Italian - Ht
HackTricks Training Twitter Linkedin Sponsor

iOS Frida Configuration

Impara l'hacking di AWS da zero a eroe con htARTE (Esperto Red Team AWS di HackTricks)!

Altri modi per supportare HackTricks:

WhiteIntel

WhiteIntel è un motore di ricerca alimentato dal dark web che offre funzionalità gratuite per verificare se un'azienda o i suoi clienti sono stati compromessi da malware stealer.

Il loro obiettivo principale di WhiteIntel è combattere i takeover degli account e gli attacchi ransomware derivanti da malware che rubano informazioni.

Puoi visitare il loro sito web e provare il loro motore gratuitamente su:

Installazione di Frida

Passaggi per installare Frida su un dispositivo Jailbroken:

  1. Apri l'app Cydia/Sileo.

  2. Vai su Gestisci -> Sorgenti -> Modifica -> Aggiungi.

  3. Inserisci "https://build.frida.re" come URL.

  4. Vai alla nuova sorgente di Frida aggiunta.

  5. Installa il pacchetto Frida.

Se stai usando Corellium dovrai scaricare il rilascio di Frida da https://github.com/frida/frida/releases (frida-gadget-[tua versione]-ios-universal.dylib.gz) e decomprimere e copiare nella posizione dylib che Frida richiede, ad esempio: /Users/[tuo utente]/.cache/frida/gadget-ios.dylib

Dopo l'installazione, puoi utilizzare il comando frida-ls-devices sul tuo PC e verificare che il dispositivo appaia (il tuo PC deve essere in grado di accedervi). Esegui anche frida-ps -Uia per controllare i processi in esecuzione sul telefono.

Frida senza dispositivo Jailbroken e senza patch dell'app

Controlla questo post sul blog su come utilizzare Frida su dispositivi non jailbroken senza patch dell'app: https://mrbypass.medium.com/unlocking-potential-exploring-frida-objection-on-non-jailbroken-devices-without-application-ed0367a84f07

Installazione del Client Frida

Installa strumenti frida:

pip install frida-tools
pip install frida

Con il server Frida installato e il dispositivo in esecuzione e connesso, controlla se il client è funzionante:

frida-ls-devices  # List devices
frida-ps -Uia     # Get running processes

Traccia di Frida

# Functions
## Trace all functions with the word "log" in their name
frida-trace -U <program> -i "*log*"
frida-trace -U <program> -i "*log*" | swift demangle # Demangle names

# Objective-C
## Trace all methods of all classes
frida-trace -U <program> -m "*[* *]"

## Trace all methods with the word "authentication" from classes that start with "NE"
frida-trace -U <program> -m "*[NE* *authentication*]"

# Plug-In
## To hook a plugin that is momentarely executed prepare Frida indicating the ID of the Plugin binary
frida-trace -U -W <if-plugin-bin> -m '*[* *]'

Ottenere tutte le classi e i metodi

  • Completamento automatico: Esegui semplicemente frida -U <program>

  • Ottenere tutte le classi disponibili (filtrare per stringa)

/tmp/script.js
// frida -U <program> -l /tmp/script.js

var filterClass = "filterstring";

if (ObjC.available) {
for (var className in ObjC.classes) {
if (ObjC.classes.hasOwnProperty(className)) {
if (!filterClass || className.includes(filterClass)) {
console.log(className);
}
}
}
} else {
console.log("Objective-C runtime is not available.");
}

  • Ottenere tutti i metodi di una classe (filtrare per stringa)

/tmp/script.js
// frida -U <program> -l /tmp/script.js

var specificClass = "YourClassName";
var filterMethod = "filtermethod";

if (ObjC.available) {
if (ObjC.classes.hasOwnProperty(specificClass)) {
var methods = ObjC.classes[specificClass].$ownMethods;
for (var i = 0; i < methods.length; i++) {
if (!filterMethod || methods[i].includes(filterClass)) {
console.log(specificClass + ': ' + methods[i]);
}
}
} else {
console.log("Class not found.");
}
} else {
console.log("Objective-C runtime is not available.");
}

  • Chiamare una funzione

// Find the address of the function to call
const func_addr = Module.findExportByName("<Prog Name>", "<Func Name>");
// Declare the function to call
const func = new NativeFunction(
func_addr,
"void", ["pointer", "pointer", "pointer"], {
});

var arg0 = null;

// In this case to call this function we need to intercept a call to it to copy arg0
Interceptor.attach(wg_log_addr, {
onEnter: function(args) {
arg0 = new NativePointer(args[0]);
}
});

// Wait untill a call to the func occurs
while (! arg0) {
Thread.sleep(1);
console.log("waiting for ptr");
}


var arg1 = Memory.allocUtf8String('arg1');
var txt = Memory.allocUtf8String('Some text for arg2');
wg_log(arg0, arg1, txt);

console.log("loaded");

Frida Fuzzing

Frida Stalker

Dalla documentazione: Stalker è il motore di tracciamento del codice di Frida. Consente di seguire i thread, catturando ogni funzione, ogni blocco, persino ogni istruzione eseguita.

Hai un esempio che implementa Frida Stalker in https://github.com/poxyran/misc/blob/master/frida-stalker-example.py

Questo è un altro esempio per attaccare Frida Stalker ogni volta che una funzione viene chiamata:

console.log("loading");
const wg_log_addr = Module.findExportByName("<Program>", "<function_name>");
const wg_log = new NativeFunction(
wg_log_addr,
"void", ["pointer", "pointer", "pointer"], {
});

Interceptor.attach(wg_log_addr, {
onEnter: function(args) {
console.log(`logging the following message: ${args[2].readCString()}`);

Stalker.follow({
events: {
// only collect coverage for newly encountered blocks
compile: true,
},
onReceive: function (events) {
const bbs = Stalker.parse(events, {
stringify: false,
annotate: false
});
console.log("Stalker trace of write_msg_to_log: \n" + bbs.flat().map(DebugSymbol.fromAddress).join('\n'));
}
});
},
onLeave: function(retval) {
Stalker.unfollow();
Stalker.flush();  // this is important to get all events
}
});

Questo è interessante per scopi di debugging ma per il fuzzing, essere costantemente .follow() e .unfollow() è molto inefficiente.

Fpicker

fpicker è una suite di fuzzing basata su Frida che offre una varietà di modalità di fuzzing per il fuzzing in-process, come una modalità AFL++ o una modalità di tracciamento passiva. Dovrebbe funzionare su tutte le piattaforme supportate da Frida.

# Get fpicker
git clone https://github.com/ttdennis/fpicker
cd fpicker

# Get Frida core devkit and prepare fpicker
wget https://github.com/frida/frida/releases/download/16.1.4/frida-core-devkit-16.1.4-[yourOS]-[yourarchitecture].tar.xz
# e.g. https://github.com/frida/frida/releases/download/16.1.4/frida-core-devkit-16.1.4-macos-arm64.tar.xz
tar -xf ./*tar.xz
cp libfrida-core.a libfrida-core-[yourOS].a #libfrida-core-macos.a

# Install fpicker
make fpicker-[yourOS] # fpicker-macos
# This generates ./fpicker

# Install radamsa (fuzzer generator)
brew install radamsa

  • Preparare il FS:

# From inside fpicker clone
mkdir -p examples/wg-log # Where the fuzzing script will be
mkdir -p examples/wg-log/out # For code coverage and crashes
mkdir -p examples/wg-log/in # For starting inputs

# Create at least 1 input for the fuzzer
echo Hello World > examples/wg-log/in/0

  • Script Fuzzer (esempi/wg-log/myfuzzer.js):

esempi/wg-log/myfuzzer.js
// Import the fuzzer base class
import { Fuzzer } from "../../harness/fuzzer.js";

class WGLogFuzzer extends Fuzzer {

constructor() {
console.log("WGLogFuzzer constructor called")

// Get and declare the function we are going to fuzz
var wg_log_addr = Module.findExportByName("<Program name>", "<func name to fuzz>");
var wg_log_func = new NativeFunction(
wg_log_addr,
"void", ["pointer", "pointer", "pointer"], {
});

// Initialize the object
super("<Program nane>", wg_log_addr, wg_log_func);
this.wg_log_addr = wg_log_addr; // We cannot use "this" before calling "super"

console.log("WGLogFuzzer in the middle");

// Prepare the second argument to pass to the fuzz function
this.tag = Memory.allocUtf8String("arg2");

// Get the first argument we need to pass from a call to the functino we want to fuzz
var wg_log_global_ptr = null;
console.log(this.wg_log_addr);
Interceptor.attach(this.wg_log_addr, {
onEnter: function(args) {
console.log("Entering in the function to get the first argument");
wg_log_global_ptr = new NativePointer(args[0]);
}
});

while (! wg_log_global_ptr) {
Thread.sleep(1)
}
this.wg_log_global_ptr = wg_log_global_ptr;
console.log("WGLogFuzzer prepare ended")
}


// This function is called by the fuzzer with the first argument being a pointer into memory
// where the payload is stored and the second the length of the input.
fuzz(payload, len) {
// Get a pointer to payload being a valid C string (with a null byte at the end)
var payload_cstring = payload.readCString(len);
this.payload = Memory.allocUtf8String(payload_cstring);

// Debug and fuzz
this.debug_log(this.payload, len);
// Pass the 2 first arguments we know the function needs and finally the payload to fuzz
this.target_function(this.wg_log_global_ptr, this.tag, this.payload);
}
}

const f = new WGLogFuzzer();
rpc.exports.fuzzer = f;

  • Compilare il fuzzer:

# From inside fpicker clone
## Compile from "myfuzzer.js" to "harness.js"
frida-compile examples/wg-log/myfuzzer.js -o harness.js

  • Chiama il fuzzer fpicker utilizzando radamsa:

# Indicate fpicker to fuzz a program with the harness.js script and which folders to use
fpicker -v --fuzzer-mode active -e attach -p <Program to fuzz> -D usb -o examples/wg-log/out/ -i examples/wg-log/in/ -f harness.js --standalone-mutator cmd --mutator-command "radamsa"
# You can find code coverage and crashes in examples/wg-log/out/

In questo caso non stiamo riavviando l'app o ripristinando lo stato dopo ogni payload. Quindi, se Frida trova un crash, i successivi input dopo quel payload potrebbero anche far crashare l'app (perché l'app è in uno stato instabile) anche se l'input non dovrebbe far crashare l'app.

Inoltre, Frida aggancerà i segnali di eccezione di iOS, quindi quando Frida trova un crash, probabilmente non verranno generati report di crash di iOS.

Per prevenire ciò, ad esempio, potremmo riavviare l'app dopo ogni crash di Frida.

Logs & Crashes

Puoi controllare la console di macOS o il cli log per controllare i log di macOS. Puoi controllare anche i log da iOS usando idevicesyslog. Alcuni log ometteranno informazioni aggiungendo <private>. Per mostrare tutte le informazioni è necessario installare alcuni profili da https://developer.apple.com/bug-reporting/profiles-and-logs/ per abilitare quelle informazioni private.

Se non sai cosa fare:

vim /Library/Preferences/Logging/com.apple.system.logging.plist
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>Enable-Private-Data</key>
<true/>
</dict>
</plist>

killall -9 logd

Puoi controllare i crash in:

  • iOS

  • Impostazioni → Privacy → Analytics e Miglioramenti → Dati di Analytics

  • /private/var/mobile/Library/Logs/CrashReporter/

  • macOS:

  • /Library/Logs/DiagnosticReports/

  • ~/Library/Logs/DiagnosticReports

iOS memorizza solo 25 crash della stessa app, quindi è necessario pulirli altrimenti iOS smetterà di crearli.

Tutorial Frida per Android

Riferimenti

WhiteIntel

WhiteIntel è un motore di ricerca alimentato dal dark web che offre funzionalità gratuite per verificare se un'azienda o i suoi clienti sono stati compromessi da malware ruba-informazioni.

Il loro obiettivo principale è contrastare le violazioni degli account e gli attacchi ransomware derivanti da malware che rubano informazioni.

Puoi visitare il loro sito web e provare il loro motore gratuitamente su:

Impara l'hacking di AWS da zero a eroe con htARTE (HackTricks AWS Red Team Expert)!

Altri modi per supportare HackTricks:

PreviousiOS Extracting Entitlements From Compiled ApplicationNextiOS Hooking With Objection

Last updated