16萝粉嫩自慰喷水,日韩妓女精品久久久

一、目標

Android下用frida來做rpc調用計算簽名，我們已經(jīng)玩的很熟練了。

今天介紹在IOS下的玩法。要點如下：

參數(shù)類型確認
NSDictionary NSArray等ObjectC對象的構造和復制
ObjectC 類方法和對象方法的調用
附送福利， ObjectC的nil 參數(shù)如何構造

二、步驟

參考Android下的玩法

參照 [某段子App協(xié)議分析(三)] 我們把frida RPC的框架先搭一下，這塊的套路是一樣的，

Flask啟動一個web服務
腳本暴露一個接口出來給Python調用

app = Flask(__name__)

@app.route('/getSignFromJni', methods=['GET'])
def getSignFromJni():
    global gScript

    body = "{"api-version":"1.1.0"}"
    client = "apple"
    clientVersion = "10.0.1"
    functionId = "xview2Config"
    openudid = "078593ee2fda3d54aae5879cb841b2faa62a4985"

    res = gScript.exports.callsign(body,client,clientVersion,functionId,openudid)
    return res

處于演示目的，我們這里創(chuàng)建一個GET接口，參數(shù)寫死。實際應用的時候可以創(chuàng)建個POST接口，把參數(shù)傳進來。

rpc.exports = {
  callsign : callSignFun
};

腳本里面暴露一個callsign函數(shù)供Python調用。

參數(shù)類型確認

上篇文章中我們已經(jīng)定位到了 +[XXSignService getSignWithDic:keys:]，他有兩個參數(shù)，只需要在 IDA中查看下這個函數(shù)被誰調用了，就可以看到入?yún)⒌念愋土恕?查看交叉引用還是上次教的 X 大法 。

打開 IDA, 一臉懵逼，昨天忘保存了，昨天忘保存了，忘保存了......

你知不知道昨天IDA嚼了一上午才搞定。難道還要來嚼一上午？？？

換個玩法吧，反正我們已經(jīng)定位了，用Frida打印下參數(shù)類型試試。

onEnter: function(args) {
        var receiver = new ObjC.Object(args[0]);

        var message1 = ObjC.Object(args[2]);
        var message2 = ObjC.Object(args[3]);

        console.log('msg1=' + message1.toString() + ",type: "+ message1.$className);
        console.log('msg2=' + message2.toString() + ",type: "+ message2.$className);

},

我就知道frida不會讓我們失望

msg1={
    body = "{"channel":1,"fQueryStamp":"1622690375496"}";
    client = apple;
    clientVersion = "10.0.1";
    functionId = bubbleComponent;
    openudid = 078593ee2fda3d54aae5879cb841b2faa62a4985;
},type: __NSDictionaryI
msg2=(
    functionId,
    body,
    openudid,
    client,
    clientVersion
),type: __NSArrayI

參數(shù)1的類型是 NSDictionary，參數(shù)2是個字符串數(shù)組 NSArray

構造NSDictionary和NSArray

畢竟我們沒搞過ObjectC，只好面向谷哥編程了，

TIP: 由于我們要初始化一些數(shù)據(jù)，所以這里使用 NSMutableDictionary 來實現(xiàn)，至于 NSDictionary和NSMutableDictionary的區(qū)別，請自行谷歌

NSMutableDictionary *dict = [[NSMutableDictionary alloc] init];
id objc = nil;
[dict setObject:objc forKey:@"objc"];

這段代碼翻譯成frida的js實現(xiàn)如下：

var param_dict = ObjC.classes.NSMutableDictionary.alloc().init();
  param_dict.setObject_forKey_(body,"body");

那 NSArray呢？繼續(xù)谷哥

NSArray *arr3 = [NSArray arrayWithObjects:@"one",@"two",@1, nil];

再翻譯一把

var NSArray = ObjC.classes.NSArray;
var param_Key_Array = NSArray.arrayWithObjects_(sBody,sClient,sClientVersion,sFunctionId,sOpenudid);

悲催的是，這行代碼跑不過去，這下谷哥也不靈了，去大胡子的github看看

IOS 某電商App簽名算法解析(二) Frida RPC調用_安全

TIP: 遇到frida的問題，不要著急，去大胡子的github搜搜，可能有驚喜。

吾道不孤，同道還是比較多的，遇到的問題也一樣，大胡子說你要在參數(shù)結尾加個 nil

但是這個nil怎么加也是個問題呀。再搜搜 #nil# ，有個同道提供了一個方法，搞起來。

var NSArray = ObjC.classes.NSArray;
var nil = ObjC.Object(ptr("0x0"));
var param_Key_Array = NSArray.arrayWithObjects_(sBody,sClient,sClientVersion,sFunctionId,sOpenudid,nil);

結果還是不理想，跑到這里還是卡死了。

換條路吧。我們試試 NSMutableArray

var param_Key_Array = ObjC.classes.NSMutableArray.arrayWithObject_(sBody);
param_Key_Array.addObject_(sClient);
param_Key_Array.addObject_(sClientVersion);
param_Key_Array.addObject_(sFunctionId);
param_Key_Array.addObject_(sOpenudid);

太棒了，這么搞能實現(xiàn)

ObjectC 類方法的調用

getSignWithDic是一個類方法，類方法的調用很簡單,名稱后面加個下劃線就可以調用了，ObjC.classes.XXSignService.getSignWithDic_(xxx) 就可以了。

不簡單的是，getSignWithDic有兩個參數(shù)，直接 getSignWithDic_(a1,a2)能不能行？

多參數(shù)的調用是這樣的：

var signRc = ObjC.classes.XXSignService.getSignWithDic_keys_(param_dict,param_Key_Array);

完整的試一下

function callSignFun(body,client,clientVersion,functionId,openudid){
    var param_dict = ObjC.classes.NSMutableDictionary.alloc().init();
    param_dict.setObject_forKey_(body,"body");
    param_dict.setObject_forKey_(client,"client");
    param_dict.setObject_forKey_(clientVersion,"clientVersion");
    param_dict.setObject_forKey_(functionId,"functionId");
    param_dict.setObject_forKey_(openudid,"openudid");

    // console.log("==== 1");
    var NSString = ObjC.classes.NSString;
    var sBody = NSString.stringWithString_('body');
    var sClient = NSString.stringWithString_('client');
    var sClientVersion= NSString.stringWithString_('clientVersion');
    var sFunctionId = NSString.stringWithString_('functionId');
    var sOpenudid = NSString.stringWithString_('openudid');

    var param_Key_Array = ObjC.classes.NSMutableArray.arrayWithObject_(sBody);
    param_Key_Array.addObject_(sClient);
    param_Key_Array.addObject_(sClientVersion);
    param_Key_Array.addObject_(sFunctionId);
    param_Key_Array.addObject_(sOpenudid);


    // console.log("==== 2");
    var signRc = ObjC.classes.XXSignService.getSignWithDic_keys_(param_dict,param_Key_Array);
    return signRc.toString();
}

結果是有了，至于對不對，就留給大家去驗證吧。

IOS 某電商App簽名算法解析(二) Frida RPC調用_flask_02

三、總結

及時保存是個好習慣。

正向編程經(jīng)驗對逆向工作有很大的幫助。

Frida是神器。ORZ。

IOS 某電商App簽名算法解析(二) Frida RPC調用_安全_03 我們最先衰老的不是容顏，是夢想。

TIP: 本文的目的只有一個就是學習更多的逆向技巧和思路，如果有人利用本文技術去進行非法商業(yè)獲取利益帶來的法律責任都是操作者自己承擔，和本文以及作者沒關系。

關注微信公眾號: 奮飛安全，最新技術干貨實時推送

本文摘自：https://blog.51cto.com/u

IOS 某電商App簽名算法解析(二) Frida RPC調用2022-04-19 11:18:43