132_iOS IPA文件深度分析：从二进制安全到应用渗透测试实战指南

iOS安全基础 → 越狱环境搭建 → IPA结构分析 → 二进制分析 → 漏洞挖掘 → 实战演练

┌─────────────┐    ┌─────────────┐    ┌─────────────┐
│ 应用A沙箱   │    │ 应用B沙箱   │    │ 系统资源    │
│ ┌─────────┐ │    │ ┌─────────┐ │    │ ┌─────────┐ │
│ │ 私有目录 │ │    │ │ 私有目录 │ │    │ │ 受保护  │ │
│ └─────────┘ │    │ └─────────┘ │    │ └─────────┘ │
│ ┌─────────┐ │    │ ┌─────────┐ │    │ ┌─────────┐ │
│ │ 受限制  │ │    │ │ 受限制  │ │    │ │ 共享    │ │
│ │ 网络访问 │ │    │ │ 网络访问 │ │    │ │ 资源    │ │
│ └─────────┘ │    │ └─────────┘ │    │ └─────────┘ │
└─────────────┘    └─────────────┘    └─────────────┘

设备推荐：iPhone 8/X（iOS 14-15.4.1）- 支持checkra1n越狱
设备推荐：iPhone SE/6s（iOS 13-14）- 工具成熟稳定

# 在macOS上运行checkra1n
download checkra1n from https://checkra.in/
chmod +x checkra1n.app
open checkra1n.app

# 按照界面指引进入DFU模式并完成越狱

# 通过Cydia安装OpenSSH
apt-get update
apt-get install openssh

# 安装Cycript用于运行时分析
apt-get install cycript

# 安装OpenSSL开发库
apt-get install libssl-dev

# 解压IPA文件
unzip example.ipa -d example_extracted

# 查看应用包结构
ls -la example_extracted/Payload/example.app/

Payload/
└── example.app/
    ├── Info.plist         # 应用配置信息
    ├── example            # 主二进制文件
    ├── _CodeSignature/    # 代码签名信息
    ├── Frameworks/        # 包含的框架
    └── Resources/         # 资源文件

<!-- Info.plist中的安全相关配置 -->
<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
</dict>

<key>UIFileSharingEnabled</key>
<true/>

# 检查本地存储的文件
find example_extracted/Payload/example.app/ -type f -name "*.db"
find example_extracted/Payload/example.app/ -type f -name "*.plist"

# 在macOS上安装Hopper Disassembler
# 或使用开源替代品
brew install radare2
brew install objdump

# 启动Hopper分析二进制文件
hopper example_extracted/Payload/example.app/example

# 打开二进制文件
r2 example_extracted/Payload/example.app/example

# 分析函数信息
> aaa
> afl

# 查看函数伪代码
> pdf @ main

# 连接到目标应用
cycript -r [设备IP]:22 [应用Bundle ID]

# 查找应用的关键对象
cy# UIApp.keyWindow.rootViewController

# 检查用户默认设置
cy# NSUserDefaults.standardUserDefaults.dictionaryRepresentation

// frida_script.js示例
Java.perform(function() {
    var targetClass = ObjC.classes.YourTargetClass;
    
    Interceptor.attach(targetClass.methodForSelector("authenticateUser:"), {
        onEnter: function(args) {
            console.log("认证用户: " + args[2]);
        },
        onLeave: function(retval) {
            console.log("认证结果: " + retval);
        }
    });
});

// 执行脚本
// frida -U -f com.example.app -l frida_script.js --no-pause

# 在越狱设备上配置代理服务器
# 1. 安装CA证书
# 2. 配置HTTP代理指向分析机器

# 使用tshark命令行分析捕获的流量
tshark -r capture.pcap -Y "http.request or http.response" -T fields -e http.request.uri -e http.request.method

# 查找应用的本地存储目录
ssh root@[设备IP]
cd /var/mobile/Containers/Data/Application/
ls -la

# 检查SQLite数据库
sqlite3 app_data.sqlite
.tables
SELECT * FROM credentials;

// 不安全的URL处理示例
NSString *urlString = [NSString stringWithFormat:@"http://api.example.com/data?user=%@", username];
NSURL *url = [NSURL URLWithString:urlString];

// Frida脚本示例：绕过登录验证
Interceptor.replace(ObjC.classes.AuthManager['+authenticateUser:password:'].implementation, new NativeCallback(function(user, pass) {
    console.log("拦截到登录尝试:", new ObjC.Object(user).toString(), new ObjC.Object(pass).toString());
    // 强制返回成功
    return ptr(1);
}, 'bool', ['object', 'object']));

┌─────────────────────────────────┐
│ 内存漏洞类型                     │
├─────────────┬───────────────────┤
│ 类型        │ 描述               │
├─────────────┼───────────────────┤
│ 缓冲区溢出  │ 数据写入超出分配空间  │
├─────────────┼───────────────────┤
│ Use-After-Free│ 访问已释放的内存  │
├─────────────┼───────────────────┤
│ 格式字符串漏洞│ printf家族函数参数错误│
└─────────────┴───────────────────┘

// 有漏洞的权限检查逻辑示例
- (BOOL)canAccessFeature:(NSString *)feature {
    if ([feature isEqualToString:@"premium"]) {
        return [self.subscriptionStatus isEqualToString:@"active"];
    }
    // 逻辑错误：缺少默认返回值检查
}

// 绕过SSL证书验证的Frida脚本
Interceptor.attach(ObjC.classes.NSURLSessionConfiguration['+defaultSessionConfiguration'].implementation, {
    onLeave: function(retval) {
        var config = new ObjC.Object(retval);
        config.allowsAnyHTTPSCertificateForHost = true;
    }
});

# 从GitHub获取DVIA-iOS
git clone https://github.com/prateek147/DVIA

# 编译并安装到越狱设备
cd DVIA
# 使用Xcode编译并部署

# 提取二进制中的字符串
strings example_extracted/Payload/example.app/example | grep -i "password\|key\|secret"

# 使用class-dump分析应用的类结构
class-dump -H example_extracted/Payload/example.app/example -o output_dir

# 分析生成的头文件，寻找潜在的不安全方法