前言
本篇算是對于之前的文章Mac OSX 之自己動手初步學習破解軟件入門關于
軟件安全方面學習的一個補充,有疑問的朋友們可以在評論中多多留言提問和討論.本文中用到的項目示例工程已上傳至github,供需.
0x00 什么是注入?
簡而言之,就是在他人的App應用中,執行我們自己的代碼,從而實現我們希望的目的.
0x01 注入可以做什么?
通常來講,通過對目標軟件實現注入,主要有幾個目的:
- 增加擴展功能
(例如常見的各種應用插件) - 免費的使用App應用的一些限制功能
(比如一些vip功能) - 軟件破解
(這個目的貌似比較多些)
0x02 注入的方式有哪些?
整體上,可以講注入方式分為兩大類:
- 運行時注入: 在
App運行期,通過獲取目標句柄(或內存地址)實現注入,多用于游戲外掛或應用輔助 - 鏈接庫注入:
通常采用動態鏈接庫方式多應用于破解軟件限制
本文主要介紹的是動態鏈接庫注入的相關實踐,這不僅僅局限于macOS,同時對iOS應用也具有相同的效果,希望大家可以借鑒使用.
0x03 如何實現注入?(重點來啦 ^ _ ^ )
- 準備工具: insert_dylib:這是一個開源的命令行
動態鏈接庫注入工具
下面我們通過一個實際的例子來實踐一下動態鏈接庫的注入,為了免去對第三方軟件的破壞,我們先自己動手寫個非常簡單的macOS App來當作目標程序進行整個過程的演示.
- 使用Xcode 創建一個Example工程:
Example 項目工程
示例工程非常簡單: App運行起來后,在窗口中顯示一行文字"This is Example demo",并且點擊按鈕后,文字變更為:"clicked the button"
效果如下:
示例效果
0x04 制作我們自己的動態庫Dylib
-
1.打開Xcode新建工程,并選擇Library模版
新建Library工程 -
2.設置Cocoa Framework與類型
設置Cocoa - 在HelloLib.m中編寫代碼:
HelloLib.m代碼
這段代碼僅僅實現了HelloLib類在被加載到內存中時向控制臺輸出一句話"==============HelloLib already loaded ================="
- 在HelloLib.m中編寫代碼:
-
4.編譯工程生成dylib
工程編譯 -
5.將我們之前的
Example App與libHelloLib.dylib拖放到桌面(或者你自己的其他路徑)后,使用insert_dylib進行注入:把libHelloLib.dylib注入到我們的Example App中
ExampleApp
libHelloLib.dylib -
- 在終端中運行命令:
(確保你的insert_dylib執行文件在當前路徑)
// 這條命令會將libHelloLib.dylib 注入到ExampleApp的二進制執行文件中 ./insert_dylib libHelloLib.dylib ./Example.app/Contents/MacOS/Example // 命令提示與結果 LC_CODE_SIGNATURE load command found. Remove it? [y/n] y Added LC_LOAD_DYLIB to ./Example.app/Contents/MacOS/Example_patched - 在終端中運行命令:
- 查看
Example.app的可執行二進制文件夾,發現多了一個帶_patched的文件.
_patched文件
- 查看
- 刪除
原Example文件,并將Example_patched文件更名為Example后運行App,我們可以在控制臺應用中看到輸出就說明動態鏈接庫注入成功了.
控制臺應用信息
- 刪除
這樣我們就實現了將自己的代碼通過動態鏈接庫的方式注入到目標App中執行的效果.
雖然僅僅是在控制臺中輸出簡單的一條信息,但從這里開始我們就可以做很多有意思的事情了.
- 下面我們來給HelloLib添加一些增強功能:
首先我們使用這個Aspects庫來簡化一些運行時代碼,最終HelloLib.m文件如下
- 下面我們來給HelloLib添加一些增強功能:
#import "HelloLib.h"
#import <AppKit/AppKit.h>
#import "Aspects.h"
@implementation HelloLib
+ (void)load{
NSLog(@"==============HelloLib already loaded =================");
id viewController = NSClassFromString(@"ViewController");
[viewController aspect_hookSelector:@selector(viewDidLoad) withOptions:AspectPositionAfter usingBlock:^(id<AspectInfo> info) {
id instance = info.instance;
NSTextField *targetLabel = [instance valueForKeyPath:@"titleLabel"];
targetLabel.stringValue = @"Text Already changed from HelloLib";
} error:nil ];
}
在HelloLib中,我們hook了目標應用中的viewDidLoad方法,這樣當App目標視圖控制器加載的時候,我們的代碼就會將窗口顯示的字符串修改為"Text Already changed from HelloLib"
重復執行步驟4~步驟8,我們再次運行App將得到下面的結果:
窗口上
原來的文字已經被我們成功的替換了.., 這里僅僅是拋磚引玉的演示了一個簡單的替換功能,你可以由此展開,進而實現更多的可能.
0x05 結束語
本文僅演示了如何對一個App進行動態庫的注入,雖然這個目標App是我們自己寫的,但對于其他第三方應用,道理也是一樣的,你可以通過一些工具來獲取其中的類和方法名(可以參考我之前的文章Mac OSX 之自己動手初步學習破解軟件入門),因此也能實現hook效果.
本文并未涉及app的脫殼以及重簽名,有興趣的朋友可以google,感謝閱讀!!
