iOS逆向-免费送你百度网盘超级会员

痛定思痛。 2022-05-10 05:18 249阅读 0赞

![Image 1][]

iOS逆向

基于百度网盘最新版本8.9.1，学习逆向，增加技能经验。  
学习过程中遇到的问题总结一下。

### 如何找到block的实现 ###

在[Block-ABI][]中定义的block结构体为

struct Block_literal_1 {
        void *isa; // initialized to &_NSConcreteStackBlock or &_NSConcreteGlobalBlock
        int flags;
        int reserved;
        void (*invoke)(void *, ...);
        struct Block_descriptor_1 {
        unsigned long int reserved;         // NULL
            unsigned long int size;         // sizeof(struct Block_literal_1)
            // optional helper functions
            void (*copy_helper)(void *dst, void *src);     // IFF (1<<25)
            void (*dispose_helper)(void *src);             // IFF (1<<25)
            // required ABI.2010.3.16
            const char *signature;                         // IFF (1<<30)
        } *descriptor;
        // imported variables
    };

*  isa是x24寄存器，指向\_NSConcreteStackBlock或\_NSConcreteGlobalBlock的地址。占8个字节。
 *  flags和reserved个占4个字节。
 *  invoke就是指向block实现的指针。在block真实地址偏移16个字节处。
 *  Block\_descriptor\_1为block的描述，包括block的大小及签名等。

比如以下方法的参数arg5就是一个block

typedef void(^CDUnknownBlockType)(void);
    @interface UIManager
    - (void)openZipListFileMeta:(id)arg1 isLocal:(_Bool)arg2 navigationContrloller:(id)arg3 zipfileListDoneBlock:(CDUnknownBlockType)arg4 guideBuyVipDoneBlock:(CDUnknownBlockType)arg5;
    @end
    
    %hook UIManager
    - (void)openZipListFileMeta:(id)arg1 isLocal:(_Bool)arg2 navigationContrloller:(id)arg3 zipfileListDoneBlock:(CDUnknownBlockType)arg4 guideBuyVipDoneBlock:(CDUnknownBlockType)arg5{
        %orig;
    }
    %end

想看block的实现，通过llvm下断点，断到以该block为参数的方法上。

首先在ida中找到该方法的偏移地址为0x1002C5F00：

![Image 1][]

获取偏移地址

然后通过`im li -o -f`获得ASLR偏移(地址空间布局随机化)，为0x68000：

![Image 1][]

ASLR偏移

最后下断点`br s -a 0x0000000000068000+0x1002C5F00`（也可直接在xcode中下断点更方便）

查看断点处的汇编代码比较与ida中的是否一致：

![Image 1][]

image.png

按c继续。当断点触发后，`po (char *)$x1`,再次验证断点处的方法名，发现断点下正确。  
查看参数arg5：`po $x6`,则0x102aee0c0即为参数arg5的地址，也就是需要查找的block的地址。  
查找block实现的地址：`memory read --size 8 --format x 0x102aee0c0`，block的地址偏移16位即block的实现的地址：0x000000010058dbec。  
此时即可查看该block实现的汇编代码了`dis -a 0x000000010058dbec`。

![Image 1][]

查找block的实现

在xcode中不好分析，可去ida中分析block的实现。0x000000010058dbec-0x68000=0x100525BEC  
打开ida，按G跳转到0x100525BEC，发现和xcode中的汇编代码一致。查找成功。

![Image 1][]

image.png

### 如何hook block ###

按fn+f5,将汇编代码转换为伪代码，分析block的参数和返回值。

![Image 1][]

伪代码

发现参数和返回值都为空。即可自定义一个block，再将自定义block当做参数传入原始方法

- (void)openZipListFileMeta:(id)arg1 isLocal:(_Bool)arg2 navigationContrloller:(id)arg3 zipfileListDoneBlock:(CDUnknownBlockType)arg4 guideBuyVipDoneBlock:(CDUnknownBlockType)arg5{
        
        void (^customBlock)(void) = ^{
            NSLog(@"hook block");
        };
        
        %orig(arg1, arg2, arg3, arg4, customBlock);
    }

### 如何调用其它类 ###

*  使用Logos语法  
    %c ：该指令的作用等同于objc\_getClass或NSClassFromString,即动态获取一个类的定义，在%hook或％ctor内使用 。

NSString *userId = [%c(BDUser) userId];

*  使用CaptainHook

它既不需要语法转换，也不依赖CydiaSubstrate动态库，其利用的是OC的runtime特性。可以参考[wiki][]。

NSString *userId = ((id (*)(id, SEL))objc_msgSend)(objc_getClass("BDUser"),@selector(userId));

### 最终效果如下 ###

*  极速下载
    
     
    
    ![Image 1][]
    
    极速下载
 *  倍速播放
    
     
    
    ![Image 1][]
    
    倍速播放
 *  尊贵标识
    
     
    
    ![Image 1][]
    
    尊贵标识

### 送你超级会员 ###

百度网盘iPhone客户端，享有超级会员特权，可以极速下载，倍速播放，尊贵标识，无法在线解压.

代码已提交[LTBaiduNetDiskiPhonePod][]，快去集成试试吧。

[源码在这][Link 1]喜欢的小伙伴可以关注下。

作者：iOS\_Latte  
链接：https://www.jianshu.com/p/2bac0f91595f  
來源：简书  
简书著作权归作者所有，任何形式的转载都请联系作者获得授权并注明出处。

[Image 1]: 
[Block-ABI]: http://clang.llvm.org/docs/Block-ABI-Apple.html
[wiki]: https://github.com/rpetrich/CaptainHook/wiki
[LTBaiduNetDiskiPhonePod]: https://github.com/AloneMonkey/MonkeyDevSpecs
[Link 1]: https://github.com/1061961387/LTBaiduNetDiskiPhone