Cydia: установка приложений через impactor, IPA-файлый, ITunes

Appsync и vshare

Если вы ищете, как установить взломанные приложения через Cydia, обратите внимание на твик AppSync. Он позволяет быстро добавлять на телефон любые IPA-файлы.

1. Запустите Cydia.
2. Откройте вкладку «Репозиторий».
3. Нажмите «Правка» — «Добавить».
4. Добавьте репозитории angelxwind и hackyouriphone.
5. Подтвердите добавление.
6. Найдите расширение AppSync для своей версии iOS.
7. Установите твик.
8. Перезагрузите устройство.

Аналогичным образом работает расширение vShare. Достоинство этого твика в том, что доступные через него приложения хранятся на сервере vShare, что значительно упрощает процесс установки.

1. Откройте Cydia.
2. Подключите репозиторий appvv.
3. Найдите и добавьте vShare.
4. Запустите установленное приложение.
5. Найдите игру или программу, которую хотите установить, и добавьте в очередь загрузки.

Но устанавливать приложения только через Cydia — не единственный вариант. Можно использовать другие программы для работы с iOS-устройствами.

Ipa файл

Теперь нам нужно приложение для тестирования. Если мобильные приложения и находятся в скоупе для исследования по программе Bug Bounty, то максимум, что мы получим, — ссылку на официальный магазин приложений для платформы. 

Мы можем попробовать перехватить трафик запущенного приложения и использовать разного рода инструменты, но для полноценного анализа желательно иметь IPA файл — аналог APK файла для Android. Чем ближе к оригинальному, тем лучше.

Находим IPA файл. Получить IPA файл можно несколькими способами:

• Использовать приложения для управления устройством с компьютера (например, iTunes или Apple Configurator 2). Они скачивают приложения из App Store, а потом заливают на девайс. Но можно поймать момент, когда файл уже скачан на компьютер из App Store, но еще не залит на девайс, и скопировать его.

• Установить приложение из App Store, а потом сдампить (например, через frida-ios-dump). Этот способ сработает только с джейлбрейкнутым девайсом, и в данном случае будут отсутствовать файлы с мета-информацией для App Store.

• Использовать сайты с IPA файлами. Но там вы, скорее всего, найдете уже неоригинальный файл и исследовать его на безопасность будет не так интересно, но все еще полезно для использования.

Как получить IPA файл с помощью Apple Configurator 2:

Itools и ifunbox

Если вы нашли в Cydia Impactor приложения и хотите добавить их на свой телефон без джейлбрейка и использования iTunes, используйте другие программы для переноса файлов: iTools, iFunBox.

Чтобы установить приложение через iFunBox:

1. Подключите устройство к компьютеру.
2. Запустите iFunBox.
3. Нажмите «Управление данными» и выберите опцию «Установить приложение».
4. Укажите путь к предварительно скачанному файлу IPA и дождитесь окончания установки.

Разработчики iFunBox предупреждают о наличии ограничений: не рекомендуется добавлять игры и программы, размер которых превышает 1 Гб. Для этого лучше использовать установку приложений через Cydia.

В iTools порядок инсталляции игр и программ будет аналогичный. Вам также необходимо установить и запустить программу на компьютере, подключить iPhone. Откройте вкладку Applications, переключитесь на пункт iPhone и нажмите Install. Укажите путь к файлу и дождитесь окончания установки.

Itunes

Большинству пользователей подойдет этот способ, позволяющий установить приложение из Cydia через iTunes.

Динамическая инструментализация (dynamic insrtumentation)

Вот основные инструменты динамической инструментализации:

Эти инструменты помогают разбирать приложения в режиме выполнения: смотреть память приложения, используемые ресурсы, локальные хранилища, базы данных, Keychain, тестировать джейлбрейк и SSL пиннинг.

Посмотрим на пример простого обхода джейлбрейка с помощью Frida. Мы уже разобрали реализацию одного из вариантов обнаружения джейлбрейка в приложении DVIA-v2, но на самом деле для его обхода нам достаточно информации из class-dump. В приложении есть класс JailbreakDetection и метод isJailbroken, который возвращает значение типа boolean.

Попробуем заменить возвращаемое значение с помощью кода для Frida:

if (ObjC.available) {
  var hook = ObjC.classes.JailbreakDetection["isJailbroken"];
  console.log("registering hook");

  Interceptor.attach(hook.implementation, {
    onLeave: function(retval) {
      console.log("replacing return value");
      retval.replace(ptr("0x0"));
    }
  });
}

Cкрипт проверяет доступность API для Objective-C (ObjC.available), ищет метод isJailbroken класса JailbreakDetection и регистрирует его для перехвата. На выходе из метода заменяем возвращаемое значение на 0 (false), что в данном случае будет означать то, что девайс не джейлбрейкнут.

Такие простые вещи обходятся любым готовым инструментом. Если готовый инструмент не подходит, то придется написать свой скрипт. 

Например, популярный вопрос на StackOverflow — как распознать джейлбрейк. Можно предположить, что этот или аналогичный код встречается во многих приложениях. В такой ситуации мы просто пишем больше своего кода:

const pathes = [
  "/Applications/Cydia.app",
  "/Library/MobileSubstrate/MobileSubstrate.dylib",
  "/bin/bash",
  "/usr/sbin/sshd",
  "/etc/apt",
  "/private/var/lib/apt/"
];

var fileExistsAtPathHook = ObjC.classes.NSFileManager["- fileExistsAtPath:"];

Interceptor.attach(fileExistsAtPathHook.implementation, {
  onEnter: function(args) {
    this.bypass = false;
    var path = ObjC.Object(args[2]).toString();
    for (var i = 0; i < pathes.length; i  ) {
      if (path.includes(pathes[i])) {
        this.bypass = true;
        console.log("fileExistsAtPath bypass: "   path);
        break;
      }
    };
  },
  onLeave: function(retval) {
    if (this.bypass) {
      console.log("fileExistsAtPath bypassed");
      retval.replace(ptr("0x0"));
     }
   }
});

var canOpenURLHook = ObjC.classes.UIApplication["- canOpenURL:"];

Interceptor.attach(canOpenURLHook.implementation, {
  onEnter: function(args) {
    this.bypass = false;
    var url = ObjC.Object(args[2]).toString();
    if (url.includes("cydia")) {
      this.bypass = true;
      console.log("canOpenURLHook bypass: "   url);
    }
  },
  onLeave: function(retval) {
    if (this.bypass) {
      console.log("canOpenURLHook bypassed");
      retval.replace(ptr("0x0"));
    }
  }
});

Используя такой подход, можно обойти более продвинутый джейлбрейк, чтобы дальше заниматься исследованием приложения.

Также на джейбрейкнутом девайсе можно попробовать обойти Touch ID с использованием Objection и команды “ios ui biometrics_bypass”.

Это пример использования готового скрипта, но написать такой код самостоятельно тоже можно: мы просто запустили похожий скрипт, используя инструмент с вшитым набором скриптов. Подкладываем неправильный отпечаток и перехватываем его. Операционная система отвечает, что доступа нет, но complete hook заканчивается, и нам удается пройти аутентификацию в приложении. Можно ознакомиться с кодом приложения тут.

Теперь рассмотрим Cycript. Этот инструмент по функциональности похож на предыдущие, но также может помочь связать элементы UI с кодом. 

Допустим, что в приложении есть кнопка, и нам нужно понять, какой метод в коде вызывается при ее нажатии. Мы подключаемся к приложению, смотрим, какие кнопки есть в этом UI, находим его по какому-то лейблу и смотрим, какой у него целевой объект (target):

cy# var buttons = choose(UIButton)
cy# buttons[8].titleLabel.text
@"Jailbreak Test 1"
cy# buttons[8].allTargets
[NSSet setWithArray:@[#"<DVIA_v2.JailbreakDetectionViewController: 0x1058308f0>"]]]
cy# buttons[8].allControlEvents
64
cy# target=[buttons[8].allTargets anyObject]
#"<DVIA_v2.JailbreakDetectionViewController: 0x1058308f0>"
cy# [buttons[0] actionsForTarget:target forControlEvent:UIControlEventTouchUpInside]
@["jailbreakTest1Tapped:"]

Рассмотрим подробнее, что же тут происходит:

1. Выбираем все объекты класса UIButton.

2. Находим нужную нам кнопку по надписи на ней (см. titleLabel).

3. Находим, что является целевым объектом для действия по данной кнопке (см.   allTargets). Получаем класс JailbreakDetectionViewController.

4. Смотрим, какие типы действий может обрабатывать данная кнопка (см. allControlEvents). Выясняем, что кнопка умеет обрабатывать нажатие, UIControlEventTouchUpInside (UIControlEventTouchUpInside = 1 <<  6 = 64).

5. Вызываем метод actionsForTarget с известными нам данными и получаем имя метода: jailbreakTest1Tapped.

При нажатии на кнопку “Jailbreak Test 1” происходит вызов метода jailbreakTest1Tapped класса JailbreakDetectionViewController. Так мы можем соединить элементы интерфейса с соответствующим кодом и заниматься реверсом этих частей приложения.

Использование cydia impactor

На старых версиях iOS при желании не составляло труда сделать джейлбрейк и получить доступ к Cydia. Чем выше версия iOS, тем меньше в ней уязвимостей. Джейлбрейк всё еще можно сделать, после чего на телефон появится Cydia, но гораздо быстрее и удобнее скачивать игры и программы через специальное приложение — Cydia Impactor.

В Cydia Impactor доступны приложения, которые нет в App Store или взломанные версии игр и программ из официального магазина Apple. Чтобы использовать утилиту, нужен компьютер, работающий на Windows, Linux или macOS. Для установки требуется IPA-файл приложения.

В Cydia Impactor установка приложений выглядит следующим образом.

Как установить ipa на ipad

Локальная аутентификация

При установке на девайс приложения сначала просят пройти полноценную аутентификацию: ввести имя пользователя, пароль, подтвердить номер по SMS. Дальше пользователь может поставить четырехзначный пароль и использовать биометрию. Такую аутентификацию на устройстве будем называть локальной.

Есть разные варианты локальной аутентификации:

Подготовка окружения

Для начала нужно подготовить окружение. 

Вот что для этого необходимо:

• Компьютер-хост. В идеале это должен быть MacOS, потому что с другой операционной системой возникнут сложности с установкой и запуском специализированного ПО.

• Джейлбрейкнутый тестовый девайс с желаемой версией iOS. iOS симулятор, который поставляется в комплекте с Xcode, не подойдет, так как он предназначен для запуска приложений, собранных под x86 архитектуру. Релизные версии приложений, предназначенные для запуска на реальном девайсе, собираются под ARM. Поэтому приложения, загруженные из Apple App Store, не получится запустить в симуляторе iOS.

• Сеть Wi-Fi, которая разрешает трафик от клиента к клиенту (или подход SSH через USB).

• Перехватывающий прокси (Burp Suite, Charles, mitmproxy и т.д.).

Это набор максимум: на самом деле можно работать и не на MacOS, и не на джейлбрейкнутом устройстве, но будут дополнительные сложности: отсутствие нужных инструментов, необходимость переподписывать приложение с использованием сертификата разработчика и т.д.

Джейлбрейк. Для тестирования желательно сделать джейлбрейк девайса.

Краткая инструкция выглядит так:

1. Найти подходящее тестовое устройство и сделать резервную копию.

2. Проверить, что для установленной версии iOS есть джейлбрейк.

3. Выбрать подходящий вариант (по этой ссылке можете почитать про сравнение между Tethered/Untethered).

4. Джейлбрейкнуть, следуя инструкции к выбранному способу: например,  Checkra1n или Unc0ver.

Если хотите узнать подробно о том, как работают джейлбрейки, почитайте статью с техническим анализом эксплойта для checkm8 от Digital Security. Там много интересных подробностей.

Полезные приложения. Теперь на девайс можно поставить приложения, которые нельзя установить на iPhone без джейлбрейка. Для этого нужно установить Cydia. Установка будет отличаться в зависимости от выбранного джейлбрейка, просто следуйте инструкции.

Вот некоторые полезные приложения:

Прокси. Следующий обязательный шаг — это настройка прокси для перехвата трафика приложения на устройстве. 

Логика этого процесса аналогична настройке перехвата для браузера:

Полезные ссылки

В статье мы поверхностно рассмотрели инструменты и подходы, используемые при анализе мобильных приложений. Материал основан на подходах и рекомендация из  OWASP Mobile Security Testing Guide — это подробное руководство по тестированию безопасности мобильных приложений под iOS и Android.

Практические примеры я взял из Damn Vulnerable iOS App (DVIA-v2) — одного из тестовых приложений, на котором можно оттачивать навыки и экспериментировать.

Также для закрепления материала из статьи советую посмотреть GimmeFlag — iOS приложение с простыми CTF-like заданиями на статический анализ. Для решения заданий достаточно минимального набора инструментов, наличие iOS девайса (как и Mac OS) не требуется.

Способ 1 установка файлов ipa без участия itunes с помощью программы cydia

Что нам понадобится

— персональный компьютер;

— планшет iPad.

Порядок работы

1. Включим планшет и запустим программу Cydia:

2. Откроется репозиторий данного приложения.

3. Нажмем на кнопку «Edit», а после — на «Добавить» в левом верхнем углу экрана.

4.В появившейся иконке укажем название нужного нам репозитория (в данном случае — «Hackulo.us»):

5. Нажмем на клавишу «Add Source», в показавшейся после этого иконке подтвердим операцию. После проведенного обновления необходимый нам репозиторий появится на устройстве:

6.С помощью поискового меню найдем «Installous 4», который уже установлен на устройстве:

7. После установки «Installous 4», на рабочем столе появится иконка:

Войдя в «Installous» можно пролистывать и выбирать списки приложений на самом устройстве, – они находятся слева на экране:

Это можно сделать и с помощью персонального компьютера, для чего:

— в категориях выберем iPad:

— с помощью поискового меню найдем нужный нам файл (например, в разделе «Игры» выберем игру Angry Birds Seasons HD-v1.3.0-most_uniQue.ipa).

— выберем папку Installous App Install, в которую скопируем приложение:

— в планшете перейдем в папку «Downloads» на «Installous»:

— нажав на строку с названием нужной нам игры, запустим ее, после чего нажмем на «Install»:

После этого на экране планшета появится иконка требуемой игры.

Способ 2 установка файлов ipa с помощью программы itunes

Что нам понадобится

— персональный компьютер;

— планшет iPad.

Порядок работы

1. Скачаем и установим нужную нам программу (игру) на ПК.

2. Запустим программу iTunes.

3. Кликнем два раза на нужную нам программу, после чего она будет добавлена в iTunes.

4. Подключим устройство к ПК и произведем его синхронизацию в iTunes. Установка файла закончена.

Совет

Как установить ipa на iPad4.50 out of 50 based on 2 voters.

Установка ipa-файлов

Cydia приложения можно установить с помощью IPA-файлов. Найти их не проблема: установочные пакеты размещаются на мобильных форумах и сайтах об устройствах Apple. Для их установки можно использовать разные методы, с джейлбрейком и без него.

Установка и запуск

Мы сделали статический анализ. Теперь попробуем запустить приложение на джейлбрейкнутом девайсе и посмотреть, что оно делает.

Первая проблема, с которой мы сталкиваемся, — установка. Для пользователей есть один официальный способ это сделать — App Store. Для организаций существуют разные enterprise-решения, которые могут распространять приложение внутри компании в обход AppStore на девайсах, в которых уже включены MDM и т.д.

Нам это не нужно, поэтому попробуем поставить приложение (например, AppSync Unified), которое позволит устанавливать неподписанные файлы, файлы с невалидной подписью или с возможностью переподписать файл. 

Самый простой вариант для этой задачи — Xcode (Window — Devices and Simulators) или Cydia Impactor (но в связи с последними изменениями от Apple у меня он не работает, вот тут есть информация про ошибки).

Также неподписанное приложение можно установить, используя  специальное приложение на девайсе. Например, через Filza: загрузить IPA на девайс (например, через SFTP), найти IPA файл и нажать “Install”.

Теперь попробуем запустить. При запуске приложения можно столкнутся с тем, что разработчики попытались заблокировать запуск на джейлбрейкнутом девайсе либо выдают предупреждения при каждом запуске или даже во время работы приложения.

Один из простых способов обхода подобных предупреждений — использование специальных приложений (например, Liberty Lite), но это сработает только в случае простых механизмов обнаружения. Более сложные способы разберем в этой статье в разделе про инструменты динамической инструментализации.