iblessing

iblessing é um kit de ferramentas de exploração de segurança iOS, que inclui principalmente coleta de informações de aplicativos, análise estática e análise dinâmica. Pode ser usado para engenharia reversa, análise binária e mineração de vulnerabilidades.

Suporte

Caso precise de suporte em relação ao iblessing ou qualquer coisa associada a ele, você pode:

• criar uma issue e fornecer informações necessárias
• contatar Sou1gh0st no Twitter
• enviar e-mail para xiuyutong1994#163.com
• enviar e-mail para xiuyutong1994#gmail.com

Changelog

• 2021.06.27 - Nova arquitetura (Shell Programm + Core Library) e suporte a plugins (beta)
• 2021.01.23 - Adicionadas assinaturas de métodos para bibliotecas do sistema (Foundation, UIKit), capacidades analíticas aprimoradas (https://github.com/Soulghost/iblessing/wiki/System-Libraries-(Foundation,-UIKit)-Simple-SimProcedure)
• 2020.11.30 - Informações de reflexão Objc (https://github.com/Soulghost/iblessing/wiki/Objc-Reflection-Info)
• 2020.10.24 - Snapshots de chamadas Objc (https://github.com/Soulghost/iblessing/wiki/Objc-Call-Snapshots)
• 2020.10.04 - Suporte a lista de categorias Objc
• 2020.09.28 - Suporte a bibliotecas estáticas e fat mach-o
• 2020.09.22 - Estado básico do programa e ramificação condicional
• 2020.09.04 - Validação de métodos, inferência, suporte a objc_msgSendSuper
• 2020.08.11 - Agora o iblessing é uma ferramenta multiplataforma, suporta macOS e Linux 😆
• 2020.08.08 - Melhoria no scanner de xrefs objc_msgSend, adicionado suporte a sub xref, incluindo argumentos de bloco e lista de captura
• 2020.07.30 - Melhoria no scanner de wrapper de símbolos e adicionados scripts IDA para renomeação de wrapper de símbolo e modificação de protótipo
• 2020.07.21 - Primeira versão

Introdução

⚠️⚠️⚠️ Os scanners binários exigem 12 GB de espaço de memória virtual para carregar um arquivo mach-o, mas não consumirão tanto. Portanto, você precisa garantir que a memória física da sua máquina de trabalho seja superior a 12 GB, ou garantir que a memória virtual alocável seja superior a 12 GB através do mecanismo de arquivo swap.

1. Você pode baixar o binário pré-lançado do iblessing e aproveitá-lo.
2. execute chmod +x no binário
3. Para mais tutoriais, consulte a Documentação e Ajuda abaixo.

Como Usar

• Lançamentos https://github.com/Soulghost/iblessing/releases

Binário Tudo em Um

• iblessing-darwin-all/iblessing-linux

Shell Program + Dylib

• descompacte iblessing-framework.tar.gz
• iblessing-darwin/iblessing-linux + libiblessing-core.dylib/libiblessing-core.so

Desenvolva Suas Próprias Ferramentas Baseadas no Framework iblessing

• descompacte iblessing-framework.tar.gz
• seu binário + libiblessing-core.dylib/libiblessing-core.so + include/iblessing-core
• código de exemplo: iblessing-core/otool.cpp

Como Compilar

CMake

• Plataforma: macOS, Linux

Para começar a compilar o iblessing, siga os passos abaixo:``` git clone --recursive -j4 https://github.com/Soulghost/iblessing cd iblessing ./compile-cmake.sh

Documentação & Ajuda

Pré-visualização```

$ iblessing -h

[] iblessing iOS Security Exploiting Toolkit Beta 0.1.1 (http://blog.asm.im) [] Author: Soulghost (高级页面仔) @ (https://github.com/Soulghost)

Usage: iblessing [options...] Options: -m, --mode mode selection: * scan: use scanner * generator: use generator -i, --identifier choose module by identifier: * : use specific scanner * : use specific generator -f, --file input file path -o, --output output file path -l, --list list available scanners -d, --data extra data -h, --help Shows this page

Gerador

Um gerador é um componente que realiza processamento secundário no relatório gerado pelo scanner, por exemplo, pode gerar scripts do IDA com base no relatório de referências cruzadas do scanner objc-msg-xref.``` [*] Generator List: - ida-objc-msg-xref: generator ida scripts to add objc_msgSend xrefs from objc-msg-xref scanner's report - objc-msg-xref-server: server to query objc-msg xrefs - objc-msg-xref-statistic: statistics among objc-msg-send reports

Vamos usar o WeChat como exemplo:```

iblessing -m scan -i app-info -f WeChat.app [] set output path to /opt/one-btn/tmp/apps/WeChat/Payload [] input file is WeChat.app [] start App Info Scanner [+] find default plist file Info.plist! [] find version info: Name: 微信(WeChat) Version: 7.0.14(18E226) ExecutableName: WeChat [] Bundle Identifier: com.tencent.xin [] the app allows HTTP requests without exception domains! [+] find app deeplinks |-- wechat:// |-- weixin:// |-- fb290293790992170:// |-- weixinapp:// |-- prefs:// |-- wexinVideoAPI:// |-- QQ41C152CF:// |-- wx703:// |-- weixinULAPI:// [] find app callout whitelist |-- qqnews:// |-- weixinbeta:// |-- qqnewshd:// |-- qqmail:// |-- whatsapp:// |-- wxwork:// |-- wxworklocal:// |-- wxcphonebook:// |-- mttbrowser:// |-- mqqapi:// |-- mqzonev2:// |-- qqmusic:// |-- tenvideo2:// ... [+] find 507403 string literals in binary [] process with string literals, this maybe take some time [+] find self deeplinks URLs: |-- weixin://opennativeurl/devicerankview |-- weixin://dl/offlinepay/?appid=%@ |-- weixin://opennativeurl/rankmyhomepage ... [+] find other deeplinks URLs: |-- wxpay://f2f/f2fdetail |-- file://%@?lang=%@&fontRatio=%.2f&scene=%u&version=%u&type=%llu&%@=%d&qqFaceFolderPath=%@&platform=iOS&netType=%@&query=%@&searchId=%@&isHomePage=%d&isWeAppMore=%d&subType=%u&extParams=%@&%@=%@&%@=%@ ... [*] write report to path /opt/one-btn/tmp/apps/WeChat/Payload/WeChat.app_info.iblessing.txt

ls -alh -rw-r--r--@ 1 soulghost wheel 29K Jul 23 14:01 WeChat.app_info.iblessing.txt

Dicionários Brutos

Uma coleção de dicionários usados pelo hashcat e John the Ripper, organizados por serviço alvo, mecanismo de hash e origem dos dados. Pequeno trecho de script shell auxiliar para gerar uma lista de palavras com cem milhões de entradas com base no diretório de entrada analisado...

restore-symbol WeChat -o WeChat.restored iblessing -m scan -i objc-class-xref -f WeChat.restored -d 'classes=NSPredicate' [] set output path to /opt/one-btn/tmp/apps/WeChat/Payload [] input file is WeChat [+] detect mach-o header 64 [+] detect litten-endian [] start Objc Class Xref Scanner [] try to find OBJC_CLASS$_NSPredicate [] Step 1. locate class refs [+] find OBJC_CLASS$_NSPredicate at 0x108eb81d8 [] Step 2. find __TEXT,__text [+] find __TEXT,__text at 0x4000 [] Step 3. scan in __text [] start disassembler at 0x100004000 [] \ 0x1002e1a50/0x1069d9874 (2.71%) [+] find OBJC_CLASS$_NSPredicate ref at 0x1002e1a54 ... [] Step 4. symbolicate ref addresses [+] OBJC_CLASS$_NSPredicate -| [+] find OBJC_CLASS$_NSPredicate ref -[WCWatchNotificationMgr addYoCount:contact:type:] at 0x1002e1a54 [+] find OBJC_CLASS$_NSPredicate ref -[NotificationActionsMgr handleSendMsgResp:] at 0x1003e0e28 [+] find OBJC_CLASS$_NSPredicate ref -[FLEXClassesTableViewController searchBar:textDidChange:] at 0x1004a090c [+] find OBJC_CLASS$_NSPredicate ref +[GameCenterUtil parameterValueForKey:fromQueryItems:] at 0x1005a823c [+] find OBJC_CLASS$_NSPredicate ref +[GameCenterUtil getNavigationBarColorForUrl:defaultColor:] at 0x1005a8cd8 ...

Modo Anti-Wrapper```

iblessing -m scan -i objc-msg-xref -f WeChat -d 'antiWrapper=1'

Exemplo de Uso:```

iblessing -m scan -i objc-msg-xref -f WeChat -d 'antiWrapper=1' [] set output path to /opt/one-btn/tmp/apps/WeChat/Payload [] input file is WeChat [+] detect mach-o header 64 [+] detect litten-endian

[] !!! Notice: enter anti-wrapper mode, start anti-wrapper scanner [] start Symbol Wrapper Scanner [] try to find wrappers for_objc_msgSend [] Step1. find __TEXT,__text [+] find __TEXT,__text at 0x100004000 [+] mapping text segment 0x100000000 ~ 0x107cb0000 to unicorn engine [] Step 2. scan in __text [] start disassembler at 0x100004000 [] / 0x1069d986c/0x1069d9874 (100.00%) [] reach to end of __text, stop [+] anti-wrapper finished

[] start ObjcMethodXrefScanner Exploit Scanner [] Step 1. realize all app classes [] realize classes 14631/14631 (100.00%) [+] get 667318 methods to analyze [] Step 2. dyld load non-lazy symbols [] Step 3. track all calls [] progress: 667318 / 667318 (100.00%) [] Step 4. serialize call chains to file [] saved to /opt/one-btn/tmp/apps/WeChat/Payload/WeChat_method-xrefs.iblessing.txt

ls -alh WeChat_method-xrefs.iblessing.txt -rw-r--r-- 1 soulghost wheel 63M Jul 23 14:46 WeChat_method-xrefs.iblessing.txt

head WeChat_method-xrefs.iblessing.txt iblessing methodchains,ver:0.2; chainId,sel,prefix,className,methodName,prevMethods,nextMethods 182360,0x1008a0ab8,+[A8KeyControl initialize],+,A8KeyControl,initialize,[],[4429#0x1008a1064@4376#0x1008a1050@13769#0x1008a10d0] 182343,0x1008a0ad0,+[A8KeyControl_QueryStringTransferCookie initialize],+,A8KeyControl_QueryStringTransferCookie,initialize,[],[4429#0x1008a1064@4376#0x1008a1050@13769#0x1008a10d0] 145393,0x1008c2220,+[A8KeyResultCookieWriter initWithDomain:weakWebView:andCompleteBlock:],+,A8KeyResultCookieWriter,initWithDomain:weakWebView:andCompleteBlock:,[145386#0x10036367c],[] 145396,0x1008c3df8,+[A8KeyResultCookieWriter setA8KeyCookieExpireTime:],+,A8KeyResultCookieWriter,setA8KeyCookieExpireTime:,[145386#0x1003636e8],[] 145397,0x1008c27e8,+[A8KeyResultCookieWriter writeCompleteMarkerCookieValue:forKey:],+,A8KeyResultCookieWriter,writeCompleteMarkerCookieValue:forKey:,[145386#0x10036380c],[] 253456,0x0,+[AAOperationReq init],+,AAOperationReq,init,[253455#0x1039a9d30],[] 253457,0x0,+[AAOperationReq setBaseRequest:],+,AAOperationReq,setBaseRequest:,[253455#0x1039a9d8c],[] 186847,0x0,+[AAOperationRes length],+,AAOperationRes,length,[186845#0x10342aa54],[]

Especificar o Host e a Porta de Escuta

O endereço de escuta padrão é 127.0.0.1:2345, você pode especificá-lo usando a opção -d.``` iblessing -m generator -i objc-msg-xref-server -f WeChat_method-xrefs.iblessing.txt -d 'host=0.0.0.0;port=12345'

Em seguida, você pode abrir http://127.0.0.1:2345 com um navegador para consultar quaisquer objc_msgSend xrefs que desejar:

Gerar Scripts IDA para objc_msgSend xrefs

Você pode adicionar objc_msgSend xrefs gerados a partir do scanner objc-msg-xref para tornar sua jornada de engenharia reversa mais rápida e confortável.``` iblessing -m generator -i ida-objc-msg-xref -f

Próximo, abra o IDA -> File -> Script File e carregue o script; esta etapa pode demorar bastante. Quando terminar, você encontrará muitas referências cruzadas (xrefs) para o método objc:

Digitalizar wrappers de símbolos

Um arquivo Mach-O pode conter múltiplos wrappers de símbolos importados de bibliotecas dinâmicas comumente usados, como:```arm __text:00000001003842D8 sub_1003842CC ; CODE XREF: -[BDARVLynxTracker eventV3:params:adExtraData:]+168↑p __text:00000001003842D8 ; -[BDARVLynxTracker eventV3:params:adExtraData:]+214↑p ... __text:00000001003842D8 MOV X1, X27 __text:00000001003842DC MOV X2, X19 __text:00000001003842E0 B objc_msgSend

O scanner pode gerar um relatório para registrar todos os wrappers. Em seguida, você pode usar o gerador ida-symbol-wrapper-naming para gerar scripts IDA e implementar a renomeação do wrapper e a alteração do protótipo.

Como Usar```

iblessing -m scan -i symbol-wrapper -f -d 'symbols=_objc_msgSend,_objc_retain,_objc_release' iblessing -m scan -i symbol-wrapper -f -d 'symbols=*'

Em seguida, podemos gerar scripts ida a partir deste relatório.

Gerar Script IDA para Renomear Funções do Runtime Objc e Modificação de Protótipo```

iblessing -m generator -i ida-symbol-wrapper-naming -f

Em seguida, abra o seu IDA -> Arquivo -> Arquivo de Script e carregue o script, este passo pode demorar muito tempo. E quando estiver concluído, Você pode observar algumas mudanças no código descompilado:

⬇️ ⬇️ ⬇️

Continua