之前我有问过同事（RocketChild）火箭闹钟的长后台,点击home键后，app一直长活，她提示他们是反编译了”怪物闹钟"得到的启发，然而在没有去反编译怪物闹钟的时候我猜测是播放静音文件，抓包看过没有voip的长连接。接下来我反编译过后得出的结论印证了我的猜测。
App常见的后台长活处理
- Voip voip实现长连接
XMPPFramework 有个属性就是开启后台长活的 - 后台下载（Server push notification iOS7+）
- 定位服务（显著位置更新）
- 播放静音文件 （相比之前实现成本较低,通过合理设置audio的声音通道不会污染其他声音源）
播放静音文件 实现iOS应用在进入到后台之后，依旧可以执行任务，并不受时间的限制
思路：
- 使用UIApplication对象的beginBackgroundTaskWithExpirationHandler申请后台执行任务，该任务只有大概3分钟的运行时间
- 应用申请到后台执行任务后，使用NSTimer开启一个定时任务，主要负责监控应用剩余的后台可执行时间，当可用的时间少于一个值时，播放一段默声音乐，然后调用UIApplication对象的endBackgroundTask方法将之前申请的后台执行任务结束掉，最后再重新申请一个后台执行任务，这样就可以实现后台不限时执行任务了
- 应用在后台播放音乐，需要开启Background Modes，然后勾选Audio and AirPlay即可
注：应用在后台运行的过程中重新申请后台执行任务是无效的，通过在网上查找资料，播放音乐可以让应用进入到一个假前台的状态，此时重新申请后台执行任务是有效的，如此循环n次，就可以获得大约3n的后台执行时间，从而达到后台无限时执行任务
Show me the code(oc)
- (BOOL)application:(UIApplication *)application didFinishLaunchingWithOptions:(NSDictionary *)launchOptions
{
NSError *error = nil;
[[AVAudioSession sharedInstance] setCategory:AVAudioSessionCategoryPlayback withOptions:AVAudioSessionCategoryOptionMixWithOthers error:&error];
[NSTimer scheduledTimerWithTimeInterval:60 target:self selector:@selector(tik) userInfo:nil repeats:YES];
// Override point for customization after application launch.
return YES;
}
在tik方法中判断下后台保留的时间是多少秒，这里为了稳妥，设置为61s。
- (void)tik{
if ([[UIApplication sharedApplication] backgroundTimeRemaining] < 61.0)
{
[self longTimeTask];
[[UIApplication sharedApplication] beginBackgroundTaskWithExpirationHandler:nil];
}
}
如何避免上架过程中被reject掉,闹钟类App中有播放声音文件的需求，可以在App的plist主动声明。
那么如果我们一开始没有猜中开头和结尾常规的方法就是沿用套路。
套路
-
UI层分析
在日常开发中我们可以用Xcode自带的工具进行视图层次的摸索，这里省略。那么如何去分析别人家的app，我们需要借助的工具Reveal。
Reveal如何在越狱设备上调试
-
网络层分析
青花瓷大法:Charles用来抓网络传输数据包，如丝般顺滑。基础功能这里也不用介绍了，值得注意的地方这里列举两个
1.如果要抓取https的包，我们需要配置SSL设置
2.上面那步骤完成后，有小伙伴说在真机上面还是不能抓取https的数据，要么你的Charles版本有点老，在iOS9中是有开启ATS功能的，普通的App为了向下兼容都是默认关闭了，在旧版本的Charles中对开启ATS功能的app确实无法抓包，在目前的版本中已经突破了这个限制。
Charles抓包的原理
本质还是"中间人"攻击。需要抓取https的包你的设备上还需要信任由Charles下发的证书。
逆向套路
让目标程序破茧而出 －－ dumpdecrypted
1.运行时分析 －－ cycript
2.追踪神器 －－ logify
3.反汇编工具 －－ hopper
4.断点调试工具 －－ lldb+debugserver
5.注入工具 －－ insert_dylib + install_name_tool
-
砸壳
apple市场里面的应用默认就加了一道屏障,需要自备砸壳大法。
砸壳参考
*这样岂不是太繁琐了，有没有舒爽的姿势，有的！ *
我会告诉你用pp助手下载越狱市场里面的app都是砸过壳的吗？
-
砸壳后我们能干点什么（class-dump & 找线索）
class-dump 使用相信大家都比较熟悉，这里也略过。拿到.h文件后我们可以看下类中的方法以及成员变量;拿到的.h 文件为后面配置 theos的一个插件logify来自动生成Tweak.xm
keyword:mute.mp3 silent.wav 等
分析app的plist文件也可以获得它有哪些声明的文件
-
Cycript 运行时分析（这里参考微信读书团队分享中的例子作为案列）
砸完壳之后，我们再 dump出头文件，但是微信的类太多了，头文件有几百个，如此多的头文件，让人眼花缭乱，所以要找到突破口，我们得缩小范围，我喜欢用的思路是从 ui入手，先找到微信对话界面的 controller，然后再追踪 controller中对应的消息处理函数。
这样第二个工具 cycript 隆重出场了 ，它也是个手机端 的工具，用于查看 app运行时数据，大伙儿可以通过 cydia安装，安装完之后，ssh到越狱手机的终端。
先找到微信的进程id：ps aux | grep WeChat再执行：cycript -p 微信的pid
1 找到当前的进程id
ps aux | grep Appname
2 cycript -p Target app pid
UIApp.keyWindow.recursiveDescription().toString()
打印的是当前的ui树，随便找一个节点（树的中间，为什么要在中间，大家可以思考下 ），copy它的内存地址，例如 0x14da3f000
[#内存地址 nextResponder]
直到找到一个ViewController，然后再去.h里面 找到对应的类头文件。
-
Hopper
然而真的要看到.h里面的方法实现，我们还是得借助IDA类似的工具来进行分析，简单些的就使用Hopper进行iOS包中的二进制文件分析,在工具里面点击if(b)f(x)可以查看，某个方法的伪代码实现，这里虽然是伪代码，但是其实可以看见许多关键信息了，结合我们自己的经验基本可以得出想要模仿的 app的关键信息点了（如果对方写法不按照规范来，不按照常理出牌，我们也没法！）如视频播放某个app什么格式都能播放，我们主要分析其解码用了什么框架，是否用了三方的东西，或者用了哪个三方的库，基本可以构面了，然后再模仿下就好了。
基于播放静音文件的线索我在Hopper里面搜索下关键字,省去了我去用lldb+debugserver的步骤。其实这里只是一个抛砖引玉的过程，我觉得我们在做功能的同时如果能从反方向的角度来思考下问题。
写在最后关于用Theos编写、改写tweak的时候要注意的地方有：
1，Tweak的control 里面的name 必须要和plist名字对应
2，Tweak.plist的
3，Tweak.wx 加入了%new新方法你需要在你导入的类.h文件中添加你新加方法的声明
4，Makefile的书写，疑惑的地方是我自己创建了个theos的替身,执行的时候报错，我下载了个微信红包的Tweak.xm替换自己的theos替身就好了，应该是文件夹权限的问题。
THEOS_DEVICE_IP = 172.16.0.115
THEOS_DEVICE_PORT = 22
ARCHS = armv7 arm64
TARGET = iphone:latest:9.0
include theos/makefiles/common.mk
TWEAK_NAME = GodTest
GodTest_FILES = Tweak.xm
GodTest_FRAMEWORKS = UIKit Foundation
include $(THEOS_MAKE_PATH)/tweak.mk
after-install::
install.exec "killall -9 GodTest"
测试的Tweak工程和Xcode工程打包
