前言

经过之前的分享，相信大家已经掌握了用户级的插件开发。勤奋好学的你是否对系统级的插件也有着浓厚的性趣，本篇文章将和大家一起学习如何分析并编写一款系统级的插件。

一、目标

一步步分析并编写一个短信自动转发的deb插件

二、工具

• mac系统
• 已越狱iOS设备：脱壳及frida调试
• IDA Pro：静态分析
• 测试设备：iphone6-ios12.5.5

三、步骤

1、守护进程

​ 守护进程(daemon)是一类在后台运行的特殊进程，用于执行特定的系统任务。例如：推送服务、人脸解锁、iCloud、查找我的iPhone、iMessage等。

相应的配置目录：

• /Library/LaunchAgents：管理员控制特定用户的代理

• /Library/LaunchDaemons：管理员提供的系统级守护进程（cydia、filza、frida等就在这）

• /System/Library/LaunchDaemons：iOS提供的默认守护进程

本文的目的主要短信，所以关注的重点在iOS提供的守护进程，常见的进程配置文件有：

更多服务请参考https://www.theiphonewiki.com/wiki/Services

2、定位关键函数

在iPhone中使用文件管理工具查看/System/Library/LaunchDaemons/com.apple.imagent文件关键信息如下：

ProgramArguments所对应的路径，就是该进程执行的二进制文件。执行frida-trace -U -m "*[IM* *]" imagent -o a.log后，当手机收到短信后的日志如下：

根据日志可看出关键函数-[SMSServiceSession smsMessageReceived:0x10524abc0 msgID:0x80000006]， 使用命令frida-trace -U -m "-[SMSServiceSession smsMessageReceived:msgID:]" imagent跟踪该函数，js代码如下:

当手机收到短信时，对应日志输出如下:

根据日志信息可看出，该方法里除了msgID，并没有包含我们需要的短信及发件人相关信息。那我们继续按日志的顺序往下看，-[SMSServiceSession _convertCTMessageToDictionary:requiresUpload:] 这函数看着比较亲切。trace该函数得到日志如下：

从日志可以看出。该方法就是我们要hook方法，收件人：co，发件人：h，短信内容：k

3、编写deb插件

具体的创建流程请参考之前的文章，源码如下:

#import <Foundation/Foundation.h>
#import "CaptainHook/CaptainHook.h"

@interface SMSServiceSession

@end

@interface IMDService

-(void)loadServiceBundle;
@property (nonatomic,retain,readonly) NSBundle * bundle;

@end

CHDeclareClass(SMSServiceSession); // declare class
CHOptimizedMethod2(self, id, SMSServiceSession, _convertCTMessageToDictionary, NSDictionary *, arg1, requiresUpload, BOOL*, arg2) {
    id result = CHSuper2(SMSServiceSession, _convertCTMessageToDictionary, arg1, requiresUpload, arg2);
    
    @try {
        NSString *from = result[@"h"];
        NSString *to = result[@"co"];
        NSArray *msgList = result[@"k"];
        if (msgList.count > 0) {
            NSData *data = msgList[0][@"data"];
            NSString *content = [[NSString alloc] initWithData:data encoding:NSUTF8StringEncoding];
            NSLog(@"witwit =from %@=to %@=content %@=",from, to, content);
        } else {
            NSLog(@"witwit =sms为空=");
        }
    } @catch (NSException *exception) {
        NSLog(@"witwit =SMSServiceSession _convertCTMessageToDictionary=err=%@=", exception);

    } @finally {
        
    }
    
    return result;
}

CHDeclareClass(IMDService)
CHOptimizedMethod0(self, void, IMDService, loadServiceBundle) {

    CHSuper0(IMDService, loadServiceBundle);
    NSString *bundleId = [[self bundle] bundleIdentifier];
    NSLog(@"witwit =IMDService loadServiceBundle=%@=", bundleId);
    
    if ([bundleId isEqualToString:@"com.apple.imservice.sms"]) {
        CHLoadLateClass(SMSServiceSession);
        CHHook2(SMSServiceSession, _convertCTMessageToDictionary, requiresUpload);
    }
}


CHConstructor // code block that runs immediately upon load
{
    @autoreleasepool
    {
        NSLog(@"witwit SMSForward load success");

        CHLoadLateClass(IMDService);
        CHHook0(IMDService, loadServiceBundle);
    }
}

info.plist文件配置如下：

注：插件安装完成后。请重启imagent:

总结

本篇文章主要对短信转发器的核心方法进行了分析及试验，拿到短信内容后，具体的转发逻辑请自行实现。

提示：阅读此文档的过程中遇到任何问题，请关住工众好【移动端Android和iOS开发技术分享】或+99 君羊【812546729】

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课