[iOS Penetration] 앱 위변조 탐지 체크

요약

iOS 앱을 변조하기 위해서 복호화된 앱이 필요하다.

 

예전에는 앱을 복호화하기 위해서 Clutch를 썻지만,

 

CrackerXI+로 쉽게 복호화가 가능하다.

 

복호화됨 앱을 변조하기 위해서는

 

추출한 CrackerXI+로 추출한 ipa파일을 압축해제하여

 

바이너리파일을 분석하고 수정한다.

 

수정한 파일을 다시 압축하여 설치해야되는데 

 

예전에는 Cydia Impactor로 쉽게 설치가 가능했는데 서명가능한 애플 계정이 필요하다.

 

이때 3utools로 설치하면 추가적인 서명 작업없이 설치가 가능하다.

 

정상적으로 설치가 완료되면,

 

앱을 실행하여 위변조 체크가 이루어지는지 확인해보면 된다.

 

 

상세 점검 방법

1. 점검용 기기 준비

Checkra1n으로 탈옥

https://checkra.in/

checkra1n

 

2. ipa 추출

1. Cydia 에서 CrackerXI+ 설치

https://kubadownload.com/news/crackerxi-crack-ios-apps

CrackerXI+ is a simple tool to crack iOS apps

2. CrackerXI+에서 점검 대상 앱 복호화하여 ipa로 추출

ipa 추출 경로 : /private/var/mobile/Documents/CrackerXI)

 

3. 앱 변조

1. 추출된 ipa 압축프로그램(bandizip, 알집 등)으로 압축해제
2. 압축해제된 pgmname.app 폴더에서 바이너리 파일 추출하여 hxd로 수정

  - 간단한 테스트를 위해서는 cydia string 을 임의로 변조

  - 심화된 수정을 위해서는 ida 로 바이너리 파일 분서하여 우회하고자하는 로직 수정
3. payload 폴더를 최상위로 하여 다시 압축
4. 압축된 파일 확장자 ipa로 변경

 

4. 변조된 앱 설치

1. 윈도우에서 3utools 설치

http://www.3u.com/

3uTools | The best all-in-one tool for iOS users

2. AppSync 설치

http://www.3u.com/news/articles/1291/how-to-install-appsync-on-jailbroken-idevice

How To Install AppSync On Jailbroken iDevice?

3. 설치된 정상 앱을 삭제

4. 3utools에 점검 폰 연결
5. iDevice > Apps 메뉴에서 수정한 ipa 파일을 드래그 앤 드롭 하여 설치

6. 앱이 정상적으로 실행되면 위변조 탐지되었다고 메세지가 뜨거나 앱이 종료되면 위변조 탐지 중

 - 아무 메세지 없이 종료되면 앱이 정상적으로 변조되었는지 파악이 안되므로, 앱 위변조 탐지솔루션에 탐지 내역이 있는지 확인 필요