【技术分享】如何使用Frida绕过iOS应用的越狱检测-安全客

翻译：興趣使然的小胃

预估稿费：180RMB

投稿方式：发送邮件至linwei#360.cn，或登陆网页版在线投稿

一、前言

在这篇文章中，我们将向读者介绍Frida的一些相关知识。Frida是移动应用安全分析中的一个非常有趣的工具。

即使你从来没有用过Frida，你也可以将这篇文章作为使用Frida开展移动应用安全研究和探索的指南。

这篇文章主要包含以下内容：

1、Frida简介

2、如何在iOS上配置Frida

3、如何使用Frida连接到某个iOS进程

4、如何导出类和方法信息

5、如何使用Frida操控正在运行的iOS应用

6、总结

二、Frida简介

Frida是一个跨平台的动态代码注入工具集，你可以使用它hook应用程序，插入自己的JavaSciprt代码，同时也能获取应用的内存和函数的完全访问权限。

Frida由Ole André V. Ravnås（@oleavr）所开发，有个非常活跃的IRC（Internet Relay Chat，互联网中继聊天）频道与之相关，你可以在这个频道中与其他Frida爱好者探讨思路、问题以及工具的新功能。IRC频道为irc.freenode.net上的#frida频道。

根据具体的使用需求，Frida的一些应用场景为：

1、Hook某个函数，修改返回值。

2、分析自定义协议，嗅探或解密实时流量。

3、调试自己的应用程序。

4、导出iOS应用的类和方法信息。

5、其他应用场景。

我之所以提到“5、其他应用场景”，是因为我们可以将Frida用于各种用途。Frida提供的API功能非常强大，是构建自己的安全或分析工具的首选方案。现在已经有几种工具以Frida为基础，比如Needle以及AppMon等。

Firda的其他应用场景中就包括它可以在非越狱设备上工作，这一点非常有用。为了在非越狱设备上运行Frida调试应用程序，我们需要使用诸如Swizzler2的工具修改应用程序，将FridaGadget dylib添加到应用程序中。

三、在iOS上配置Frida

只需要简单几步，我们就能配置Frida分析iOS应用的安全性。我们需要在iOS设备以及主机上进行配置。

为了在iOS设备上安装Frida，我们需要按照以下步骤操作：

1、在iOS设备上打开Cydia应用。

2、添加源，地址为“https://build.frida.re/”

3、进入已添加的源，搜索“Frida”，点击“Modify”然后安装。

要在主机上安装Frida，我们需要启动控制台，输入“pip install frida”命令，安装Frida程序。

四、使用Frida连接iOS进程

Frida安装完毕后，现在我们已经准备就绪，可以开始使用Frida评估iOS应用的安全性的可利用性。

我们的目标应用是Prateek Gianchandani开发的DVIA（Damn Vulnerable Ios Application，这个应用专门用于iOS平台的渗透测试）iOS应用。本文中用到的脚本大多数都可以在Interference Security的Github代码库中找到。

我们将要分析的是DVIA提供的越狱检测功能，如下所示，该应用提示设备目前处于越狱状态：

我们可以先看一下目标设备当前运行的进程列表，命令如下：

frida-ps –U

从上图中，我们可以了解到iOS设备当前正在运行的所有进程。

我们可以使用“frida –U process-name”命令，将Frida附加到任意一个进程上，命令执行成功后我们将会跳转到Frida控制台中，可以访问目标进程的所有属性、内存内容以及函数功能。

我们可以使用Frida的shell与目标进程交互，也可以编写自己的JavaScrpt代码，获取需要分析的数据。

五、导出iOS应用的类和方法信息

对于DVIA的越狱检测功能而言，我们的目标是确定哪个ViewController和函数负责检测设备的越狱状态。

首先，我们可以写个基本的Frida脚本，导出目标应用中的所有类和方法，从中找到与越狱有关的所有内容，以便在Frida的帮助下绕过应用的越狱检测。

我们的工作流程如下所示：

六、使用Frida找出DVIA中负责越狱检测的类

首先我们先找出应用中的所有类。

for (var className in ObjC.classes)
    {
        if (ObjC.classes.hasOwnProperty(className))
        {
            console.log(className);
        }
}

运行脚本，将Frida附加到目标进程中（如下图所示），我们可以从运行结果中，找到目标进程的所有类。

我们最好通过grep命令搜索目标类，在本文的案例中，我们可以使用“Jailbreak”这个关键词。

通过关键词搜索，我们定位到一个名为“JailbreakDetectionVC”的类，如下图所示：

找到所有实例后，你可能会看到一个错误提示，忽略这个提示即可。

现在我们已经找到目标类，接下来我们可以探索这个类中的关键函数。

七、使用Frida找出DVIA中负责越狱检测的方法

为了查找类方法，我们需要使用Frida提供的“ObjC.classes.class-name.$methods”方法。在本文案例中，我们只需要查找“JailbreakDetectionVC”类中的方法即可。

console.log("[*] Started: Find All Methods of a Specific Class");
if (ObjC.available)
{
    try
    {
        var className = "JailbreakDetectionVC";
        var methods = eval('ObjC.classes.' + className + '.$methods');
        for (var i = 0; i < methods.length; i++)
        {
            try
            {
                console.log("[-] "+methods[i]);
            }
            catch(err)
            {
                console.log("[!] Exception1: " + err.message);
            }
        }
    }
    catch(err)
    {
        console.log("[!] Exception2: " + err.message);
    }
}
else
{
    console.log("Objective-C Runtime is not available!");
}
console.log("[*] Completed: Find All Methods of a Specific Class");

运行这个脚本，使用grep命令查找类似“Jailbreak”、“Jailbroken”、“Detection”之类的关键词，如下图所示：

根据这些关键词，我们找到了三个方法，分别为“isJailbroken”、“jailbreakTest1Tapped:”以及“jailbreakTest2Tapped:”。

对于本文案例，“isJailbroken”看上去更像是检测设备是否越狱的方法。

八、使用Frida修改DVIA中负责越狱检测方法的返回值

现在我们可以分析“isJailbroken”方法究竟发送了什么类型的返回值。

if (ObjC.available)
{
    try
    {
        var className = "JailbreakDetectionVC";
        var funcName = "- isJailbroken";
        var hook = eval('ObjC.classes.' + className + '["' + funcName + '"]');
        Interceptor.attach(hook.implementation, {
          onLeave: function(retval) {
            console.log("[*] Class Name: " + className);
            console.log("[*] Method Name: " + funcName);
            console.log("t[-] Type of return value: " + typeof retval);
            console.log("t[-] Return Value: " + retval);
          }
        });
    }
    catch(err)
    {
        console.log("[!] Exception2: " + err.message);
    }
}
else
{
    console.log("Objective-C Runtime is not available!");
}

运行这个脚本，点击iOS应用中的“Jailbreak Test 1”按钮，之后我们就可以在Frida控制台中看到函数的返回值。

由于我们的设备已越狱，我们获得的返回值为0x1，表明函数的返回结果为True。

接下来我们的任务是覆盖这个返回值，修改这个方法，使得不管什么时候我们点击应用中的“Jailbreak Test 1”按钮，函数的返回值始终为false（即0x0）。

我们只需要添加一行代码，就可以修改这个函数的返回值。

我们可以通过如下代码，修改函数的返回值，并将返回值反馈到控制台中：

newretval = ptr("0x0")
retval.replace(newretval)
console.log("t[-] New Return Value: " + newretval)

最终的脚本如下所示：

if (ObjC.available)
{
    try
    {
        var className = "JailbreakDetectionVC";
        var funcName = "- isJailbroken";
        var hook = eval('ObjC.classes.' + className + '["' + funcName + '"]');
        Interceptor.attach(hook.implementation, {
          onLeave: function(retval) {
            console.log("[*] Class Name: " + className);
            console.log("[*] Method Name: " + funcName);
            console.log("t[-] Type of return value: " + typeof retval);
            console.log("t[-] Original Return Value: " + retval);
            newretval = ptr("0x0")
            retval.replace(newretval)
            console.log("t[-] New Return Value: " + newretval)
          }
        });
    }
    catch(err)
    {
        console.log("[!] Exception2: " + err.message);
    }
}
else
{
    console.log("Objective-C Runtime is not available!");
}

运行这个脚本，我们可以在控制台中看到函数的返回值已经被成功修改：