[原创] iOS越狱检测app及frida过检测-iOS安全-看雪安全社区

[原创] iOS越狱检测app及frida过检测

发表于: 2023-6-6 21:18 38869

[原创] iOS越狱检测app及frida过检测

andyhah

2023-6-6 21:18

38869

### 简介

近期学习ios逆向，也为了熟悉一下iOS开发正向。用objective-c整了一个越狱检测的crackme，然后用frida过一遍自己写的检测（真是没事找事）。代码粗糙，请见谅。

![](upload/attach/202306/928251_RFZHEDM38RJR5QP.jpg)

### 准备

- <a href="elink@8aeK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6S2L8X3c8&6x3r3q4F1k6s2W2Q4x3V1k6A6L8%4y4Q4y4h3k6U0M7X3q4U0K9$3#2W2">crackme app</a>
- ios 12.5.5
- frida 14.0.0

> 克隆项目，再用xcode安装到手机上

### 使用stat检测敏感路径

利用stat检查一些越狱后才有的敏感路径，如：*/Applications/Cydia.app* 和 */usr/sbin/sshd*，以此来判断是否越狱。stat判断文件是否存在, 返回0则为获取成功，-1为获取失败。可通过hook stat，过掉检测

```
function hook_stat(is_pass){
  var stat = Module.findExportByName('libSystem.B.dylib', 'stat');
  Interceptor.attach(stat, {
    onEnter: function(args) {
      // 这里是方法被调用时的处理逻辑
      // args[0] 是 stat 方法的第一个参数，通常是文件路径
      // args[1] 是 stat 方法的第二个参数，这里可以添加其他参数的处理
      console.log('stat is hooked: ');
    },
    onLeave: function(retval){
      if (is_pass){
        retval.replace(-1);
        console.log(`stat retval: ${Number(retval.toString())} -> -1`);
      }
    }
  });
}
```

![](upload/attach/202306/928251_ZK97DZJCGGQ9A9W.jpg)

### 检查dylib是否合法

越狱后会产生一些特殊的链接库，ipa可以通过*_dyld_get_image_name*来获取所有的链接库，再遍历匹配，判断是否为越狱设备。
可以通过分析找到ipa检测的dylib，再hook *_dyld_get_image_name*，将返回替换为合法dylib，过掉检测。

```
function hook_dyld_get_image_name(is_pass){
  let cheek_paths = [ 
    "/Library/MobileSubstrate/MobileSubstrate.dylib",
  ]

let NSString = ObjC.classes.NSString;
  let true_path = NSString.stringWithString_( "/System/Library/Frameworks/Intents.framework/Intents");

let _dyld_get_image_name = Module.findExportByName(null, "_dyld_get_image_name");
  Interceptor.attach(_dyld_get_image_name, {
    onEnter: function(args){

console.log("_dyld_get_image_name is hooked.")
      this.idx = eval(args[0]).toString(10);

},
    onLeave: function(retval){
      let rtnStr = retval.readCString();
    
      if(is_pass){
        for (let i=0;i<cheek_paths.length;i++){

if (cheek_paths[i] === rtnStr.toString()){
            retval.replace(true_path);
            console.log(`replace: (${this.idx}) ${rtnStr} => ${true_path}`)
          }
        }

}

}
  })

}

```

![](upload/attach/202306/928251_BBERSRFJEXY29J7.jpg)

### 检测能否启动越狱app

越狱后会在手机上安装越狱设备，如cydia。可以通过 *-[UIApplication canOpenURL:]* 来检测是否能启动app。

可hook *-[UIApplication canOpenURL:]* 替换返回过掉检测。但canOpenURL方法 返回是个 *BOOL*，即YES/NO，也就是1和0的宏。但在Interceptor.attach里用 *retval.replace()*总是会导致app崩溃（不知道原理，望大佬指点）。
所以使用 Interceptor.replace() + NaviteCallback, 替换掉方法，使其固定返回 0,也就是 NO。但这个解法，也不能算是好方法。。。

```text
function hook_canopenurl(is_pass){

let api = new ApiResolver("objc");
  api.enumerateMatches("-[UIApplication canOpenURL:]").forEach((matche) => {

console.log("canOpenURL is hooked.");

if (is_pass){
      Interceptor.replace(matche.address, new NativeCallback((url_obj) => {return 0;}, "int", ["pointer"]))
    }
  })

}
```

![](upload/attach/202306/928251_27UN8Z8ZCZKKJCB.jpg)

### 检测越狱文件和目录

越狱后会产生特殊的文件和目录，可以通过 *fileExistsAtPath* 来检测，直接hook过掉

```text
// -[NSFileManager fileExistsAtPath:isDirectory:]
function hook_fileExistsAtPath(is_pass){

let api = new ApiResolver("objc");
  let matches = api.enumerateMatches("-[NSFileManager fileExistsAtPath:isDirectory:]")
  matches.forEach((matche) => {

console.log("fileExistsAtPath is hooked.");

if(is_pass){
      Interceptor.replace(matche.address, new NativeCallback((path, is_dir) => {
        console.log(ObjC.Object(path).toString(), is_dir)
        return 0;
      }, "int", ["pointer", "bool"]))
    }

})

}
```

![](upload/attach/202306/928251_MXXX79YYZNSBXMT.jpg)

### 检测是否可写私有路径权限

越狱后为root权限，可以在私有路径如 */private/* 下创建文件。如果创建文件无异常则越狱，反之。

可通过 *ObjC.classes.NSError.alloc()* 构建一个异常写入ipa检测的异常指针中

```text
function hook_writeToFile(is_pass){

let api = new ApiResolver("objc");
  api.enumerateMatches("-[NSString writeToFile:atomically:encoding:error:]").forEach((matche) => {

Interceptor.attach(matche.address, {

onEnter: function(args){
        this.error = args[5];
        this.path = ObjC.Object(args[2]).toString();
        console.log("writeToFile is hooked");
      },
      onLeave: function(retval){
        if(is_pass){
          let err = ObjC.classes.NSError.alloc();
          Memory.writePointer(this.error, err);
        }
      }

})

}
```

![](upload/attach/202306/928251_M6884AJ32HD6VRV.jpg)

### 检测文件路径和是否是路径链接

越狱后有些文件会被移动，但这个文件路径又必须存在，所以可能会创一个文件链接。ipa可以检测一些敏感路径是否是链接来判断是否越狱。

这里仅过掉路径检测（符号链接不会过T.T）

```text
// oc 检测函数
+ (Boolean)isLstatAtLnk{
    // 检测文件路径是否存在，是否是路径链接
    Boolean result = FALSE;
    
    NSArray* jbPaths = @[
        @"/Applications",
        @"/var/stash/Library/Ringtones",
        @"/var/stash/Library/Wallpaper",
        @"/var/stash/usr/include",
        @"/var/stash/usr/libexec",
        @"/var/stash/usr/share",
        @"/var/stash/usr/arm-apple-darwin9",
    ];
    
    struct stat stat_info;
    
    for(NSString* jbPath in jbPaths){
        char jbPathChar[jbPath.length];
        memcpy(jbPathChar, [jbPath cStringUsingEncoding:NSUTF8StringEncoding], jbPath.length);
        
        if (lstat(jbPathChar, &stat_info)){
            NSLog(@"stat_info.st_mode: %hu, S_IFLNK: %d, %d", stat_info.st_mode, S_IFLNK, stat_info.st_mode & S_IFLNK);
            if(stat_info.st_mode & S_IFLNK){
                result = TRUE;
                NSLog(@"是路径链接>> %@", jbPath);
            }
        }else{
            NSLog(@"路径不存在>> %@", jbPath);
            result = TRUE;
        }
    }
    
    return result;
    
}

```

```text
// 过lstat
function hook_lstat(is_pass){
  var stat = Module.findExportByName('libSystem.B.dylib', 'lstat');
  Interceptor.attach(stat, {
    onEnter: function(args) {

console.log('lstat is hooked: ');
    },
    onLeave: function(retval){
      if (is_pass){
        retval.replace(1);
        console.log(`lstat retval: ${Number(retval.toString())} -> 1`);
      }
    }
  });
}
```

### 检测fork

未越狱的设备是无法fork子进程

hook fork

```text
function hook_fork(is_pass){

}
```

![](upload/attach/202306/928251_8RT4RRRG7A8FMVB.jpg)

### 检测越狱常用的类

查看是否有注入异常的类,比如HBPreferences 是越狱常用的类，再用 *NSClassFromString* 判断类是否存在

通过分析找出检测的类名，再去hook *NSClassFromString*

```text
function hook_NSClassFromString(is_pass){

let clses = ["HBPreferences"];

var foundationModule = Process.getModuleByName('Foundation');
  var nsClassFromStringPtr = Module.findExportByName(foundationModule.name, 'NSClassFromString');

if (nsClassFromStringPtr){
    Interceptor.attach(nsClassFromStringPtr, {
      onEnter: function(args){
        this.cls = ObjC.Object(args[0])
        console.log("NSClassFromString is hooked");
      },
      onLeave: function(retval){
        
        if (is_pass){
          clses.forEach((ck_cls) => {

if (this.cls.toString().indexOf(ck_cls) !== -1){
              console.log(`nsClassFromStringPtr -> ${this.cls} - ${ck_cls}`)
              retval.replace(ptr(0x00))
            }
          })

}

}
    })

}

```

![](upload/attach/202306/928251_XPSKQHE9MH3MSGJ.jpg)

### 检测是否有环境变量

通过getenv函数，查看环境变量DYLD_INSERT_LIBRARIES来检测是否越狱

hook getenv

```
function hook_getenv(is_pass){

let getenv = Module.findExportByName(null, "getenv");

Interceptor.attach(getenv, {
    onEnter: function(args){
      console.log("getenv is hook");
      this.env = ObjC.Object(args[0]).toString();
    },
    onLeave: function(retval){
      if (is_pass && this.env == "DYLD_INSERT_LIBRARIES"){
        console.log(`env: ${this.env} - ${retval.readCString()}`)

retval.replace(ptr(0x0))

}

}
  })

}
```

![](upload/attach/202306/928251_DZTGZPD6RDGZ24S.jpg)

### 整体代码

function hook_dyld_get_image_name(is_pass){
  let cheek_paths = [ 
    "/Library/MobileSubstrate/MobileSubstrate.dylib",
  ]

let NSString = ObjC.classes.NSString;
  let true_path = NSString.stringWithString_( "/System/Library/Frameworks/Intents.framework/Intents");

let _dyld_get_image_name = Module.findExportByName(null, "_dyld_get_image_name");
  Interceptor.attach(_dyld_get_image_name, {
    onEnter: function(args){

console.log("_dyld_get_image_name is hooked.")
      this.idx = eval(args[0]).toString(10);

},
    onLeave: function(retval){
      let rtnStr = retval.readCString();
    
      if(is_pass){
        for (let i=0;i<cheek_paths.length;i++){

if (cheek_paths[i] === rtnStr.toString()){
            retval.replace(true_path);
            console.log(`replace: (${this.idx}) ${rtnStr} => ${true_path}`)
          }
        }

}

}
  })

}

function hook_canopenurl(is_pass){

let api = new ApiResolver("objc");
  api.enumerateMatches("-[UIApplication canOpenURL:]").forEach((matche) => {

console.log("canOpenURL is hooked.");

if (is_pass){
      Interceptor.replace(matche.address, new NativeCallback((url_obj) => {return 0;}, "int", ["pointer"]))
    }
  })

}

// -[NSFileManager fileExistsAtPath:isDirectory:]
function hook_fileExistsAtPath(is_pass){

let api = new ApiResolver("objc");
  let matches = api.enumerateMatches("-[NSFileManager fileExistsAtPath:isDirectory:]")
  matches.forEach((matche) => {

console.log("fileExistsAtPath is hooked.");

})

}

function hook_writeToFile(is_pass){

let api = new ApiResolver("objc");
  api.enumerateMatches("-[NSString writeToFile:atomically:encoding:error:]").forEach((matche) => {

Interceptor.attach(matche.address, {

})

}

function hook_lstat(is_pass){
  var stat = Module.findExportByName('libSystem.B.dylib', 'lstat');
  Interceptor.attach(stat, {
    onEnter: function(args) {

function hook_fork(is_pass){

}

function hook_NSClassFromString(is_pass){

let clses = ["HBPreferences"];

var foundationModule = Process.getModuleByName('Foundation');
  var nsClassFromStringPtr = Module.findExportByName(foundationModule.name, 'NSClassFromString');

if (this.cls.toString().indexOf(ck_cls) !== -1){
              console.log(`nsClassFromStringPtr -> ${this.cls} - ${ck_cls}`)
              retval.replace(ptr(0x00))
            }
          })

}

}
    })

}

function hook_getenv(is_pass){

let getenv = Module.findExportByName(null, "getenv");

retval.replace(ptr(0x0))

}

}
  })

}

setImmediate(() => {
  hook_stat(true);
  hook_dyld_get_image_name(true)
  hook_canopenurl(true); 
  hook_fileExistsAtPath(true);
  hook_writeToFile(true);
  hook_lstat(true);
  hook_fork(true);
  hook_NSClassFromString(true);
  hook_getenv(true)

})

```

### 小结

检测的正向代码在项目的 **JailBreakCheek** 类下。单独过这些检测基本没啥难度，直接hook。但在真实app中还是重点在分析中，如何找到这些具体检测的点。这次分享的frida代码有点粗糙，啊哈哈，要实际使用还得再优化一下。并且可以多看看frida官方的脚本网站*<mark class="encrypted">ff3K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6U0L8$3c8W2M7$3S2S2M7X3g2Q4x3X3g2X3M7X3W2V1j5g2)9J5k6i4u0W2i4K6u0r3i4K6u0m8</mark>

后面有时间的话，再分享些其他类型的检测如frida检测，混淆代码或加固之类。

### 文章参考

- <a href="elink@57dK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2B7K9h3q4F1M7$3S2#2i4K6u0W2j5$3!0E0i4K6u0r3M7q4)9J5c8U0j5#2j5U0b7&6x3U0W2X3x3U0k6U0k6b7`.`.">ios反越狱检测与检测剖析</a>
- <a href="elink@678K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6U0L8$3c8W2M7$3S2S2M7X3g2Q4x3X3g2X3M7X3W2V1j5g2)9J5k6i4u0W2i4K6u0r3i4K6b7H3K9h3&6U0L8$3N6T1P5i4c8W2i4K6u0r3K9h3!0K6i4K6u0V1K9X3q4A6L8r3u0J5k6h3q4C8i4K6u0V1j5Y4W2H3j5i4y4K6i4K6u0r3">Project: iOS Jailbreak Bypass</a>

登录后可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

#工具脚本 #基础理论

收藏・31

点赞・17

打赏

最新回复 (14)
coderL 雪币： 356 活跃值： (2202) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 3 粉丝 3 关注私信	coderL 2 楼好 2023-6-6 21:30 0
秋狝雪币： 10075 活跃值： (34136) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1571 粉丝 39 关注私信	秋狝 3 楼感谢分享 2023-6-7 09:04 1
院士雪币： 7145 活跃值： (7644) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 261 粉丝 5 关注私信	院士 4 楼感谢分享。 2023-6-7 12:48 0
wanttobeno 雪币： 6343 活跃值： (3395) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 217 粉丝 3 关注私信	wanttobeno 5 楼有ipa文件提供下嘛 2023-6-7 22:46 0
andyhah 雪币： 983 活跃值： (436) 能力值： ( LV3，RANK：20 ) 在线值：发帖 7 回帖 20 粉丝 29 关注私信	andyhah 6 楼 wanttobeno 有ipa文件提供下嘛 app在准备里，用xcode安装 2023-6-8 14:01 0
wanttobeno 雪币： 6343 活跃值： (3395) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 217 粉丝 3 关注私信	wanttobeno 7 楼只看到源码，编译好的ipa 2023-6-17 08:06 0
codeoooo 雪币： 704 活跃值： (4117) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 112 粉丝 6 关注私信	codeoooo 8 楼 tql 2023-6-26 15:50 0
Colbert仔雪币： 228 活跃值： (95) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 55 粉丝 0 关注私信	Colbert仔 9 楼问下楼主，xcode里用模拟器（ios 17.5）跑不起来，是因为版本的问题吗? 2024-9-11 16:18 0
Colbert仔雪币： 228 活跃值： (95) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 55 粉丝 0 关注私信	Colbert仔 10 楼 Colbert仔问下楼主，xcode里用模拟器（ios 17.5）跑不起来，是因为版本的问题吗? 确认了：源码里的是ios13以下的 2024-9-11 19:14 0
mb_wxttctus 雪币： 228 活跃值： (75) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_wxttctus 11 楼有个app需要定制过检测插件可以吗 2024-9-25 18:22 0
mb_drqcwugq 雪币： 41 活跃值： (120) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 37 粉丝 1 关注私信	mb_drqcwugq 12 楼 66666 2025-3-26 18:55 0
mb_kumzialx 雪币： 745 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 39 粉丝 0 关注私信	mb_kumzialx 13 楼 frida -U -n 进程名称 -l bypass_jailbreak.js 为啥我这样运行你的脚本 app很快挂了呢？ 2025-5-29 18:43 0
qqqiu 雪币： 1606 活跃值： (706) 能力值： ( LV4，RANK：40 ) 在线值：发帖 9 回帖 44 粉丝 54 关注私信	qqqiu 1 14 楼 mb_kumzialx frida -U -n 进程名称 -l bypass_jailbreak.js 为啥我这样运行你的脚本 app很快挂了呢？系统版本问题吧 2025-12-15 22:30 0
MacXK 雪币： 220 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	MacXK 15 楼 mb_kumzialx frida -U -n 进程名称 -l bypass_jailbreak.js 为啥我这样运行你的脚本 app很快挂了呢？这个就是版本问题，有的需要使用低版本才可以，比如14系统的使用frida15.1 2025-12-21 11:13 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

andyhah

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (14)
coderL 雪币： 356 活跃值： (2202) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 3 粉丝 3 关注私信	coderL 2 楼好 2023-6-6 21:30 0
秋狝雪币： 10075 活跃值： (34136) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1571 粉丝 39 关注私信	秋狝 3 楼感谢分享 2023-6-7 09:04 1
院士雪币： 7145 活跃值： (7644) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 261 粉丝 5 关注私信	院士 4 楼感谢分享。 2023-6-7 12:48 0
wanttobeno 雪币： 6343 活跃值： (3395) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 217 粉丝 3 关注私信	wanttobeno 5 楼有ipa文件提供下嘛 2023-6-7 22:46 0
andyhah 雪币： 983 活跃值： (436) 能力值： ( LV3，RANK：20 ) 在线值：发帖 7 回帖 20 粉丝 29 关注私信	andyhah 6 楼 wanttobeno 有ipa文件提供下嘛 app在准备里，用xcode安装 2023-6-8 14:01 0
wanttobeno 雪币： 6343 活跃值： (3395) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 217 粉丝 3 关注私信	wanttobeno 7 楼只看到源码，编译好的ipa 2023-6-17 08:06 0
codeoooo 雪币： 704 活跃值： (4117) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 112 粉丝 6 关注私信	codeoooo 8 楼 tql 2023-6-26 15:50 0
Colbert仔雪币： 228 活跃值： (95) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 55 粉丝 0 关注私信	Colbert仔 9 楼问下楼主，xcode里用模拟器（ios 17.5）跑不起来，是因为版本的问题吗? 2024-9-11 16:18 0
Colbert仔雪币： 228 活跃值： (95) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 55 粉丝 0 关注私信	Colbert仔 10 楼 Colbert仔问下楼主，xcode里用模拟器（ios 17.5）跑不起来，是因为版本的问题吗? 确认了：源码里的是ios13以下的 2024-9-11 19:14 0
mb_wxttctus 雪币： 228 活跃值： (75) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_wxttctus 11 楼有个app需要定制过检测插件可以吗 2024-9-25 18:22 0
mb_drqcwugq 雪币： 41 活跃值： (120) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 37 粉丝 1 关注私信	mb_drqcwugq 12 楼 66666 2025-3-26 18:55 0
mb_kumzialx 雪币： 745 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 39 粉丝 0 关注私信	mb_kumzialx 13 楼 frida -U -n 进程名称 -l bypass_jailbreak.js 为啥我这样运行你的脚本 app很快挂了呢？ 2025-5-29 18:43 0
qqqiu 雪币： 1606 活跃值： (706) 能力值： ( LV4，RANK：40 ) 在线值：发帖 9 回帖 44 粉丝 54 关注私信	qqqiu 1 14 楼 mb_kumzialx frida -U -n 进程名称 -l bypass_jailbreak.js 为啥我这样运行你的脚本 app很快挂了呢？系统版本问题吧 2025-12-15 22:30 0
MacXK 雪币： 220 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	MacXK 15 楼 mb_kumzialx frida -U -n 进程名称 -l bypass_jailbreak.js 为啥我这样运行你的脚本 app很快挂了呢？这个就是版本问题，有的需要使用低版本才可以，比如14系统的使用frida15.1 2025-12-21 11:13 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复