Day 30. 要别人看不懂，还是让自己看不懂的 - 混淆 Obfuscation

App 混淆再资安保护领域来说，可谓是最复杂的一环，也是最重要的一环

但是资安检测无法有个标准的检核方式，因此在资安检验只有建议，并没有强制要求此项

另外外在贩售的 APP保护服务，都在混淆这个基础上下功夫

回到正题，混淆到底是混淆什麽，混淆的重要性到底在哪

反编译(Decompiling)流程

要了解混淆重要，要先从 app 反编译讲起，知道别人是怎麽破解app 才能知道需要怎麽保护

提取 APP .ipa 档案 & 砸壳

从 App Store 安装的 APP，其中 .ipa 档案都有 FairPlay DRM 保护，所以单纯从 App Stroe 想直接反组译是不行的

因此需要先进行「砸壳」，砸壳工具很多 dumpdecrypted 、 frida-ios-dump 、clutch、gdb....

砸壳：保护手段叫做加壳保护，相之的去掉保护就叫「砸壳」又称为脱壳

想深入读者可以参考 OWASP Acquiring the App Binary 如何提取二进位档

有详细说明如何「砸壳」(删除 FairPlay DRM)

用 debug下产生的 ipa 或者是release下的ipa ，都是没有经过Apple DRM保护，可以直接进行反编译

这章重点在於混淆，简单介绍砸壳让读者了解大概是怎麽进行

准备测试专案

简单的专案如下，除了套件以外，就只有一个初始 ViewController

├── AppSecDev
│   ├── AppDelegate.swift
│   ├── Assets.xcassets
│   ├── Base.lproj
│   ├── Info.plist
│   ├── SceneDelegate.swift
│   └── ViewController.swift
├── AppSecDev.xcodeproj
├── AppSecDev.xcworkspace
├── Podfile
└── Pods

截图 2020-10-15 上午12.13.55

寻找编译後的 .app ，从 products 内直接使用右键从 Finder 寻找到编译後二进位执行档

截图 2020-10-15 上午12.28.51

截图 2020-10-15 上午12.30.25

AppSecDev.app 就是我们要找的编译後二进位执行档

Class-Dump

属於静态分析的一种，将公开类别名及方法 dump 出来

使用工具 class-dump（Nygard）

在Terminal 执行

./class-dump -H APP路径/APP名称.app -o 汇出目标资料夹

class-dump -H .../DerivedData/AppSecDev-xxxxxx/Build/Products/Debug-iphonesimulator/AppSecDev.app -o ./out

Dump出的东西

截图 2020-10-15 上午12.09.48

这是原始 ViewController 内定义的方法

截图 2020-10-15 上午12.11.16

可以比对一下发现有点不一样，原因是我使用的 class-dump 无法解析Swift 相关的东西，但objC 部分都没什麽问题

因为对这个范例所需资料已经够用

依照刚刚解析出来资料

可看出想要破解的资料应该是在 _TtC9AppSecDev14ViewController 里面

後续可以用这个当做搜寻用的关键字

想要完整解析 swift 可以使用 dsdump

进行反编译

反编译需要具备很多专业知识，看懂组合语言是基本东，当然还有很多『美美角角』要知道

因此这边就不详细叙述怎麽反编译

反编译很多工具可以使用，目前列出最受欢迎的 IDA 、Hopper 和 NSA 开发的Ghidra

字串寻找

原始程序码

截图 2020-10-14 下午11.15.08

    func aes(){
        let aes_message = "aes_message 咩"
        let aes_key_HexString = "01234567890000000000000000000111"
        let keyArray = Array<UInt8>.init(hex: aes_key_HexString)
        if
            let aes = try? AES(key: keyArray, blockMode: ECB()) , // aes128
            let encrypted = try? aes.encrypt(aes_message.bytes) ,
            let EncData = encrypted.toBase64()
        {
            print(EncData)
        }
    }