chomper 还原 ios 某社区app 算法

发表于

春节回来，发现我的 iphone 6plus 关机了， 我的ios 系统是 15.8.5， 采用的是 dopamine 越狱, 属于无根越狱， 每次重启就需要重新越狱。所以特别坑。

当我充好电，打开手机，点击 dopamine 发现弹出 dopamine 不可用， 并且我手机桌面上的 sileo 也不见了. sileo 是dopamine 越狱后的一个包管理平台.

然后我用爱思助手重新越狱，发现失败了，跟之前是一个情况， 于是我想到之前我的手机里装了巨魔, 我直接通过巨魔来安装 dopamine.ipa. 于是打开巨魔，选择 install from url,
输入 https://github.com/opa334/Dopamine/releases/download/2.4.7/Dopamine.ipa.
这个安装包在 https://github.com/opa334/Dopamine/releases/tag/2.4.7

安装好后，打开 dopamine, 点击越狱, 过程全自动, 等待一段时间后，会自动重启, 重启后桌面出现了 sileo 和 dopamine, 并且进入 sileo 后， 之前装的 ssh 还有各种插件都还可以正常使用. 所以这里记录一下

当手机意外重启后，或者没电重启后, 可以直接通过巨魔来安装 dopamine.ipa. 并且之前的所以数据都还在， 并且还不用重装.

或者也可以在windows 上把dopamine.ipa 下载好, 然后打开爱思助手，将ipa 拖到这个手机目录下

img.png

然后手机上装个 filza app，在 /var/mobile/Media/Downloads 目录下就可以找到从爱思助手上拖入的文件.

于是抓包. 结果如下, 主要就是这个 -96参数

img.png

因为之前还原过安卓端的算法, 知道这是一个魔改的白盒 AES 的算法. 并且结果是标准的base64. 所以我们直接 hook base64 看看

1
2
3
/var/jb/usr/sbin/frida-server -l 0.0.0.0:6666  # 启动 frida-server 监听 6666 端口
/home/chilly/xxx/ios_frida_env/bin/frida-trace -H 172.31.101.83:6666 7885 -m "-[NSData base64EncodedStringWithOptions:]"

7885 是pid,
然后将这段代码贴进 handles 中，因为结果特别多，所以我们只过滤需要的信息. 并且打印堆栈.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
{
    onEnter(log, args, state) {
      this.self = args[0];
    },
    onLeave(log, retval, state) {
      var before = ObjC.classes.NSString.alloc().initWithData_encoding_(this.self, 4);
      var after = new ObjC.Object(retval);

      if(after.toString().indexOf("Wrsw9oPOU3ScR35Ma5")>=0){
          log(`-[NSData base64EncodedStringWithOptions:]before=${before}=`);
          log(`-[NSData base64EncodedStringWithOptions:]after=${after}=`);
          log(Thread.backtrace(this.context, Backtracer.ACCURATE) .map(DebugSymbol.fromAddress).join('\n'));
      }
      // if(after.toString().length>=64 && after.toString().length <= 67 ){
      //   console.log(Thread.backtrace(this.context, Backtracer.ACCURATE) .map(DebugSymbol.fromAddress).join('\n'));
      // }
    }
  }

然后继续 hook

1
/home/chilly/xxxx/ios_frida_env/bin/frida-trace -H 172.31.101.83:6666 2092 -m "-[NSData base64EncodedStringWithOptions:]"

结果如下
img.png

可以看到调用堆栈, 上层调用了 encryptDataBase64String 函数, 我们用 frida hook 一下 encryptDataBase64String 这个函数. 如下给出 hook 代码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
function hook() {
    if (!ObjC.available) {
        console.log("ObjC not available");
        return;
    }

    var cls = ObjC.classes.ZHWhiteBoxEncryptTool;
    if (!cls) {
        console.log("ZHWhiteBoxEncryptTool not found");
        return;
    }

    var method = cls["+ encryptDataBase64String:"];

    Interceptor.attach(method.implementation, {
        onEnter: function (args) {
            this.self = new ObjC.Object(args[0]);
            // console.log("cmd:", ObjC.selectorAsString(args[1]));

            this.arg = new ObjC.Object(args[2]);

            console.log("\n========== encryptDataBase64String ENTER ==========");
            console.log("self:", this.self.toString());

            try {
                console.log("arg:", this.arg.toString());
            } catch (e) {
                console.log("arg raw:", args[2]);
            }

            try {
                console.log("arg class:", this.arg.$className);
                if (this.arg.$className === "NSData") {
                    var bytes = Memory.readByteArray(this.arg.bytes(), this.arg.length());
                    console.log("arg bytes:", hexdump(bytes, { length: 64 }));
                }
            } catch (e) {}
        },

        onLeave: function (retval) {
            console.log("---------- encryptDataBase64String LEAVE ----------");

            try {
                var ret = new ObjC.Object(retval);
                console.log("ret:", ret.toString());
                console.log("ret class:", ret.$className);

                if (ret.$className === "NSData") {
                    var bytes = Memory.readByteArray(ret.bytes(), ret.length());
                    console.log("ret bytes:", hexdump(bytes, { length: 64 }));
                }
            } catch (e) {
                console.log("ret raw:", retval);
            }

            console.log("=================================================\n");
        }
    });

    console.log("[+] Hooked +[ZHWhiteBoxEncryptTool encryptDataBase64String:]");
}

setImmediate(hook);

1
/home/chilly/zhipu/ios_frida_env/bin/frida -H 172.31.101.83:6666 -n osxxxunixxxxxRelexxx -l hook_encryptDataBase64String.js

结果如下
img.png

可以看到入参是 32 字节, 这让我想到了安卓, 入参也是 32 字节。我验证了一下, 跟android 一样, 这个入参就是url, headers 中几个字段拼接起来做标准md5 生成的.

要注意 0x64626137, 转成hex 是 dba7 也就是md5 的32字符的前4个字符.

那主动rpc call 调用一下算法看看

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
if (ObjC.available) {

    var md5 = "dba7f8100a5ef95d623ec360e8415ddd";

    // 1. JS -> NSString
    var nsstr = ObjC.classes.NSString.stringWithString_(md5);

    // 2. NSString -> NSData (UTF8 = 4)
    var data = nsstr.dataUsingEncoding_(4);

    console.log("[*] input:", md5);
    console.log("[*] data len:", data.length());

    // 3. call 类名已脱敏
    var cls = ObjC.classes.XXXXXXXEncryptTool;  
    var ret = cls.encryptDataBase64String_(data);

    // 4. result
    console.log("[+] output:", ret.toString());
}

结果如下
img.png

可以看到 当入参是 md5, -96的结果已经出来了. 可以 rpc 调用算法了.

我们这里试试看 chomper 还原该算法. 这里我直接给出代码, 部分已脱敏

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
import os

from chomper import Chomper
from chomper.const import ARCH_ARM64, OS_IOS
from chomper.objc import ObjcRuntime

base_path = os.path.abspath(os.path.dirname(__file__))

rootfs_path = os.path.join(base_path, "../../rootfs/ios")
module_path = os.path.join(base_path, "../../examples/binaries/ios/ios_10_86_0/xxxxxxxxxx")


def main():
    if not os.path.exists(module_path):
        print(
            "Binary doesn't exist, please download "
            "from 'https://sourceforge.net/projects/chomper-emu/files/'"
        )
        return

    emu = Chomper(
        arch=ARCH_ARM64,
        os_type=OS_IOS,
        rootfs_path=rootfs_path,
    )
    objc = ObjcRuntime(emu)

    emu.load_module(module_path)

    white_box_encrypt_tool_class = objc.find_class("XXXXXXEncryptTool")

    with objc.autorelease_pool():
        data = objc.create_ns_data(b"dba7f8100a5ef95d623ec360e8415ddd")
        result = white_box_encrypt_tool_class.call_method("encryptDataBase64String:", data)
        result_str = emu.read_string(objc.msg_send(result, "UTF8String"))
        emu.logger.info("+[XXXXXXEncryptTool encryptDataBase64String:] result: %s", result_str)

if __name__ == "__main__":
    main()

看看 chomper 跑出的结果

img.png

跟抓包结果完全一致。 这是最理想的, 因为当输入固定，输出也是固定的，算法内部没有时间戳，随机数参与计算. 这样就很好验证算法结果。