CN114138282A - 一种还原iOS类型编码的伪代码的方法及装置 - Google Patents

Abstract

本发明公开了一种还原iOS类型编码的伪代码的方法及装置，其方法为：通过获取变量的偏移地址及方法的偏移地址，可以获得集合的入口地址并访问到对应的集合；集合是一个变量结构体或者方法结构体的数组，获取并分析数组中的元素(即，变量类型字符串或方法类型字符串)，即可生成伪代码结构并获取翻译后的伪代码。包括以下步骤：S100：获取并分析未加密的IPA包,获取所述IPA包中核心文件；S200：提取目标字符串，所述目标字符串包括类型字符串及名称字符串；S300：分析并整合目标字符串，生成伪代码结构；S400：生成并输出伪代码。此外，本发明还提供了一种还原iOS类型编码的伪代码的装置，其包括IPA包分析模块、提取模块、分析模块及伪代码生成模块。

Description

一种还原iOS类型编码的伪代码的方法及装置

技术领域

本发明属于iOS代码逆向分析领域，涉及一种Objective-c逆向分析方法，尤其涉及一种还原iOS类型编码的伪代码的方法及装置。

背景技术

在分析iOS代码的时候，现有技术缺少对类型的详细结构展示，造成分析的困难。例如，在对程序/函数设置断点的时候，此时函数的参数只是一个地址。如果该参数只是单纯的变量，只需简单地直接查看内存就可以进行读取和分析。如果函数的参数是个结构比较复杂的结构体，查看内存就不知道是什么了。单独的一个个地分析，这样带有猜测的成分在里面，是有一定失败的风险。这个时候，如果知道函数的参数的数据结构，那么分析就简单了，即，直接计算地址就能找到对应的数据。

因此，现有技术的问题在于：在分析iOS代码的时候，缺少对类型的详细结构展示。具体地，针对现有技术的弊端归纳如下：

(1)现有技术的分析都是提供了参数名称或者别名，分析起来不方便，不利于静/动态分析。

(2)在针对指针的时候，使用了任意类型作为参数，不便于区分，隐藏了参数结构，增大了分析难度。

(3)针对函数的参数的不明确性，在查找数据的时候需要经过繁琐的偏移地址计算。

故此，如果有对应函数的参数的数据结构展示，那么，在分析的时候将会更加容易直观，大大的减少分析难度。

发明内容

针对现有技术的技术问题，本发明提供了一种还原iOS类型编码的伪代码的方法：通过获取变量的偏移地址及方法的偏移地址，可以获得集合的入口地址并访问到对应的集合，集合是一个变量结构体或者方法结构体的数组，获取并分析数组中的元素(即，变量类型字符串或方法类型字符串)，即可生成伪代码结构并获取翻译后的伪代码。

本申请涉及的术语做如下解释：

伪代码：近似于真实代码源代码的一种简称，是一种非正式的、类似于英语结构的、用于描述模块结构图的语言。

IPA：是Apple程序应用文件iPhoneApplication的缩写。简单来说，Mac下的软件就像是Windows下的绿色软件一样，解压后即可使用，不需要安装，卸载的话也只用删除程序文件即可(这里不涉及pkg格式安装包)。

Objective-c：是苹果公司专门为开发apple app提供的一种计算机语言(简称：OC)。

变量/参数：使用计算机语言内部规定的关键词定义的名称。

Mach-O：为Mach Object文件格式的缩写，它是iOS系统中可执行程序。作为a.out格式的替代，Mach-O提供了更强的扩展性，并提升了符号表中信息的访问速度。

MachOView：用于Mac平台中查看MachO文件格式信息。

数据结构：使用计算机语言定义个数据模型。

本发明包括以下步骤：

S100：获取并分析未加密的IPA包,获取所述IPA包中核心文件；

S200：提取目标字符串，所述目标字符串包括类型字符串及名称字符串，步骤S200包括以下步骤：

S201：采用MachOView读取类的入口信息并查找所有的类，所述类的入口信息用以储存类的偏移量；

S202：采用MachOView查找所述核心文件中类的数据段及常量数据段的偏移位置，所述类的数据段储存所有类基本信息的偏移量；

S203：通过类基本信息的偏移量，在常量数据段中寻址目标字符串的偏移地址；

S204：通过寻址目标字符串的偏移地址，获取目标字符串的结构体；

S205：获取目标字符串的结构体中数据data的值作为偏移地址，用以在常量数据段中寻址并访问类的详细结构体；

S206：根据所寻址到的类的详细结构体，获取类的所有信息，包括变量ivars的偏移地址、名称name的偏移地址及方法baseMethods的偏移地址，其中，变量ivars的偏移地址及方法baseMethods的偏移地址均为集合的入口地址；

S207：判断获取到的偏移入口是否为类变量偏移入口，如果是，执行步骤S208，否则，获取到的偏移入口为类方法偏移入口，执行步骤S209；

S208：采用变量ivars的偏移地址寻址集合并查找类的所有变量定义，当前集合用以储存变量类型字符串的偏移，根据所述变量类型字符串的偏移寻址数组，根据变量列表结构体确定数组的大小和个数、变量结构体的类型字符串的偏移量及名称字符串的偏移量计算变量类型字符串的偏移地址，并根据变量类型字符串的偏移地址寻址并获取当前集合中的元素作为变量类型字符串，其中，变量类型字符串的起始标识/结束标识均为0x00，执行步骤S300；

S209：采用方法baseMethods的偏移地址寻址集合并查找类的所有方法定义，当前集合用以储存方法类型字符串的偏移，根据所述方法类型字符串的偏移寻址数组，根据方法列表结构体确定数组的大小和个数、方法结构体的类型字符串的偏移量及名称字符串的偏移量计算方法类型字符串的偏移地址，并根据方法类型字符串的偏移地址寻址并获取当前集合中的元素作为方法类型字符串，其中，方法类型字符串的起始标识/结束标识均为0x00；

S300：分析并整合目标字符串，生成伪代码结构；

S400：生成并输出伪代码。

优选地，步骤S100包括以下步骤：

S101：在越狱iPhone手机/越狱iPad上安装工具软件Frida，用以对IPA包进行脱壳并获取未加密的IPA包；

S102：解压IPA包，释放IPA包所包含的文件；

S103：查找解压后文件夹所包含的.app文件夹，并查找.app文件夹中具有与当前IPA相同前缀文件名的文件，作为当前IPA的核心文件；

S104：将所述核心文件写入内存，所述核心文件是二进制流文件。

优选地，所述步骤S300包括以下步骤：

S301：确定并获取变量类型字符串/方法类型字符串的类型，包括值类型及指针类型；

S302：确定数据形式，包括结构体形式、数组形式、联合体形式和简单变量形式；

S303：将变量类型字符串/方法类型字符串生成伪代码：采用还原iOS类型字符串的方法，生成伪代码结构。

优选地，步骤S400包括以下步骤：

查询变类型编码表，将伪代码结构翻译为开发语言关键词，输出翻译后的伪代码。

优选地，所述工具软件为Frida。

本发明还提供了一种还原iOS类型编码的伪代码的装置，其特征在于，包括：

IPA包分析模块，用以获取并分析未加密的IPA包,获取所述IPA包中核心文件；

提取模块：用以提取目标字符串，所述目标字符串包括变量类型字符串及名称字符串；

分析模块：用以分析并整合目标字符串，生成伪代码结构；

伪代码生成模块：用以将伪代码结构翻译为开发语言关键词，输出翻译后的伪代码。

本发明具有以下有益效果：

1.针对iOS(特别是OC Objective-C)app进行分析，以提供变量/参数的完整数据模型结构。

2.针对分析过程，一方面方便明了，另一方面能够快熟定位目标数据。

3.针对分析操作，目标更加准确，计算量减少。

附图说明

图1为本发明所提供的方法的总流程图；

图2为本发明所提供的一个实施例中提取目标字符串的具体流程图；

图3为本发明所提供的一个实施例中采用MachOView读取类的入口信息的实例图；

图4为本发明所提供的一个实施例中所获取目标字符串的结构体的数据结构图；

图5为本发明所提供的一个实施例中所获取类的详细结构体的数据结构图；

图6为本发明所提供的一个实施例中所获取变量列表结构体的数据结构图；

图7为本发明所提供的一个实施例中所获取方法列表结构体的数据结构图；

图8为本发明所提供的一个实施例中输出翻译后的伪代码的实例图；

图9为本发明所提供的一种还原iOS类型编码的伪代码的装置的功能框图。

具体实施方式

本发明引入申请号为2021112675915、申请日为2021年10月29日、题为《一种还原iOS类型字符串的方法》的发明申请并结合起来进行说明。

图1示出了本发明所提供的方法的总流程图。如图1所示，本发明的方法包括以下步骤：

S100：获取并分析未加密的IPA包,获取IPA包中核心文件。步骤S100包括以下步骤：

S101：在越狱iPhone手机/越狱iPad上安装工具软件Frida，用以对IPA包进行脱壳并获取未加密的IPA包；

S102：解压IPA包，释放IPA包所包含的文件；

S103：查找解压后文件夹所包含的.app文件夹，并查找.app文件夹中具有与当前IPA相同前缀文件名的文件，作为当前IPA的核心文件；

S104：将核心文件写入内存，核心文件是二进制流文件。

S200：提取目标字符串，目标字符串包括类型字符串及名称字符串。

图2示出了本发明所提供的一个实施例中提取目标字符串的具体流程图。如图2所示，步骤S200包括以下步骤：

S201：采用MachOView读取类的入口信息Section64(__DATA，__objc_classlist)并查找所有的类，类的入口信息Section64(__DATA，__objc_classlist)用以储存类的偏移量；图3示出了本发明所提供的一个实施例中采用采用MachOView读取类的入口信息的实例图。如图3所示，通过MachOView，可以读取类的入口信息Section64(__DATA，__objc_classlist)。

S202：采用MachOView查找核心文件中类的数据段Section64(_DATA,_objc_data)及常量数据段Section64(__DATA,__objc_const)的偏移位置，类的数据段Section64(_DATA,_objc_data)储存所有类基本信息的偏移量；

S203：通过类基本信息的偏移量，在常量数据段Section64(__DATA,__objc_const)中寻址目标字符串的偏移地址；

S204：通过寻址目标字符串的偏移地址，获取目标字符串的结构体struct cd_objc2_class；

图4示出了本发明所提供的一个实施例中所获取目标字符串的结构体struct cd_objc2_class的数据结构图。

另外，图5示出了本发明所提供的一个实施例中所获取类的详细结构体的数据结构图。

S205：获取目标字符串的结构体struct cd_objc2_class中数据data的值作为偏移地址，用以在常量数据段Section64(__DATA,__objc_const)中寻址并访问类的详细结构体struct cd_objc2_class_ro_t；

具体地，获取如图4所示的数据data(即，unit64_t data)的值作为偏移地址，在常量数据段Section64(__DATA,__objc_const)中寻址并访问如图5所示的类的详细结构体struct cd_objc2_class_ro_t。

S206：根据所寻址到的类的详细结构体struct cd_objc2_class_ro_t，获取类的所有信息，如图5所示，包括变量ivars(即，unit64_t ivars)的偏移地址、名称name(即，unit64_t name)的偏移地址及方法baseMethods(即，unit64_tbaseMethods)的偏移地址，其中，变量ivars的偏移地址及方法baseMethods的偏移地址均为集合的入口地址：

S207：判断获取到的偏移入口是否为类变量偏移入口，如果是，执行步骤S208，否则，获取到的偏移入口为类方法偏移入口，执行步骤S209；

图6示出了本发明所提供的一个实施例中所获取变量列表结构体的数据结构图；

S208：采用变量ivars的偏移地址寻址集合并查找类的所有变量定义，当前集合用以储存变量类型字符串的偏移，根据变量类型字符串的偏移寻址数组，根据如图6所示的变量列表结构体struct ivar64_list_t确定数组的大小(即，如图6所示的unit32_tentsize)和个数(即，如图6所示的unit32_t count)、变量结构体struct ivar64_t的类型字符串(即，如图6所示的uint64_t type)的偏移量及名称字符串(即，如图6所示的uint64_t name)的偏移量计算变量类型字符串的偏移地址，并根据变量类型字符串的偏移地址寻址并获取当前集合中的元素作为变量类型字符串，其中，变量类型字符串的起始标识/结束标识均为0x00，执行步骤S300；

图7示出了本发明所提供的一个实施例中所获取方法列表结构体的数据结构图；

S209：采用方法baseMethods的偏移地址寻址集合并查找类的所有方法定义，当前集合用以储存方法类型字符串的偏移，根据方法类型字符串的偏移寻址数组，根据方法列表结构体struct entsize_list_tt确定数组的大小和个数、方法结构体struct method_t的类型字符串(即，如图7所示的const char*type)的偏移量及名称字符串(即，如图7所示的SEL name)的偏移量计算方法类型字符串的偏移地址，并根据方法类型字符串的偏移地址寻址并获取当前集合中的元素作为方法类型字符串，其中，方法类型字符串的起始标识/结束标识均为0x00；

S300：分析并整合目标字符串；

步骤S300包括以下步骤：

S301：确定并获取变量类型字符串/方法类型字符串的类型，包括值类型及指针类型；

S302：确定数据形式，包括结构体形式、数组形式、联合体形式和简单变量形式；

S303：将变量类型字符串/方法类型字符串生成伪代码：采用还原iOS类型字符串的方法，生成伪代码结构。对于其中的还原iOS类型字符串的方法，本发明引入申请号为2021112675915、申请日为2021年10月29日、题为《一种还原iOS类型字符串的方法》的发明申请中的还原iOS类型字符串的方法，本发明不再赘述。

S400：生成并输出伪代码。步骤S400包括以下步骤：

查询变类型编码表TypeEncodings，将伪代码结构翻译为开发语言关键词，输出翻译后的伪代码。图8示出了本发明所提供的一个实施例中输出翻译后的伪代码的实例图。

本发明还提供了一种还原iOS类型编码的伪代码的装置。

图9示出了本发明所提供的一种还原iOS类型编码的伪代码的装置100的功能框图。如图9所示，该装置100的特征在于，包括：

IPA包分析模块101，用以获取并分析未加密的IPA包,获取IPA包中核心文件；

提取模块102：用以提取目标字符串，目标字符串包括变量类型字符串及名称字符串；

分析模块103：用以分析并整合目标字符串；

伪代码生成模块104：用以将伪代码结构翻译为开发语言关键词，输出翻译后的伪代码。

通过本发明所提供的方法，解决了现有技术中尚无一种还原iOS类型编码的伪代码的方法及装置的技术问题。

应当理解的是，本发明不限于上述的举例，对本领域普通技术人员来说，可以根据上述说明加以改进或变换，所有这些改进和变换都应属于本发明所附权利要求的保护范围。

Claims (6)

1.一种还原iOS类型编码的伪代码的方法，其特征在于包括以下步骤：

S100：获取并分析未加密的IPA包,获取所述IPA包中核心文件；

S200：提取目标字符串，所述目标字符串包括类型字符串及名称字符串，步骤S200包括以下步骤：

S201：采用MachOView读取类的入口信息并查找所有的类，所述类的入口信息用以储存类的偏移量；

S202：采用MachOView查找所述核心文件中类的数据段及常量数据段的偏移位置，所述类的数据段储存所有类基本信息的偏移量；

S203：通过类基本信息的偏移量，在常量数据段中寻址目标字符串的偏移地址；

S204：通过寻址目标字符串的偏移地址，获取目标字符串的结构体；

S205：获取目标字符串的结构体中数据data的值作为偏移地址，用以在常量数据段中寻址并访问类的详细结构体；

S206：根据所寻址到的类的详细结构体，获取类的所有信息，包括变量ivars的偏移地址、名称name的偏移地址及方法baseMethods的偏移地址，其中，变量ivars的偏移地址及方法baseMethods的偏移地址均为集合的入口地址；

S207：判断获取到的偏移入口是否为类变量偏移入口，如果是，执行步骤S208，否则，获取到的偏移入口为类方法偏移入口，执行步骤S209；

S208：采用变量ivars的偏移地址寻址集合并查找类的所有变量定义，当前集合用以储存变量类型字符串的偏移，根据所述变量类型字符串的偏移寻址数组，根据变量列表结构体确定数组的大小和个数、变量结构体的类型字符串的偏移量及名称字符串的偏移量计算变量类型字符串的偏移地址，并根据变量类型字符串的偏移地址寻址并获取当前集合中的元素作为变量类型字符串，其中，变量类型字符串的起始标识/结束标识均为0x00，执行步骤S300；

S209：采用方法baseMethods的偏移地址寻址集合并查找类的所有方法定义，当前集合用以储存方法类型字符串的偏移，根据所述方法类型字符串的偏移寻址数组，根据方法列表结构体确定数组的大小和个数、方法结构体的类型字符串的偏移量及名称字符串的偏移量计算方法类型字符串的偏移地址，并根据方法类型字符串的偏移地址寻址并获取当前集合中的元素作为方法类型字符串，其中，方法类型字符串的起始标识/结束标识均为0x00；

S300：分析并整合目标字符串，生成伪代码结构；

S400：生成并输出伪代码。

2.根据权利要求1所述的一种还原iOS类型编码的伪代码的方法，其特征在于，步骤S100包括以下步骤：

S101：在越狱iPhone手机/越狱iPad上安装工具软件，用以对IPA包进行脱壳并获取未加密的IPA包；

S102：解压IPA包，释放IPA包所包含的文件；

S103：查找解压后文件夹所包含的.app文件夹，并查找.app文件夹中具有与当前IPA相同前缀文件名的文件，作为当前IPA的核心文件；

S104：将所述核心文件写入内存，所述核心文件是二进制流文件。

3.根据权利要求1所述的一种还原iOS类型编码的伪代码的方法，其特征在于，所述步骤S300包括以下步骤：

S301：确定并获取变量类型字符串/方法类型字符串的类型，包括值类型及指针类型；

S302：确定数据形式，包括结构体形式、数组形式、联合体形式和简单变量形式；

S303：将变量类型字符串/方法类型字符串生成伪代码：采用还原iOS类型字符串的方法，生成伪代码结构。

4.根据权利要求1所述的一种还原iOS类型编码的伪代码的方法，其特征在于，步骤S400包括以下步骤：

查询变类型编码表，将伪代码结构翻译为开发语言关键词，输出翻译后的伪代码。

5.根据权利要求2所述的一种还原iOS类型编码的伪代码的方法，其特征在于，所述工具软件为Frida。

6.一种还原iOS类型编码的伪代码的装置，其特征在于，包括：

IPA包分析模块，用以获取并分析未加密的IPA包,获取所述IPA包中核心文件；

提取模块：用以提取目标字符串，所述目标字符串包括变量类型字符串及名称字符串；

分析模块：用以分析并整合目标字符串，生成伪代码结构；

伪代码生成模块：用以将伪代码结构翻译为开发语言关键词，输出翻译后的伪代码。

Images