给 frida 做了个图形界面,动态分析 iOS 应用


#1

虽然没有 Android 平台那么多的攻击面和利用姿势,iOS 应用依然有安全审计的需求。移动平台的安全目前采用的策略基本上都是扫描器加上一部分人工的逆向和动态分析。

针对 iOS 应用攻击面分析,目前笔者了解或使用过的相关工具如下(除去逆向工程使用的调试器和反汇编工具):

在使用中笔者多多少少遇到了一些问题,例如 needle 在设备上需要部署过多依赖包,idb 不兼容 iOS 10,Introspy 虽好但查询日志数据库有一些麻烦……忍不住开始造轮子。

审计工具所需功能大体有如下几个方面:

  • 分析应用是否开启了必要的编译器保护
  • 分析应用沙盒内的文件内容和权限
  • 分析应用使用到的 framework 和动态链接库
  • 分析应用存储的数据,如 UserDefaults, BinaryCookie 和 KeyChain
  • 分析剪贴板的使用
  • 动态拦截和分析 Objective C 运行时方法
  • 动态拦截和分析本地代码的参数调用和堆栈追踪
  • 分析 UIView 的层级结构和属性
  • 一些基于 hook 实现的修改功能,如设备特征伪造、绕过越狱检测、绕过 SSL Pinning 等

应用目前仍然在开发中,可能会有 bug 或功能缺失。

设计

在实现方案上,笔者选择了功能极为强大的 hook 框架 frida.re。关于这个框架不需要我再过多介绍,它在 iOS 平台上支持对 native 函数、Objective C 运行时的 hook 和调用,可以满足多种移动安全运行时分析的自动化需求。

Passionfruit 通过 frida 注入代码到目标应用实现功能,再通过 node.js 服务端消息代理与浏览器通信,用户通过访问网页即可对 App 实现常规的检测任务。

安装和使用

请访问 GitHub 上的项目主页 chaitin/passionfruit 来获取最新的版本和更新信息。

Passionfruit 的编译和安装依赖如下软件:

安装

  1. 安装 Node.js。推荐使用 LTS 版,以减少不必要的安装问题
  2. 在越狱 iOS 设备上通过 Cydia 安装 frida,或使用 ipa 重打包集成 FridaGadget.dylib 的方式在非越狱设备上使用
  3. 使用 npm 安装 passionfruit:npm install -g passionfruit
  4. 执行 passionfruit 运行服务端
  5. 在浏览器中访问 http://localhost:31337

国内的用户还可以使用淘宝的 npm 镜像以加速安装:https://npm.taobao.org

功能和演示

Passionfruit 最大特点就是基于 Web 的图形界面。因此你甚至可以在 iPad Pro 这样的移动设备上访问这个图形界面……(需要修改服务端监听的配置)

完全图形化的界面可以快速地找到需要 hook 的函数。由于 C 函数缺少运行时参数类型信息,因此对于这些库函数您需要手动设置一下函数原型。Objective C 可以直接根据反射打印出参数和返回值。

其他工具实现的 checksec 是基于 otool 检查应用的可执行文件,需要在设备上安装额外的依赖,或将文件从设备中同步到本地执行命令。Passionfruit 直接分析内存中映射的内容,因此要快上很多。在文件查看方面,Passionfruit 直接读取应用沙盒内的 Plist、SQLite 数据库,相比先 scp 下载然后查看可以节约一些时间。

Passionfruit 在不少界面都添加了搜索功能,如模块列表、导出符号、Objective C 类,甚至 Plist 这样的序列化数据。

在 iOS 10 中有一个非公开 API UIDebuggingInformationOverlay 可用来在设备上分析界面层级,您可以在 Passionfruit 的 UIDump 面板中点击按钮来激活这个界面。

如果您有单步、界面分析等更高级的调试需求,建议还是使用 debugserver 等专门的调试工具。

FAQ

需要越狱吗?

不需要。当然最简单的方式是在越狱设备上安装 frida,可以使用全部的功能,以及随心所欲地附加到任一个 App。

在 iPhone 上部署 Frida 框架的官方教程(含越狱和非越狱环境,英文):www.frida.re/docs/ios/

也可以参考这篇中文的 ipa 打包 FridaGadget.dylib 的教程:iOS App 的 Patching 和 Resigning

MonkeyDev 集成 Frida:https://github.com/AloneMonkey/MonkeyDev/wiki/非越狱App集成#集成frida

为什么不支持 NSLog 查看?

本工具使用的界面是基于浏览器的,对于 NSLog 日志这种快速刷新的内容,实时展示会造成显著的性能问题。在现有工具(Xcode,macOS 自带的 Console,libimoviledevice 的 idevicesyslog 命令)足够强大的情况下,没有必要再开发一个(更难用的)了。


#2


#3

长亭大佬


#4

给长亭大佬递茶


#5

前排膜


#6

昨天凌晨收到了 frida 作者本尊的 PR,现在已经不需要越狱了


#7

给CC大佬打Call


#8

太给力了


#9


#10

hx:passionfruit-master hx$ yarn start
yarn start v0.27.5
$ cross-env NODE_ENV=production node .
/Users/hx/Downloads/passionfruit-master/node_modules/bindings/bindings.js:96
throw err
^

Error: Could not locate the bindings file. Tried:
→ /Users/hx/Downloads/passionfruit-master/node_modules/frida/build/frida_binding.node
→ /Users/hx/Downloads/passionfruit-master/node_modules/frida/build/Debug/frida_binding.node
→ /Users/hx/Downloads/passionfruit-master/node_modules/frida/build/Release/frida_binding.node
→ /Users/hx/Downloads/passionfruit-master/node_modules/frida/out/Debug/frida_binding.node
→ /Users/hx/Downloads/passionfruit-master/node_modules/frida/Debug/frida_binding.node
→ /Users/hx/Downloads/passionfruit-master/node_modules/frida/out/Release/frida_binding.node
→ /Users/hx/Downloads/passionfruit-master/node_modules/frida/Release/frida_binding.node
→ /Users/hx/Downloads/passionfruit-master/node_modules/frida/build/default/frida_binding.node
→ /Users/hx/Downloads/passionfruit-master/node_modules/frida/compiled/8.4.0/darwin/x64/frida_binding.node
at bindings (/Users/hx/Downloads/passionfruit-master/node_modules/bindings/bindings.js:93:9)
at Object. (/Users/hx/Downloads/passionfruit-master/node_modules/frida/lib/frida.js:56:34)
at Module._compile (module.js:573:30)
at Object.Module._extensions…js (module.js:584:10)
at Module.load (module.js:507:32)
at tryModuleLoad (module.js:470:12)
at Function.Module._load (module.js:462:3)
at Module.require (module.js:517:17)
at require (internal/module.js:11:18)
at Object. (/Users/hx/Downloads/passionfruit-master/app.js:6:15)
error Command failed with exit code 1

启动的时候遇到这个问题,请教大神,如何破?


#11

frida 没有安装成功,重新跑一遍 yarn,可能需要挂代理


#12

用力膜


#13

CC就是屌


#14

bogon:passionfruit-master admin$ npm start

Passionfruit@0.0.2 start /Users/admin/Desktop/reverse/tools/passionfruit-master
cross-env NODE_ENV=production node .

listening on http://localhost:31337
<-- GET /
–> GET / 200 14ms 206b

InternalServerError: ENOENT: no such file or directory, stat ‘/Users/admin/Desktop/reverse/tools/passionfruit-master/gui/dist/build.js’
at Object.throw (/Users/admin/Desktop/reverse/tools/passionfruit-master/node_modules/koa/lib/context.js:91:11)
at app.use.use.use (/Users/admin/Desktop/reverse/tools/passionfruit-master/app.js:84:18)
at

<-- GET /favicon.ico
–> GET /favicon.ico 200 2ms 206b

是我安装的姿势不对吗,gui文件夹下没有dist目录。


#15

安装了很多遍,点击到GUI界面Gadget的,总是返回以下错误

An unhandledRejection occurred:
Rejection: TypeError: Cannot destructure property pixels of ‘undefined’ or ‘null’.
TypeError: Cannot destructure property pixels of ‘undefined’ or ‘null’.
at serializeIcon (/Users/pillar/Desktop/passionfruit/lib/utils.js:105:48)
at serializeApp (/Users/pillar/Desktop/passionfruit/lib/utils.js:120:16)
at Namespace.channels.session.on (/Users/pillar/Desktop/passionfruit/lib/channels.js:39:24)
at

然后网页就转菊花卡住了


#16

第一次使用前,在代码根目录运行 npm run build 构建前端代码


#17

这个 bug 有点奇怪,所有的设备应该都是能获取到一个图标的


#18

出问题的时候电脑上插了什么样的设备呢?


#19

解决了,我的问题,没仔细看文档。


#20

月莫