[原创]浅谈 iOS 上某视频 App 的设备注册信息收集-iOS安全-看雪安全社区

# 浅谈 iOS 上某视频 App 的设备注册信息收集

## 声明

本文只讨论互联网时代个人隐私信息收集相关内容，用于学习 iOS App 行为分析、隐私合规核对和逆向研究记录，不涉及任何违法违规操作。文中包名、接口、设备标识、账号、IP、证书、密钥等敏感信息均已做脱敏处理。

如有违规可联系删除，邮箱：ann99445566@gmail.com

## 前言

鉴于 iOS 闭源的特性，相对于 Android，iOS 上公开资料较少，工具链也没有 Android 生态成熟，分析起来会更麻烦一些。好在 Frida、lldb、class-dump、Mach-O 解析工具和各种开源文章已经覆盖了大部分基础工作。【frida小子罢了】

**苦于IOS trace 没有太成熟的工具 只能frida 乱搓，不管相对于七神而言，难度不值一提，主要定位点在awemecore，里面是个vmp混淆 分析几次发现因为上报的protobuf比较固定 而且对于同个设备来说 没有大改 上报信息基本没什么变化 所以hook memcpy即可定位 算法没有什么难点  主要是vmp分支处理比较麻烦 不过也仅是伪控制流 和我的几亿Token去说吧 **

该文70%由Codex代写

本文不讨论业务功能破解，只站在 `device register` 的角度，记录点击“同意”之后 App 可能采集了哪些设备信息，这些信息大致如何进入注册、上报和安全 SDK 请求链路。

### 本文主要感谢 参考

- 黄哥：浅谈某视频 Device Register And Activate
- CCTV果冻爽：[[原创]某短视频 mssdk 之 get_token 协议分析 - 看雪安全社区](https://bbs.kanxue.com/thread-287008.htm)
- 达哥：风控分析若干文章以及设备
- 悟佬的收藏文章
- 本目录内相关记录：
  - `设备注册请求体分析.md`
  - `字段映射现状.md`
  - `使用方法.md`

## 分析目标

众所周知，首次下载 App 打开后通常会出现隐私协议弹窗。用户点击同意后，App 才会继续进入主流程；如果不同意，部分版本会直接退出或限制使用。

从网络行为看，点击同意后通常会触发几类请求：

| 阶段     | 作用                                  | 典型内容                                             |
| -------- | ------------------------------------- | ---------------------------------------------------- |
| 设备注册 | 生成或换取 `device_id` / `install_id` | 设备型号、系统版本、IDFV、地区、语言、网络、App 版本 |
| 安全 SDK | 获取风控 token 或设备可信标记         | 设备环境、权限状态、沙盒信息、加密 blob              |
| 行为上报 | 上报启动、激活、环境快照              | 设备快照、网络状态、越狱状态、App 配置               |

下面内容均以 `device register` 视角分析，参数只展示脱敏样例。

## 一、新机首次启动

这里的“新机”指从未安装或打开过该 App 的设备，或者 App 本地数据已经清空、服务端无法关联历史安装记录的环境。

首次启动时，本地一般还没有稳定的 `device_id` / `install_id`，因此注册请求会携带一组本地可获得的设备信息，服务端根据这些信息返回新的标识。

### 典型注册参数

| 参数             | 脱敏样例                               | 来源/说明                                     |
| ---------------- | -------------------------------------- | --------------------------------------------- |
| `device_model`   | `iPhone10,3`                           | 设备机型标识，可由 `uname` / system info 获取 |
| `hardware_model` | `D22AP`                                | 硬件代号，和机型绑定                          |
| `os`             | `iOS`                                  | 操作系统                                      |
| `os_version`     | `15.0.1`                               | 系统版本                                      |
| `resolution`     | `1125*2436`                            | 屏幕分辨率                                    |
| `vendor_id`      | `145321EA-****-****-****-4FEA7AEFF211` | IDFV，                                        |
| `idfa`           | `9992FD16-****-****-****-20C89336C7EC` | IDFA，                                        |
| `cdid`           | `8DCE0718-****-****-****-5DA9BAB01B32` | App 自定义持久化 ID                           |
| `app_version`    |                                        | App 版本                                      |
| `build_number`   | ``                               | 构建号                                        |
| `channel`        | `App Store`                            | 安装渠道                                      |
| `region`         | `CN`                                   | 地区                                          |
| `language`       | `zh-Hans-CN`                           | 系统语言                                      |
| `tz_name`        | `Asia/Shanghai`                        | 时区名                                        |
| `tz_offset`      | `28800`                                | UTC+8                                         |
| `access`         | `WIFI`                                 | 网络类型                                      |
| `carrier`        | `中国移动`                             | 运营商展示名                                  |
| `is_jailbroken`  | `false`                                | 越狱状态                                      |

![image-20260601214757888](upload/attach/202606/980939_8ZC5R2VPK3EFE9H.png)
### 请求体片段示例

以下只展示结构化后的部分字段，非完整请求体：

```json
{
  "magic_tag": "ss_app_log",
  "header": {
    "app_name": "",
    "package": "",
    "app_version": "",
    "build_number": "",
    "device_model": "iPhone10,3",
    "hardware_model": "D22AP",
    "os": "iOS",
    "os_version": "15.0.1",
    "resolution": "1125*2436",
    "vendor_id": "145321EA-****-****-****-4FEA7AEFF211",
    "idfa": "9992FD16-****-****-****-20C89336C7EC",
    "cdid": "8DCE0718-****-****-****-5DA9BAB01B32",
    "tz_name": "Asia/Shanghai",
    "tz_offset": 28800,
    "language": "zh-Hans-CN",
    "access": "WIFI",
    "carrier": "中国移动"
  }
}
```

## 二、本地标识与持久化

首次注册完成后，服务端通常会返回或间接写入以下标识：

| 标识                | 说明                   | 变化条件                               |
| ------------------- | ---------------------- | -------------------------------------- |
| `device_id`         | 服务端分配的设备 ID    | 清数据不一定变化，取决于服务端关联策略 |
| `install_id`        | 安装维度 ID            | 重装、清数据、重新注册可能变化         |
| `openudid` / `cdid` | 客户端自定义 ID        | 本地持久化丢失后变化                   |
| `idfv`              | Apple 提供的 Vendor ID | 同 vendor App 全部卸载后可能变化       |

在实际样本中，后续 `/sdi/get_token` 和 `/report` 请求会继续携带这些标识，用于把安全 SDK、上报系统和设备注册系统串起来。

脱敏后的典型字段：

```text
device_id  = 2244573********
install_id = 08010000********
idfv       = 145321EA-****-****-****-4FEA7AEFF211
cdid       = 8DCE0718-****-****-****-5DA9BAB01B32
```

## 三、get_token / report 中的设备信息

结合本目录内 `字段映射现状.md`，可以看到安全 SDK 请求里也包含一份设备快照。不同接口字段号不同，但语义基本相近。

### get_token 部分字段

| 位置       | 含义       | 脱敏样例           |
| ---------- | ---------- | ------------------ |
| `dev.f2`   | 机型标识   | `iPhone10,3`       |
| `dev.f3`   | 硬件型号   | `D22AP`            |
| `dev.f6`   | 系统版本   | `15.0.1`           |
| `dev.f7`   | 分辨率     | `1125,2436`        |
| `dev.f12`  | 时区       | `Asia/Shanghai,8`  |
| `dev.f20`  | IDFV       | `145321EA-****`    |
| `inner.f7` | App 版本   |                    |
| `inner.f8` | device_id  | `2244573********`  |
| `inner.f9` | install_id | `08010000********` |

### report 部分字段

| 位置     | 含义      | 脱敏样例            |
| -------- | --------- | ------------------- |
| `f2.f10` | 机型名    | `iPhone X****`      |
| `f2.f11` | 硬件型号  | `D22AP`             |
| `f2.f16` | 分辨率    | `1125,2436`         |
| `f2.f29` | MAC       | `02:00:00:00:00:00` |
| `f2.f30` | 机型标识  | `iPhone10,3`        |
| `f3.f2`  | device_id | `2244573********`   |
| `f3.f13` | IDFV      | `145321EA-****`     |
| `f4.f7`  | App 版本  |                     |
| `f6.f3`  | 语言      | `zh-Hans-CN`        |
| `f7.f3`  | 内网 IP   | `192.168.*.*`       |

## 四、加密流程概览

设备注册本身是常规结构化请求，难点主要集中在 mssdk 的 `/sdi/get_token` 和 `/report`。这两个请求外层是 protobuf envelope，真正的设备环境和 SDK 数据在 `field4` 加密体里。

大体流程如下：

```text
Inner protobuf
  -> zlib 压缩
  -> 拼接随机填充
  -> XTEA加密
  -> 拼接
  -> AES加密
  -> 写入外层 protobuf 的 field4
```

几个关键点：

| 环节          | 说明                                                         |
| ------------- | ------------------------------------------------------------ |
| 内层结构      | protobuf，字段里包含机型、系统版本、IDFV、device_id、install_id、App 版本等 |
| 压缩          | zlib，服务端校验的是压缩后的实际字节，不是原始明文           |
| 完整性        |                                                              |
| 第一层加密    | XTEA                                                         |
| 第二层加密    | AES                                                          |
| 外层 envelope | `f1/f2/f3/f4/f5` 这类字段，`f4` 是核心加密 payload           |

还原时不要一开始就盯着网络包硬猜。更稳的方式是先定位 SDK 内部加密函数，hook 入口上下文，把 key、IV、入参、出参长度跑通，然后再回头写解析器。

## 五、Frida Hook 片段

前面提到的关键点是 mssdk 加密函数附近，重点不是 hook `UIDevice` 这类系统 API，而是确认 SDK 加密上下文。以下代码只保留核心形式，地址、模块名和函数名按实际样本替换。

### 1. 取 AES master key 和 IV

分析中确认 `sub_D71E57C` 入口上下文里可以取到 AES 参数：

- `ctx[0:16]`：AES master key
- `ctx + 0x1E4`：AES IV

```javascript
// frida -U -f com.xxx.xxx -l hook_mssdk_crypto.js --no-pause

function hex(ptr, len) {
  return hexdump(ptr, {
    offset: 0,
    length: len,
    header: false,
    ansi: false
  });
}

const base = Module.findBaseAddress(""); // 按实际主模块名替换
const sub_D71E57C = base.add();      // 按 IDA 中偏移替换

Interceptor.attach(sub_D71E57C, {
  onEnter(args) {
    this.ctx = args[0];
    console.log("[] ctx =", this.ctx);
    console.log("[aes key]");
    console.log(hex(this.ctx, 0x10));
    console.log("[aes iv]");
    console.log(hex(this.ctx.add(0x1E4), 0x10));
  }
});
```

输出示例做脱敏处理：

```text
[sub_D71E57C] ctx = 0x10xxxxxxx
[aes key]
af bf 82 2e ** ** ** ** ** ** ** ** ae 3e 80 90
[aes iv]
73 15 25 4f ** ** ** ** ** ** ** ** c2 f7 8e 0e
```

### 2. 观察 field4 输入输出长度

这里主要用来确认加密前后的边界，避免 protobuf 外层、zlib 数据、AES 数据混在一起看。

```javascript
const target = ;

Interceptor.attach(target, {
  onEnter(args) {
    this.inBuf = args[1];              // 以实际反编译参数为准
    this.inLen = args[2].toInt32();
    console.log("[encrypt in len]", this.inLen);
    console.log(hex(this.inBuf, Math.min(this.inLen, 0x80)));
  },
  onLeave(retval) {
    console.log("[encrypt ret]", retval);
  }
});
```

这段 hook 的目的只是确定“哪一段是内层 protobuf，哪一段是加密结果”。具体参数位置要结合反编译伪代码和寄存器调用约定调整，不同版本偏移会变。

### 3. 辅助观察 protobuf 外层

如果已经在抓包里拿到完整 body，可以先在本地解析外层 envelope。正常情况下可以看到类似结构：

```text
f1 = 1077938244
f2 = 2
f3 = 2            
f4 = bytes(...)    
f5 = timestamp
```

hook 时只要能把 `f4` 前后的明文、密文对应上，后续分析就比较直观：外层负责路由和时间戳，内层才是设备环境主体。

## 六、大体分析

这个链路可以分成三层看。

第一层是设备注册。它更像“建档”：App 把机型、系统、地区、语言、网络、IDFV、IDFA、CDID 等本地信息提交上去，服务端返回 `device_id` 和 `install_id`。这一步字段比较直观，抓包后结构化即可。

第二层是安全 SDK。它不是简单重复注册字段，而是把设备环境、沙盒状态、权限状态、部分运行时信息打进加密 payload。`get_token` 里常见的是设备快照加 SDK blob，`report` 里更像启动环境上报。字段号不同，但很多语义可以互相印证。

第三层是加密封装。这里的重点不在“有没有 AES”这种表面结论，而是要确认数据边界：protobuf 明文在哪里、zlib 从哪里开始、CRC 覆盖哪些字节、XTEA IV 放在哪里、AES 外层又包了什么。只要边界确定，后续字段映射和样本比对就会稳定很多。

从隐私角度看，值得关注的点有四个：

1. 点击同意前后，请求触发时机是否不同。
2. 稳定标识是否被采集，包括 `IDFV`、`IDFA`、`device_id`、`install_id`、自定义 UUID。
3. 指纹类信息是否组合使用，包括机型、系统版本、分辨率、时区、语言、网络、越狱状态。
4. 加密 payload 中是否存在隐私协议没有明确描述的采集项。

整体看，iOS 上这类信息收集不是一个接口完成的，而是注册、SDK token、report 三条链路互相补充。单独看某个字段意义不大，最好把字段来源、首次出现位置、是否持久化、是否随重装变化这几件事一起记录。

回复或点赞可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

上传的附件：

image-20260601214757888.png （94.05kb，60次下载）

最新回复 (136) 1 2 3 4 5 6 ▶
温泉划水鱼雪币： 94 能力值： ( LV1，RANK：0 ) 在线值：发帖 6 回帖 226 粉丝 28 关注私信	温泉划水鱼 2 楼秒吃 2026-6-1 23:58 0
梦笔随花雪币： 40 活跃值： (625) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 23 粉丝 0 关注私信	梦笔随花 3 楼 1 2026-6-2 00:04 0
mb_ufezmkch 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 8 粉丝 0 关注私信	mb_ufezmkch 4 楼 1 2026-6-2 10:22 0
guijingwen 雪币： 7370 活跃值： (7585) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 310 粉丝 0 关注私信	guijingwen 5 楼 66 2026-6-2 10:47 0
fjqisba 雪币： 339 活跃值： (9673) 能力值： ( LV7，RANK：102 ) 在线值：发帖 18 回帖 350 粉丝 88 关注私信	fjqisba 6 楼设备指纹有意思 2026-6-2 10:52 0
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 707 粉丝 7 关注私信	mb_ldbucrik 7 楼向大佬学习 2026-6-2 11:04 0
MaYil 雪币： 9437 活跃值： (8047) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 482 粉丝 2 关注私信	MaYil 8 楼感谢分享 2026-6-2 11:32 0
mb_wkdbscdv 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	mb_wkdbscdv 9 楼 6 2026-6-2 15:05 0
dob_C 雪币： 131 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 86 粉丝 0 关注私信	dob_C 10 楼感谢分享 2026-6-2 15:06 0
伊苏尔德雪币： 149 活跃值： (442) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 55 粉丝 7 关注私信	伊苏尔德 11 楼 6 2026-6-2 16:40 0
随风而行aa 雪币： 7769 活跃值： (25214) 能力值： ( LV12，RANK：550 ) 在线值：发帖 39 回帖 431 粉丝 1587 关注私信	随风而行aa 10 12 楼 6 2026-6-2 16:58 0
method 雪币： 1957 活跃值： (8158) 能力值： ( LV5，RANK：70 ) 在线值：发帖 13 回帖 267 粉丝 134 关注私信	method 1 13 楼 1 2026-6-2 17:21 0
jmpews 雪币： 119 活跃值： (1978) 能力值： ( LV3，RANK：30 ) 在线值：发帖 6 回帖 42 粉丝 52 关注私信	jmpews 14 楼 6 2026-6-2 18:32 0
A00乐淘雪币： 104 活跃值： (145) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 41 粉丝 0 关注私信	A00乐淘 15 楼学习了 2026-6-2 19:57 0
apxar 雪币： 410 活跃值： (1998) 能力值： ( LV3，RANK：20 ) 在线值：发帖 71 回帖 231 粉丝 0 关注私信	apxar 16 楼 1 2026-6-2 20:11 0
git_57798nekiyotec 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	git_57798nekiyotec 17 楼 ы 2026-6-3 05:28 0
DawnDotVip 雪币： 3091 活跃值： (2244) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 6 粉丝 1 关注私信	DawnDotVip 18 楼 6 2026-6-3 11:28 0
XCicada 雪币： 3103 活跃值： (2705) 能力值： ( LV6，RANK：80 ) 在线值：发帖 3 回帖 324 粉丝 101 关注私信	XCicada 2 19 楼 1 2026-6-3 12:18 0
kingking888 雪币： 3235 活跃值： (6337) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 302 粉丝 6 关注私信	kingking888 20 楼 666 2026-6-4 22:27 0
tonykros 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 100 粉丝 0 关注私信	tonykros 21 楼 66 2026-6-5 08:01 0
mb_xzdmsrpm 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_xzdmsrpm 22 楼 666 2026-6-5 11:19 0
git_21210wzzzh2025 雪币： 2498 活跃值： (3847) 能力值： ( LV3，RANK：20 ) 在线值：发帖 2 回帖 19 粉丝 23 关注私信	git_21210wzzzh2025 23 楼字段我基本看完了，但还是过不去设备注册，大佬留个联系方式交流一下呗 2026-6-5 13:52 0
kx_enrse 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 16 粉丝 0 关注私信	kx_enrse 24 楼学习一下 2026-6-5 14:22 0
dongdali 雪币： 351 活跃值： (1011) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 19 粉丝 0 关注私信	dongdali 25 楼 666 2026-6-5 14:31 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复