1. iOS逆向工程中的进程间通信基础第一次接触iOS逆向工程时我被沙盒机制搞得一头雾水。明明两个应用都装在同一台设备上为什么它们就像住在平行宇宙里一样无法直接交流后来才发现这正是苹果设计的高明之处——通过沙盒隔离确保系统安全同时又提供了多种安全通道让应用间能够有限度地协作。在逆向工程领域理解这些通信机制尤为重要。想象一下你正在分析一个金融类App它通过XPC服务与安全模块通信或者一个社交应用它使用URL Scheme调用相册选择图片。如果不清楚这些IPC机制的工作原理逆向工作就会像在迷宫里打转。沙盒机制本质上是个监狱每个应用都被关在自己的小单间里。但监狱也允许探视和信件往来iOS的IPC机制就是这些探视规则。作为逆向工程师我们需要掌握这些规则才能监控应用间的数据流动伪造合法通信进行测试发现潜在的安全漏洞实现跨进程的代码注入2. 逆向分析URL Schemes实战2.1 定位与解析URL Schemes我习惯用Frida来动态追踪URL Scheme的调用。先写个简单脚本hook UIApplication的openURL方法Interceptor.attach(ObjC.classes.UIApplication[- openURL:].implementation, { onEnter: function(args) { var url new ObjC.Object(args[2]); console.log(打开URL:, url.absoluteString().toString()); } });这个方法帮我发现了不少有趣的行为。比如某购物App会通过taobao://item?id123这样的格式直接跳转到商品详情页而银行App则用自定义Scheme调用安全键盘组件。静态分析时我会检查Info.plist中的CFBundleURLTypes字段。用以下命令快速提取plutil -extract CFBundleURLTypes xml1 -o - Payload/App.app/Info.plist2.2 伪造与劫持技巧逆向工程师最擅长的就是角色扮演。我们可以注册相同的URL Scheme来劫持调用。在越狱设备上通过修改/Applications/App.app/Info.plist添加自己的Scheme声明。更高级的玩法是使用Cycript动态修改URL处理逻辑[[UIApplication sharedApplication] setDelegate: myFakeDelegate];记得去年分析一个视频应用时发现它通过URL Scheme传递的解密密钥没有加密直接修改Scheme参数就能绕过付费验证。这种低级错误在中小型应用中相当常见。3. 剪贴板数据的监控与操纵3.1 剪贴板监控技术UIPasteboard是信息泄露的重灾区。我写了个小工具持续监控剪贴板变化[NSTimer scheduledTimerWithTimeInterval:0.5 repeats:YES block:^(NSTimer * _Nonnull timer) { if (![lastString isEqual:UIPasteboard.generalPasteboard.string]) { lastString UIPasteboard.generalPasteboard.string; NSLog(剪贴板变化:%, lastString); } }];在越狱环境可以直接hook UIPasteboard的写入方法Interceptor.attach(ObjC.classes.UIPasteboard[- setString:].implementation, { onEnter: function(args) { var text new ObjC.Object(args[2]); send({type: pasteboard, data: text.toString()}); } });3.2 剪贴板注入攻击有些应用会盲目信任剪贴板内容。比如某加密货币钱包App当检测到剪贴板中有比特币地址时会自动替换用户输入的地址。通过伪造剪贴板数据就能诱导用户向错误地址转账。防御这种攻击很简单——在粘贴时二次确认。但令人惊讶的是很多金融类App至今仍未实现这个基本的安全措施。4. App Groups逆向实战4.1 定位共享容器App Groups的共享容器通常位于/var/mobile/Containers/Shared/AppGroup/目录下。用这个命令快速查找目标应用的Group IDps -A | grep App | grep -v grep | awk {print $1} | xargs -I {} lsof -p {} | grep group.com找到目标后可以用NSFileManager的containerURLForSecurityApplicationGroupIdentifier:方法获取完整路径。逆向时我会直接挂载这个目录监控文件变化fswatch /var/mobile/Containers/Shared/AppGroup/ABCD-12344.2 数据篡改案例某健身App与其Widget扩展通过UserDefaults共享数据。通过修改Library/Preferences/group.com.example.app.plist文件可以伪造运动数据。更隐蔽的做法是使用dlsym劫持NSUserDefaults的读写方法typedef id (*orig_method)(id, SEL, id); orig_method orig_set (orig_method)dlsym(RTLD_DEFAULT, -[NSUserDefaults setObject:forKey:]);5. XPC服务的深度逆向5.1 定位XPC服务XPC服务通常存放在应用的Frameworks目录或PlugIns目录下扩展名为.xpc。用otool查看依赖库可以快速定位otool -L Payload/App.app/App | grep xpc动态分析时我会用lldb断点NSXPCConnection的初始化方法(lldb) b -[NSXPCConnection initWithMachServiceName:options:]5.2 XPC消息拦截最有效的方法是使用Frida hook NSXPCConnection的导出方法。首先需要dump出XPC接口定义var proto ObjC.classes.Protocol[MyXPCProtocol]; var methods proto.instanceMethods(); methods.forEach(function(m) { console.log(m.name); });然后可以针对特定方法进行hookInterceptor.attach(ObjC.classes.MyXPCService[- doSensitiveOperation:withReply:].implementation, { onEnter: function(args) { var param new ObjC.Object(args[2]); console.log(原始参数:, param.toString()); args[2] ObjC.classes.NSString.stringWithString_(hacked_value); } });6. 安全防护与检测方案6.1 常见防护措施成熟的App会采用多种防护手段URL Scheme白名单验证剪贴板数据签名XPC通信加密共享容器权限控制比如某银行App的XPC通信就采用了双因素验证不仅校验进程签名还会验证动态令牌。6.2 逆向检测技巧检测这些防护措施需要综合静态和动态分析用class-dump检查是否使用了安全相关的类搜索字符串查找加密密钥硬编码监控系统日志查找异常拒绝记录使用frida-trace跟踪加密函数调用一个实用的技巧是暴力测试——故意发送畸形数据观察应用反应。很多防护措施只在正常流程下有效遇到异常情况就会暴露出原始错误信息。