iOS逆向工程（三）：利用Cycript调试App

利用Cycript调试App

一、Cycript是什么？

1. Cycript是一种脚本语言，是Objective-C、JavaScript、Java等语法的混合物，这就意味着我们可以在一条命令中使用这些语言的语法，甚至可以混合使用。（作者是Jay Freeman，没错，就是Cydia的作者，Jay Freeman出品必属精品，放心使用吧）
1. Cycript可以用来调试、探索、修改正在运行的Mac/iOS App，只需要通过Cydia就可以安装Cycript了，然后就可以尽情的在iPhone上调试运行中的App了。

二、Cycript的用法

1. 使用Cycript的前提是：Mac通过SSH远程登录到了iPhone，并且iPhone安装了Cycript脚本（iPhone越狱后通过Cydia搜索安装）
1. 想要调试某个App就需要知道此App的进程名称，在手机上打开想要调试的App，使用ps -A命令，列出来所有进程后，找到想要调试的APP的进程名即可。（例如：我们要调试皮皮虾App，在手机上打开皮皮虾，输入ps -A命令，找到皮皮虾的进程名称是Super，如下图所示）
  
  利用ps -A命令，列出来当前手机所有进程

1. 选择某个进程进行挂载，挂载某个进程：cycript -p 进程名称或者进程ID
- 特别特别特别要注意，这种挂载进程的方法只适用于iOS12之前的系统，iOS12及其以后的系统，要用另一种方法挂载，详情请看下面的第五章

例如：想挂载皮皮虾App，先让皮皮虾App在手机里跑起来，找到进程名后，输入以下命令
cycript -p Super

1. 利用以上三步就可以挂载某个进程了，挂载之后，出现cy#，如下图所示，就意味着进入了Cycript脚本环境了，就可以输入Cycript语法来调试这个进程了
  
  cy#
1. cycript环境下的快捷键：
- 退出：Ctrl + D
- 清屏：Command + R
- 取消输入：Ctrl + C
1. 总结一下，其实非常简单

1>.使用前提：MacSSH登录了iPhone，iPhone安装了Cycript
2>.ps -A , 找出所有进程
3>.cycript -p Super，挂载皮皮虾，出现cy#，说明进入到了Cycript环境

三、Cycript的常用语法

1. UIApp，就相当于OC中的[UIApplication sharedApplication]
  
  UIApp

1. 定义变量：var 变量名 = 变量值
  
  定义变量
1. 用变量地址获取对象：#内存地址，例如：#0x109703340，就拿到了这个地址的对象
  
  #内存地址
1. 查看对象的所有成员变量：*对象，例如：*UIApp，就是拿到了UIApplication对象的所有变量
  
  查看成员变量
1. 查看已经加载的所有OC类，ObjectiveC.classes
1. 递归打印所有View的子控件，view.recursiveDescription().toString()
1. 筛选出某种类型的对象：choose(类型名称)，例如choose(UIButton)，找出所有UIButton类型的对象
  
  筛选出某种类型的对象.png
1. Cycript官方手册请点击这里

四、封装并导入Cycript库

1. 大家是不是觉得上面的语法比较繁琐，用起来很不方便，我们可以把常用的语法封装进一个.cy文件中，以后直接用就可以了
1. 例如把下面的代码，放到common.cy文件中（大家仿照下面的代码写就可以了，exports参数是固定的，不需要改）

(function(exports){
    // app id
    AppId = [NSBundle mainBundle].bundleIdentifier;

    // mainBundlePath
    BundlePath = [NSBundle mainBundle].bundlePath;

    // keyWindow
    KeyWin = function() {
        return UIApp.keyWindow;
    };

    // rootView
    RootVc =  function() {
        return UIApp.keyWindow.rootViewController;
    };
})(exports);

1. 然后把封装好的.cy文件放到手机的/usr/lib/cycript0.9目录下
1. 以后进入cycript环境后，首先导入封装好的cy文件，就可以使用封装好的方法了，命令是：@import xxx.cy
1. MJ大佬封装好了一个.cy文件mjcript，大家可以去下载，放到手机的/usr/lib/cycript0.9目录下，以后再进入cycript环境后，只需要@import mjcript，就可以使用里面的方法了。如下图所示：
  
  image.png

五、在iOS12及以后的系统，挂载进程的方法

1. 在iOS12以后，使用cycript -p 进程名的方法挂载进程，就会报下面的错误：

assert($mach_task_self != NULL)
*** _assert(status == 0):../Inject.cpp(143):InjectLibrary

1. iOS12以后要使用cyrun挂载进程，进入cycript环境后，所有操作还跟以前一样

cyrun安装方法：

(1). 通过Cydia安装New Curses、readline、adv-cmds、wget （wget主要为了在iPhone上可以下载deb文件）
(2). 以root账户登录到iPhone上，输入以下命令，下载以下deb文件

wget http://apt.saurik.com/debs/cycript_0.9.594_iphoneos-arm.deb
wget http://www.tateu.net/repo/files/net.tateu.cycriptlistenertweak_1.0.0_iphoneos-arm.deb
wget http://www.tateu.net/repo/files/net.tateu.cyrun_1.0.5_iphoneos-arm.deb

(3). 输入以下命令，安装下载好的deb

dpkg -i cycript_0.9.594_iphoneos-arm.deb
dpkg -i net.tateu.cycriptlistenertweak_1.0.0_iphoneos-arm.deb   net.tateu.cyrun_1.0.5_iphoneos-arm.deb

1. 安装成功之后，以后想进入cycript环境，直接输入cyrun -n 进程名 -e -d -f或者cyrun -b bundleID -e命令就可以了，此命令会重启相应的进程，然后自动进入cycript环境
1. 想退出的时候，按Control+D就可以退出cycript环境时，退出后会自动杀掉该进程
1. 以皮皮虾APP为例，使用cyrun命令进入cycript环境，导入写好的mjcript库，查看皮皮虾APP的当前控制器和根控制器，如下图所示：
  
  image.png

六、知识点总结

1>.使用Cycript调试APP的前提：用Mac以SSH的方式登录了iPhone，iPhone安装了Cycript
2>.ps -A , 找出所有进程，找到要调试的APP
3>.以皮皮虾APP为例，挂载皮皮虾APP的进程：
- iOS12系统以前的挂载 :cycript -p Super
- iOS12系统以后的挂载 :cyrun -n Super -e -d -f 或者 cyrun  -b  bundleID -e
4>. 挂载后，会进入cycript环境，导入封装好的库，使用其中的方法进行调试: @import mjcript
5>. 找到皮皮虾APP的当前控制器: MJFrontVc()
6>. 退出cycript环境：Control + D

七、修改皮皮虾APP界面

1. 利用上述所学，来实际改一下皮皮虾APP的界面，将登录界面中的"登录"，改成"逆向调试"
1. 流程如下：
- 首先，SSH到iPhone：sh login.sh
- 然后，挂载皮皮虾APP：cyrun -n Super -e -d -f
- 然后，导入mjcipt库：@import mjcript
- 然后，用手机打开皮皮虾的登录界面
- 然后，查看登录界面的控制器：MJFrontVc()
- 然后，查看登录界面的View的层级结构：MJVcSubviews(#0x107b0f400)
- 然后，输入"登录"，查看”登录“的unicode编码
- 然后，搜索”登录“的unicode编码，找到登录所属的UILabel对象
- 然后，修改此UILabel的text属性：#0x117917e10.text = '逆向调试'
- 然后，修改此UILabel的size属性：#0x117917e10.size = MJSizeMake(200,30)
- 最后，Control+D退出cycript环境
1. 所有代码如下：

songpengdeMBP:~ songpeng$ sh login.sh
iPhone7ceshiji:~ root# cyrun -n Super -e -d -f
applicationName: Super is not running (-1)
    executableName: Super
    bundleIdentifier: com.bd.iphone.super
    Cycript is inactive:
    Device is not passcode locked
    Tweak Mode
Waiting for Cycript to become active...
Successfully enabled, you may now run
    cycript -r 127.0.0.1:8556
cy# @import mjcript
{}
cy# MJFrontVc()
#"<BDSLoginViewController: 0x107b0f400>"
cy# MJVcSubviews(#0x107b0f400)
`<UIView: 0x11719b2b0; frame = (0 0; 375 667); autoresize = W+H; gestureRecognizers = <NSArray: 0x2836757d0>; layer = <CALayer: 0x283b2dea0>>
   | <BDSNavigationBar: 0x117194a60; baseClass = UIControl; frame = (0 0; 375 64); layer = <CALayer: 0x283b2e060>>
   |    | <UIView: 0x106dc3600; frame = (0 20; 375 44); layer = <CALayer: 0x283b2aec0>>
   |    |    | <BDSNavigationBarItem: 0x1179baa00; baseClass = UIControl; frame = (0 0; 48 44); layer = <CALayer: 0x283b29d80>>
   |    |    |    | <UIImageView: 0x1179b2870; frame = (12 10; 24 24); opaque = NO; userInteractionEnabled = NO; layer = <CALayer: 0x283b2ac60>>
   |    |    | <BDSNavigationBarItem: 0x1179babf0; baseClass = UIControl; frame = (314 8; 48 36); hidden = YES; layer = <CALayer: 0x283b2ae40>>
   |    |    |    | <UILabel: 0x1179b2bc0; frame = (0 0; 48 36); text = '\u8df3\u8fc7'; clipsToBounds = YES; userInteractionEnabled = NO; layer = <_UILabelLayer: 0x281a15e00>>
   |    |    | <UILabel: 0x117196d00; frame = (187.5 0; 0 44); userInteractionEnabled = NO; layer = <_UILabelLayer: 0x281a137f0>>
   |    |    |    | <_UILabelContentLayer: 0x283b34c60> (layer)
   | <UILabel: 0x117917e10; frame = (24 81.4815; 80 56); text = '\u767b\u5f55'; userInteractionEnabled = NO; layer = <_UILabelLayer: 0x281a15a40>>
   |    | <_UILabelContentLayer: 0x283b34b60> (layer)
   | <UITextField: 0x117136290; frame = (26 186.37; 336 42); text = ''; opaque = NO; gestureRecognizers = <NSArray: 0x28349c5a0>; layer = <CALayer: 0x283b2dce0>>
   |    | <UITextFieldLabel: 0x11719a4c0; frame = (0 0; 309 42); text = '\u8f93\u5165\u624b\u673a\u53f7'; opaque = NO; userInteractionEnabled = NO; layer = <_UILabelLayer: 0x281a11590>>
   |    |    | <_UILabelContentLayer: 0x283b34a80> (layer)
   |    | <UIFieldEditor: 0x1073b4c00; frame = (0 0; 309 42); text = ''; clipsToBounds = YES; opaque = NO; gestureRecognizers = <NSArray: 0x283652c70>; layer = <CALayer: 0x283b2dd00>; contentOffset: {0, 0}; contentSize: {309, 42}; adjustedContentInset: {0, 0, 0, 0}>
   |    |    | <_UITextFieldCanvasView: 0x117169530; frame = (0 0; 309 42); opaque = NO; userInteractionEnabled = NO; layer = <_UITextTiledLayer: 0x28085d8c0>>
   |    |    |    | <UITextSelectionView: 0x1171a6d20; frame = (0 0; 0 0); userInteractionEnabled = NO; layer = <CALayer: 0x283b3a260>>
   |    |    |    |    | <UIView: 0x1179a4810; frame = (0 0; 2 42); userInteractionEnabled = NO; layer = <CALayer: 0x283b3d9c0>>
   | <UIView: 0x11712f6f0; frame = (24 233.556; 327 1); layer = <CALayer: 0x283b2e7e0>>
   | <UIButton: 0x1171bbd80; frame = (0 401; 375 50); opaque = NO; layer = <CALayer: 0x283b2e880>>
   |    | <UIImageView: 0x117194e00; frame = (0 0; 375 50); clipsToBounds = YES; opaque = NO; userInteractionEnabled = NO; layer = <CALayer: 0x283b34f20>>
   |    | <UIButtonLabel: 0x106cd0180; frame = (145 13; 85 24); text = '\u83b7\u53d6\u9a8c\u8bc1\u7801'; opaque = NO; userInteractionEnabled = NO; layer = <_UILabelLayer: 0x281a1f840>>
   |    |    | <_UILabelContentLayer: 0x283b35200> (layer)
   | <UILabel: 0x1171b5b40; frame = (24 246.5; 327 20); text = '\u4e3a\u4e86\u60a8\u7684\u8d26\u53f7\u5b89\u5168\uff0c\u8bf7\u7ed1\u5b9a\u624b\u673a\u53f7'; hidden = YES; userInteractionEnabled = NO; layer = <_UILabelLayer: 0x281a1f7f0>>
   |    | <_UILabelContentLayer: 0x283b34ec0> (layer)
   | <UILabel: 0x11717c3d0; frame = (24 372.5; 327 18); userInteractionEnabled = NO; layer = <_UILabelLayer: 0x281a1dc70>>
   |    | <_UILabelContentLayer: 0x283b35140> (layer)
   | <BDSVerifyCodeInputView: 0x117147b90; frame = (24 168.889; 327 54); hidden = YES; layer = <CALayer: 0x283b2eb00>>
   |    | <UITextField: 0x11718d1b0; frame = (0 8; 2 38); text = ''; opaque = NO; tintColor = UIExtendedGrayColorSpace 0.25098 1; gestureRecognizers = <NSArray: 0x283648720>; layer = <CALayer: 0x283b2eb20>>
   |    |    | <_UITextFieldCanvasView: 0x1171bd3d0; frame = (0 0; 2 38); opaque = NO; userInteractionEnabled = NO; layer = <_UITextTiledLayer: 0x28085da70>>
   |    | <BDSVerifyCodeInputLabel: 0x1179b3330; baseClass = UILabel; frame = (0 0; 327 54); userInteractionEnabled = NO; layer = <_UILabelLayer: 0x281a15860>>
   |    |    | <_UILabelContentLayer: 0x283b35820> (layer)
   | <UILabel: 0x11792be30; frame = (0 231.778; 375 20); text = '\u9a8c\u8bc1\u7801\u9519\u8bef'; hidden = YES; userInteractionEnabled = NO; layer = <_UILabelLayer: 0x281a15770>>
   |    | <_UILabelContentLayer: 0x283b35080> (layer)
   | <BDSRegisterProtocolView: 0x117958e20; frame = (39 361; 297 38); layer = <CALayer: 0x283b32c20>>
   |    | <UIButton: 0x1179f8ec0; frame = (10 10; 18 18); opaque = NO; layer = <CALayer: 0x283b32b60>>
   |    |    | <UIImageView: 0x11717e320; frame = (0 0; 18 18); clipsToBounds = YES; opaque = NO; userInteractionEnabled = NO; layer = <CALayer: 0x283b359e0>>
   |    | <TTTAttributedLabel: 0x117920400; baseClass = UILabel; frame = (32 9; 255 20); text = '\u6211\u5df2\u9605\u8bfb\u5e76\u540c\u610f\u201c\u7528\u6237\u534f\u8bae\u201d\u548c\u201c\u9690\u79c1\u653f\u7b56\u201d'; gestureRecognizers = <NSArray: 0x28366c2a0>; layer = <_UILabelLayer: 0x281a145a0>>
   |    |    | <_UILabelContentLayer: 0x283b35300> (layer)
   | <UIButton: 0x1179dfa80; frame = (145 140.481; 17 17); hidden = YES; opaque = NO; layer = <CALayer: 0x283b32b20>>
   |    | <UIImageView: 0x11715ed00; frame = (0 0; 17 17); clipsToBounds = YES; opaque = NO; userInteractionEnabled = NO; layer = <CALayer: 0x283b35a00>>
   | <UIView: 0x1179bf5e0; frame = (24 249.5; 128 24); layer = <CALayer: 0x283b32500>>
   |    | <ArticlePlatformLoginView: 0x11791bb60; frame = (0 0; 128 24); layer = <CALayer: 0x283b32f60>>
   |    |    | <BDSAlphaThemedButton: 0x117159ab0; baseClass = UIButton; frame = (104 0; 24 24); opaque = NO; layer = <CALayer: 0x283b2f300>>
   |    |    |    | <UIImageView: 0x11717a9b0; frame = (0 0; 24 24); clipsToBounds = YES; opaque = NO; userInteractionEnabled = NO; layer = <CALayer: 0x283b35860>>
   |    |    | <UILabel: 0x11710ec00; frame = (0 2; 84 20); text = '\u5176\u5b83\u65b9\u5f0f\u767b\u5f55'; userInteractionEnabled = NO; layer = <_UILabelLayer: 0x281a1f570>>
   |    |    |    | <_UILabelContentLayer: 0x283b357a0> (layer)`
cy# 登录
throw new ReferenceError("Can't find variable: \u767b\u5f55")
cy# #0x117917e10.text = '逆向调试'
"\u9006\u5411\u8c03\u8bd5"
cy# #0x117917e10.size = MJSizeMake(200,30)
{0:200,1:30}

1. 效果图如下：
  
  皮皮虾APP，逆向调试

最后编辑于：2020.03.14 13:57:35

人面猴
序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
沈念sama阅读 205,033评论 6赞 478
死咒
序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
沈念sama阅读 87,725评论 2赞 381
救了他两次的神仙让他今天三更去死
文/潘晓璐我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
开封第一讲书人阅读 151,473评论 0赞 338
道士缉凶录：失踪的卖姜人
文/不坏的土叔我叫张陵，是天一观的道长。经常有香客问我，道长，这世上最难降的妖魔是什么？我笑而不...
开封第一讲书人阅读 54,846评论 1赞 277
港岛之恋（遗憾婚礼）
正文为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
茶点故事阅读 63,848评论 5赞 368
恶毒庶女顶嫁案：这布局不是一般人想出来的
文/花漫我一把揭开白布。她就那样静静地躺着，像睡着了一般。火红的嫁衣衬着肌肤如雪。梳的纹丝不乱的头发上，一...
开封第一讲书人阅读 48,691评论 1赞 282
城市分裂传说
那天，我揣着相机与录音，去河边找鬼。笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。我是一名探鬼主播，决...
沈念sama阅读 38,053评论 3赞 399
双鸳鸯连环套：你想象不到人心有多黑
文/苍兰香墨我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
开封第一讲书人阅读 36,700评论 0赞 258
万荣杀人案实录
序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
沈念sama阅读 42,856评论 1赞 300
护林员之死
正文独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋以下内容为张勋视角年9月15日...
茶点故事阅读 35,676评论 2赞 323
白月光启示录
正文我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
茶点故事阅读 37,787评论 1赞 333
活死人
序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
沈念sama阅读 33,430评论 4赞 321
日本核电站爆炸内幕
正文年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
茶点故事阅读 39,034评论 3赞 307
男人毒药：我在死后第九天来索命
文/蒙蒙一、第九天我趴在偏房一处隐蔽的房顶上张望。院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
开封第一讲书人阅读 29,990评论 0赞 19
一桩弑父案，背后竟有这般阴谋
文/苍兰香墨我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。一阵脚步声响...
开封第一讲书人阅读 31,218评论 1赞 260
情欲美人皮
我被黑心中介骗来泰国打工，没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。一个月前我还...
沈念sama阅读 45,174评论 2赞 352
代替公主和亲
正文我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
茶点故事阅读 42,526评论 2赞 343

iOS逆向工程（三）：利用Cycript调试App

利用Cycript调试App

一、Cycript是什么？

二、Cycript的用法

三、Cycript的常用语法

四、封装并导入Cycript库

五、在iOS12及以后的系统，挂载进程的方法

六、知识点总结

七、修改皮皮虾APP界面

推荐阅读更多精彩内容