iPhone查找序列号生成函数

前言

在iOS7之前我们可以通过- (NSString *)uniqueIdentifier这个方法获取iPhone的唯一标识符,也叫作UDID。不过自从iOS7苹果就把这个方法给禁了,此时我们想要获取iPhone的唯一标识符就很困难。
不过苹果提供一个叫做IDFA的标识符,这个IDFA是广告标识符用来追踪广告投放的,不过用户可以在设置中手动重置IDFA,可靠性很低,目前常见的两种标记iPhone的方式为

  • openUDID
  • IDFA或UUID+keychain

这两种模式都有个弊端,用户重置手机或者刷机唯一标识符会发生变化,不过对于大多数情况是够用了。看来苹果是把路给封死了,有没有办法拿到之前的UDID呢?我们注意到iPhone的设置通用关于里面有手机的硬件信息,其中有一个serialNumber,这个serialnumber就是我们查询手机是否过保的依据,那么它肯定是唯一的,所以下文是围绕这个进行的探索。最终是可以拿到这个serialNumber的, 不过由于苹果的沙盒限制,所以只能在越狱机中拿到,如果想在非越狱机中拿到必须添加entitlements文件来获取权限,可想而知这个应用是无法上架的。下文仅作为逆向工程的一种思路和探索

转载请注明出处:来自LeonLei的博客http://www.gaoshilei.com

正文

一、SSH连接手机(USB模式)

1.映射端口

1
2
LeonLei-MBP:~ gaoshilei$ /Users/gaoshilei/Desktop/reverse/USBSSH/tcprelay.py -t 22:6666
Forwarding local port 6666 to remote port 22

2.连接手机,并且用grep命令快速筛选当前我们要调试的应用Preferences,附加debugserver开始1234端口等待lldb调试

1
2
3
4
5
6
7
8
9
10
LeonLei-MBP:~ gaoshilei$ ssh root@localhost -p 6666
iPhone-5S:~ root# ps -e | grep Pre
270 ?? 0:00.29 /System/Library/PrivateFrameworks/MobileSoftwareUpdate.framework/XPCServices/com.apple.MobileSoftwareUpdate.CleanupPreparePathService.xpc/com.apple.MobileSoftwareUpdate.CleanupPreparePathService
1192 ?? 0:14.26 /var/db/stash/_.fP74Fg/Applications/Preferences.app/Preferences
1289 ttys000 0:00.01 grep Pre
iPhone-5S:~ root# debugserver *:1234 -a "Preferences"
debugserver-@(#)PROGRAM:debugserver PROJECT:debugserver-340.3.51.1
for arm64.
Attaching to process Preferences...
Listening to port 1234 for a connection from *...

3.完成以上两步接下来就可以进行lldb调试了,首先要把远端(手机)的1234端口映射到本地,跟前面提到的SSH端口映射一样

1
2
LeonLei-MBP:~ gaoshilei$ /Users/gaoshilei/Desktop/reverse/USBSSH/tcprelay.py -t 1234:1234
Forwarding local port 1234 to remote port 1234

二、通过LLDB、IDA寻找线索

lldb的调试端口已经打开,此时我们可以进入调试

1
2
3
4
5
6
7
8
9
10
11
LeonLei-MBP:~ gaoshilei$ lldb
(lldb) process connect connect://localhost:1234
Process 1192 stopped
* thread #1: tid = 0x523a6, 0x000000019a3c8a40 libsystem_kernel.dylib`mach_msg_trap + 8, queue = 'com.apple.main-thread', stop reason = signal SIGSTOP
frame #0: 0x000000019a3c8a40 libsystem_kernel.dylib`mach_msg_trap + 8
libsystem_kernel.dylib`mach_msg_trap:
-> 0x19a3c8a40 <+8>: ret
libsystem_kernel.dylib`mach_msg_overwrite_trap:
0x19a3c8a44 <+0>: movn x16, #0x1f
0x19a3c8a48 <+4>: svc #0x80
0x19a3c8a4c <+8>: ret

此时我们已经成功进入Preferences的调试阶段,先c一下,让程序继续运行

1
2
(lldb) c
Process 1192 resuming

这么做的原因是我们待会要打印image的基地址偏移,有可能在我们打印的image list中没有我们想要的image。
此时我们已经找到到Preference.framework的基地址偏移,见下图

1
2
3
4
5
6
7
8
9
(lldb) im li -o -f
[ 0] 0x00000000000dc000 /var/db/stash/_.fP74Fg/Applications/Preferences.app/Preferences(0x00000001000dc000)
[ 1] 0x0000000100100000 /Library/MobileSubstrate/MobileSubstrate.dylib(0x0000000100100000)
[ 2] 0x0000000002e50000 /Users/gaoshilei/Library/Developer/Xcode/iOS DeviceSupport/9.1 (13B143)/Symbols/System/Library/PrivateFrameworks/BulletinBoard.framework/BulletinBoard
[ 3] 0x0000000002e50000 /Users/gaoshilei/Library/Developer/Xcode/iOS DeviceSupport/9.1 (13B143)/Symbols/System/Library/Frameworks/CoreFoundation.framework/CoreFoundation
[ 4] 0x0000000002e50000 /Users/gaoshilei/Library/Developer/Xcode/iOS DeviceSupport/9.1 (13B143)/Symbols/System/Library/Frameworks/IOKit.framework/Versions/A/IOKit

[ 44] 0x0000000002e50000 /Users/gaoshilei/Library/Developer/Xcode/iOS DeviceSupport/9.1 (13B143)/Symbols/System/Library/PrivateFrameworks/Preferences.framework/Preferences

我们要找的image的序号在这里是44,它的基地址偏移为0x2e50000,我们把从iPhone中导出的PrivateFrameworks中的Preferences.framework丢到IDA中进行分析,这个二进制文件比较小,很快就分析完成,在前面我们已经知道iPhone的唯一序列号serial number是通过PSListController生成的,并且我们知道这是一个cell,我们要去调试[PSListController tableView:cellForRowAtIndexPath:]这个方法,从中找到cell值的来源,从而找到获取序列号的方法。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
__text:00000001908040C8 ; -[PSListController tableView:cellForRowAtIndexPath:]
__text:00000001908040C8 __PSListController_tableView_cellForRowAtIndexPath__
__text:00000001908040C8 ; DATA XREF: __objc_const:000000019C069B88o
__text:00000001908040C8
__text:00000001908040C8 var_80 = -0x80
__text:00000001908040C8 var_78 = -0x78
__text:00000001908040C8 var_70 = -0x70
__text:00000001908040C8 var_68 = -0x68
__text:00000001908040C8 var_60 = -0x60
__text:00000001908040C8 var_50 = -0x50
__text:00000001908040C8 var_40 = -0x40
__text:00000001908040C8 var_30 = -0x30
__text:00000001908040C8 var_20 = -0x20
__text:00000001908040C8 var_10 = -0x10
__text:00000001908040C8
__text:00000001908040C8 STP X28, X27, [SP,#var_60]!
__text:00000001908040CC STP X26, X25, [SP,#0x60+var_50]
__text:00000001908040D0 STP X24, X23, [SP,#0x60+var_40]
__text:00000001908040D4 STP X22, X21, [SP,#0x60+var_30]
__text:00000001908040D8 STP X20, X19, [SP,#0x60+var_20]
__text:00000001908040DC STP X29, X30, [SP,#0x60+var_10]
__text:00000001908040E0 ADD X29, SP, #0x60+var_10
__text:00000001908040E4 SUB SP, SP, #0x20
__text:00000001908040E8 MOV X21, X3
__text:00000001908040EC MOV X20, X0
__text:00000001908040F0 MOV X0, X2
__text:00000001908040F4 BL 0x96C400A0
__text:00000001908040F8 MOV X26, X0
__text:00000001908040FC ADRP X8, #off_19DACC568@PAGE
__text:0000000190804100 LDR X1, [X8,#off_19DACC568@PAGEOFF]
__text:0000000190804104 MOV X0, X20
__text:0000000190804108 MOV X2, X21
__text:000000019080410C BL 0x96C39BC0
__text:0000000190804110 MOV X2, X0
__text:0000000190804114 ADRP X8, #_OBJC_IVAR_$_PSListController._specifiers@PAGE ; NSArray *_specifiers;
__text:0000000190804118 LDRSW X27, [X8,#_OBJC_IVAR_$_PSListController._specifiers@PAGEOFF] ; NSArray *_specifiers;
__text:000000019080411C LDR X0, [X20,X27]
__text:0000000190804120 ADRP X8, #off_19DACC558@PAGE
……

我们在Preference.framework中基地址为0x190804114的位置打个断点,具体的做法是:

1
2
3
4
5
6
7
8
9
10
(lldb) br s -a 0x190804114+0x2e50000
Breakpoint 1: where = Preferences`-[PSListController tableView:cellForRowAtIndexPath:] + 76, address = 0x0000000193654114
Process 1192 stopped
* thread #1: tid = 0x523a6, 0x0000000193654114 Preferences`-[PSListController tableView:cellForRowAtIndexPath:] + 76, queue = 'com.apple.main-thread', stop reason = breakpoint 1.1
frame #0: 0x0000000193654114 Preferences`-[PSListController tableView:cellForRowAtIndexPath:] + 76
Preferences`-[PSListController tableView:cellForRowAtIndexPath:]:
-> 0x193654114 <+76>: adrp x8, 53965
0x193654118 <+80>: ldrsw x27, [x8, #516]
0x19365411c <+84>: ldr x0, [x20, x27]
0x193654120 <+88>: adrp x8, 53960

这里断点这样打是因为系统加载可执行文件和各种framework的时候会有一个地址偏移,我们在打断点的时候要把这个偏移量加上,这样我们打的断点才是准确的。
可以看到我们已经成功打了一个断点,断点的address = 0x193654114。此时我们打印变量x0和x27的值

1
2
3
4
(lldb) po $x0
13
(lldb) po $x27
1104

我们执行ni让程序继续(这里的ni命令相当于Xcode的那个下箭头命令,也就是下一行)

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
(lldb) ni
Process 1192 stopped
* thread #1: tid = 0x523a6, 0x0000000193654118 Preferences`-[PSListController tableView:cellForRowAtIndexPath:] + 80, queue = 'com.apple.main-thread', stop reason = instruction step over
frame #0: 0x0000000193654118 Preferences`-[PSListController tableView:cellForRowAtIndexPath:] + 80
Preferences`-[PSListController tableView:cellForRowAtIndexPath:]:
-> 0x193654118 <+80>: ldrsw x27, [x8, #516]
0x19365411c <+84>: ldr x0, [x20, x27]
0x193654120 <+88>: adrp x8, 53960
0x193654124 <+92>: ldr x22, [x8, #1368]
(lldb) ni
Process 1192 stopped
* thread #1: tid = 0x523a6, 0x000000019365411c Preferences`-[PSListController tableView:cellForRowAtIndexPath:] + 84, queue = 'com.apple.main-thread', stop reason = instruction step over
frame #0: 0x000000019365411c Preferences`-[PSListController tableView:cellForRowAtIndexPath:] + 84
Preferences`-[PSListController tableView:cellForRowAtIndexPath:]:
-> 0x19365411c <+84>: ldr x0, [x20, x27]
0x193654120 <+88>: adrp x8, 53960
0x193654124 <+92>: ldr x22, [x8, #1368]
0x193654128 <+96>: mov x1, x22
(lldb) po $x27
848

(lldb) po $x0
13

我们ni的两次,程序已经走到0x19080411C的位置,然后我们继续打印变量x0和x27的值

1
2
3
4
(lldb) po $x0
13
(lldb) po $x27
1104

打印出来的x0和x27都是随机数,还是没有什么收获,我们继续

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
(lldb) ni
Process 1192 stopped
* thread #1: tid = 0x523a6, 0x0000000193654120 Preferences`-[PSListController tableView:cellForRowAtIndexPath:] + 88, queue = 'com.apple.main-thread', stop reason = instruction step over
frame #0: 0x0000000193654120 Preferences`-[PSListController tableView:cellForRowAtIndexPath:] + 88
Preferences`-[PSListController tableView:cellForRowAtIndexPath:]:
-> 0x193654120 <+88>: adrp x8, 53960
0x193654124 <+92>: ldr x22, [x8, #1368]
0x193654128 <+96>: mov x1, x22
0x19365412c <+100>: bl 0x199a89bc0 ; objc_msgSend
(lldb) po $x0
<__NSArrayI 0x13105a780>(
G: <PSSpecifier 0x12ff50cf0: ID 0, Name '' target <(null): 0x0>> 0x12ff50cf0,
<PSSpecifier 0x12ff50f50: ID NAME_CELL_ID, Name 'Name' target <AboutDataSource: 0x131028390>>,
G: <PSSpecifier 0x12ff51680: ID 2, Name '' target <(null): 0x0>> 0x12ff51680,
<PSSpecifier 0x12ff52360: ID NETWORK, Name 'Network' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff52420: ID SONGS, Name 'Songs' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff519f0: ID VIDEOS, Name 'Videos' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff51ab0: ID PHOTOS, Name 'Photos' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff51b70: ID APPLICATIONS, Name 'Applications' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff524e0: ID User Data Capacity, Name 'Capacity' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff525a0: ID User Data Available, Name 'Available' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff526a0: ID ProductVersion, Name 'Version' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff52850: ID CARRIER_VERSION, Name 'Carrier' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff52980: ID ProductModel, Name 'Model' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff52a60: ID SerialNumber, Name 'Serial Number' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff52b90: ID MACAddress, Name 'Wi-Fi Address' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12ff51050: ID BTMACAddress, Name 'Bluetooth' target <AboutDataSource: 0x131028390>>,
<PSSpecifier 0x12fde95d0: ID ModemVersion, Name 'Modem Firmware' target <AboutDataSource: 0x131028390>>,
G: <PSSpecifier 0x131031e90: ID 17, Name '' target <(null): 0x0>> 0x131031e90,
<PSSpecifier 0x12fde9c40: ID LEGAL_AND_REGULATORY, Name 'Legal' target <(null): 0x0>>,
G: <PSSpecifier 0x131029dc0: ID TRUST_STORE_GROUP, Name '' target <(null): 0x0>> 0x131029dc0,
<PSSpecifier 0x131033520: ID TRUST_STORE, Name 'Trust Store' target <AboutDataSource: 0x131028390>>
)

我们让程序执行下一步,发现此时x0已经有值了,可以明显的看出,x0的值是在0x190804114~0x19080411C这段代码生成的,下面我们的工作重点就是寻找这段代码干了什么,胜利就在眼前!下面我们验证一下这里面到底有没有我们要的序列号:

1
2
3
4
5
6
7
8
9
(lldb) po [[$x0 objectAtIndex:13] class]
PSSpecifier
(lldb) po [[$x0 objectAtIndex:13] properties]
{
cellObject = "<PSTableCell: 0x130800000; baseClass = UITableViewCell; frame = (0 565; 320 45); text = 'Serial Number'; hidden = YES; autoresize = W; tag = 4; gestureRecognizers = <NSArray: 0x12ff821c0>; layer = <CALayer: 0x12fd7d340>>";
id = SerialNumber;
isCopyable = 1;
value = DNPMVG0EFF9V;
}

我们打印数组中存放cell数据的object属于哪个类,发现是PSSpecifier,我们找到之前导出的类的头文件,发现这个类有一个叫做properties的实例方法,我们调用一下发现我们要的序列号就在里面value = DNPMVG0EFF9V,这跟iPhone设置中看到的序列号是一致的。猜测这个数组里面存放着系统设置中PSUIAboutController中所有cel的数据,这个数组下一个肯定要传递到cell生成的方法中,这个就不做验证了,大事重要,我们继续找序列号的生成方法。
这个PSSpecifier中有一个AboutDataSource对象,这个非常可疑,从名称上可以判断,这个类是专门用于数据处理的,不过在这之前我们还是先验证一下,在0x190804114~0x19080411C这段地址中,执行了_PSListController._specifiers,我们从PSListController的头文件(下文有讲怎么获取)中可以看到有一个specifiers属性,我们在IDA分析的文件中找到[PSListController specifiers],我们先定位到方法在二进制文件中的位置:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
__text:00000001907FE4A8 ; -[PSListController specifiers]
__text:00000001907FE4A8 __PSListController_specifiers_ ; DATA XREF: __objc_const:000000019C069A08o
__text:00000001907FE4A8
__text:00000001907FE4A8 var_40 = -0x40
__text:00000001907FE4A8 var_30 = -0x30
__text:00000001907FE4A8 var_20 = -0x20
__text:00000001907FE4A8 var_10 = -0x10
__text:00000001907FE4A8
__text:00000001907FE4A8 STP X24, X23, [SP,#var_40]!
__text:00000001907FE4AC STP X22, X21, [SP,#0x40+var_30]
__text:00000001907FE4B0 STP X20, X19, [SP,#0x40+var_20]
__text:00000001907FE4B4 STP X29, X30, [SP,#0x40+var_10]
__text:00000001907FE4B8 ADD X29, SP, #0x40+var_10
__text:00000001907FE4BC MOV X19, X0
__text:00000001907FE4C0 ADRP X8, #_OBJC_IVAR_$_PSListController._specifiers@PAGE ; NSArray *_specifiers;
__text:00000001907FE4C4 LDRSW X22, [X8,#_OBJC_IVAR_$_PSListController._specifiers@PAGEOFF] ; NSArray *_specifiers;
__text:00000001907FE4C8 LDR X8, [X19,X22]
__text:00000001907FE4CC CBNZ X8, loc_1907FE5E0
__text:00000001907FE4D0 ADRP X8, #_OBJC_IVAR_$_PSListController._dataSource@PAGE ; id <PSSpecifierDataSource> _dataSource;
__text:00000001907FE4D4 LDRSW X8, [X8,#_OBJC_IVAR_$_PSListController._dataSource@PAGEOFF] ; id <PSSpecifierDataSource> _dataSource;
__text:00000001907FE4D8 LDR X9, [X19,X8]
__text:00000001907FE4DC CBZ X9, loc_1907FE550
__text:00000001907FE4E0 ADRP X9, #_OBJC_IVAR_$_PSListController._requestingSpecifiersFromDataSource@PAGE ; bool _requestingSpecifiersFromDataSource;
__text:00000001907FE4E4 LDRSW X23, [X9,#_OBJC_IVAR_$_PSListController._requestingSpecifiersFromDataSource@PAGEOFF] ; bool _requestingSpecifiersFromDataSource;
__text:00000001907FE4E8 MOV W9, #1
__text:00000001907FE4EC STRB W9, [X19,X23]
__text:00000001907FE4F0 LDR X20, [X19,X8]
__text:00000001907FE4F4 ADRP X8, #selRef_specifier@PAGE
__text:00000001907FE4F8 LDR X1, [X8,#selRef_specifier@PAGEOFF]
__text:00000001907FE4FC MOV X0, X19
__text:00000001907FE500 BL 0x96C39BC0
__text:00000001907FE504 MOV X29, X29
__text:00000001907FE508 BL 0x96C41EF0
__text:00000001907FE50C MOV X21, X0
__text:00000001907FE510 ADRP X8, #selRef_specifiersForSpecifier_observer_@PAGE
__text:00000001907FE514 LDR X1,
……

然后在这里面下个断点看看会发生什么

1
2
(lldb) br s -a 0x1907FE4D0+0x198e58640
Breakpoint 9: where = Preferences`-[PSListController specifiers] + 40, address = 0x000000019364e4d0

我们从设置中进入通用>关于,发现一开始就走到了这个断点,我们猜测,一进入关于页面,系统会首先把所有cell的数据都准备好,然后加载UI

1
2
3
4
5
6
7
8
Process 1192 stopped
* thread #1: tid = 0x523a6, 0x000000019364e4d0 Preferences`-[PSListController specifiers] + 40, queue = 'com.apple.main-thread', stop reason = breakpoint 9.1
frame #0: 0x000000019364e4d0 Preferences`-[PSListController specifiers] + 40
Preferences`-[PSListController specifiers]:
-> 0x19364e4d0 <+40>: adrp x8, 53971
0x19364e4d4 <+44>: ldrsw x8, [x8, #536]
0x19364e4d8 <+48>: ldr x9, [x19, x8]
0x19364e4dc <+52>: cbz x9, 0x19364e550 ; <+168>

我们打印变量x8和x9的值,看一下系统做了什么

1
2
3
4
(lldb) po $x8
<nil>
(lldb) po $x9
PSUIAboutController

并没有数据之类的东西值得我们关注,让断点继续往下走,走到0x19364e4dc的位置,我们再次打印变量x8和x9的值

1
2
3
4
5
6
7
8
9
10
11
12
13
(lldb) n
Process 1192 stopped
* thread #1: tid = 0x523a6, 0x000000019364e4dc Preferences`-[PSListController specifiers] + 52, queue = 'com.apple.main-thread', stop reason = instruction step over
frame #0: 0x000000019364e4dc Preferences`-[PSListController specifiers] + 52
Preferences`-[PSListController specifiers]:
-> 0x19364e4dc <+52>: cbz x9, 0x19364e550 ; <+168>
0x19364e4e0 <+56>: adrp x9, 53971
0x19364e4e4 <+60>: ldrsw x23, [x9, #540]
0x19364e4e8 <+64>: orr w9, wzr, #0x1
(lldb) po $x8
952
(lldb) po $x9
<AboutDataSource: 0x131130730>

此时的变量x9已经变成了AboutDataSource,这里验证了我们上一步的猜想,所以我们重点来研究它,我们先找到这个类在哪个framework中,这里使用的是grep命令

1
2
LeonLei-MBP:~ gaoshilei$ grep AboutDataSource -r /Users/gaoshilei/Desktop/reverse/iOS-Runtime-Headers-9.1 
/Users/gaoshilei/Desktop/reverse/iOS-Runtime-Headers-9.1/PrivateFrameworks/PreferencesUI.framework/AboutDataSource.h:@interface AboutDataSource : PSSpecifierDataSource {

这里要说明一下iOS-Runtime-Headers-9.1这个文件夹是iOS9.1系统的所有头文件(共有+私有),这个你可以自己导(iOS9之后只能用runtime导,class-dump已经不行了),你也可以拿现成的用,github上面已经有雷锋把所有系统的头文件都导出来了,直接下载就可以了。我们发现AboutDataSource这个类在PrivateFrameworks/PreferencesUI.framework中,先看一下这个类里面有什么方法和属性,有一个方法- (void)_loadValues; 我们对它进行分析。这里又要借助IDA分析,把PreferencesUI这个二进制文件丢到IDA里面,在0x19091EBB8这个位置打个断点

1
2
(lldb) br s -a 0x19091EBB8+0x2e50000
Breakpoint 3: where = PreferencesUI`-[AboutDataSource _loadValues] + 1956, address = 0x000000019376ebb8

接下来我们进入关于来触发断点

1
2
(lldb) po (char *) $x28
"_setValue:forSpecifierWithKey:"

在这里打印变量x28的值,发现它是一个方法名,从名称来看是给specifier赋值的,看来我们要寻找的真相已经很近了,让代码走到下面的位置0x19376ebd8

1
2
3
4
5
6
7
8
9
10
Process 2107 stopped
* thread #1: tid = 0xe8e23, 0x000000019376ebd8 PreferencesUI`-[AboutDataSource _loadValues] + 1988, queue = 'com.apple.main-thread', stop reason = instruction step over
frame #0: 0x000000019376ebd8 PreferencesUI`-[AboutDataSource _loadValues] + 1988
PreferencesUI`-[AboutDataSource _loadValues]:
-> 0x19376ebd8 <+1988>: bl 0x198e58640 ; MGCopyAnswer
0x19376ebdc <+1992>: mov x22, x0
0x19376ebe0 <+1996>: mov x1, x19
0x19376ebe4 <+2000>: bl 0x199a89bc0 ; objc_msgSend
(lldb) po $x0
SerialNumber

此时我们打印的x0是一个NSCFConstantString,本质就是一个NSString,继续ni让程序运行到0x19376ebdc

1
2
3
4
5
6
7
8
9
10
Process 2107 stopped
* thread #1: tid = 0xe8e23, 0x000000019376ebdc PreferencesUI`-[AboutDataSource _loadValues] + 1992, queue = 'com.apple.main-thread', stop reason = instruction step over
frame #0: 0x000000019376ebdc PreferencesUI`-[AboutDataSource _loadValues] + 1992
PreferencesUI`-[AboutDataSource _loadValues]:
-> 0x19376ebdc <+1992>: mov x22, x0
0x19376ebe0 <+1996>: mov x1, x19
0x19376ebe4 <+2000>: bl 0x199a89bc0 ; objc_msgSend
0x19376ebe8 <+2004>: cbnz x0, 0x19376ec4c ; <+2104>
(lldb) po $x0
DNPMVG0EFF9V

在这里我们打印了变量x0的值为DNPMVG0EFF9V,这就是我们苦苦寻找的序列号。不难看出,序列号就是在0x19376ebd8这行拿到的,范围越来越小,敌人无路可逃!下面我们就要对这行进行分析,我们按照之前的步骤,再次走到0x19376ebd8这个位置,这不过这次我们不要step-over,我们用si跳入看看

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
(lldb) si
Process 2107 stopped
* thread #1: tid = 0xe8e23, 0x0000000198e58640 libMobileGestalt.dylib`MGCopyAnswer, queue = 'com.apple.main-thread', stop reason = instruction step into
frame #0: 0x0000000198e58640 libMobileGestalt.dylib`MGCopyAnswer
libMobileGestalt.dylib`MGCopyAnswer:
-> 0x198e58640 <+0>: movz x1, #0
0x198e58644 <+4>: b 0x198e58648 ; ___lldb_unnamed_symbol64$$libMobileGestalt.dylib

libMobileGestalt.dylib`___lldb_unnamed_symbol64$$libMobileGestalt.dylib:
0x198e58648 <+0>: stp x24, x23, [sp, #-64]!
0x198e5864c <+4>: stp x22, x21, [sp, #16]
此时跳入了一个静态库libMobileGestalt.dylib,我们可以在usr/lib/ibMobileGestalt.dylib找到它,我们将它扔进IDA,用当前的addr减去libMobileGestalt.dylib的基地址偏移得到它的静态地址0x196008640,对应的是一个函数MGCopyAnswer
__text:0000000196008640
__text:0000000196008640 ; =============== S U B R O U T I N E =======================================
__text:0000000196008640
__text:0000000196008640
__text:0000000196008640 EXPORT _MGCopyAnswer
__text:0000000196008640 _MGCopyAnswer ; CODE XREF: sub_196005958+30p
__text:0000000196008640 ; sub_196006258+28p ...
__text:0000000196008640 MOV X1, #0
__text:0000000196008644 B sub_196008648
__text:0000000196008644 ; End of function _MGCopyAnswer

这个函数最外层只有两行代码,将立即数0赋给x1,然后跳进了子程序sub_196008648,跳进去之后进行了一些很复杂的运算,这里就不做介绍了,里面的实现大概是这样的:
x0是作为一个参数传入的,并且这里x0的值为SerialNumber,在地址为0x196008678的地方,这个函数中x1变成了一串随机数,有点像MD5加密之后的东西,应该是“钥匙”

1
2
(lldb) po (char*) $x1
"l92SaBpqIvQs+KBljuwGA"

在0x196008690这里,我们setp-into这个函数,在函数的末尾返回值的地方0x196007474打个断点,打印返回值x0

1
2
(lldb) po $x0
DNPMVG0EFF9V

这里的x0由SerialNumber变成了真正的序列号,并且就是在0x196008690对应的子程序sub_19600738C里面拿到的,所以我们就这样一个猜测,在MGCopyAnswer函数中,x0作为一个参数传入,并且在内部进行了一系列复杂的运算,拿到了获取序列号的“钥匙”x1,然后在sub_19600738C中拿到了最终的序列号。这里笔者也没有对序列号的拿到在进行进一步的深究,这里苹果做了很大的限制,再继续研究恐怕也是收获不大,而且我们在这里已经能拿到序列号了。

三、验证结果

接下来就是验证的过程了,我们写一个tweak来验证,当然也可以用其他方式来验证:
tweak的创建这里就不赘述了,我把我的tweak和makefile文件内容贴一下:

tweak文件:

1
2
3
4
5
6
7
8
9
10
tweak.xm:
extern "C" NSString *MGCopyAnswer(NSString*);
%hook SpringBoard
- (void)applicationDidFinishLaunching:(id)application {
%orig;
NSString *serialNumber = [NSString stringWithFormat:@"%@",[MGCopyAnswer(@"SerialNumber") autorelease]];
UIAlertView *alert = [[UIAlertView alloc] initWithTitle:serialNumber message:nil delegate:self cancelButtonTitle:@"OK" otherButtonTitles:nil];
[alert show];
}
%end

这里注入系统的SpringBoard,在SB启动的时候hook住applicationDidFinishLaunching:函数,并且在这个函数里面添加获取序列号的代码,并且以弹框的形式展现出来。

makefile文件:

1
2
3
4
5
6
7
8
THEOS_DEVICE_IP = 192.168.0.115
include $(THEOS)/makefiles/common.mk
TWEAK_NAME = SerialNumber
SerialNumber_FILES = Tweak.xm
include $(THEOS_MAKE_PATH)/tweak.mk
SerialNumber_LDFLAGS = -lMobileGestalt
after-install::
install.exec "killall -9 SpringBoard"

其中有一行SerialNumber_LDFLAGS = -lMobileGestalt千万要注意,使用的时候要加载这个静态库,因为SpringBoard加载的时候我也不确定是否有加载这个库,然后我们验证一下吧!
序列号验证-获取序列号验证-系统

此文参考了《iOS逆向工程(第二版)》

0%