iblessing

iblessing es un kit de herramientas de explotación de seguridad para iOS, que incluye principalmente recopilación de información de aplicaciones, análisis estático y análisis dinámico. Puede utilizarse para ingeniería inversa, análisis binario y minería de vulnerabilidades.

Soporte

En caso de que necesites soporte sobre iblessing o cualquier cosa asociada, puedes:

• crear un issue y proporcionar la información necesaria
• contactar a Sou1gh0st en Twitter
• enviar correo a xiuyutong1994#163.com
• enviar correo a xiuyutong1994#gmail.com

Registro de cambios

• 2021.06.27 - Nueva arquitectura (Programa Shell + Biblioteca Principal) y soporte de plugins (beta)
• 2021.01.23 - Añadidas firmas de métodos para bibliotecas del sistema (Foundation, UIKit), capacidades analíticas mejoradas (https://github.com/Soulghost/iblessing/wiki/System-Libraries-(Foundation,-UIKit)-Simple-SimProcedure)
• 2020.11.30 - Información de reflexión Objc (https://github.com/Soulghost/iblessing/wiki/Objc-Reflection-Info)
• 2020.10.24 - Instantáneas de llamadas Objc (https://github.com/Soulghost/iblessing/wiki/Objc-Call-Snapshots)
• 2020.10.04 - Soporte de lista de categorías Objc
• 2020.09.28 - Soporte de bibliotecas estáticas y fat mach-o
• 2020.09.22 - Estado básico del programa y bifurcación condicional
• 2020.09.04 - Validación de métodos, inferencia, soporte de objc_msgSendSuper
• 2020.08.11 - Ahora iblessing es una herramienta multiplataforma, compatible con macOS y Linux 😆
• 2020.08.08 - Mejora del escáner de xrefs objc_msgSend, añadido soporte de sub xrefs, incluyendo argumentos de bloque y lista de captura
• 2020.07.30 - Mejora del escáner symbol-wrapper, y añadidos scripts de IDA para renombrar envoltorios de símbolos y modificación de prototipos
• 2020.07.21 - Primera versión

Primeros pasos

⚠️⚠️⚠️ Los escáneres binarios requieren 12 GB de espacio de memoria virtual para cargar un archivo mach-o, pero no consumirán tanto. Por lo tanto, debes asegurarte de que la memoria física de tu máquina de trabajo sea superior a 12 GB, o de que la memoria virtual asignable sea mayor a 12 GB a través del mecanismo de archivo de intercambio.

1. Puedes descargar el binario prepublicado de iblessing y disfrutarlo.
2. Ejecuta chmod +x para el binario.
3. Para más tutoriales, consulta la Documentación y Ayuda a continuación.

Cómo usar

• Versiones https://github.com/Soulghost/iblessing/releases

Binario Todo en Uno

• iblessing-darwin-all/iblessing-linux

Programa Shell + Dylib

• descomprimir iblessing-framework.tar.gz
• iblessing-darwin/iblessing-linux + libiblessing-core.dylib/libiblessing-core.so

Desarrolla tus propias herramientas basadas en iblessing Framework

• descomprimir iblessing-framework.tar.gz
• tu binario + libiblessing-core.dylib/libiblessing-core.so + include/iblessing-core
• código de ejemplo: iblessing-core/otool.cpp

Cómo compilar

CMake

• Plataforma: macOS, Linux

Para comenzar a compilar iblessing, sigue los pasos a continuación:``` git clone --recursive -j4 https://github.com/Soulghost/iblessing cd iblessing ./compile-cmake.sh

Documentación y Ayuda

Vista previa```

$ iblessing -h

[] iblessing iOS Security Exploiting Toolkit Beta 0.1.1 (http://blog.asm.im) [] Author: Soulghost (高级页面仔) @ (https://github.com/Soulghost)

Usage: iblessing [options...] Options: -m, --mode mode selection: * scan: use scanner * generator: use generator -i, --identifier choose module by identifier: * : use specific scanner * : use specific generator -f, --file input file path -o, --output output file path -l, --list list available scanners -d, --data extra data -h, --help Shows this page

Generator

Un generador es un componente que realiza un procesamiento secundario sobre el informe generado por el escáner, por ejemplo, puede generar scripts de IDA basados en el el informe de referencias cruzadas del escáner objc-msg-xref.``` [*] Generator List: - ida-objc-msg-xref: generator ida scripts to add objc_msgSend xrefs from objc-msg-xref scanner's report - objc-msg-xref-server: server to query objc-msg xrefs - objc-msg-xref-statistic: statistics among objc-msg-send reports

Tomemos WeChat como ejemplo:```

iblessing -m scan -i app-info -f WeChat.app [] set output path to /opt/one-btn/tmp/apps/WeChat/Payload [] input file is WeChat.app [] start App Info Scanner [+] find default plist file Info.plist! [] find version info: Name: 微信(WeChat) Version: 7.0.14(18E226) ExecutableName: WeChat [] Bundle Identifier: com.tencent.xin [] the app allows HTTP requests without exception domains! [+] find app deeplinks |-- wechat:// |-- weixin:// |-- fb290293790992170:// |-- weixinapp:// |-- prefs:// |-- wexinVideoAPI:// |-- QQ41C152CF:// |-- wx703:// |-- weixinULAPI:// [] find app callout whitelist |-- qqnews:// |-- weixinbeta:// |-- qqnewshd:// |-- qqmail:// |-- whatsapp:// |-- wxwork:// |-- wxworklocal:// |-- wxcphonebook:// |-- mttbrowser:// |-- mqqapi:// |-- mqzonev2:// |-- qqmusic:// |-- tenvideo2:// ... [+] find 507403 string literals in binary [] process with string literals, this maybe take some time [+] find self deeplinks URLs: |-- weixin://opennativeurl/devicerankview |-- weixin://dl/offlinepay/?appid=%@ |-- weixin://opennativeurl/rankmyhomepage ... [+] find other deeplinks URLs: |-- wxpay://f2f/f2fdetail |-- file://%@?lang=%@&fontRatio=%.2f&scene=%u&version=%u&type=%llu&%@=%d&qqFaceFolderPath=%@&platform=iOS&netType=%@&query=%@&searchId=%@&isHomePage=%d&isWeAppMore=%d&subType=%u&extParams=%@&%@=%@&%@=%@ ... [*] write report to path /opt/one-btn/tmp/apps/WeChat/Payload/WeChat.app_info.iblessing.txt

ls -alh -rw-r--r--@ 1 soulghost wheel 29K Jul 23 14:01 WeChat.app_info.iblessing.txt

Problemas Conocidos```

restore-symbol WeChat -o WeChat.restored iblessing -m scan -i objc-class-xref -f WeChat.restored -d 'classes=NSPredicate' [] set output path to /opt/one-btn/tmp/apps/WeChat/Payload [] input file is WeChat [+] detect mach-o header 64 [+] detect litten-endian [] start Objc Class Xref Scanner [] try to find OBJC_CLASS$_NSPredicate [] Step 1. locate class refs [+] find OBJC_CLASS$_NSPredicate at 0x108eb81d8 [] Step 2. find __TEXT,__text [+] find __TEXT,__text at 0x4000 [] Step 3. scan in __text [] start disassembler at 0x100004000 [] \ 0x1002e1a50/0x1069d9874 (2.71%) [+] find OBJC_CLASS$_NSPredicate ref at 0x1002e1a54 ... [] Step 4. symbolicate ref addresses [+] OBJC_CLASS$_NSPredicate -| [+] find OBJC_CLASS$_NSPredicate ref -[WCWatchNotificationMgr addYoCount:contact:type:] at 0x1002e1a54 [+] find OBJC_CLASS$_NSPredicate ref -[NotificationActionsMgr handleSendMsgResp:] at 0x1003e0e28 [+] find OBJC_CLASS$_NSPredicate ref -[FLEXClassesTableViewController searchBar:textDidChange:] at 0x1004a090c [+] find OBJC_CLASS$_NSPredicate ref +[GameCenterUtil parameterValueForKey:fromQueryItems:] at 0x1005a823c [+] find OBJC_CLASS$_NSPredicate ref +[GameCenterUtil getNavigationBarColorForUrl:defaultColor:] at 0x1005a8cd8 ...

Modo Anti-Wrapper```

iblessing -m scan -i objc-msg-xref -f WeChat -d 'antiWrapper=1'

Ejemplo de uso:```

iblessing -m scan -i objc-msg-xref -f WeChat -d 'antiWrapper=1' [] set output path to /opt/one-btn/tmp/apps/WeChat/Payload [] input file is WeChat [+] detect mach-o header 64 [+] detect litten-endian

[] !!! Notice: enter anti-wrapper mode, start anti-wrapper scanner [] start Symbol Wrapper Scanner [] try to find wrappers for_objc_msgSend [] Step1. find __TEXT,__text [+] find __TEXT,__text at 0x100004000 [+] mapping text segment 0x100000000 ~ 0x107cb0000 to unicorn engine [] Step 2. scan in __text [] start disassembler at 0x100004000 [] / 0x1069d986c/0x1069d9874 (100.00%) [] reach to end of __text, stop [+] anti-wrapper finished

[] start ObjcMethodXrefScanner Exploit Scanner [] Step 1. realize all app classes [] realize classes 14631/14631 (100.00%) [+] get 667318 methods to analyze [] Step 2. dyld load non-lazy symbols [] Step 3. track all calls [] progress: 667318 / 667318 (100.00%) [] Step 4. serialize call chains to file [] saved to /opt/one-btn/tmp/apps/WeChat/Payload/WeChat_method-xrefs.iblessing.txt

ls -alh WeChat_method-xrefs.iblessing.txt -rw-r--r-- 1 soulghost wheel 63M Jul 23 14:46 WeChat_method-xrefs.iblessing.txt

head WeChat_method-xrefs.iblessing.txt iblessing methodchains,ver:0.2; chainId,sel,prefix,className,methodName,prevMethods,nextMethods 182360,0x1008a0ab8,+[A8KeyControl initialize],+,A8KeyControl,initialize,[],[4429#0x1008a1064@4376#0x1008a1050@13769#0x1008a10d0] 182343,0x1008a0ad0,+[A8KeyControl_QueryStringTransferCookie initialize],+,A8KeyControl_QueryStringTransferCookie,initialize,[],[4429#0x1008a1064@4376#0x1008a1050@13769#0x1008a10d0] 145393,0x1008c2220,+[A8KeyResultCookieWriter initWithDomain:weakWebView:andCompleteBlock:],+,A8KeyResultCookieWriter,initWithDomain:weakWebView:andCompleteBlock:,[145386#0x10036367c],[] 145396,0x1008c3df8,+[A8KeyResultCookieWriter setA8KeyCookieExpireTime:],+,A8KeyResultCookieWriter,setA8KeyCookieExpireTime:,[145386#0x1003636e8],[] 145397,0x1008c27e8,+[A8KeyResultCookieWriter writeCompleteMarkerCookieValue:forKey:],+,A8KeyResultCookieWriter,writeCompleteMarkerCookieValue:forKey:,[145386#0x10036380c],[] 253456,0x0,+[AAOperationReq init],+,AAOperationReq,init,[253455#0x1039a9d30],[] 253457,0x0,+[AAOperationReq setBaseRequest:],+,AAOperationReq,setBaseRequest:,[253455#0x1039a9d8c],[] 186847,0x0,+[AAOperationRes length],+,AAOperationRes,length,[186845#0x10342aa54],[]

Especificar el host y puerto de escucha

La dirección de escucha predeterminada es 127.0.0.1:2345, puedes especificarla con la opción -d.``` iblessing -m generator -i objc-msg-xref-server -f WeChat_method-xrefs.iblessing.txt -d 'host=0.0.0.0;port=12345'

A continuación, puedes abrir http://127.0.0.1:2345 con un navegador para consultar las referencias cruzadas de objc_msgSend que desees:

Generar scripts de IDA para referencias cruzadas de objc_msgSend

Puedes añadir las referencias cruzadas de objc_msgSend generadas por el escáner objc-msg-xref para hacer tu viaje de ingeniería inversa más rápido y cómodo.``` iblessing -m generator -i ida-objc-msg-xref -f

A continuación, abre IDA -> Archivo -> Script File y carga el script; este paso puede llevar mucho tiempo. Cuando termine, encontrarás muchas referencias cruzadas (xrefs) para el método objc:

Escanear wrappers de símbolos

Un archivo Mach-O puede contener múltiples wrappers de símbolos importados de bibliotecas dinámicas de uso común, como:```arm __text:00000001003842D8 sub_1003842CC ; CODE XREF: -[BDARVLynxTracker eventV3:params:adExtraData:]+168↑p __text:00000001003842D8 ; -[BDARVLynxTracker eventV3:params:adExtraData:]+214↑p ... __text:00000001003842D8 MOV X1, X27 __text:00000001003842DC MOV X2, X19 __text:00000001003842E0 B objc_msgSend

El escáner puede generar un informe para registrar todos los wrappers, luego puedes usar el generador ida-symbol-wrapper-naming para generar scripts de ida e implementar el cambio de nombre y prototipo de este wrapper.

Cómo Usar```

iblessing -m scan -i symbol-wrapper -f -d 'symbols=_objc_msgSend,_objc_retain,_objc_release' iblessing -m scan -i symbol-wrapper -f -d 'symbols=*'

A continuación, podemos generar ida scripts a partir de este informe.

Genereate IDA Script for Objc Runtime Function Rename and Prototype Modification```

iblessing -m generator -i ida-symbol-wrapper-naming -f

A continuación, abre tu IDA -> File -> Script File y carga el script; este paso puede llevar mucho tiempo. Y cuando termine, podrás observar algunos cambios en el código descompilado:

⬇️ ⬇️ ⬇️

Continuará