【iOS逆向與安全】frida-trace入門

来源:https://www.cnblogs.com/witchan/archive/2022/11/18/16904169.html
-Advertisement-
Play Games

前言 frida-trace是一個用於動態跟蹤函數調用的工具。支持android和ios。安裝教程請參考官網。工欲善其事必先利其器。本文將以某App為示範，演示frida-trace的各種方法在iOS中的應用。 一、目標 讓看文章的你在使用frida-trace時更得心應手。 二、工具 mac系統 ...


前言

frida-trace是一個用於動態跟蹤函數調用的工具。支持android和ios。安裝教程請參考官網。工欲善其事必先利其器。本文將以某App為示範，演示frida-trace的各種方法在iOS中的應用。

一、目標

讓看文章的你在使用frida-trace時更得心應手。

二、工具

  • mac系統
  • frida：動態調試工具
  • 已越獄iOS設備：脫殼及frida調試

三、使用

1.命令格式

frida-trace [options] target

iOS常用的可選參數：

// 設備相關
-D	連接到指定的設備，多個設備時使用。示例:frida-trace -D 555315d66cac2d5849408f53da9eea514a90547e -F 
-U	連接到USB設備，只有一個設備時使用。示例fria-trace -U -F

// 應用程式相關
-f	目標應用包名。spawn模式。示例:frida-trace -U -f com.apple.www
-F	當前正在運行的程式。attach模式示例。示例:frida-trace -U -F或frida-trae -UF
-n	正在運行的程式的名字。attach模式。示例:frida-trace -U -n QQ
-N	正在運行的程式的包名。attach模式。示例:frida-trace -U -N com.apple.www
-p	正在運行的程式的pid。attach模式。示例:frida-trace -U -p 2302
  
// 方法相關，以下參數在一條跟蹤命令中可重覆使用
-I	包含模塊。示例:frida-trace -UF -I "libcommonCrypto*"
-X	不包含模塊。示例:frida-trace -UF -X "libcommonCrypto*"
-i 	包含c函數。示例:frida-trace -UF -i "CC_MD5"
-x 	不包名c函數。示例:frida-trace -UF -i "*MD5" -x "CC_MD5"
-a 	包含模塊+偏移跟蹤。示例:frida-trace -UF -a 模塊名\!0x7B7D48
-m 	包含某個oc方法。示例:frida-trace -UF -m "+[NSURL URLWithString:]"
-M 	不包含某個oc方法。示例:frida-trace -UF -M "+[NSURL URLWithString:]"
  
// 日誌相關
-o	日誌輸出到文件。示例:frida-trace -UF -m "*[* URL*]" -o run.log

2.常用命令

frida-trace中的方法匹配命令支持模糊匹配，星號匹配0個或多個字元，問號匹配1個字元：

-m "-[NSURL *]"	// 匹配NSURL類的所有實例方法
-m "+[NSURL *]"	// 匹配NSURL類的所有類方法
-m "*[NSURL *]" // 匹配NSURL類的所有方法
-m "*[*URL *]"	// 匹配以URL結尾類的所有方法
-m "*[URL* *]" 	// 匹配以URL開頭類的所有方法
-m "*[*URL* *]"	// 匹配包含URL的類的所有方法
-m "*[*URL* *login*]"	// 匹配包含URL的類的帶login的所有方法
-m "*[????? *]"	// 匹配類名只有五個字元的類的所有方法

簡而言之:

當你不確定你要跟蹤的方法是類方法還是實例方法時，用星號代替

當你只知道部分類名時，不確定的地方用星號代替

當你只知道部分方法名時，不確定的地方用星號代替

當你不知道方法名時，直接用星號代替

當你不知道某個字母是大小寫時，用問號代替

frida-trace命令會在當前目錄生成./__handlers__/文件夾內生成對應函數的js代碼。當你需要列印入參，返回值。或修改入參，返回值時，可編輯對應的js文件。

  • 列印或修改OC方法的入參

$ frida-trace -UF -m "-[DetailViewController setObj:]"
Instrumenting...
-[DetailViewController setObj:]: Auto-generated handler at "/Users/witchan/__handlers__/DetailViewController/setObj_.js"
Started tracing 1 function. Press Ctrl+C to stop.

js源碼如下：

{
  onEnter(log, args, state) {
    var self = new ObjC.Object(args[0]);  // 當前對象
    var method = args[1].readUtf8String();  // 當前方法名
    log(`[${self.$className} ${method}]`);

    var isData = false;

    // 字元串
    // var str = ObjC.classes.NSString.stringWithString_("hi wit!")  // 對應的oc語法：NSString *str = [NSString stringWithString:@"hi with!"];
    // args[2] = str  // 修改入參

    // array
    // var 

    // 數組
    // var array = ObjC.classes.NSMutableArray.array();  // 對應的oc語法：NSMutableArray array = [NSMutablearray array];
    // array.addObject_("item1");  // 對應的oc語法：[array addObject:@"item1"];
    // array.addObject_("item2");  // 對應的oc語法：[array addObject:@"item2"];
    // args[2] = array; // 修改入參

    // 字典
    // var dictionary = ObjC.classes.NSMutableDictionary.dictionary(); // 對應的oc語法:NSMutableDictionary *dictionary = [NSMutableDictionary dictionary];
    // dictionary.setObject_forKey_("value1", "key1"); // 對應的oc語法：[dictionary setObject:@"value1" forKey:@"key1"]
    // dictionary.setObject_forKey_("value2", "key2"); // 對應的oc語法：[dictionary setObject:@"value2" forKey:@"key2"]
    // args[2] = dictionary; // 修改入參

    // 位元組
    var data = ObjC.classes.NSMutableData.data(); // 對應的oc語法：NSMutableData *data = [NSMutableData data];
    var str = ObjC.classes.NSString.stringWithString_("hi wit!")  // 獲取一個字元串。 對應的oc語法：NSString *str = [NSString stringWithString:@"hi with!"];
    var subData = str.dataUsingEncoding_(4);  // 將str轉換為data,編碼為utf-8。對應的oc語法：NSData *subData = [str dataUsingEncoding:NSUTF8StringEncoding];
    data.appendData_(subData);  // 將subData添加到data。對應的oc語法：[data appendData:subData];
    args[2] = data; // 修改入參
    isData = true;

    // 更多數據類型：https://developer.apple.com/documentation/foundation

    var before = args[2];

    // 註意，日誌輸出請直接使用log函數。不要使用console.log()
    if (isData) {
    	// 列印byte對象
      var after = new ObjC.Object(args[2]); // 列印NSData
      var outValue = after.bytes().readUtf8String(after.length()) // 將data轉換為string
      log(`before:=${before}=`);
      log(`after:=${outValue}=`);
    } else {
    	// 列印字元串、數組、欄位
      var after = new ObjC.Object(args[2]); // 列印出來是個指針時，請用該方式轉換後再列印
      log(`before:=${before}=`);
      log(`after:=${after}=`);
    }

    // 如果是自定義對象時，使用以上方法無法列印時，請使用以下方法：
    // var customObj = new ObjC.Object(args[0]); // 自定義對象
    // // 列印該對象所有屬性
    // var ivarList = customObj.$ivars;
    // for (key in ivarList) {
    //   log(`key${key}=${ivarList[key]}=`);
    // }

    // // 列印該對象所有方法
    // var methodList = customObj.$methods;
    // for (var i=0; i<methodList.length; i++) {
    //   log(`method=${methodList[i]}=`);
    // }
  },
  onLeave(log, retval, state) {

  }
}

  • 修改OC方法的返回值

$ frida-trace -UF -m "-[DetailViewController obj]"
Instrumenting...
-[DetailViewController obj]: Loaded handler at "/Users/witchan/__handlers__/DetailViewController/obj.js"
Started tracing 1 function. Press Ctrl+C to stop.

js源碼如下：

{
  onEnter(log, args, state) {

  },
  onLeave(log, retval, state) {
    // 字元串
    var str = ObjC.classes.NSString.stringWithString_("hi wit!")  // 對應的oc語法：NSString *str = [NSString stringWithString:@"hi with!"];
    retval.replace(str)  // 修改返回值
    var after = new ObjC.Object(retval); // 列印出來是個指針時，請用該方式轉換後再列印
    log(`before:=${retval}=`);
    log(`after:=${after}=`);

    // 其他數據類型，請往上看
  }
}

  • 列印C函數的入參和返回值

$ frida-trace -UF -i "CC_MD5"
Instrumenting...
CC_MD5: Loaded handler at "/Users/witchan/__handlers__/libcommonCrypto.dylib/CC_MD5.js"
Started tracing 1 function. Press Ctrl+C to stop.

js源碼如下:

{
  onEnter(log, args, state) {
    // 註意。c方法里的參數直接從下標0開始
    this.args0 = args[0];	
    this.args2 = args[2];
    this.backtrace = 'CC_MD5 called from:\n' +
        Thread.backtrace(this.context, Backtracer.ACCURATE)
        .map(DebugSymbol.fromAddress).join('\n') + '\n';
  },
  onLeave(log, retval, state) {
    
    var ByteArray = Memory.readByteArray(this.args2, 16);
    var uint8Array = new Uint8Array(ByteArray);

    var str = "";
    for(var i = 0; i < uint8Array.length; i++) {
        var hextemp = (uint8Array[i].toString(16))
        if(hextemp.length == 1){
            hextemp = "0" + hextemp
        }
        str += hextemp;
    }
    log(`CC_MD5(${this.args0.readUtf8String()})`);   
    log(`CC_MD5()=${str}=`);
    log(this.backtrace);	// 列印函數調用棧
  }
}

  • 常用frida-trace命令

跟蹤單個方法：frida-trace -UF -m "-[DetailViewController obj]"

跟蹤多個方法：frida-trace -UF -m "-[DetailViewController obj]" -m "+[NSURL URLWithString:]"

跟蹤某個類的所有方法：frida-trace -UF -m "*[DetailViewController *]"

跟蹤某個類的所有方法併排除viewDidLoad方法：frida-trace -UF -m "*[DetailViewController *]" -M "-[DetailViewController viewDidLoad]"

跟蹤整個App中包含sendMsg關鍵詞的所有方法：frida-trace -UF -m "*[* *sendMsg*]"

需要忽略某個字母的大小寫，請使用?代替sendMsg中的M:frida-trace -UF -m "*[* *send?sg*]"

日誌過多時，可保存到文件：frida-trace -UF -m "*[* *sendMsg*]" -o run.log

跟蹤某個動態庫：frida-trace -UF -I "libcommonCrypto*"

跟蹤某個c函數：frida-trace -UF -i "CC_MD5"

跟蹤sub_1007B7D48函數：frida-trace -UF -a xxxxx\!0x7B7D48

總結

以上就是關於frida-trace的基本使用，希望能幫助到大家。同時也建議大家閱讀官方文檔：https://frida.re/docs/frida-trace/

提示：閱讀此文檔的過程中遇到任何問題，請關註公眾號【移動端Android和iOS開發技術分享】或加QQ群【812546729】

IMG_4048


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • 猴子補丁
    作用：隨時修改代碼 (在函數或類定義完成之後，再去修改函數的實現過程) """類似猴子補丁在函數定義好之後，再去更改他的行為"""import typesclass Valley: def func(self): return "等待宣告"def common(self): return "只有永不 ...
  • 《Go 語言併發之道》讀書筆記（三）
    1. 擴容方案剖析 1.1 擴容問題 在項目初期，我們部署了三個資料庫A、B、C，此時資料庫的規模可以滿足我們的業務需求。為了將數據做到平均分配，我們在Service服務層使用uid%3進行取模分片，從而將數據平均分配到三個資料庫中。 如圖所示： 後期隨著用戶量的增加，用戶產生的數據信息被源源不斷的 ...
  • Python工具箱系列(十四)
    上文介紹了命令行方式來對文件進行加解密操作。本文將繼續在此基礎上，實現一個快速簡易的GUI界面方便操作，先上代碼看效果。 ...
  • 使用Fody時,CS-SCRIPT動態代碼無法找到程式集
    aspnetcore上傳圖片也就是上傳文件有兩種方式，一種是通過form-data，一種是binary。 先介紹第一種form-data: 該方式需要顯示指定一個IFormFile類型，該組件會動態通過打開一個windows視窗選擇文件 及圖片。 postman演示如上，代碼如下： [HttpPos ...
  • FreeRtos於嵌入式環境的應用
    FreeRtos操作系統 首先，應該介紹什麼是FreeRtos，他於單片機而言就是一個管理器，作為管理者管理嵌入式晶元中的任務，堆棧，中斷，隊列等等資源，對於操作系統而言，又分為實時操作系統和非實時操作系統，實時操作系統代表任務或者某個功能必須在指定的運行時間內完成，保證設備想要執行的功能能立即得到 ...
  • Centos 7 部署 openGauss 3.1.0 級聯備庫集群及集群縮容刪除節點-運維指南
    摘要：先通過OPS確認節點狀態是否已經恢復，或登錄後臺執行cm_ctl query -Cv確認集群是否已經Normal。 本文分享自華為雲社區《【實例狀態】GaussDB CN服務異常》，作者：酷哥。 確認節點狀態 先通過OPS確認節點狀態是否已經恢復，或登錄後臺執行cm_ctl query -Cv ...
  • 開源共建 | Dinky 擴展批流統一數據集成框架 ChunJun 的實踐分享
    一、前言 ChunJun（原FlinkX）是一個基於 Flink 提供易用、穩定、高效的批流統一的數據集成工具，既可以採集靜態的數據，比如 MySQL，HDFS 等，也可以採集實時變化的數據，比如 binlog，Kafka等。同時 ChunJun 也是一個支持原生 FlinkSql所有語法和特性的計 ...
  • MongoDB - 索引知識
    學會 MongoDB 的增刪改查只能算得上是“初窺門徑”，瞭解、熟練掌握索引才能算得上“融會貫通”。基本可以認為資料庫的索引知識是一個初級開發向中級開發轉變所必備的知識。 ...
一周排行
    -Advertisement-
    Play Games
  • C#自增運算符詳解：++i與i++的區別及應用場景
    概述：在C#中，++i和i++都是自增運算符，其中++i先增加值再返回，而i++先返回值再增加。應用場景根據需求選擇，首碼適合先增後用，尾碼適合先用後增。詳細示例提供清晰的代碼演示這兩者的操作時機和實際應用。 在C#中，++i 和 i++ 都是自增運算符，但它們在操作上有細微的差異，主要體現在操作的 ...
  • Taurus.MVC 性能壓力測試（ap 壓測 和 linux 下wrk 壓測）：.NET 版本
    上次發佈了：Taurus.MVC 性能壓力測試（ap 壓測 和 linux 下wrk 壓測）：.NET Core 版本，今天計劃準備壓測一下 .NET 版本，來測試並記錄一下 Taurus.MVC 框架在 .NET 版本的性能，以便後續持續優化改進。 為了方便對比，本文章的電腦環境和測試思路，儘量和... ...
  • 一文讀懂.NET WebAPI中FromRoute、FromQuery、FromBody的關鍵角色與用法
    .NET WebAPI作為一種構建RESTful服務的強大工具，為開發者提供了便捷的方式來定義、處理HTTP請求並返迴響應。在設計API介面時，正確地接收和解析客戶端發送的數據至關重要。.NET WebAPI提供了一系列特性，如[FromRoute]、[FromQuery]和[FromBody]，用 ...
  • WPF/C#實現圖像濾鏡優化方案：打造炫目視覺體驗！
    原因：我之所以想做這個項目，是因為在之前查找關於C#/WPF相關資料時，我發現講解圖像濾鏡的資源非常稀缺。此外，我註意到許多現有的開源庫主要基於CPU進行圖像渲染。這種方式在處理大量圖像時，會導致CPU的渲染負擔過重。因此，我將在下文中介紹如何通過GPU渲染來有效實現圖像的各種濾鏡效果。 生成的效果 ...
  • Bogus 實戰：使用 Bogus 和 EFCore 生成模擬數據和種子數據【完整教程】
    引言 上一章我們介紹了在xUnit單元測試中用xUnit.DependencyInject來使用依賴註入，上一章我們的Sample.Repository倉儲層有一個批量註入的介面沒有做單元測試，今天用這個示例來演示一下如何用Bogus創建模擬數據 ，和 EFCore 的種子數據生成 Bogus 的優 ...
  • WPF隨筆收錄-實時繪製心率曲線
    一、前言 在自己的項目中，涉及到實時心率曲線的繪製，項目上的曲線繪製，一般很難找到能直接用的第三方庫，而且有些還是定製化的功能，所以還是自己繪製比較方便。很多人一聽到自己畫就害怕，感覺很難，今天就分享一個完整的實時心率數據繪製心率曲線圖的例子；之前的博客也分享給DrawingVisual繪製曲線的方 ...
  • wpf程式修改啟動入口註意事項
    如果你在自定義的 Main 方法中直接使用 App 類並啟動應用程式，但發現 App.xaml 中定義的資源沒有被正確載入，那麼問題可能在於如何正確配置 App.xaml 與你的 App 類的交互。 確保 App.xaml 文件中的 x:Class 屬性正確指向你的 App 類。這樣，當你創建 Ap ...
  • 記一次 .NET某爐膛鍋爐檢測系統 崩潰分析
    一：背景 1. 講故事 上個月有個朋友在微信上找到我，說他們的軟體在客戶那邊隔幾天就要崩潰一次，一直都沒有找到原因，讓我幫忙看下怎麼回事，確實工控類的軟體環境複雜難搞，朋友手上有一個崩潰的dump，剛好丟給我來分析一下。 二：WinDbg分析 1. 程式為什麼會崩潰 windbg 有一個厲害之處在於 ...
  • 一個.NET內置依賴註入的小型強化版
    前言 .NET生態中有許多依賴註入容器。在大多數情況下，微軟提供的內置容器在易用性和性能方面都非常優秀。外加ASP.NET Core預設使用內置容器，使用很方便。 但是筆者在使用中一直有一個頭疼的問題：服務工廠無法提供請求的服務類型相關的信息。這在一般情況下並沒有影響，但是內置容器支持註冊開放泛型服 ...
  • WPF隨筆收錄-DataGrid固定右側列
    一、前言 在項目開發過程中，DataGrid是經常使用到的一個數據展示控制項，而通常表格的最後一列是作為操作列存在，比如會有編輯、刪除等功能按鈕。但WPF的原始DataGrid中，預設只支持固定左側列，這跟大家習慣性操作列放最後不符，今天就來介紹一種簡單的方式實現固定右側列。（這裡的實現方式參考的大佬 ...
所有分類