iOS Frida Configuration

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Deepen your expertise in Mobile Security with 8kSec Academy. Master iOS and Android security through our self-paced courses and get certified:

On-demand Mobile Security Training | 8kSec Academy8kSec Academy

Installing Frida

Кроки для встановлення Frida на пристрої з джейлбрейком:

1. Відкрийте додаток Cydia/Sileo.

2. Перейдіть до Manage -> Sources -> Edit -> Add.

3. Введіть "https://build.frida.re" як URL.

4. Перейдіть до новододаного джерела Frida.

5. Встановіть пакет Frida.

Якщо ви використовуєте Corellium, вам потрібно буде завантажити випуск Frida з https://github.com/frida/frida/releases (frida-gadget-[yourversion]-ios-universal.dylib.gz) і розпакувати та скопіювати до місця розташування dylib, яке вимагає Frida, наприклад: /Users/[youruser]/.cache/frida/gadget-ios.dylib

Після встановлення ви можете використовувати на своєму ПК команду frida-ls-devices і перевірити, що пристрій з'являється (ваш ПК повинен мати доступ до нього). Виконайте також frida-ps -Uia, щоб перевірити запущені процеси телефону.

Frida без пристрою з джейлбрейком та без патчування додатку

Перегляньте цей блог-пост про те, як використовувати Frida на пристроях без джейлбрейка без патчування додатку: https://mrbypass.medium.com/unlocking-potential-exploring-frida-objection-on-non-jailbroken-devices-without-application-ed0367a84f07

Frida Client Installation

Встановіть frida tools:

pip install frida-tools
pip install frida

З встановленим сервером Frida та підключеним пристроєм, перевірте, чи працює клієнт:

frida-ls-devices  # List devices
frida-ps -Uia     # Get running processes

Frida Trace

# Functions
## Trace all functions with the word "log" in their name
frida-trace -U <program> -i "*log*"
frida-trace -U <program> -i "*log*" | swift demangle # Demangle names

# Objective-C
## Trace all methods of all classes
frida-trace -U <program> -m "*[* *]"

## Trace all methods with the word "authentication" from classes that start with "NE"
frida-trace -U <program> -m "*[NE* *authentication*]"

# Plug-In
## To hook a plugin that is momentarely executed prepare Frida indicating the ID of the Plugin binary
frida-trace -U -W <if-plugin-bin> -m '*[* *]'

Отримати всі класи та методи

• Автозавершення: Просто виконайте frida -U <program>

• Отримати всі доступні класи (фільтрувати за рядком)

/tmp/script.js

// frida -U <program> -l /tmp/script.js

var filterClass = "filterstring";

if (ObjC.available) {
for (var className in ObjC.classes) {
if (ObjC.classes.hasOwnProperty(className)) {
if (!filterClass || className.includes(filterClass)) {
console.log(className);
}
}
}
} else {
console.log("Objective-C runtime is not available.");
}

• Отримати всі методи класу (фільтрувати за рядком)

/tmp/script.js

// frida -U <program> -l /tmp/script.js

var specificClass = "YourClassName";
var filterMethod = "filtermethod";

if (ObjC.available) {
if (ObjC.classes.hasOwnProperty(specificClass)) {
var methods = ObjC.classes[specificClass].$ownMethods;
for (var i = 0; i < methods.length; i++) {
if (!filterMethod || methods[i].includes(filterClass)) {
console.log(specificClass + ': ' + methods[i]);
}
}
} else {
console.log("Class not found.");
}
} else {
console.log("Objective-C runtime is not available.");
}

• Викликати функцію

// Find the address of the function to call
const func_addr = Module.findExportByName("<Prog Name>", "<Func Name>");
// Declare the function to call
const func = new NativeFunction(
func_addr,
"void", ["pointer", "pointer", "pointer"], {
});

var arg0 = null;

// In this case to call this function we need to intercept a call to it to copy arg0
Interceptor.attach(wg_log_addr, {
onEnter: function(args) {
arg0 = new NativePointer(args[0]);
}
});

// Wait untill a call to the func occurs
while (! arg0) {
Thread.sleep(1);
console.log("waiting for ptr");
}


var arg1 = Memory.allocUtf8String('arg1');
var txt = Memory.allocUtf8String('Some text for arg2');
wg_log(arg0, arg1, txt);

console.log("loaded");

Frida Fuzzing

Frida Stalker

З документації: Stalker - це двигун трасування коду Frida. Він дозволяє слідкувати за потоками, захоплюючи кожну функцію, кожен блок, навіть кожну інструкцію, яка виконується.

У вас є приклад реалізації Frida Stalker у https://github.com/poxyran/misc/blob/master/frida-stalker-example.py

Це ще один приклад, щоб приєднати Frida Stalker щоразу, коли викликається функція:

console.log("loading");
const wg_log_addr = Module.findExportByName("<Program>", "<function_name>");
const wg_log = new NativeFunction(
wg_log_addr,
"void", ["pointer", "pointer", "pointer"], {
});

Interceptor.attach(wg_log_addr, {
onEnter: function(args) {
console.log(`logging the following message: ${args[2].readCString()}`);

Stalker.follow({
events: {
// only collect coverage for newly encountered blocks
compile: true,
},
onReceive: function (events) {
const bbs = Stalker.parse(events, {
stringify: false,
annotate: false
});
console.log("Stalker trace of write_msg_to_log: \n" + bbs.flat().map(DebugSymbol.fromAddress).join('\n'));
}
});
},
onLeave: function(retval) {
Stalker.unfollow();
Stalker.flush();  // this is important to get all events
}
});

Це цікаво з точки зору налагодження, але для фуззингу постійне .follow() і .unfollow() є дуже неефективним.

Fpicker

fpicker є набором для фуззингу на базі Frida, який пропонує різноманітні режими фуззингу для фуззингу в процесі, такі як режим AFL++ або пасивний режим трасування. Він повинен працювати на всіх платформах, які підтримуються Frida.

• Встановити fpicker та radamsa

# Get fpicker
git clone https://github.com/ttdennis/fpicker
cd fpicker

# Get Frida core devkit and prepare fpicker
wget https://github.com/frida/frida/releases/download/16.1.4/frida-core-devkit-16.1.4-[yourOS]-[yourarchitecture].tar.xz
# e.g. https://github.com/frida/frida/releases/download/16.1.4/frida-core-devkit-16.1.4-macos-arm64.tar.xz
tar -xf ./*tar.xz
cp libfrida-core.a libfrida-core-[yourOS].a #libfrida-core-macos.a

# Install fpicker
make fpicker-[yourOS] # fpicker-macos
# This generates ./fpicker

# Install radamsa (fuzzer generator)
brew install radamsa

• Підготуйте FS:

# From inside fpicker clone
mkdir -p examples/wg-log # Where the fuzzing script will be
mkdir -p examples/wg-log/out # For code coverage and crashes
mkdir -p examples/wg-log/in # For starting inputs

# Create at least 1 input for the fuzzer
echo Hello World > examples/wg-log/in/0

• Скрипт Fuzzer (examples/wg-log/myfuzzer.js):

examples/wg-log/myfuzzer.js

// Import the fuzzer base class
import { Fuzzer } from "../../harness/fuzzer.js";

class WGLogFuzzer extends Fuzzer {

constructor() {
console.log("WGLogFuzzer constructor called")

// Get and declare the function we are going to fuzz
var wg_log_addr = Module.findExportByName("<Program name>", "<func name to fuzz>");
var wg_log_func = new NativeFunction(
wg_log_addr,
"void", ["pointer", "pointer", "pointer"], {
});

// Initialize the object
super("<Program nane>", wg_log_addr, wg_log_func);
this.wg_log_addr = wg_log_addr; // We cannot use "this" before calling "super"

console.log("WGLogFuzzer in the middle");

// Prepare the second argument to pass to the fuzz function
this.tag = Memory.allocUtf8String("arg2");

// Get the first argument we need to pass from a call to the functino we want to fuzz
var wg_log_global_ptr = null;
console.log(this.wg_log_addr);
Interceptor.attach(this.wg_log_addr, {
onEnter: function(args) {
console.log("Entering in the function to get the first argument");
wg_log_global_ptr = new NativePointer(args[0]);
}
});

while (! wg_log_global_ptr) {
Thread.sleep(1)
}
this.wg_log_global_ptr = wg_log_global_ptr;
console.log("WGLogFuzzer prepare ended")
}


// This function is called by the fuzzer with the first argument being a pointer into memory
// where the payload is stored and the second the length of the input.
fuzz(payload, len) {
// Get a pointer to payload being a valid C string (with a null byte at the end)
var payload_cstring = payload.readCString(len);
this.payload = Memory.allocUtf8String(payload_cstring);

// Debug and fuzz
this.debug_log(this.payload, len);
// Pass the 2 first arguments we know the function needs and finally the payload to fuzz
this.target_function(this.wg_log_global_ptr, this.tag, this.payload);
}
}

const f = new WGLogFuzzer();
rpc.exports.fuzzer = f;

• Скомпілюйте fuzzer:

# From inside fpicker clone
## Compile from "myfuzzer.js" to "harness.js"
frida-compile examples/wg-log/myfuzzer.js -o harness.js

• Викликайте fuzzer fpicker за допомогою radamsa:

# Indicate fpicker to fuzz a program with the harness.js script and which folders to use
fpicker -v --fuzzer-mode active -e attach -p <Program to fuzz> -D usb -o examples/wg-log/out/ -i examples/wg-log/in/ -f harness.js --standalone-mutator cmd --mutator-command "radamsa"
# You can find code coverage and crashes in examples/wg-log/out/

У цьому випадку ми не перезапускаємо додаток або не відновлюємо стан після кожного payload. Тому, якщо Frida знайде збій, наступні введення після цього payload також можуть збити додаток (оскільки додаток знаходиться в нестабільному стані), навіть якщо введення не повинно збивати додаток.

Більше того, Frida буде підключатися до сигналів виключення iOS, тому коли Frida знайде збій, ймовірно, звіти про збій iOS не будуть згенеровані.

Щоб запобігти цьому, наприклад, ми могли б перезапустити додаток після кожного збою Frida.

Логи та Збої

Ви можете перевірити консоль macOS або log cli, щоб перевірити логи macOS. Ви також можете перевірити логи з iOS, використовуючи idevicesyslog. Деякі логи будуть пропускати інформацію, додаючи <private>. Щоб показати всю інформацію, вам потрібно встановити деякий профіль з https://developer.apple.com/bug-reporting/profiles-and-logs/, щоб увімкнути цю приватну інформацію.

Якщо ви не знаєте, що робити:

vim /Library/Preferences/Logging/com.apple.system.logging.plist
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>Enable-Private-Data</key>
<true/>
</dict>
</plist>

killall -9 logd

Ви можете перевірити аварії в:

• iOS

• Налаштування → Конфіденційність → Аналітика та покращення → Дані аналітики

• /private/var/mobile/Library/Logs/CrashReporter/

• macOS:

• /Library/Logs/DiagnosticReports/

• ~/Library/Logs/DiagnosticReports

iOS зберігає лише 25 аварій одного й того ж додатку, тому вам потрібно очистити це, інакше iOS перестане створювати аварії.

Frida Android Tutorials

Frida Tutorial

References

• https://www.briskinfosec.com/blogs/blogsdetail/Getting-Started-with-Frida

Поглибте свої знання в Mobile Security з 8kSec Academy. Опануйте безпеку iOS та Android через наші курси з самостійним навчанням та отримайте сертифікат:

On-demand Mobile Security Training | 8kSec Academy8kSec Academy

Вчіться та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Вчіться та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Підтримати HackTricks

• Перевірте плани підписки!

• Приєднуйтесь до 💬 групи Discord або групи telegram або слідкуйте за нами в Twitter 🐦 @hacktricks_live.

• Діліться хакерськими трюками, надсилаючи PR до HackTricks та HackTricks Cloud репозиторіїв на github.