapplications</key>
    <true/>
    <key>com.apple.frontboard.launchapplications</key>
    <true/>
    <key>com.apple.springboard.debugapplications</key>
    <true/>
    <key>com.apple.system-task-ports</key>
    <true/>
    <key>get-task-allow</key>
    <true/>
    <key>platform-application</key>
    <true/>
    <key>run-unsigned-code</key>
    <true/>
    <key>task_for_pid-allow</key>
    <true/>
</dict>
</plist>

重签名

# 查看权限信息
$ codesign -d --entitlements - debugserver
# 签名权限
$ codesign -f -s - --entitlements debugserver.entitlements debugserver
# 或着简写为
$ codesign -fs- --entitlements debugserver.entitlements debugserver

c. 将 debugserver 传输至手机上

将 debugserver 传输至 iPhone 上并放置于 /usr/bin/, 并对其附加权限

# iphone-ip 为手机IP地址
$ scp -r /xxx/debugserver root@iphone-ip:/usr/bin
# 例如 scp -r /Desktop/xxx/debugserver root@10.22.48.5:/usr/bin

# 输入 SSH 秘钥
$ alpine

# 开启SSH, iphone-ip 为手机IP地址
$ ssh root@iphone-ip
# 输入 SSH 秘钥
$ alpine

# 增加权限
$ chmod +x /usr/bin/debugserver

二、debugserver 与 App 建立交互

新建终端窗口，将debugserver 与 App 建立交互

# 开启 SSH
$ ssh root@ip
# 输入SSH 密码，下面为默认密码
$ alpine

# 启动应用后 可通过Mac端的控制台获取到进程ID/进程名
# ProcessID 为进程名/进程ID
$ debugserver 127.0.0.1:10011 -a <ProcessName/ProcessID>

三、debugserver 与 LLDB 建立交互

新建终端窗体，启用端口 10011

# 新建终端窗口
$ iproxy 10011 10011


# 如果需要关闭端口
# 查看端口信息
$ lsof -i:10011
# kill 对应的PID
$ kill -9 <PID>

新建终端窗口，将 debugserver 与 LLDB 建立交互

$ lldb
$ process connect connect://127.0.0.1:10011
# 或 process connect connect:localhost:10011
# 关联成功后，进程默认暂停，需要执行一下命令让程序继续运行
$ c

四、指令响应归纳

App增加了 ptrace，动态调试建立关联报错，打印信息如下：

debugserver-@(#)PROGRAM:LLDB  PROJECT:lldb-900.3.106
 for arm64.
Attaching to process 6044...
Segmentation fault: 11

未做防护建立关联正确信息，打印信息如下:

debugserver-@(#)PROGRAM:LLDB  PROJECT:lldb-900.3.98
 for arm64.
Attaching to process FYPrototypeDemo...
Listening to port 10011 for a connection from localhost...
Waiting for debugger instructions for process 0.

debugserver 与 LLDB 建立交互，打印信息如下：

Process 12370 stopped
* thread #1, queue = 'com.apple.main-thread', stop reason = signal SIGSTOP
    frame #0: 0x00000001bf85b5f4 libsystem_kernel.dylib`mach_msg_trap + 8
libsystem_kernel.dylib`mach_msg_trap:
->  0x1bf85b5f4 <+8>: ret

libsystem_kernel.dylib`mach_msg_overwrite_trap:
    0x1bf85b5f8 <+0>: mov    x16, #-0x20
    0x1bf85b5fc <+4>: svc    #0x80
    0x1bf85b600 <+8>: ret
Target 0: (FYPrototypeDemo) stopped.

五、lldb 指令

1. breakpoint

查看断点列表

$ breakpoint list

禁用断点

# 禁用所有
$ breakpoint disable
# 禁用第一个断点
$ breakpoint disable 1.1

启用断点

# 启用所有断点
$ breakpoint enable
# 启用第一个断点
$ breakpoint enable 1.1

删除断点

# 删除所有断点
$ breakpoint delete
# 删除第1组断点， 删除只能删除一组，不能单个删除
$ breakpoint delete 1

下断点

# 通过函数名下断点
$ breakpoint set --name <methodName>
# 或者
$ breakpoint set -n <methodName>
# 连续下多个断点
$ breakpoint set -n <methodName> -n <methodName>
# 例如 breakpoint set -n "-[ViewController save:]" -n "-[ViewController pause:]" -n "-[ViewController continues:]"

设置 selector 断点

$ breakpoint set --selector <selector>
# 例如 breakpoint set --selector touchesBegan:withEvent:

设置带有相同字符串的方法断点

$ breakpoint set -r Game:

给某一个文件下的带有相同字符串的方法下断点：

$ breakpoint set --file <filename> -r <method>
# 例如 breakpoint set --file ViewController.m -r Game

注意:

简写：breakpoint->b
打印列表需要写全：breakpoint list 或者 break list

2. bt、frame 命令

查看函数相关信息，使用p、down追踪函数的调用和被调用关系

# 使用bt命令查看函数调用堆栈
$ frame select

查找方法的调用者及方法名称

$ frame variable

3. methods、pviews 命令

methods打印当前对象的属性和方法

$ methods self

4. 命令大全

LLDB指令
LLDB指令的格式是：
<command> [<subcommand> [<subcommand>...]] <action> [-options [option- value]] [argument [argument...]]，其中，command代表命令，subcommand代表子命令，action代表命令的动作，- options 代表命令的选项，argument代表命令的参数，[]中的可以省略。
help命令，用于查看指令的用法，例如：help breakpoint、help breakpoint set
expression命令，执行一个表达式，例如：expression self.view.backgroundColor = [UIColor redColor]，expression与print、p、call的效果一样
thread backtrace命令，打印线程的堆栈信息，与bt命令效果一样
thread return []命令，让函数直接返回某个值，不会执行断点后面的代码了，例如：thread return 3，返回了3
frame variable []命令，打印当前栈帧的变量
thread continue、continue、c命令，让程序继续运行
thread step-over、next、n命令，单步执行，把子函数当做一个整体，不会进入子函数
thread step-in、step、s命令，单步执行，遇到子函数会进入子函数内部
breakpoint set命令，设置断点，参数主要有以下几种：
breakpoint set -a 函数地址
breakpoint set -n 函数名
breakpoint set -r 正则表达式
breakpoint set -s 动态库 -n 函数名
breakpoint list命令，列出所有的断点，每个断点都有自己的编号
breakpoint delete 断点编号命令，删除某个断点
breakpoint command add 断点编号命令，给断点预先设置需要执行的命令，到触发断点时，就会按顺序执行
breakpoint command list 断点编号命令，查看某个断点的预设命令
watchpoint内存断点，就是当内存数据改变时，触发此断点，以便确认是谁修改了内存，子命令主要有以下几种：
watchpoint set variable 变量，例如：watchpoint set variable self->_age，当age变量改变时，断点就会触发，以便找到修改age内存的代码

watchpoint set expression 地址，例如：watchpoint set expression &self->_age

watchpoint list，列出所有的内存断点

watchpoint delete 断点编号，删除此内存断点

watchpoint command add 断点编号，给此内存断点，增加预设命令

image lookup，寻找模块信息，如果你想找某个类型、某个方法、某个地址在模块中的什么位置，就可以用这个命令，主要参数如下：
image lookup -t 类型，查找某个类型的信息，例如image lookup -t NSInterger
image lookup -a 地址，看看某个内存地址在模块中的位置
image lookup -n 符号或者函数名，查找某个符号或者函数的位置
image list，列出所加载的模块信息
一些小技巧：敲Enter会自动执行上次的命令、绝大部分命令可以使用缩写