[原创]iOS某大厂vmp参数还原-iOS安全-看雪安全社区

### 前言

文章中所有内容仅供学习交流使用，不用于其他任何目的，抓包内容、敏感网址、数据接口均已做脱敏处理。严正声明禁止用于商业和非法用途，否则由此产生的一切后果与作者本人无关。若有侵权，请在下方联系方式中,联系我

### 说明
工具说明
```
trace:
    这里用的棕熊的iOS版本qbdi,链接:https://bbs.kanxue.com/thread-287137.htm#msg_header_h1_1
frida
charles
IDA
```
样本:脱敏！保密！保命！
![](upload/attach/202506/971354_WHZWGA3RTPDCZY4.png)

### 抓包

![](upload/attach/202506/971354_CT4DBY7JYH4U8X6.png)
抓包可以看到header里xxx中包含x1,x2,x3,x4,x5,x6,x7。
x6就是本次分析的目标。

## 分析
首先就是定位参数, 然后找到参数算法生成的位置, 都是OC层代码, 很简单直接跳过。
![](upload/attach/202506/971354_PHEHMJZJF2EJ6YN.png)

进入核心算法触发的调用点,固定入参发现结果一直在变,找到内部的随机数逻辑hook掉。
跑一个trace,这个样本倒不是很大。

![](upload/attach/202506/971354_T9F5NYZ2X3MBBH8.png)

开始进入分析x6

![](upload/attach/202506/971354_N9685KZUZHYSSKP.png)

### x6:
```
"x6":"97c8cc421b9ada2d94103c174b5814b617cda51cbf148a8a1eb499609bbc9483"
```
找到x6生成的地方

![](upload/attach/202506/971354_5QXY6TCVZFTBZS5.png)

可以看到x6的计算为:
w8 ^ w9 = target
```
  w8^w9   = target
0xf1^0x66 = 0x97   
0x69^0xa1 = 0xc8
0x74^0xb8 = 0xcc
0x09^0x4b = 0x42
0x22^0x39 = 0x1b
0x1a^0x80 = 0x9a
0x78^0x55 = 0x2d
0x57^0xc3 = 0x94
0xe8^0xf8 = 0x10
0x4a^0x3c = 0x76
...
0xf8^0x7b = 0x83
```
#### W8分析
查找w8这列数值计算的地方
![](upload/attach/202506/971354_CB9AM94NVBGHUUM.png)
结果计算的地方

![](upload/attach/202506/971354_K8DVN5MMRG39Z7Z.png)

同样是由w8,w9两个值add得到
```
add	w8, w9, w8	;W8=0x42 -> 0xf1, W9=0xaf // 0xf1
add	w8, w9, w8	;W8=0x0 -> 0x69, W9=0x69 //0x69
add	w8, w9, w8	;W8=0x88 -> 0x174, W9=0xec  //0x174 strB
add	w8, w9, w8	;W8=0x73 -> 0x109, W9=0x96
add	w8, w9, w8	;W8=0x40 -> 0x122, W9=0xe2
add	w8, w9, w8	;W8=0x73 -> 0x109, W9=0x96
add	w8, w9, w8	;W8=0x40 -> 0x122, W9=0xe2
add	w8, w9, w8	;W8=0xe -> 0x1a, W9=0xc
省略N次...
```

##### w8即0x42这列分析
搜一下
![](upload/attach/202506/971354_RWM9TXME4QR4ZG9.png)

```
Call addr: 0x20a19b8d0 [libsystem_platform.dylib!_platform_memmove] (dst=0x13bd375b0, src=0x13bd36ed8, n=32)
源内存内容：
 (dst=0x13bd375b0, src=0x13bd36ed8, n=32)0000: 42 00 88 73 40 0e 03 08 30 6f c1 b1 07 54 11 6d   B..s@...0o...T.m
 (dst=0x13bd375b0, src=0x13bd36ed8, n=32)0010: 8b dc f9 04 c7 7d 26 75 76 84 2e fc 3f a4 ce 94   .....}&uv...?...
 ```
继续找这块数据生成的部分

![](upload/attach/202506/971354_8D496AJYZEM7H55.png)

看下0x42008873生成的地方
```
0x1003e8b40	0xc0b40		add	w14, w15, w14	;W14=0xf485e8dc -> 0x42008873, W15=0x4d7a9f97
```
继续看W15=0x4d7a9f97的生成

![](upload/attach/202506/971354_47A3UMBQ84UH28U.png)

```
0x1003e8b40	0xc0b40		add	w14, w15, w14	;W14=0xe370b930 -> 0x4d7a9f97, W15=0x6a09e667 
```
熟悉的朋友想必已经发现0x6a09e667是sha256的h0
![](upload/attach/202506/971354_SHJREMXD4A7Z898.png)
回到上头0x42008873的生成中,看W14=0xf485e8dc

![](upload/attach/202506/971354_SYQKPRR9W9K8N4U.png)

```
W14=0xf485e8dc = 0xaedaced5+ 0x45ab1a07
0x1003e8aec	0xc0aec		add	w13, w3, w15	;W13=0x23b32947 -> 0xaedaced5, W3=0xa9237f7f, W15=0x5b74f56 
0x1003e8af0	0xc0af0		add	w13, w13, w14	;W13=0xaedaced5 -> 0xf485e8dc, W14=0x45ab1a07    //  W13+W14 = (w3+w15)+w14
```
继续W13=0xaedaced5的生成中w3=0xa9237f7f的生成
```
0x1003e8aec	0xc0aec		add	w13, w3, w15	;W13=0x23b32947 -> 0xaedaced5, W3=0xa9237f7f, W15=0x5b74f56 
```
![](upload/attach/202506/971354_AXJPDFPK2GEK2TG.png)
那么w3分支对应sha256中S0,s0组成的temp1会和temp2有add,temp2中有W[i]参与,目的通过w[i]找明文。

![](upload/attach/202506/971354_FHVE487KYP3ETUF.png)
找w[i],发现0x5b74f56中有明文操作经过分析:
```
0x1003e8aa4	0xc0aa4		add	w16, w16, w17	;W16=0x3102044 -> 0x9a4d5032, W17=0x973d2fee
0x1003e8aa8	0xc0aa8		add	w15, w16, w15	;W15=0xedfe1951 -> 0x884b6983, W16=0x9a4d5032
0x1003e8aac	0xc0aac		add	w15, w15, w3	;W15=0x884b6983 -> 0x504b6e0b, W3=0xc8000488
0x1003e8ab0	0xc0ab0		add	w15, w15, w5	;W15=0x504b6e0b -> 0x16bce6fd, W5=0xc67178f2 // w5 = K[i] = 0xc67178f2为K表的常量最后一轮
0x1003e8ab4	0xc0ab4		add	w15, w15, w4	;W15=0x16bce6fd -> 0x5b74f56, W4=0xeefa6859  //  w16+w17+w15+w3+w5(即K[i])+w4[即W[i]]
```
![](upload/attach/202506/971354_Z96BQRGDN99REH6.png)
w[64] = 0xeefa6859，找到0xeefa6859的生成地方,搜下:
![](upload/attach/202506/971354_NAKDNUXMZMPTK7K.png)
找到W[0]
```
0x1003e8aa0	0xc0aa0		ldr	w4, [x6, x4]	;W4=0x0 -> 0x5f15b545, X6=0x13bd36d58     // W[0]
```
![](upload/attach/202506/971354_SF7YP7PC84FYPJQ.png)

找0x5f15b545即w[0]的生成,中途看到W[0]参与的计算
![](upload/attach/202506/971354_8AFH8HGNATMTVYW.png)
对应
```
    for i from 16 to 63
        s0 := (w[i-15] rightrotate  7) xor (w[i-15] rightrotate 18) xor (w[i-15] rightshift  3)
        s1 := (w[i-2] rightrotate 17) xor (w[i-2] rightrotate 19) xor (w[i-2] rightshift 10)
        w[i] := w[i-16] + s0 + w[i-7] + s1
```
继续找w[0]的生成,找到
![](upload/attach/202506/971354_U4PBPPGS8AQQYXJ.png)
搜下0xc097c,明文填充0x80,拼接0拼接长度,然后bswap
![](upload/attach/202506/971354_VRJ9VQVCJ3VQPVY.png)
继续定位 0x5f15b545的来源
```
0x1003e8b40	0xc0b40		add	w14, w15, w14	;W14=0xaf9a9a47 -> 0x5f15b545, W15=0xaf7b1afe // 得到 0x5f15b545 新一轮sha256
```
![](upload/attach/202506/971354_GZHUWEG53CHMQQR.png)
发现又是新一次轮sha256,这里标记下,并且汇编地址0xc0b40上面有看到。
w14-> 0xaf9a9a47的生成
```
0x1003e8aec	0xc0aec		add	w13, w3, w15	;W13=0x65fc8355 -> 0x2fd71d2c, W3=0x20561d14, W15=0xf810018
0x1003e8af0	0xc0af0		add	w13, w13, w14	;W13=0x2fd71d2c -> 0xaf9a9a47, W14=0x7fc37d1b
0x1003e8af4	0xc0af4		stp	w13, w16, [sp, #8]	;W13=0xaf9a9a47, W16=0x37c43fab, SP=0x13bd36d30
```
![](upload/attach/202506/971354_BMZACRAUQQ3VDG2.png)

```
0x1003e8aec	0xc0aec		add	w13, w3, w15	;W13=0x65fc8355 -> 0x2fd71d2c, W3=0x20561d14, W15=0xf810018
```
![](upload/attach/202506/971354_BHVXRWA3REQJZK8.png)
找0xf810018,之前图里提过w4=w[i]
![](upload/attach/202506/971354_Z9W8UT3VDVGM8VM.png)
找0x633c8d9f即w[i]

![](upload/attach/202506/971354_EPTPWPZ6JYY26N2.png)
找到w[0]
![](upload/attach/202506/971354_Y7EAF2CV4ZSJ82M.png)
找到填充bwap的地方
![](upload/attach/202506/971354_P3J5CMS39P7CWV8.png)
看到这里明文为转了大端序:
```
38 d7 48 09 f8 1e 1f 55 73 24 fa 38 cf 68 05 b7
```
长度为0x280对不上，结合上面的0x5c,2次sha56,诸多特征当然还有我后续的分析,确定这是HMAC-256。
验证下没问题：
![](upload/attach/202506/971354_6TEDEU7SEMUGQ7D.png)

Key的还原略过,找到后异或就行了。
继续分析数据明文:
```
38 d7 48 09 f8 1e 1f 55 73 24 fa 38 cf 68 05 b7
```
![](upload/attach/202506/971354_C5XEAK5KCMK6DJT.png)

```
0x1003fd29c	0xd529c		eor	w8, w9, w8	;W8=0x1c -> 0x38, W9=0x24
0x1003fd29c	0xd529c		eor	w8, w9, w8	;W8=0xfe -> 0xd7, W9=0x29
0x1003fd29c	0xd529c		eor	w8, w9, w8	;W8=0xe8 -> 0x48, W9=0xa0
0x1003fd29c	0xd529c		eor	w8, w9, w8	;W8=0x20 -> 0x9, W9=0x29
0x1003fd29c	0xd529c		eor	w8, w9, w8	;W8=0xfc -> 0xf8, W9=0x4
0x1003fd29c	0xd529c		eor	w8, w9, w8	;W8=0x5 -> 0x1e, W9=0x1b
0x1003fd29c	0xd529c		eor	w8, w9, w8	;W8=0xa7 -> 0x1f, W9=0xb8
0x1003fd29c	0xd529c		eor	w8, w9, w8	;W8=0xa9 -> 0x55, W9=0xfc
0x1003fd29c	0xd529c		eor	w8, w9, w8	;W8=0x8c -> 0x73, W9=0xff
0x1003fd29c	0xd529c		eor	w8, w9, w8	;W8=0xdf -> 0x24, W9=0xfb
0x1003fd29c	0xd529c		eor	w8, w9, w8	;W8=0x75 -> 0xfa, W9=0x8f
0x1003fd29c	0xd529c		eor	w8, w9, w8	;W8=0xba -> 0x38, W9=0x82
0x1003fd29c	0xd529c		eor	w8, w9, w8	;W8=0x97 -> 0xcf, W9=0x58
0x1003fd29c	0xd529c		eor	w8, w9, w8	;W8=0x77 -> 0x68, W9=0x1f
0x1003fd29c	0xd529c		eor	w8, w9, w8	;W8=0x91 -> 0x5, W9=0x94
0x1003fd29c	0xd529c		eor	w8, w9, w8	;W8=0xd0 -> 0xb7, W9=0x67

```
###### w9=0x24这列数据
找一下和文章最后w9分析一致,v1通过a45678解码,v1是固定的，a45678也是固定的,结果解出来也是固定的,直接拿到结果保存使用就行。

###### W8=0x1c这列数据:
![](upload/attach/202506/971354_6U5YEQTMAJU5ZYG.png)
![](upload/attach/202506/971354_7AFESKGTCVS5BN9.png)
```
0x1003fcea4	0xd4ea4		add	w8, w9, w8	;W8=0x24 -> 0x11c, W9=0xf8 // w8 = w8+w9(ldr)
0x1003fcea4	0xd4ea4		add	w8, w9, w8	;W8=0x68 -> 0xfe, W9=0x96
0x1003fcea4	0xd4ea4		add	w8, w9, w8	;W8=0x96 -> 0xe8, W9=0x52
0x1003fcea4	0xd4ea4		add	w8, w9, w8	;W8=0x64 -> 0x120, W9=0xbc
0x1003fcea4	0xd4ea4		add	w8, w9, w8	;W8=0x39 -> 0xfc, W9=0xc3
0x1003fcea4	0xd4ea4		add	w8, w9, w8	;W8=0x3c -> 0x105, W9=0xc9
0x1003fcea4	0xd4ea4		add	w8, w9, w8	;W8=0x29 -> 0xa7, W9=0x7e
0x1003fcea4	0xd4ea4		add	w8, w9, w8	;W8=0x83 -> 0xa9, W9=0x26
0x1003fcea4	0xd4ea4		add	w8, w9, w8	;W8=0xf7 -> 0x18c, W9=0x95
0x1003fcea4	0xd4ea4		add	w8, w9, w8	;W8=0x3f -> 0xdf, W9=0xa0
0x1003fcea4	0xd4ea4		add	w8, w9, w8	;W8=0x70 -> 0x75, W9=0x5
0x1003fcea4	0xd4ea4		add	w8, w9, w8	;W8=0xd9 -> 0x1ba, W9=0xe1
省略...
```

###### 找24 68 96 64

![](upload/attach/202506/971354_JRBH59XRZE475HH.png)
看截图里0x2AD7D2BB,0xeb86d391还有运算这MD5嘛
![](upload/attach/202506/971354_Z8398QYZWPKZXUW.png)
找下入参明文,由x1, x2, x3, x4, x5, x7组成。
![](upload/attach/202506/971354_ADS9R4763DE9B3E.png)
入参拿到后验证下, 标准md5没问题
![](upload/attach/202506/971354_X9PHTM65M8EJWFV.png)

###### W9=0xf8这列
```
0xf8 0x96 0x52 0xbc 0xc3 0xc9 0x7e 0x26
保密...
```
找一下和文章最后w9分析一致, v1通过a45678解码, v1是固定的，a45678也是固定的,结果解出来也是固定的, 直接拿到结果保存使用就行。

##### w9即0xaf这列分析

![](upload/attach/202506/971354_C4VWV8UZQM75TSG.png)

![](upload/attach/202506/971354_F4MG55TZDP72KFA.png)
省略N次
与下面W9分析那里逻辑一致, 解密出来结果的不同部分而已, 直接保存用就行。

#### W9分析
查找到w9的值,继续找生成
![](upload/attach/202506/971354_48G6DVNGJY89UF4.png)
继续查找找到生成的地方

![](upload/attach/202506/971354_K55SXTE6E3T3GH4.png)
![](upload/attach/202506/971354_SU5BUJJFVBQCZMM.png)
省略N次...

按这个逻辑对应ida伪代码

![](upload/attach/202506/971354_ABN6JUN2RBKJCXT.png)
这块和上边一样也是对v1通过a45678解码, v1是固定的 a45678也是固定的。结果解出来也是固定的, 直接拿到结果保存使用就行。

## 最后
本次是iOS基于trace法还原vmp的小尝试,vmp可借鉴材料的不多，自己也算摸索出来了一点皮毛。
文中如有错误，欢迎大家斧正，欢迎交流。
后面有时间会接着写剩下的参数还原~
![](upload/attach/202506/971354_GS2ENX5PM6NXBRQ.png)
欢迎大家关注，你们的关注是我自律的最大动力~

![](upload/attach/202506/971354_WCW62GMBWQNXYMA.png)

回复或点赞可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

#逆向分析

最新回复 (96) 1 2 3 4 ▶
matrump 雪币： 19 活跃值： (1378) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 34 粉丝 0 关注私信	matrump 2 楼 666 2025-6-9 11:16 0
wen666 雪币： 192 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 20 粉丝 0 关注私信	wen666 3 楼 666 2025-6-9 11:40 0
coderL 雪币： 356 活跃值： (2202) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 3 粉丝 3 关注私信	coderL 4 楼 666 2025-6-9 11:49 0
ATrueMan 雪币： 1048 活跃值： (1680) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 89 粉丝 14 关注私信	ATrueMan 5 楼 study 2025-6-9 14:37 0
风行九天雪币： 23 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 23 粉丝 0 关注私信	风行九天 6 楼 tql 了 2025-6-10 10:18 0
Imxz 雪币： 110 活跃值： (9571) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 775 粉丝 9 关注私信	Imxz 7 楼 dddd 2025-6-10 11:43 0
LeeLinux 雪币： 0 活跃值： (734) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 31 粉丝 2 关注私信	LeeLinux 8 楼脱敏脱的不错 2025-6-10 14:52 0
大肌肉兔雪币： 105 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 16 粉丝 24 关注私信	大肌肉兔 9 楼 LeeLinux 脱敏脱的不错嘿嘿嘿 2025-6-10 15:04 0
mb_aoooaosd 雪币： 9905 活跃值： (9431) 能力值： ( LV3，RANK：30 ) 在线值：发帖 13 回帖 56 粉丝 153 关注私信	mb_aoooaosd 10 楼兔哥牛逼 2025-6-10 15:16 0
李小木子雪币： 230 活跃值： (1696) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 48 粉丝 0 关注私信	李小木子 11 楼 1 2025-6-10 16:17 0
ONewTach 雪币： 242 活跃值： (5670) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 80 粉丝 0 关注私信	ONewTach 12 楼 666 2025-6-10 16:41 0
杨如画雪币： 5028 活跃值： (4985) 能力值： ( LV7，RANK：110 ) 在线值：发帖 16 回帖 58 粉丝 348 关注私信	杨如画 13 楼六百六十六 2025-6-10 22:55 0
jasonxgw 雪币： 207 活跃值： (1846) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 52 粉丝 0 关注私信	jasonxgw 14 楼 tql 2025-6-11 14:33 0
mb_ituygipf 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 18 粉丝 0 关注私信	mb_ituygipf 15 楼 NB 2025-6-11 15:38 0
Gryffindoss 雪币： 635 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 126 粉丝 0 关注私信	Gryffindoss 16 楼 666666 2025-6-11 16:02 0
dongdali 雪币： 351 活跃值： (1011) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 19 粉丝 0 关注私信	dongdali 17 楼 666 2025-6-11 16:20 0
mb_bshxboim 雪币： 43 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 8 粉丝 0 关注私信	mb_bshxboim 18 楼 666666 2025-6-11 16:24 0
mb_vanjeoof 雪币： 238 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 34 粉丝 0 关注私信	mb_vanjeoof 19 楼 666 2025-6-11 17:42 0
青蓝梦雪币： 7 活跃值： (2016) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 19 粉丝 0 关注私信	青蓝梦 20 楼 666 2025-6-11 21:06 0
MaYil 雪币： 9446 活跃值： (8072) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 485 粉丝 2 关注私信	MaYil 21 楼感谢分享 2025-6-12 01:03 0
apxar 雪币： 410 活跃值： (1998) 能力值： ( LV3，RANK：20 ) 在线值：发帖 71 回帖 231 粉丝 0 关注私信	apxar 22 楼 1 2025-6-12 20:14 0
mb_rznctvox 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_rznctvox 23 楼不错的分享 2025-6-12 22:03 0
Hacker_0 雪币： 237 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 16 粉丝 3 关注私信	Hacker_0 24 楼 2025-6-13 13:32 0
wx_小友雪币： 597 活跃值： (1701) 能力值： ( LV3，RANK：20 ) 在线值：发帖 7 回帖 54 粉丝 34 关注私信	wx_小友 25 楼这是用什么trace出来的，为什么可以这么全 2025-6-13 17:24 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复