【创宇小课堂】移动安全-IOS逆向第三天——实战HOOK RSA/DES加密

一、车联网APP加密破解

APP抓包发现有加密

1、首先使用frida-ios-dump下文件之后，找到Ipa中的match-O可执行文件

2、脱入ida中、直接搜索rsa xxx函数

3、使用frida-trace ios-trace脚本进行Hook查看是否调用，发现没有命中Hook函数

4、再次搜索rsa发现如下，使用相同方法进行验证

5、发现没有调用

6、继续搜索

7、发现命中加密函数，trace BKRSA类下encrypt关键字的函数

8、如下是objection用法、进入iuickAPPPrivate、直接使用frida-trace验证该函数是否调用

ios hooking watch method "+[SGMPP iBuickAppPrivate]" –dump-args --dump-backtrace

二、某社区利用工具进行爆破式hook

原因是由于在ida中搜索rsa encrypt这样的关键词太多了，obj了一下没找到

使用fridadev脚本进行爆破

2、然后使用如下命令模糊hook，trace("*[* *encrypt*]") hook所有encrypt关键字

顺便还发现了个漏洞。。。。。

3、成功hook到参数、找到加密方法、后面就是自己写frida脚本了

三、利用ida正向分析

所有app在请求都会调用一个NSURL的函数、所以我们直接搜路径

点击去，查看调用

按crtl+X查看调用情况

仍然点击进去

再次使用crtl+X查看调用情况，这里就只能一个个看了

根据经验，我是在登录处抓的，所以我选择login那个调用

看了下是以上俩个函数可能性比较高、查看第一个函数，看了下没有加密信息查看第二个函数

找到加密函数为DES，这也是我刚开始直接上RSA搜索不到相关函数

加密函数，接下来就是用objection来验证下

完整调用链

或者直接hook该方法查看调用栈

-[NSMutableURLRequest setValue:forHTTPHeaderField:]

hook脚本打印参数

AES、MD5这俩个加密的破解，用的是统一的函数，直接进行Hook相关函数就行。比较简单、这里不做介绍。

最终以上方法其实都是比较偏向工具，作者对ida分析这一块知识不足、有兴趣的可以自己使用ida完全正向分析。在遇到比较难的APP时也不会担心找不到加密。

原文始发于微信公众号（安全宇宙）：【创宇小课堂】移动安全-IOS逆向第三天——实战HOOK RSA/DES加密