br s -a "0x000b2000 + 0x14a4824"
接着输入c继续运行，重新使用另一微信账号添加好友，会触发该断点。
使用bt查看调用栈信息，即哪些方法调用了当前的方法，找到方法的上游。(异步调用的话没办法查看)
第一个表示当前的方法，可以看到在调用此方法前，该进程总共调用了3个方法。
分别计算出这三个方法在微信中的偏移量。
将这三个地址在 hopper 中查看(按快捷键g,输入地址)，找到了对应的方法为
// 调用的顺序为从下到上
[SayHelloViewController OnSayHelloDataChange]
[SayHelloDataLogic onFriendAssistAddMsg:]
[FriendAsistSessionMgr OnAddMsgForSpecialSession:MsgList:]
[CMessageMgr MainThreadNotifyToExt:]
从以上方法名可以猜测
[FriendAsistSessionMgr OnAddMsgForSpecialSession:MsgList:]
是用来接收添加好友消息的函数处理，其中MsgList:后面的参数可能为消息的数组，为了证明我们可以在该方法中打个断点查看下。
使用命令register read读取寄存器地址，并使用po打印该对象。
看出r3寄存器确实是个数组，同时也得到了消息的对象为CMessageWrap 证明我们是对的。
ps: 解释下为什么要看r3，因为在 armv7 中，一个方法的调用，一般寄存器都是这么存储的：前四个参数放在r0~r3，剩下的存放在堆栈中。查看堆栈的话使用x/10 $sp 查看前10个堆栈里的对象地址。
然而FriendAsistSessionMgr这个类可能在新的好友界面进行一些初始化，且放在SayHelloViewController中，而我们想要的是不管在哪个控制器里都可以 hook 住上面的消息数组对象。因此我们往上找，[CMessageMgr MainThreadNotifyToExt:]，然而里面并没有我们需要的信息。而根据类名我们推测CMessageMgr是用来管理消息的。有可能是在异步执行了消息数组的获取。
因此，重复以上步骤，使用 logify 对CMessageMgr进行 Log 分析。最终锁定了
CMessageMgr MessageReturn:MessageInfo:Event:
定位通过好友请求的方法
既然找到了接收好友请求的方法，那么是时候找通过好友请求的方法了。
我们知道，通过好友请求的方法，是在新的朋友界面，点击接受的时候触发的。(可以通过 Log 分析，然而这里还有另一个比较快速的方法)
Cycript 定位
先通过 Cycript 打印出所有的 UI 层级。
找到接受按钮的对象，(有个技巧，我们知道当前按钮是在某个 cell 下面的，所以定位这个)。
再通过cycript将该对象的 hidden 动态修改为 1，看是否隐藏。
发现按钮不见了，证明我们是对的。这时候需要找到点击按钮的事件。
而我们知道 UIButton 是继承 UIControl 的，在 Cycript 中， 可以通过allTargets 与 allControlEvents查看当前UIControl所有的targets与events，再使用actionsForTarget:forControlEvent:从而找到触发的方法。
看出所触发的方法为[ContactsItemView onRightBtnAction]
既然拿到了方法名，那我们怎么看他具体的实现呢？
接下来就是大名鼎鼎的 hopper 登场了。
用 hopper 打开微信的二进制文件,并进行汇编与伪代码的转换。
~~由于汇编读起来比较晦涩，所以还是进行伪代码的转换，这样效率比较快。~~点击该按钮进行转换
可以得到伪代码
上图我们看到了
r10 = self;
r5 = r10 + *0x33befe8;
r4 = objc_loadWeakRetained(r5);
r8 = @selector(onContactsItemViewRightButtonClick:);
r11 = [r4 respondsToSelector:r8];
可以得出，r11 = [r5 onContactsItemViewRightButtonClick:btn],而 r5 我们判断为 self 的代理，这个我们也可以通过在之前用 class-dump 的头文件里面搜索onContactsItemViewRightButtonClick,会发现在ContactsItemViewDelegate中。
也就是[ContactsItemView onRightBtnAction]内部调用了[self.delegate onContactsItemViewRightButtonClick:].
而 ContactsItemView 的delegate为 SayHelloViewController。
再用 hopper 定位onContactsItemViewRightButtonClick。
看到这里估计会很懵逼不知道从何下手。这时候只要加以推测就可以了。
上图中进行了两个if判断，第一个为
r10 = @selector(class);
r2 = loc_1c099bc(@class(CPushContact), r10);
r1 = @selector(isKindOfClass:);
r5 = loc_1c099bc(r4, r1, r2);
loc_1c099d4(r4);
if ((r5 & 0xff) != 0x0) {
可以得出其实是执行了 if([r4 isKindOfClass：[CPushContact class]]);
而r4是什么呢？可以肯定是CPushContact对象，不然下面的代码都不执行了。我们可以根据动态分析，通过 lldb 打断点，并查看r3寄存器的对象类型，可以看到该对象为CPushContact对象。因此r4就是CPushContact对象，根据字面意思可以得到就是联系人对象。
继续看下面的代码，可以看到也进行了一次判断if (((loc_1c099bc(r6, @selector(m_bSuspiciousUser)) & 0xff) != 0x0) && ((loc_1c099bc(r6, @selector(isMMContact)) & 0xff) == 0x0))，看到了MMUIAlertView。推测是弹窗的 view ，推测如果是可疑的用户或者当前申请的好友已经是自己的好友，那就进行弹窗。而另一部分为verifyContactWithOpCode:opcode:，推测该部分为添加好友的方法。
可以通过 Log 分析或者通过 lldb 打断点，会看到都会进入该方法。且参数分别为CPushContact对象与 3。
接着继续分析verifyContactWithOpCode:opcode:方法。主要的部分如下所示。
通过分析，我们可以得到，确认好友申请，显示构造了CContactVerifyLogic对象。再构造了一个CVerifyContactWrap对象，并设置了相关属性，比如m_nsUsrName m_uiScene m_nsTicket.然后通过添加到数组中，通过CContactVerifyLogic对象的startWithVerifyContactWrap:opCode:parentView:fromChatRoom:方法发送。
代码如下：
CContactVerifyLogic *verifyLogic = [[CContactVerifyLogic alloc] init];
CVerifyContactWrap *wrap = [[CVerifyContactWrap alloc] init];
[wrap setM_nsUsrName:contact.m_nsEncodeUserName];
[wrap setM_uiScene:contact.m_uiFriendScene];
[wrap setM_nsTicket:contact.m_nsTicket];
[wrap setM_nsChatRoomUserName:contact.m_nsChatRoomUserName];
wrap.m_oVerifyContact = contact;
AutoSetRemarkMgr *mgr = [[MMServiceCenter defaultCenter] getService:[AutoSetRemarkMgr class]];
id attr = [mgr GetStrangerAttribute:contact AttributeName:1001];
if([attr boolValue]) {
[wrap setM_uiWCFlag:(wrap.m_uiWCFlag | 1)];
[verifyLogic startWithVerifyContactWrap:[NSArray arrayWithObject:wrap] opCode:3 parentView:[UIView new] fromChatRoom:NO];
这样我们就得到了 获取好友请求的方法与添加好友的方法。
而这里还有一个问题，就是添加好友的对象是CPushContact，而获得好友请求的对象的CMessageWrap。这里需要进行转换，而转换的方法也在SayHelloViewController中，可以重复上面的分析方法获得。
编写Tweak
通过以上的分析，将代码合并起来
%hook CMessageMgr
- (void)MessageReturn:(unsigned int)arg1 MessageInfo:(NSDictionary *)info Event:(unsigned int)arg3 {
%orig;
if (arg1 == 332) { // 收到添加好友消息
NSString *keyStr = [info objectForKey:@"5"];
if ([keyStr isEqualToString:@"fmessage"]) {
NSArray *wrapArray = [info objectForKey:@"27"];
[self addAutoVerifyWithArray:wrapArray];
- (void)addAutoVerifyWithArray:(NSArray *)ary {
[ary enumerateObjectsUsingBlock:^(id _Nonnull obj, NSUInteger idx, BOOL * _Nonnull stop) {
CPushContact *contact = [%c(SayHelloDataLogic) getContactFrom:obj];
if (![contact isMyContact] && [contact.m_nsDes isEqualToString:autoVerifyKeyword]) {
CContactVerifyLogic *verifyLogic = [[%c(CContactVerifyLogic) alloc] init];
CVerifyContactWrap *wrap = [[%c(CVerifyContactWrap) alloc] init];
[wrap setM_nsUsrName:contact.m_nsEncodeUserName];
[wrap setM_uiScene:contact.m_uiFriendScene];
[wrap setM_nsTicket:contact.m_nsTicket];
[wrap setM_nsChatRoomUserName:contact.m_nsChatRoomUserName];
wrap.m_oVerifyContact = contact;
AutoSetRemarkMgr *mgr = [[%c(MMServiceCenter) defaultCenter] getService:%c(AutoSetRemarkMgr)];
id attr = [mgr GetStrangerAttribute:contact AttributeName:1001];
if([attr boolValue]) {
[wrap setM_uiWCFlag:(wrap.m_uiWCFlag | 1)];
[verifyLogic startWithVerifyContactWrap:[NSArray arrayWithObject:wrap] opCode:3 parentView:[UIView new] fromChatRoom:NO];
本文为本人根据iOS应用逆向工程 第2版的内容进行分析，由于整个逆向流程有点繁琐，有时候也不是只要分析一次就可以成功的，需要反反复复的进行UI分析、Log分析、lldb 分析。
iOS应用逆向工程 第2版
移动App入侵与逆向破解技术－iOS篇
iOSer @ RC
24.9k
粉丝
