CN113885882A

CN113885882A - 一种还原iOS类型字符串的方法

Info

Publication number: CN113885882A
Application number: CN202111267591.5A
Authority: CN
Inventors: 杨先珉; 姚龙; 蒲军; 张佳强
Original assignee: Xly Salvationdata Technology Inc
Current assignee: Xly Salvationdata Technology Inc
Priority date: 2021-10-29
Filing date: 2021-10-29
Publication date: 2022-01-04
Anticipated expiration: 2041-10-29
Also published as: CN113885882B

Abstract

本发明公开了一种还原iOS类型字符串的方法，本方法包括以下步骤：S100：设置运行环境并获取所需还原的iOS类型字符串；S200：判断当前字符串的类型是否为方法字符串，如果是，执行步骤S300，否则为变量类型字符串，执行步骤S400；S300：处理方法字符串；S400：递归查找并获取模型数据中的模型元素，直至模型数据中不再具有嵌套且模型元素不能继续分解为止；S500：获取模型元素名；S600：整合结构：分别对方法字符串及变量类型字符串进行整合；S700：生成伪代码：将拼接的结构按变量/方法的格式输出伪代码。

Description

一种还原iOS类型字符串的方法

技术领域

本发明属于iOS APP安全分析及iOS APP司法取证领域，涉及一种还原iOS类型字符串的方法。

背景技术

现有技术中，对iOS系统的APP的安全分析及司法取证分析的方法较少，通常的方法是只提供方法块的伪代码结构，却没有提供iOS程序中变量类型和方法类型的数据结构。因此，对iOS系统的APP的安全分析及司法取证分析较为困难。因此，现有技术中，在iOS APP安全分析及iOS APP司法取证领域中尚无一种解析iOS类型字符串、构建伪代码并便于对iOS系统的APP的安全分析及司法取证分析的方法。

发明内容

针对现有技术的技术问题，本发明提供了一种还原iOS类型字符串的方法：通过解析并整合iOS系统的APP中变量类型字符串、方法类型字符串及对应方法名称字符串，从而构建伪代码，便于对iOS系统的APP的安全分析及司法取证分析。本申请涉及的术语做如下解释：

变量类型及变量名称字符串：

APP中用一个类型关键词定义一个变量，如：

int a，*c；

struct mystruct b,*d；

其中的int,struct mystruct为类型关键词，但最终的iOS系统的APP中不是这样存储的，而是被标识成如下符号来表示：

i”a”,^i,

{mystruct＝},

^{mystruct＝}

如果变量被定义成值类型(如上述定义a,b)的情况，那么变量名称就是原来定义的名称a,b；如果变量被定义成指针类型(如上述定义*c,*d)的情况，那么变量名称就不表示出来(如：^i，^{mystruct＝})

方法类型以及方法名称：

APP中的函数是一个完成某种功能的代码块；由一对花括号“{}”包含，如：-(void)test:(int)arg1{}，这种方法是Objective-C(通常简称为OC)语言书写方法的形式。但最终的iOS系统的APP中标识成：v24@0:8i16，这就是方法类型字符串。其中，函数名称字符串是-test:，英文冒号“:”后面为参数。

方法类型字符串只关注英文字符/符号，数字表示各个域的总的字节长度或者是当前英文字符/符号的起始字节。其中v表示void，@表示是在哪个类对象里面定义的这个方法，英文冒号‘:’表示方法SEL，i表示整形int；这样三个符号就对应上面的方法-(void)test:(int)arg1{}。其中，i就是方法类型中的参数int，方法名称是-test：。

模型元素：

指首尾匹配对应的一组符号，首尾也有可能都是同一个符号。比如，

结构体(struct)的模型元素是{}

整型(int)的模型元素是i

数组(var[])的模型元素是[]

其中，i首尾是本身，而{},[]的首和尾是分别是{、[及]、}。

模型数据：

是由模型元素构成的一个数据集。

模型元素名：指定义一个变量的名称，即变量名，如“int a；”，a就是变量名。

本发明所提供的方法包括以下步骤：

S100：设置运行环境并获取所需还原的iOS类型字符串，包括以下步骤：

加载模型元素，模型元素包括与开发语言中数据类型关键词一一对应的表达符号，所述模型元素同时包含于类型翻译表TypeEncoding中，所述模型元素分为简单数据模型元素、结构体模型元素、数组模型元素及联合体模型元素；

获取所需还原的iOS类型字符串，所述字符串包括变量类型字符串、方法字符串，其中方法字符串包括方法类型字符串及其各自对应的方法名称字符串；

分别标记变量类型字符串、方法类型字符串及对应方法名称字符串，用以区分并用以后续分别各自处理；

提取所述方法类型字符串所包含的参数字符串、返回类型字符串；

S200：判断当前字符串的类型是否为方法字符串，如果是，执行步骤S300，否则为变量类型字符串，执行步骤S400；

S300：处理方法字符串，包括处理方法类型字符串及处理方法名称字符串；包括以下步骤：

S301：判断当前方法字符串是否为方法类型字符串，如果是，执行步骤S302，否则为方法名称字符串，执行步骤S304；

S302：根据类型翻译表TypeEncoding和iOS操作系统中APP的二进制文件存储格式，提取方法类型字符串中各个域的字符串：各个域由英文字符/符号+数字顺序组成，英文字符/符号表示类型字符串，其中，

第一域为v，表示空void，为返回类型字符串，数字表示各个域的总的字节长度；

第二域为@，表示类对象，数字表示当前类对象的起始字节，其字节长度为8字节；

第三域为英文冒号，表示方法SEL，数字表示当前方法SEL的起始字节，其字节长度为8字节；

第四域及第四域之后的英文字符/符号表示参数类型字符串，所述参数类型字符串为类型翻译表TypeEncoding中的任一类型字符串，数字表示当前参数的起始字节，其字节长度为8字节；

S303：根据步骤S302对各个域的分解结果，提取出方法类型字符串用以分析，执行步骤S400；

S304：以英文冒号作为分隔符，逐一提取当前方法名称字符串的各个域名；

S305：储存所提取的各个域名，执行步骤S600；

S400：递归查找并获取模型数据中的模型元素，直至模型数据中不再具有嵌套且模型元素不能继续分解为止，其中，模型数据是由模型元素构成的一个数据集；

S500：获取模型元素名：根据模型元素与类型翻译表TypeEncoding对应的表达符号，将当前对应的表达符号与模型元素名以空格隔开并顺序拼接；

S600：整合结构：分别对方法字符串及变量类型字符串进行整合；

S700：生成伪代码：将拼接的结构按变量/方法的格式输出伪代码。

优选地，步骤S400包括以下步骤：

S401：判断模型数据中当前模型元素是否为简单模型元素，如果是，执行步骤S402，否则，执行步骤S403；

S402：获取模型数据中的当前模型元素，执行步骤S500；

S403：递归查找模型数据中的当前模型元素，直至模型数据中不再具有嵌套且模型元素不能继续分解为止，获取模型数据中的当前模型元素。

优选地，步骤S500包括以下步骤：

S501：判断当前模型元素是否具有指针，如果是，执行步骤S502，否则执行步骤S503：

S502：按当前具有指针的模型元素出现的位置命名，命名后的模型元素名沿用至伪代码且不做改变，命名规则为：相同的前缀+数字，其中，数字按自然数从小到大依次顺序递增，执行步骤S504；

S503：在所提取的模型元素位置之后、双引号内的字符为不具有指针的模型元素名，执行步骤S504；

S504：获取当前模型元素与类型翻译表TypeEncoding对应的表达符号，将当前对应的表达符号与模型元素名以空格隔开并顺序拼接。

优选地，步骤S600包括以下步骤：

S601：判断当前字符串是否为方法字符串，如果是，执行步骤S602，否则为变量类型字符串，执行步骤S700；

S602：将方法的名称和结构进行整合：按步骤S302中所述的提取方法名称的顺序，依次拼接并输出拼接后的结构：按提取方法名称的顺序，以返回类型字符串开始并以参数类型字符串结尾的顺序，依次进行拼接。

本发明具有以下有益效果：解决了在iOS APP安全分析及iOS APP司法取证领域中尚无一种还原iOS类型字符串的方法的技术问题。

附图说明

图1为本发明所提供的方法的总流程图；

图2为本发明所提供的方法中类型翻译表TypeEncoding的示例图。

具体实施方式

通过上述的方面内容，我们已经了解了字符串的形式和要提取字符串的内容。

对于变量类型的字符串，需对其进行查找。例如，查找iOS系统的APP应用程序代码中变量的关键词字符串，如：int类型用i标识，结构体用{}标识。但在查找模型数据中可能出现嵌套有相同的或者嵌套有其他类似的变量的关键词字符串。这时，需要递归查找模型数据中的当前模型元素，直至模型数据中不再具有嵌套且模型元素不能继续分解为止，再将分析出来的伪代码模型按出现的顺序拼接，并依次再往后查找。这样，才能与iOS系统的APP应用程序中的代码顺序保持一致，便于准确分析。

对于方法字符串，其具有固定的顺序用以判断：前三个域均是固定的顺序，即，第一域是返回类型字符串，第二域是类对象的字符串，第三域是方法字符串，第四域及第四域之后的英文字符/符号表示参数类型字符串。查找并分析各个域之后，逐一提取方法名称字符串的各个域并拼接在一起，构成了方法名称伪代码。

图1示出了本发明所提供的方法的总流程图。如图1所示，本发明的方法包括以下步骤：

加载模型元素，模型元素包括与开发语言中数据类型关键词一一对应的表达符号，模型元素同时包含于类型翻译表TypeEncoding中。

图2示出了本发明所提供的方法中类型翻译表TypeEncoding的示例图。如图2所示，“Code”这一列为模型元素，“Meaning”这一列为所对应的含义。其中，模型元素分为简单数据模型元素、结构体模型元素、数组模型元素及联合体模型元素；例如，

一个简单数据模型元素的实例：如整型数据类型int，其模型元素为i；浮点型数据类型float，其对应的模型元素为q；

一个结构体模型元素的实例：如结构体数据类型struct MyTest a，其在APP中存储为{MyTest＝}，其中MyTest为结构体名称。由于我们只关注类型形式，所以这里我们直接看成模型元素是{}；

一个数组模型元素的实例：如数组数据类型char array[2]，其在APP中存储为[2c]，2表示数组的大小，c表示数组的类型；由于我们只关注类型形式，所以这里我们直接看成模型元素是[]；

一个联合体模型元素的实例：如联合体类型数据union MyData b，其在APP中存储为(MyData＝)，其中MyData为联合体名称；由于我们只关注类型形式，所以这里我们直接看成模型元素是()。

获取所需还原的iOS类型字符串，字符串包括变量类型字符串、方法字符串。例如，方法字符串：v24@0:8i16，其中方法字符串包括方法类型字符串及其各自对应的方法名称字符串。例如，该实施例中方法名称字符串为-test：。

提取方法类型字符串所包含的参数字符串、返回类型字符串；

例如：v24@0:8i16,

第一域为v，表示空void，为返回类型字符串,24表示各个域的总的字节长度为24字节；

第二域为@，表示类对象，数字0表示当前类对象的起始字节从第0字节开始，其字节长度为8字节，即，至第7字节结束，占用8个字节空间。

第三域为英文冒号，表示方法SEL，数字8表示表示当前方法SEL从第8字节开始，其字节长度为8字节，即，至第15字节结束，占用8个字节空间；

第四域为参数类型字符串，实施例中为i，表示整形变量，数字16表示表示当前方法SEL从第16字节开始，其字节长度为8字节，即，至第23字节结束，占用8个字节空间。因此，第二域至第四域总的字节长度为24字节。至应理解，参数类型字符串为类型翻译表TypeEncoding中的任一类型字符串，不仅仅限于本实施例中的实施例中的整形变量i；

S305：储存所提取的各个域名，执行步骤S600；

S400：递归查找并获取模型数据中的模型元素，直至模型数据中不再具有嵌套且模型元素不能继续分解为止，其中，模型数据是由模型元素构成的一个数据集；步骤S400包括以下步骤：

S402：获取模型数据中的当前模型元素，执行步骤S500；

S500：获取模型元素名：根据模型元素与类型翻译表TypeEncoding对应的表达符号，将当前对应的表达符号与模型元素名以空格隔开并顺序拼接；步骤S500包括以下步骤：

例如，^i，其中“^”表示指针，“i”是模型元素在类型翻译表TypeEncoding中表示整形int，其模型元素名就是按照他所出现的位置给随机命的一个名字，这里使用arg1，arg2，......argn来命名。那么，该实施例中，具有指针的模型元素名为int*arg1；同理，如果查找到下一个具有指针的模型元素，如，^c，与之对应的模型元素名为*arg2，以此类推。

例如，i”myIvar”，其中“i”在模型元素在类型翻译表TypeEncoding中表示整形int，“myIvar”就表示所定义的变量名，即模型元素名。

S600：整合结构：分别对方法字符串及变量类型字符串进行整合；步骤S600包括以下步骤：

S602：将方法的名称和结构进行整合：按步骤S302中的提取方法名称的顺序，依次拼接并输出拼接后的结构：按提取方法名称的顺序，以返回类型字符串开始并以参数类型字符串结尾的顺序，依次进行拼接。

例如，变量类型字符串：i”time”,^i，经过本方法处理后输出的伪代码是：inttime；int*arg1。

又如：方法类型字符串和方法名称字符串分别是：v24@0:8i16，-test：，经过本方法处理后输出的伪代码是：-(void)test:(int)arg1。

通过本发明所提供的方法，解决了电子取证领域尚无还原iOS类型字符串的方法的技术问题。

应当理解的是，本发明不限于上述的举例，对本领域普通技术人员来说，可以根据上述说明加以改进或变换，所有这些改进和变换都应属于本发明所附权利要求的保护范围。

Claims

1.一种还原iOS类型字符串的方法，其特征在于包括以下步骤：

获取所需还原的iOS类型字符串，所述字符串包括变量类型字符串、方法字符串，其中方法字符串包括方法类型字符串及各自对应的方法名称字符串；

S305：储存所提取的各个域名，执行步骤S600；

2.根据权利要求1所述的一种还原iOS类型字符串的方法，其特征在于，步骤S400包括以下步骤：

S402：获取模型数据中的当前模型元素，执行步骤S500；

3.根据权利要求1所述的一种还原iOS类型字符串的方法，其特征在于，步骤S500包括以下步骤：

4.根据权利要求1所述的一种还原iOS类型字符串的方法，其特征在于，步骤S600包括以下步骤：

S602：将方法的名称和结构进行整合：按步骤S302中所述的提取方法名称的顺序，依次拼接并输出拼接后的结构：按提取方法名称的顺序，以返回类型字符串开始并以参数类型字符串+数字结尾的顺序，依次进行拼接。