原理:是一个js脚本通过注入到native App动态的hook或执行一些native的函数
//越狱机器使用
1.打印设备信息
新建main.py 脚本
#!/usr/bin/env python
# -*- coding: utf-8 -*-
#By:heiZiORZ
# 获取第一个usb设备
import frida
import threading #定义事件的模块
def get_usb_iphone():
dManager = frida.get_device_manager();
changed = threading.Event(); #定义一个事件
def on_changed():
changed.set()
dManager.on('changed',on_changed)
device = None
while device is None:
devices =[dev for dev in dManager.enumerate_devices() if dev.type == 'usb']
!!! 这边注意一点 我用的是庆总的demo 他的dev.type = ‘tether’ 会导致 waitting for usb device… 找不到设备
if len(devices) == 0:#如果拿到的数据为0 那么就等待usb接入
print 'Waiting for usb device...'
changed.wait()
else:
device = devices[0] #拿到这个设备
dManager.off('changed',on_changed)
return device
def main():
#1.获取usb设备
device = get_usb_iphone()
print '设备信息:' + str(device)
if __name__ == '__main__':
try:
main()
except Exception as e:
raise
else:
pass
finally:
pass
先加个权限 然后终端运行./main.py 就能看到设备信息
2.枚举运行进程信息
正常获取安装应用信息,可以通过调用LSApplicationWorkspace的私有API来实现.那么,如何通过Frida来获取这些信息呢?肯定还是要注入进程,然后再进程里面通过注入JS代码去调用Native的函数,调用私有api去获取这些信息.由JS返回,在和python通信,从而将结果输出到控制台.如果是这样 那么就会有两个问题
i:如何通过注入JS代码执行native方法
ii:Python如何通过与js通信获取执行结果
需要以下四个步骤
1⃣️注入进程 获取session
session = device.attach(u'SpringBoard')#附加到SpringBoard上
2⃣️注入JS文件设置回调
#加载JS文件脚本
def loadJsFile(session, filename):
source = ''
with codecs.open(filename, 'r', 'utf-8') as f:
source = source + f.read()
script = session.create_script(source)
script.on('message', on_message)#设置js返回数据的python回调
script.load() #加载js脚本
return script
对应的js文件代码如下
const LSApplicationWorkspace = ObjC.classes.LSApplicationWorkspace;
const LSApplicationProxy = ObjC.classes.LSApplicationProxy;
function getDataDocument(appid){
const dataUrl = LSApplicationProxy.applicationProxyForIdentifier_(appid).dataContainerURL();
if(dataUrl){
return dataUrl.toString() + '/Documents';
}else{
return "null";
}
}
function installed(){
const workspace = LSApplicationWorkspace.defaultWorkspace();
const apps = workspace.allApplications();
var result;
for(var index = 0; index < apps.count(); index++){
var proxy = apps.objectAtIndex_(index);
result = result + proxy.localizedName().toString() + '\t' + proxy.bundleIdentifier().toString()+'\t'+getDataDocument(proxy.bundleIdentifier().toString())+'\n';
}
send({app : result}); #将结果返回到python
};
#处理python发送过来的消息
function handleMessage(message) {
if(message['cmd']){
if(message['cmd'] == 'installed'){
installed();
}
}
send({ mes: 'Successful operation!’});
send({ finished: 'yes'});
}
recv(handleMessage);
个人理解相当于实例一个js的对象script
3⃣️python发送消息给js
script.post({'cmd' : 'installed'})
4⃣️python处理回调
#从JS接收信息
def on_message(message, data):
# print 123
# print data
if message.has_key('payload'):
payload = message['payload']
if isinstance(payload, dict): #isinstance 判断对象是否是一个已知的类型
deal_message(payload)
else:
print payload
#处理JS中不同的信息
def deal_message(payload):
#基本信息输出
if payload.has_key('mes'):
print payload['mes']
#安装app信息
if payload.has_key('app'):
app = payload['app']
lines = app.split('\n')
for line in lines:
if len(line):
arr = line.split('\t')
if len(arr) == 3:
outWrite('%-40s\t%-70s\t%-80s' % (arr[0], arr[1], arr[2]))
#处理UI界面输出
if payload.has_key('ui'):
print colorPrint(31, payload['ui'])
#处理完成事件
if payload.has_key('finished'):
finished.set()
代码执行后 就能直接获取某个应用的Bundle ID Document 目录,再也不用通过各种方式来查找了,具体如下
$./main.py
3.枚举安装进程信息 (待更新)
4.枚举某个进程加载的模块信息(待更新)
可以打印动态库的基地址
5.打印页面ui结构(待更新)
6.动态hook跟踪
首先对这个类的方法进行hook JS代码如下
var openURL = ObjC.classes.ViewController['+ isGL'];
Interceptor.attach(openURL.implementation,{
onEnter: function(args){
console.log('123');
}
});
ObjC.classes保存了所有已经注册的类,所以可以直接获取目标的(-)对象方法 (+)类方法
JS代码如下
session = device.attach(u'123')
script = loadJsFile(session,HOOK_JS)
sys.stdin.read()
