首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. iOS安全
    3. 发新帖
[原创]【Mac逆向】手撸钉钉机器人
发表于: 2022-8-11 17:48 25051

[原创]【Mac逆向】手撸钉钉机器人

witchan 活跃值
2022-8-11 17:48
25051

阅读此文档的过程中遇到任何问题，请关注公众号【移动端Android和iOS开发技术分享】或加QQ群【812546729】

1.目标

钉钉在企业中的应用越来越广泛。官方也有对应的自定义机器人服务，但是，如果1分钟内发消息超过20条，则会会限流10分钟。作为技术人，说干就干，申请个小号，手撸一个无限制的机器人。

2.操作环境

  • mac系统

  • frida：动态调试工具

  • Python：处理钉钉收到的任务

  • Redis：钉钉和python间的通信

3.流程

静态分析

使用frida-trace的frida-trace -m "*[* *endMsg*]" -m "*[* *end*Message*]" 钉钉 (必须关闭Mac系统的sip)命令跟踪钉钉。任意发送一条消息后，发现关键日志如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
126282 ms  -[DTChatInputTextView sendMessage]
126282 ms     | +[DTMojoGraySwitchManager isEnableRemoveSendMessageTrim]
126282 ms     | +[DTMojoGraySwitchManager isTranslateSendMsgEnabled]
126282 ms     |    | +[DTMojoGraySwitchManager isTranslateSendMsgEnabled]
126282 ms     | +[DTMojoGraySwitchManager isTranslateSendMsgEnabled]
126282 ms     |    | +[DTMojoGraySwitchManager isTranslateSendMsgEnabled]
126283 ms     | +[DTMojoGraySwitchManager isEnableRemoveSendMessageTrim]
126283 ms     | -[DTChatInputTextView sendOrdinaryMessage:0x600000b2eba0]
126284 ms     |    | -[DTChatInputTextView sendMessageByType:0x1 body:0x0 attrString:0x600000b2eba0]
126284 ms     |    |    | -[DTChatInputTextView sendMessageByType:0x1 body:0x0 attrString:0x600000b2eba0 toConversationModel:0x0]
126284 ms     |    |    |    | -[DTChatInputTextView sendTxtMessageWithOption:0x0 attrString:0x600000b2eba0]
126284 ms     |    |    |    |    | +[DTMojoGraySwitchManager isTranslateSendMsgEnabled]
126284 ms     |    |    |    |    |    | +[DTMojoGraySwitchManager isTranslateSendMsgEnabled]
126284 ms     |    |    |    |    | -[DTChatInputTextView sendTextMessage:0xd9f80e4ec6f6596b option:0x0]
126284 ms     |    |    |    |    |    | -[DTConversationModel sendTextMessage:0xd9f80e4ec6f6596b withOption:0x0 completionHandler:0x7ffeeb4aef78]
126284 ms     |    |    |    |    |    |    | -[DTMojoMessageService sendTextMessage:0xd9f80e4ec6f6596b withCid:0x60000076d280 option:0x0 completionHandler:0x7ffeeb4aef78]
126308 ms     |    |    |    | -[DTChatContentController inputTextViewDidSendMessage:0x7fd674a41400]
126308 ms     | +[DTMojoGraySwitchManager isTranslateSendMsgEnabled]
126308 ms     |    | +[DTMojoGraySwitchManager isTranslateSendMsgEnabled]

发现关键类DTMojoMessageService，再使用命令frida-trace -m "*[DTMojoMessageService *]" 钉钉 ，跟踪DTMojoMessageService类，去查找收到消息调用的方法，当收到消息后的日志如下：

1
2
3
4
5
6
54153 ms  +[DTMojoMessageService sharedService]
54153 ms  -[DTMojoMessageService didMessageReadStatus:0x600000a7fce0 localId:0x600000a7d1e0 msgid:0x600000a7c960 unreadCount:0x2 totalCount:0x4]
57462 ms  +[DTMojoMessageService sharedService]
57463 ms  -[DTMojoMessageService didReceiveNotSilenceMsg:0x600000a74aa0]
57463 ms  +[DTMojoMessageService sharedService]
57463 ms  -[DTMojoMessageService didUpdatedNewMessagesWithCid:0x600000a74aa0 newMessages:0x600001243c30]

修改frida-trance生成DTMojoMessageService类的didUpdatedNewMessagesWithCid方法，打印具体参数，js代码如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
{
  onEnter(log, args, state) {
    log(`-[DTMojoMessageService didUpdatedNewMessagesWithCid:${new ObjC.Object(args[2])}]`);
    var array = new ObjC.Object(args[3]);
    var count = array.count().valueOf();
    for (var i = 0; i !== count; i++) {
      var element = array.objectAtIndex_(i);
      var msg = new ObjC.Object(element);
      log(`-[DTMojoMessageService newMessages:${msg.messageContent().text()}]`);
    }
  },
  onLeave(log, retval, state) {
  }
}

日志输出如下：

1
2
5051 ms  -[DTMojoMessageService didUpdatedNewMessagesWithCid:36545771520]
 5051 ms  -[DTMojoMessageService newMessages:222]

最终确定钉钉收到消息的方法为:

 

[DTMojoMessageService didUpdatedNewMessagesWithCid:newMessages:]

 

回复该消息后的日志如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
150594 ms  +[DTMojoMessageService sharedService]
150594 ms  -[DTMojoMessageService sendReplyMessage:0x7ff5a6f059b0 completion:0x7ffee9653f18]
150626 ms  +[DTMojoMessageService sharedService]
150626 ms  -[DTMojoMessageService didReceiveNotSilenceMsg:0x7ff5a745a030]
150627 ms  +[DTMojoMessageService sharedService]
150627 ms  -[DTMojoMessageService didUpdatedNewMessagesWithCid:36545771520]
150718 ms  +[DTMojoMessageService sharedService]
150718 ms  -[DTMojoMessageService didMessageSendSuccess:0x7ff5a04ae750]
150721 ms  +[DTMojoMessageService sharedService]
150721 ms  -[DTMojoMessageService didMessageSendSuccess:0x7ff5a99549e0]
150841 ms  +[DTMojoMessageService sharedService]
150841 ms  -[DTMojoMessageService didMessageExtensionChange:0x7ff5a6a2c8b0 mid:0xaeab680c5dd extension:0x7ff5a6ae6a40]
150895 ms  +[DTMojoMessageService sharedService]
150895 ms  -[DTMojoMessageService didMessageExtensionChange:0x7ff5a0491d90 mid:0xaeab68143d6 extension:0x7ff5a639c910]
151586 ms  +[DTMojoMessageService sharedService]
151586 ms  -[DTMojoMessageService didMessageReadStatus:0x7ff5a9ba0bc0 localId:0x7ff5a01fb510 msgid:0x7ff5a99636b0 unreadCount:0x2 totalCount:0x4]

最终确定钉钉回复消息的方法为:

 

[DTMojoMessageService sendReplyMessage:completion:]

 

经过以上的分析，确定了接收和回复消息的方法分别为：

 

[DTMojoMessageService didUpdatedNewMessagesWithCid:newMessages:]

 

[DTMojoMessageService sendReplyMessage:completion:]

实现钉钉机器人的消息接收

编写一个DingTalkRobot.dylib动态库，将钉钉接收到的消息入redis队列，关键代码如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
CHOptimizedMethod2(self, void, DTMojoMessageService, didUpdatedNewMessagesWithCid, id, arg1, newMessages, NSArray <DTMessageImp*>*, arg2) {
    CHSuper2(DTMojoMessageService, didUpdatedNewMessagesWithCid, arg1, newMessages, arg2);
 
    DTMessageImp *message =arg2.firstObject;
 
    // @我并且是文本消息
    YYLog(@"atOpenIds=%@=", message.atOpenIds); // 从该日志里获取到自己的openid
    if ([message.atOpenIds.allKeys containsObject:[NSNumber numberWithLongLong:263527137]] &&
        message.messageType == 1) {
        @try {
            id<DTMessageContentText> messageContent = (id)message.messageContent;
            NSString *content = [DingTalkRobot messageContent:messageContent.text];
 
            NSString *nickName = [[DingTalkRobot contactService] getNickByUid:message.senderId];
 
            // 0内容，1消息id，2，发送人id，3发送人昵称，4会话id
            NSArray *messageInfo = @[content,[NSString stringWithFormat:@"%lld", message.messageId], [NSString stringWithFormat:@"%lld", message.senderId], nickName, message.conversationId];
            NSString *messageString = [messageInfo componentsJoinedByString:@"|"];
            YYLog(@"redis rpush=%@=", messageString);
            [[[[DingTalkRobot shared].redis rpush:task_queue value:messageString] then:^id(id value) {
                YYLog(@"redis rpush result =%@=", value);
                return nil;
            }] catch:^id(NSError *err) {
                YYLog(@"redis rpush err =%@=", err);
                return nil;
            }];
        } @catch (NSException *exception) {
 
        } @finally {
 
        }
    }
}

全部源码见文末。将开发好的dylib注入钉钉应用，参考3caK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6T1j5Y4y4Q4x3X3g2A6L8%4y4J5k6g2)9J5k6h3y4G2L8g2)9J5c8Y4c8Q4x3V1k6@1L8%4m8A6j5#2)9J5c8U0p5H3z5e0M7$3

处理redis队列里的消息

此代码收到redis消息后，调用图灵API去拿到结果，然后再存入redis回调队列。其他业务场景，如自动打包等其他业务场景可在此基础上扩展。源码如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
import time
import redis
import itertools
import requests
 
redis_cli = redis.StrictRedis(host='localhost', decode_responses=True)
 
TASK_QUEUE = 'redis_task_queue'  # 任务队列
CALLBACK_QUEUE = 'redis_callback_queue'  # 任务状态队列
REDIS_TIME_OUT = 10  # redis读取超时时长
 
 
def loop():
    for i in itertools.count(1):
        task = redis_cli.blpop(TASK_QUEUE, REDIS_TIME_OUT)
        if not task:
            print(f'[{i}]暂无任务')
            continue
 
        task: str = task[1]
        # // 0内容，1消息id，2，发送人id，3发送人昵称，4会话id
        message_info = task.split("|")
        question = message_info[0]
 
        # 可判断关键词来执行指定任务，也可以直接调机器人API去获取答案并返回
 
        print(f'witchan question={question}=')
        answer = get_answer(question)
        print(f'witchan answer={answer}=')
        task += f'|{answer}'
        redis_cli.rpush(CALLBACK_QUEUE, task)
 
 
def get_answer(question):
    resp = requests.get(f"bdfK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3q4H3K9g2)9J5k6i4q4A6L8X3N6&6N6h3&6C8k6g2)9J5k6h3y4G2L8g2)9J5c8X3q4H3K9g2)9J5k6i4m8Z5M7q4)9K6c8X3E0W2P5g2)9K6c8r3k6J5k6h3g2Q4x3U0k6S2L8i4m8Q4x3@1u0S2M7s2m8A6k6q4)9K6c8o6m8Q4x3U0k6S2L8i4m8Q4x3@1u0E0M7$3N6Q4x3@1c8Q4y4@1u0I4N6h3g2K6N6r3W2G2L8W2)9%4c8l9`.`.")
    if resp.status_code != 200:
        return "抱歉，我已经打烊了~"
    return resp.json()["content"]
 
 
def main():
    while True:
        try:
            print(f"程序已启动")
            loop()
        except Exception as e:
            print(f"程序已崩溃，稍后重启: {e}")
            time.sleep(10)
 
 
if __name__ == '__main__':
    main()

实现钉钉机器人的自动回复消息

继续修改DingTalkRobot.dylib库，在收到redis的回调消息后，调用钉钉的钉钉的回复消息方法。关键代码如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
+ (void)replyMessageWithInfo:(NSString *)resp {
 
    // 0内容，1消息id，2，发送人id，3发送人昵称，4会话id,5返回信息
    NSArray *messageInfo = [resp componentsSeparatedByString:@"|"];
    YYLog(@"messageInfo=%@=", messageInfo);
    if (messageInfo.count != 6) {
        return;
    }
 
    DTReplyMessageOption *messageOption = [NSClassFromString(@"DTReplyMessageOption") new];
    messageOption.isSendTranslateReply = NO;
    messageOption.replyType = 2;
    messageOption.replyAnswerId = 0;
    messageOption.mid = [messageInfo[1] longLongValue];
    messageOption.extension = nil;
    messageOption.atCustomRoleIds = nil;
    messageOption.atOpenIds = @{messageInfo[2]: [messageInfo[3] stringByAppendingString:@" "]};
    messageOption.replyMsg = [NSString stringWithFormat:@"@%@  %@", messageInfo[3], messageInfo[5]];
    messageOption.originMsg = [NSString stringWithFormat:@"> ###### \n> @%@ %@\n", [[self currentUserService] nickName], messageInfo[0]];
    messageOption.originMsgOwnerName = messageInfo[3];
    messageOption.cid = messageInfo[4];
 
    [[self messageService] sendReplyMessage:messageOption completion:nil];
}

结果

启动redis服务，启动注入动态库后的钉钉程序，运行python脚本，结果如下：

 

IMG_8B9AC9A95E72-1

 

下图是基于该应用实现的iOS和安卓自动打包：

 

image-20220811171425232

 

源码下载：链接: 435K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6H3j5h3&6Q4x3X3g2T1j5h3W2V1N6g2)9J5k6h3y4G2L8g2)9J5c8Y4y4Q4x3V1j5I4e0r3c8Y4e0h3#2m8d9Y4u0b7d9o6k6p5j5g2A6x3L8@1g2h3y4r3E0k6b7b7`.`. 提取码: xw9i

End

阅读此文档的过程中遇到任何问题，请关注公众号【移动端Android和iOS开发技术分享】或加QQ群【812546729】

IMG_4048


[培训]科锐软件逆向54期预科班、正式班开始火爆招生报名啦！！！

收藏
免费 ・1
支持
分享
最新回复 (3)
renbohan
雪    币： 458
活跃值： (1931)
能力值： ( LV3，RANK：30 )
在线值：
发帖
回帖
粉丝
私信
2 楼
赞
2022-8-14 21:07
0
JWPL
雪    币： 289
活跃值： (2006)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
大赞，学习了。
2022-9-10 20:59
0
mb_drqcwugq
雪    币： 41
活跃值： (120)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
6666
2025-3-26 19:11
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回