动态调试防护 (30) (上)-阿里云开发者社区

动态调试防护 (30) (上)

2022-05-10 299

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： ptrace (process trace 进程跟踪)

ptrace (process trace 进程跟踪)

提供一个进程监察和控制另一个进程, 并且可以读取和改变被控制进程的内存和寄存器里面的数据.它就可以用来实现断点调试(修改pc寄存器里的值)和系统调用跟踪.

ptrace -> iOS系统没有, 但是macOS里有

想看具体的参数, 可以创建一个macOS工程
#import <sys/ptrace.h> -> 就可以查看ptrace参数

ptrace函数说明 -> ptarce(PT_DENY_ATTACH,0,0,0); -> 拒绝附加进程操作(枚举31)

arg1: 需要ptrace做的事情
arg2: 需要操作的进程ID
arg3(地址)/4(数据): 取决于第一个参数

调用了就不能进行debug调试了, 但是用户可以点击正常运行

查看ptrace符号

拿到MachO文件
查看懒加载和非懒加载符号表
发现ptrace在懒加载符号表里很显眼

怎么破解ptrace

导入自己定义的ptrace头文件
InjectCode注入, 用fishhook干掉ptrace
运行如果报错 -> 注意插件的运行版本要小于手机的版本, 测试的时候可以都调为iOS11

相应的hook代码

//ptrace声明文件
#import "MyPtraceHeader.h"
#import "fishhook.h"
//定义一个函数指针！！
int (*ptrace_p)(int _request, pid_t _pid, caddr_t _addr, int _data);
//自定义的函数
int my_ptrace(int _request, pid_t _pid, caddr_t _addr, int _data){
    if (_request != PT_DENY_ATTACH) {//如果不是拒绝附加保留原始调用！
        return ptrace_p(_request,_pid,_addr,_data);
    }
    return 0;
}
+(void)load
{
    //交换！
    struct rebinding ptraceBd;
    ptraceBd.name = "ptrace";
    ptraceBd.replacement = my_ptrace;
    ptraceBd.replaced = (void *)&ptrace_p;
    struct rebinding bds[] = {ptraceBd};
    rebind_symbols(bds, 1);
}

sysctl

导入头文件 #import <sys/sysctl.h>

sysctl参数说明 -> sysctl(<#int *#>, <#u_int#>, <#void *#>, <#size_t *#>, <#void *#>, <#size_t#>)

查询信息数组
数组中数据类型的大小
接收信息结构体的指针
接收信息结构体的大小

判断调试模式的代码

BOOL isDebugger(){
    int name[4];//里面放字节码。查询的信息
    name[0] = CTL_KERN;//内核查询
    name[1] = KERN_PROC;//查询进程
    name[2] = KERN_PROC_PID;//传递的参数是进程的ID（PID）
    name[3] = getpid();//PID的值告诉它！
    struct kinfo_proc info;//接收进程信息的结构体
    size_t info_size = sizeof(info);
    /**
     1、查询信息数组
     2、数组中数据类型的大小
     3、接受信息结构体的指针
     4、接受信息结构体的大小的指针
     */
    int error = sysctl(name, sizeof(name)/sizeof(*name), &info, &info_size, 0, 0);
    assert(error == 0);//0 就是没有错误，其他就是错误码！
    return  ((info.kp_proc.p_flag & P_TRACED) != 0);
}

& 解析

最后的判断条件

-> info.kp_proc.p_flag & P_TRACED) != 0

因为p_flag是状态标识

取值如图

微信图片_20220510043549.png
image.png

b.那我们拿的时候的计算方式为 ->

微信图片_20220510043554.png
image.png

可以写一个定时器来定时调用来检测是否被调试
如果检测到了

exit(0);
或者上报服务器
或者请求控制

用sysctl这种检测手段, 那么可延展性很好.

用fishhook破解sysctl

#import <sys/sysctl.h>
#import "fishhook.h"
@implementation InjectCode
+(void)load
{
    rebind_symbols((struct rebinding[1]){{"sysctl",my_sysctl,(void *)&sysctl_p}}, 1);
}
//原始函数地址
int (*sysctl_p)(int *, u_int, void *, size_t *, void *, size_t);
//定义新的函数
int my_sysctl(int *name, u_int namelen, void *info, size_t *infosize, void *newinfo, size_t newinfosize){
    if (namelen == 4
        && name[0] == CTL_KERN
        && name[1] == KERN_PROC
        && name[2] == KERN_PROC_PID
        && info) {
        int err = sysctl_p(name,namelen,info,infosize,newinfo,newinfosize);
        struct kinfo_proc * myinfo = (struct kinfo_proc *)info;
        if (myinfo->kp_proc.p_flag & P_TRACED) {
            //使用异或可以取反！
            myinfo->kp_proc.p_flag ^= P_TRACED;
        }
        return err;
    }
    return  sysctl_p(name,namelen,info,infosize,newinfo,newinfosize);
}
@end