iOS防护----反调试

拼搏现实的明天。 2022-04-22 01:14 1352阅读 0赞

在逆向和保护的过程中，总会涉及到反调试和反反调试的问题，这篇文章主要是总结一下几种常见的反调试手段。  
首先感谢一下猴子大佬的无私奉献[AloneMonkey][]  
本文主要参考了[Haris Andrianakis的文章][Haris Andrianakis]  
[马万旻在掘金上发表的文章][Link 1]  
[KANGZUBIN的博客][KANGZUBIN]

当我们上线一个 App，当然是不希望自己的 App 被攻击者研究透彻。虽然说没有绝对的安全，但是我们可以做一些防护措施，增加攻击的成本和难度，延缓攻击者的脚步。

在 iPhone 上运行 App，然后通过 GDB 进行动态调试，是大多数攻击者的首选。  
本文主要介绍两种反调试的方法。

## ptrace反调试，阻止GDB依附 ##

在Unix 系统中，提供了一个系统调用 ptrace 用于实现断点调试和对进程进行跟踪和控制，而 PT\_DENY\_ATTACH 是苹果增加的一个 ptrace 选项，这个参数用来告诉系统，阻止调试器依附，用法如下：

//ptrace反调试
    #import <dlfcn.h>
    #import <sys/types.h>
    typedef int (*ptrace_ptr_t)(int _request, pid_t pid, caddr_t _addr, int _data);
    #if !defined(PT_DENT_ATTACH)
    #define PT_DENT_ATTACH 31
    #endif
    
    void disable_gdb() {
        void * handle = dlopen(0, RTLD_GLOBAL|RTLD_NOW);
        ptrace_ptr_t ptrace_ptr = dlsym(handle, "ptrace");
        ptrace_ptr(PT_DENT_ATTACH, 0, 0, 0);
        dlclose(handle);
    }

## sysctl反调试 ##

当一个进程被调试的时候，该进程会有一个标记来标记自己正在被调试，所以可以通过sysctl去查看当前进程的信息，看有没有这个标记位即可检查当前调试状态。

//sysctl反调试
    #import <sys/sysctl.h>
    #import <sys/types.h>
    #import <unistd.h>
    /* 函数的返回值若为0时，证明没有错误，其他数字为错误码。 arg1 传入一个数组，该数组中的第一个元素指定本请求定向到内核的哪个子系统。第二个及其后元素依次细化指定该系统的某个部分。 arg2 数组中的元素数目 arg3 一个结构体，指向一个供内核存放该值的缓冲区，存放进程查询结果 arg4 缓冲区的大小 arg5/arg6 为了设置某个新值，arg5参数指向一个大小为arg6参数值的缓冲区。如果不准备指定一个新值，那么arg5应为一个空指针，arg6因为0. */
    //int sysctl(int *, u_int, void *, size_t *, void *, size_t);
    
    static bool is_debugger_present(void) { 
        int name[4];//存放字节码，查询信息
        struct kinfo_proc info;//接受进程查询结果信息的结构体
        size_t info_size = sizeof(info);//结构体的大小
        
        info.kp_proc.p_flag = 0;
        name[0] = CTL_KERN;//内核查看
        name[1] = KERN_PROC;//进程查看
        name[2] = KERN_PROC_PID;//进程ID
        name[3] = getpid();//获取pid，据说这个可以直接传0?
        
        int proc_err = sysctl(name, 4, &info, &info_size, NULL, 0);
        if (proc_err == -1) {  //判断是否出现了异常
            exit(-1);
        }
        //info.kp_proc.p_flag中存放的是标志位（二进制），在proc.h文件中有p_flag的宏定义，通过&运算可知对应标志位的值是否为0。（若结果值为0则对应标志位为0）。其中P_TRACED为正在跟踪调试过程。
        return ((info.kp_proc.p_flag & P_TRACED) != 0);
    }

## syscall ##

直接调用这个函数:  
其中PT\_DENT\_ATTACH的值为31，直接填31即可。SYS\_ptrace的值为26，可以引入<sys/syscall.h>头文件后直接调用宏定义

#import <sys/syscall.h>
    syscall(SYS_ptrace,PT_DENT_ATTACH,0,0,0);

为从实现从用户态切换到内核态，系统提供了一个系统调用函数syscall，上面讲到的ptrace也是通过系统调用去实现的。而ptrace的编号为26，也就是SYS\_ptrace的值:

26. ptrace               801e812c T

其他函数编号可以在这里[Kernel Syscalls][]查阅，维基百科，需要翻墙。。  
但是syscall在iOS10之后废弃了。代替它的函数在<sys/kdebug\_signpost.h>里，叫kdebug\_signpost()，但是搜遍全网也没找到如何去替代syscall(26,31,0,0,0)。。这里是[源代码][Link 2]，希望有大牛可以研究一下。

## SIGSTOP(当检测到有断点触发时停止调试) ##

通过捕获系统SIGSTOP信号来判断。  
如果程序没有断点。那这个是没有用的。。

dispatch_source_t source = dispatch_source_create(DISPATCH_SOURCE_TYPE_SIGNAL, SIGSTOP, 0, dispatch_get_main_queue());
        dispatch_source_set_event_handler(source, ^{ 
            exit(0);
        });
        dispatch_resume(source);

## isatty ##

isatty方法也可以用来检测是否正在被调试

#import <unistd.h>
    if (isatty(1)) { 
       exit(0);   
    }

## ioctl ##

ioctl方法也可以用来检测是否正在被调试

#import <sys/ioctl.h>
    void Anti_ioctl() { 
        if (!ioctl(1, TIOCGWINSZ)) { 
            exit(1);
        }
    }

但是，上述这些方式只能简单地防止 App 被动态调试，其实 ptrace、sysctl、syscall 等函数本身也可以被静态修改或 Hook。而且即便能有效阻止了调试，App 仍然可以通过 tweak 去 Hook App 内部的方法实现，也可以通过 dylib 注入去修改 App 的功能。

我们只好从多方面考虑，尽可能提高安全性，比如防止 [tweak 依附][tweak]、防止网络请求抓包、对敏感数据进行加解密、代码混淆、检查二进制 binary 签名是否匹配；关键逻辑用更底层的 C 函数实现（虽然 C 函数也是可以被 Hook，例如 Facebook 开源的 fishhook），等等，同时我们也可以[检查手机是否已经越狱][Link 3]，并对越狱机做特殊处理。

下面介绍几个比较特殊的写法，其实原理都一样，调用专门的函数去检测，只是调用方法不同：

## 内联 svc + ptrace 实现和内联 svc + syscall + ptrace 实现 ##

其实这两种方法都等同于直接或间接使用 ptrace, 此时系统调用号是 SYS\_ptrace

static __attribute__((always_inline)) void AntiDebugASM() { 
    #ifdef __arm__
        asm volatile(
                     "mov r0,#31\n"
                     "mov r1,#0\n"
                     "mov r2,#0\n"
                     "mov r12,#26\n"
                     "svc #80\n"
                     );
    #endif
    #ifdef __arm64__
        asm volatile(
                     "mov x0,#26\n"
                     "mov x1,#31\n"
                     "mov x2,#0\n"
                     "mov x3,#0\n"
                     "mov x16,#0\n"
                     "svc #128\n"
                     );
    #endif
    }

## 内联汇编调用exit函数 ##

利用内联汇编实现退出, 并清除堆栈(防止暴力 svc patch with nop)

static __attribute__((always_inline)) void OPENME() { 
        asm volatile(
                     "mov x0,#0\n"
                     "mov x16,#1\n"
                     "svc #80\n"
                     "mov x1, #0\n"
                     "mov sp, x1\n"
                     "mov x29, x1\n"
                     "mov x30, x1\n"
                     "ret"
        );
    }

## 安全性比较高的防护策略 ##

对于fishhook交换系统函数的进攻方式，我们可以通过将sysctl等函数调用放到动态库中，以保证检测函数可以在进攻注入的代码之前执行。动态库的加载顺序为Build Phases下的Link Binary With Libaraies中的排列顺序。

[AloneMonkey]: http://bbs.iosre.com/t/topic/8179
[Haris Andrianakis]: https://www.coredump.gr/articles/ios-anti-debugging-protections-part-2/
[Link 1]: https://juejin.im/post/5b3c38155188251ac60be675
[KANGZUBIN]: https://kangzubin.com/ios-anti-debug/
[Kernel Syscalls]: https://www.theiphonewiki.com/wiki/Kernel_Syscalls
[Link 2]: http://newosxbook.com/src.jl?tree=xnu&file=/libsyscall/wrappers/kdebug_trace.c#kdebug_signpost
[tweak]: http://bbs.iosre.com/t/tweak-app-app-tweak/438
[Link 3]: https://blog.csdn.net/youshaoduo/article/details/83583344