iOS逆向开发（0）：修改二进制代码与重签名 | hopper

iOS逆向开发（0）：修改二进制代码与重签名 | hopper | codesigh

小白：小程，你知道有些iOS程序是没人性的吗？老是不按我的意愿来运行！
小程：我怎么知道你的意愿就是有人性的？

本文解决一个问题：修改别人的二进制程序并运行起来。

让别人的程序按你的意愿来运行，文明一点的做法就是拿到源码后加上自己的修改再生成新的程序并安装。

小白：哇，这句话好长，你能一口气说完吗？

但是，很多情况下我们是没有源码的，那怎么办呢？

一个办法是把执行程序的指令或者数据改掉；另一个办法是让程序执行到自已的代码上，再把流程或内存值给改掉。最终，让程序按自己的想法来运作。

小白：还能让程序执行到自己的代码？这不就是乾坤大挪移吗？
小程：这叫注入！
小白：那赶紧讲注入吧。
小程：不！我先讲硬改。

如何改掉程序的指令呢？

程序的源码你很可能拿不到，但是可执行文件却随手可得，如果能直接修改执行文件来解决问题，那就进到了破解的领空。这里从iOS上的程序入手，举一个例子来说明。

这是一个会“过期”的程序，显示主页面的代码是这样的：

-(void)viewDidAppear:(BOOL)animated
{
    [super viewDidAppear:animated];
    
    UIAlertController* alertvc = nil;
    int expire = 1;
    if (expire) {
        alertvc = [UIAlertController alertControllerWithTitle:nil message:@"过期了！" preferredStyle:UIAlertControllerStyleAlert];
        UIAlertAction* cancel = [UIAlertAction actionWithTitle:@"算了" style:UIAlertActionStyleCancel handler:nil];
        [alertvc addAction:cancel];
    }
    else {
        alertvc = [UIAlertController alertControllerWithTitle:nil message:@"欢迎回来" preferredStyle:UIAlertControllerStyleAlert];
        UIAlertAction* ok = [UIAlertAction actionWithTitle:@"太客气了" style:UIAlertActionStyleDefault handler:nil];
        [alertvc addAction:ok];
    }
    [self presentViewController:alertvc animated:YES completion:nil];
}

运行后会弹出一个框，可能是“欢迎回来”，也可能是“过期了”。

为了真实模拟，先把这个demo弄出一个ipa包，再来安装（而不是直接用xcode安装到手机），这个ipa包就是修改目标。

ipa是一个压缩包，里面包括了执行程序、配置文件、图片等资源。

如果是从itunes下载的app，则可以这样拿到ipa包：

appstore上的APP可以直接安装到手机，但对于那些从appstore下载的ipa，要做重签名后，才能通过第三方工具安装到越狱手机。

小白：小程，什么是重签名？
小程：简单来说，签名就是允许这个app以什么方式安装。上传到aapstore的app都是以发布证书来签名，允许通过itunes或appstore来安装，但不允许用第三方的工具比pp助手、itools之类的工具来安装。而这里的重签名，指的是用开发证书来签名，允许通过第三方工具来安装。
小白：咦？我为什么要通过第三方工具来安装？用appstore不是好好的吗？
小程：但是，如果想修改代码再运行，就只能通过第三方工具，难道你修改代码后还上传给aapstore吗？
小白：也对。那就是说，只有通过appstore下载的ipa才需要重签名了？如果原本就是第三方工具安装的ipa就不需要重签名了？
小程：是的。而且，很多第三方工具都提供自已的app库，这些app都是重签名了的。
小白：那重签名后，再次修改过的app，要不要重签名？
小程：实践证明，这时不需要再签名。

为了清除“修改了程序却不能安装”的障碍，这里介绍一下重签名的操作。

（一）重签名的准备

（1）mobileprovision文件

重签名需要用到描述文件即provision文件，并保证keychain里面有对应的证书。

可以创建证书与provision，再安装到keychain。或者让别人发一个p12文件与对应的provision，再双击安装。

（2）plist文件

重签名时要使用一个entitlements.plist 文件，可以直接找一个这样的文件来修改，保证get-task-allow字段为true即可。

也可以plistbuddy工具来生成一个plist：

/usr/libexec/PlistBuddy -x -c "print :Entitlements " /dev/stdin <<< $(security cms -D -i xxx.app/embedded.mobileprovision) > entitlements.plist   

/usr/libexec/PlistBuddy -c 'Set :get-task-allow true' entitlements.plist  

xxx.app换成目标app，并且要cd到目标ipa的Payload目录再进行操作

（二）重签名

使用codesigh进行签名：

cp "xxx.mobileprovision" "Payload/xxx.app/embedded.mobileprovision"  
--使用mobileprovision文件，覆盖app原有的（没有也照样拷贝过去）

/usr/bin/codesign -f -s "iPhone Developer: xxx (yyy)" --entitlements "Payload/entitlements.plist" "Payload/xxx.app"  
--注意entitlements.plist要准备好

在codesign指定证书时，证书的名字（带括号、空格之类的），最好到keychain里面找到这个证书，然后右键在“简介”里面拷贝过去，避免“找不到”的提示。

把Payload压缩成ipa，注意不是Payload的上一级目录！

这个ipa安装到越狱手机后，跑起来是这样的：
过期了