iOS逆向(3)-APP重签名

8,477 阅读10分钟

作为一名iOS开发者肯定知道iOS开发证书,那么证书具体是什么呢?为什么到我们本地的不是证书本身,而是一个称之为描述文件的东西。而这「描述文件」又具体是什么呢?
在知道这「描述文件」后,我们是不是可以通过将「描述文件」替换为我们自己的「描述文件」进行一些有意思的事情呢?比如这篇文章的主题,对一个APP进行重签名,让他在我们的XCode中运行起来,运用我们强大的LLDB进行调试,分析其UI和部分逻辑。当然作为一个正直的开发者,我们在这片文章肯定不会对她进「代码注入」这样让人不(兴)齿(奋)的事情的(下一篇就会 O(∩_∩)O哈哈~)。

片头先给福利:点击下载Demo:AppReSign,使用方法详见demo的Readme

接下来我们会从以下几点来玩一玩「APP重签名」

  • 分析Apple对App加密的需求
  • 什么是双层签名
  • 手动对APP进行重签名
  • 使用Shell脚本进行重签

1、分析Apple对App加密的需求

首先明确一点,对App加密肯定是用要非对称加密而不是对称加密!这我默认大家都懂了,应该不用解释。

Step 1 安装App到手机的渠道分析

如果所有的APP都是从App Store下载的那么,这就简单了,只需要对APP进行一层RSA加密就可以了,App Store持有私钥,我们iPhone持有公钥。那么问题就解决了。但事实上肯定不是这样,我们已知的渠道除了App Store就包括XCode打包,ADHOC证书分发,企业证书分发等等。为了解决这个问题,我们就得先了解Apple的具体需求是什么。

Step 2 分析需求

  • App Store下载
  • XCode直接安装
  • 限制ADHoc打包的APP安装设备
  • ...等等

2、什么是双层签名

针对以上三种(包括但不只)场景,苹果给出「双层签名」的机制。
什么是「双层签名」,先上一张PPT。

双层签名流程图.png

看不懂?没关系,下面会一步步,详细的接受双层签名的始末。

1、向服务器申请证书
  • 什么是CSR文件 申请过开发者证书的都知道,要申请证书,都有「Mac本地通过CSR文件向服务器」这样的一步。那么这一步到底做了写什么呢? 先看看什么是CSR

CSR是Certificate Signing Request的英文缩写,即证书请求文件,也就是证书申请者在申请数字证书时由CSP(加密服务提供者)在生成私钥的同时也生成证书请求文件,证书申请者只要把CSR文件提交给证书颁发机构后,证书颁发机构使用其根证书私钥签名就生成了证书公钥文件,也就是颁发给用户的证书。

通俗一点,就是Mac本地有一对公钥(公钥M)和私钥(私钥M)(什么是公钥私钥?),在Mac上对公钥M进行了一层包装,这包装后的新东西就是CSR。

  • 服务器通过CSR返回证书 本地有了CSR文件之后,将CSR上传到Apple的服务器。 Apple服务器其实也是有一对公钥(公钥A)和私钥(私钥A),在收到Mac上传过来的的CSR文件之后,取出其中的公钥M,用Apple服务器的私钥A对公钥M进行一次数字签名(什么是数字签名?)得到开发证书,然后将开发证书附入描述文件(描述文件还有哪些东西下文会有讲到),最后将描述文件传回给我们的Mac电脑。
2、描述文件

配置描述文件是 XML 文件,包含以下内容:设备的安全策略和限制、VPN 配置信息、无线局域网设置、电子邮件帐户和日历帐户以及可允许 iPhone、iPod touch 和 iPad 配合您的企业系统使用的鉴定凭证。配置描述文件能快速地将设置和授权信息载入到设备上。有些 VPN 和无线局域网设置只能使用配置描述文件来设定,而且如果您使用的不是 Microsoft Exchange,则将需要使用配置描述文件来设定设备密码策略。 描述文件包括的东西,如:

  • 开发证书
  • APP的Bundle Id
  • 证书所信任的Device Id
  • 还有一些权限文件(如:Apple Pay,通知,VPN,iCloud)
3、Mac打包APP

在Mac本地有了描述文件之后,就可以对APP进行打包了,打包这个过程除了对APP的压缩之外,更重要的其实是指对APP的加密。 之前本地把公钥M发送给Apple服务器,本地剩下的私钥M就是用来加密APP的,得到一个APP的签名文件,再将上一步得到的描述文件,以及MachO文件一起打包压缩,最终就得到了我们的ipa包了。 所以ipa其实包含以下三种东西

  • MachO文件
  • APP的签名文件
  • 描述文件
4、iPhone验证ipa文件

上文提到的私钥A是用来加密了公钥M,与之对应的公钥A其实在我们激活iPhone的同时已经下载好了,一直躺在我们的iPhone里面。 有了公钥M,那么一切就简单了,

  • 公钥A解开ipa中携带的描述文件中的证书得到公钥M
  • 对公钥M进行Hash,对比证书中的Hash
  • 对比通过之后,用公钥M对加密的APP进行解密,得到最终APP。

3、手动对APP进行重签名 (如果不想看具体过程,可以跳到本节末尾,有流程总结)

从上面可以得知,双层签名其实本质就是如下三个步骤:

  • APP的Bundle id的验证
  • 描述文件本身的验证
  • 对APP签名的验证

注:对APP进行重新签名,前提是这个APP已经被砸壳了。 下载已经砸壳成功的APP,以下例子用微信举例:越狱版本微信7.0.2 提取码: 2w87

具体步骤:

Step 1 进入WeChat目录

解压出 Wechat7.0.2越狱 ,进入WeChat目录

// 进入WeChat的目录
cd /Users/dengbin/Desktop/分享/主目录/资料/Wechat7.0.2越狱/Payload

Step 2 查看APP的证书情况

codesign -d -vv「WeChat.app路径」

查看APP证书情况.png

Step 3 查看验证APP是否被加密

进入APP的包内容可以看到其中有一个WeChat的可执行文件,也就是是MachO文件,就是要查看这个MachO文件时候被加密

WeChat目录.png
WeChat_MachO.png

otool -l WeChat | grep cryp

其中cryptid0代表已经砸壳,即解密,为1或者2表示以第1类或者第2类加密方案加密。

Step 4 查看本地证书并记录需要用到的证书

security find-identity -v -p codesigning

本地证书列表.png

Step 5 删除不可签名的插件(还有Watch中的插件)

由于本地存在一些插件,这些插件是不可被我们重签,并且这个过程我们用不着,所以我们索性就删掉。 其中包括:整个目录PlugIns目录和整个Watch目录(因为Watch.app中也有个PlugIns)

PlugIns.png
Watch.png

Step 6 Framework重签名

这一步就是比较繁琐的了,需要将Frameworks下的所有Framework进行重签名,运用到XCode提供的codesign指令,参数中的证书就是Step 4中的一个。具体使用哪个就看个人了

codesign –fs 「证书串」 「文件名」

Frameworks.png
Frameworks证书重签.png

Step 7 给MachO添加可执行权限

由于MachO本身就有可执行权限,所以这一步跳过。

Step 8 App重签名

  • 新建一个WeChat同名工程(下文称NewWeChat,原来的微信APP称之为WeChat)

  • Build NewWeChat工程,进入被编译出的WeChat.App目录,找到其中的embedded.mobileprovision文件,将其复制到WeChat.App(越狱微信)中

    Build后的WeChat.png
    embedded.mobileprovision文件.png
    复制后的结果.png

  • 在WeChat.App找到info.plist,并修改其中的BundleId为NewWeChat的BundleId

    更改BundleId.png

  • 查看embedded文件

security cms -D -i 「 embedded文件路径」

找到其中的entitlements字段,并且复制entitlements字段和其中的内容

查看embedded.png
entitlements字段.png

  • 在NewWeChat中新建entitlements.plist文件,将上一步复制得到的「entitlements字段内容」拷贝入新的entitlements.plist文件,然后将entitlements.plist复制到WeChat.app的同级目录下。

    拷贝entitlements.png
    复制entitlements.png

  • 对APP重新签名 进入WeChat目录,对APP使用新的描述文件进行重签

codesign -fs 「证书串」 --no-strict --entitlements=entitlements.plist

对App进行重签.png

  • 压缩Playload
 zip –ry 「输出文件名」 「输入文件名」

压缩Playload.png

Step 9 安装新的ipa

可以通过各种途径安装ipa,如Xcode,PP助手,fir,iTunes等等, 如果手机上有正版的微信,在安装完我们重签名的ipa包后会发现手机上就有两个微信啦!!!

如果想用LLDB调试微信,可以将重签后的WeChat.app替换NewWeChat Build后的WeChat.app,然后直接运行(Run)项目,就会发现我们可以用LLDB了。

Step 10 再次验证新的ipa是否真的重签成功

这一步其实是重复Step 3

codesign -d -vv「WeChat.app路径」

步骤总结:

1、cd WeChat // 进入WeChat的目录
2、codesign -d -vv「WeChat.app路径」 // 查看APP的证书情况
3、otool –l WeChat | grep cryp // 查看APP是否被加密
4、security find-identity -v -p codesigning // 查看本地证书
5、删除不可签名的插件(还有Watch中的插件)
6、codesign –fs 「证书串」 「文件名」 // Framework重签名
7、chmod +x 可执行文件   // 给文件添加权限
8、App重签名
	 ① 新建一个项目并且命名为 WeChat(下文称NewWeChat,原来的微信APP称之为WeChat) -> Build -> 找到APP中的权限文件 embedded.mobileprovision
	 ② 复制embedded.mobileprovision到WeChat.app中
	 ③ 修改WeChat.app中info.plist的BundleId
	 ④ security cms -D -i 「 embedded文件路径」 //查看WeChat中的embedded文件,复制WeChat中entitlements.plist文件的entitlements字段
	 ⑤ 在NewWeChat中新建entitlements.plist文件,将上一步复制得到的「entitlements字段和其中的内容」拷贝入新的entitlements.plist文件
	 ⑥ codesign -fs 「证书串」 --no-strict --entitlements=entitlements.plist //复制新的entitlements到WeChat.app的同级目录,并且对APP重新签名
	 ⑦ zip –ry 「输出文件名」 「输入文件名」 // 压缩Playload
9、安装ipa 
10、再次验证新的ipa是否真的重签成功
  • 注意:有些人会安装失败,或者安装成功会有Crash的问题,这是因为当前描述文件在我们的手机还不受信任,用新工程NewWeChat在手机上跑一遍,然后删除NewWeChat,在尝试安装新的ipa,问题可以解决。

4、使用Shell脚本进行重签

上面所有的步骤其实是固定不变的,而且所有需要操作的文件相对于ipa文件的「相对地址」也是固定的,所以就可以用脚本来代替所有的操作。 以下脚本适用于适用XCode直接调试,点击下载Demo:AppReSign,使用方法详见demo的Readme

附上脚本代码

# ${SRCROOT} 它是工程文件所在的目录
TEMP_PATH="${SRCROOT}/Temp"
#资源文件夹,我们提前在工程目录下新建一个APP文件夹,里面放ipa包
ASSETS_PATH="${SRCROOT}/APP"
#目标ipa包路径
TARGET_IPA_PATH="${ASSETS_PATH}/*.ipa"
#清空Temp文件夹
rm -rf "${SRCROOT}/Temp"
mkdir -p "${SRCROOT}/Temp"

#----------------------------------------
# 1. 解压IPA到Temp下
unzip -oqq "$TARGET_IPA_PATH" -d "$TEMP_PATH"
# 拿到解压的临时的APP的路径
TEMP_APP_PATH=$(set -- "$TEMP_PATH/Payload/"*.app;echo "$1")
# echo "路径是:$TEMP_APP_PATH"

#----------------------------------------
# 2. 将解压出来的.app拷贝进入工程下
# BUILT_PRODUCTS_DIR 工程生成的APP包的路径
# TARGET_NAME target名称
TARGET_APP_PATH="$BUILT_PRODUCTS_DIR/$TARGET_NAME.app"
echo "app路径:$TARGET_APP_PATH"

rm -rf "$TARGET_APP_PATH"
mkdir -p "$TARGET_APP_PATH"
cp -rf "$TEMP_APP_PATH/" "$TARGET_APP_PATH"

#----------------------------------------
# 3. 删除extension和WatchAPP.个人证书没法签名Extention
rm -rf "$TARGET_APP_PATH/PlugIns"
rm -rf "$TARGET_APP_PATH/Watch"

#----------------------------------------
# 4. 更新info.plist文件 CFBundleIdentifier
#  设置:"Set : KEY Value" "目标文件路径"
/usr/libexec/PlistBuddy -c "Set :CFBundleIdentifier $PRODUCT_BUNDLE_IDENTIFIER" "$TARGET_APP_PATH/Info.plist"
#----------------------------------------

# 5. 给MachO文件上执行权限
# 拿到MachO文件的路径
APP_BINARY=`plutil -convert xml1 -o - $TARGET_APP_PATH/Info.plist|grep -A1 Exec|tail -n1|cut -f2 -d\>|cut -f1 -d\<`
#上可执行权限
chmod +x "$TARGET_APP_PATH/$APP_BINARY"

#----------------------------------------
# 6. 重签名第三方 FrameWorks
TARGET_APP_FRAMEWORKS_PATH="$TARGET_APP_PATH/Frameworks"
if [ -d "$TARGET_APP_FRAMEWORKS_PATH" ];
then
for FRAMEWORK in "$TARGET_APP_FRAMEWORKS_PATH/"*
do

# 签名
/usr/bin/codesign --force --sign "$EXPANDED_CODE_SIGN_IDENTITY" "$FRAMEWORK"
done
fi

这边文章主要讲了关于双层签名的原理,已经利用双层签名的原理对APP(已越狱)进行重签,但其实其中有一点非常非常重要的内容在这片文章知识被一笔带过,那就是LLDB,能够用LLDB调试我们的APP意味着无限的可能。 所以对LLDB运用,也是咱们逆向的必经之路。后续文章也会提到,待更新。

注意!!!
警告!!!
警告!!!
警告!!!
重签后不要用自己的账号登录,有封号的危险!!!