初探Swift Runtime: 使用Frida实现对Alamofire的抓包工具 – 作者:neilwoo

背景

Swift自2014年发布以来,在Apple的开发生态下占据的位置越来越重要,国外友人在2019年统计过超过半数的非游戏类app已经使用swift,淘宝技术团队曾发文介绍过他们的swift实践。随着swift5在2019年的发布,swift也终于进入ABI稳定,这无疑具有里程碑的意义,相信会有更多的App将离不开swift。

从逆向的角度看,关于swift的研究分析却较少,一些好项目还由于面向的swift的版本过老而与swift5存在兼容问题无法使用,比如 swift-frida

笔者最近粗略学习了一下swift相关的文档,从swift类型在Mach-O文件中的结构入门,逐步到运行时分析。已经实现了一个从Mach-O文件中获取swift类型定义的命令行工具SwiftDump,包括其Frida版本FridaSwiftDump

在本文中,将着重从Swift Runtime数据结构入手进行分析,面向Github上3.3万star的swift HTTP网络库Alamofire,实现一个基础版本的抓包工具,具备:打印GET/POST请求;屏蔽SSL Pinning。过程中会介绍到swift的内存布局,函数调用约定,参数传递,运行时函数调用。

项目地址:FridaHookSwiftAlamofire

测试环境

新建空的iOS Swift工程,并使用cocoapods 引用 Alamofire 5.2.1作为framework。
使用的Xcode版本为Version 11.5 (11E608c),swift 5.2,在ARM64的真机下运行。

确认关键函数

我们先从正向的开发环境入手,搞清楚Alamofire的请求过程,挖掘出合适的函数进行Hook。使用Frida完成一个可用的版本后,对其他app进行测试查看实际的使用效果。

Alamofire Get请求示例

发送一个简单的GET请求,测试代码如下:

图片[1]-初探Swift Runtime: 使用Frida实现对Alamofire的抓包工具 – 作者:neilwoo-安全小百科

Alamofire的实现分析

AF 是 Session.default,Session是Alamofire中创建和管理Request
调用 AF.request 后, Session会新建一个DataRequest, 并将其加入requestQueue中执行setup过程进行创建。
查看DataRequest,在新建出来后,会调用:

override func task(for request: URLRequest, using session: URLSession) -> URLSessionTask

熟悉OC的朋友都知道,OC里有个NSURLSessionTask,此处的URLSessionTask正是为了兼容OC而存在的,可以查看其源码

既然是与OC兼容,那我们就以Hook OC的方式Hook以下函数

open func dataTask(with request: URLRequest, completionHandler: @escaping (Data?, URLResponse?, Error?) -> Void) -> URLSessionDataTask

具体实现在 HookDataTaskWithRequest.ts 中,此处比较简单,不再赘述。

运行Frida Hook,重新发送GET请求,发现确实触发了该Hook,但是completionHandler参数为空。为什么呢?

继续回到Alamofire源码,看到 Session.swift 的init里可以看到默认URLSession的delegate为SessionDelegate,由其处理请求的各种数据和状态回调。

找到open func urlSession(_ session: URLSession, dataTask: URLSessionDataTask, didReceive data: Data),在此函数内接收回包的数据。我们在此进行Hook。这是一个swift函数,并不能用刚才OC的方法进行hook。swift导出的函数在被编译的时候,函数符号名会被name mangle,在swift5下,变为以开始的一个字符串,其中包含类型信息,比如该函数被修饰为: `s9Alamofire15SessionDelegateC03urlB0_8dataTask10didReceiveySo12NSURLSessionC_So0i4DataF0C10Foundation0J0VtF`

我们可以用以下命令来将符号还原(注意$符号前面的\):

swift demangle “\$s9Alamofire15SessionDelegateC03urlB0_8dataTask10didReceiveySo12NSURLSessionC_So0i4DataF0C10Foundation0J0VtF”

输出结果为

Alamofire.SessionDelegate.urlSession(_: __C.NSURLSession, dataTask: __C.NSURLSessionDataTask, didReceive: Foundation.Data) -> ()

确认是我们需要的函数符号。

Foundation.Data的内存布局

接着以上步骤,在Frida中使用 getExportByName,来获取函数指针并Hook。第一个参数和第二个参数都是兼容OC的类型,可以转为Frida的ObjC.Object类型进行访问。第三个参数为Swift的Foundation.Data类型,怎么获取其数据呢?

先来研究Foundation.Data,Swift的Foundation库已经开源,可以一探究竟。找到Data.swift,将其简化一下,只保留相关定义:

图片[2]-初探Swift Runtime: 使用Frida实现对Alamofire的抓包工具 – 作者:neilwoo-安全小百科

基本结构已知,根据的Data大小不同有不同的表示方式,具体参考上面代码的注释。在arm64环境下,我们的测试请求响应数据大小只有几百bytes,符合InlineSlice。结构如下图所示:

图片[3]-初探Swift Runtime: 使用Frida实现对Alamofire的抓包工具 – 作者:neilwoo-安全小百科

Swift ABI调用约定里有介绍,swift非常注重第一类型,并且能够在寄存器中直接传递类型值。

在此处的Data类型就用到了这种方法。Data类型的数据被分为两个寄存器来传递:args[2]传递range信息,args[3]传递__DataStorage指针(args[0]指向NSURLSession,args[1]指向NSURLSessionDataTask,函数原型只有三个参数,但实际上调用时会有4个参数)。

args[2] = 0x1e000000000 => 0x0,0x1e0 => range from 0 to 0x1e0
args[3] = DataStorage's address

而__DataStorage是swift class,可以根据class memory-layout,解析出对应的地址(参考上面的结构关系图,代码实现在 SDSwiftDataStorage.ts中)。

注:事实上,我们在正向开发过程中,用Xcode打断点调试,也能看到swift Data的大概结构,如下图:

图片[4]-初探Swift Runtime: 使用Frida实现对Alamofire的抓包工具 – 作者:neilwoo-安全小百科

Kill SSL Pinning

先看看Alamofire怎么使用SSL Pinning:

let manager = ServerTrustManager(evaluators: ["httpbin.org": PinnedCertificatesTrustEvaluator()])
self.session = Session(serverTrustManager: manager)

跟踪代码,在func attemptServerTrustAuthentication(with challenge: URLAuthenticationChallenge) -> ChallengeEvaluation里会判断是否需要检查证书,设置了Pinning后会返回useCredential,如果没有设置任何检查项,则返回(.performDefaultHandling, nil, nil),我们在此只需修改该函数永远返回这个Tuple值。
Tuple的memory layout是线性布局的(如果未内存对齐,会为了内存对齐填充0),用Frida Hook后,指针指向的第一个值就是要修改的值。

代码在HookAFServerTrust.ts中,如下:

图片[5]-初探Swift Runtime: 使用Frida实现对Alamofire的抓包工具 – 作者:neilwoo-安全小百科

Swift String

如果我们想获取字符串Swift.String的值,该怎么做呢?
查看String的内存布局。我们可知,String是Struct,值类型,分为 Small(<=15bytes) 和 Large两种表示方式。我们知道Foundation.URL有个函数可以根据String初始化。符号如下:
s10Foundation3URLV6stringACSgSSh_tcfC ---> Foundation.URL.init(string: __shared Swift.String) -> Foundation.URL?。hook这个函数。

对于Small String,Swift会直接使用两个参数来传递该值。对于Large String,是使用两个参数分别指向了两个属性(符合ABI里介绍的调用约定,Swift值类型在传递时特定的情况下会直接用寄存器传递)。具体代码在文件SDSwiftString.ts中。

One More Step

能否直接调用Swift的运行时函数呢?
答案是可以的,但是需要传入合适的参数。
举个例子:
使用IDA分析我们的测试程序,可以发现

$s10Foundation4DataV19_bridgeToObjectiveCSo6NSDataCyF函数原型为
Foundation.Data._bridgeToObjectiveC() -> __C.NSData

它可以将Data类型转为NSData类型,而NSData类型我们是可以直接在Frida下使用的OC类型。参考以上,可以将Data用两个参数传递给这个函数即可,分别表示range和DataStorage。示例代码在SwiftRuntime.ts中:

图片[6]-初探Swift Runtime: 使用Frida实现对Alamofire的抓包工具 – 作者:neilwoo-安全小百科

总结

Swift为了与OC兼容,保留了部分动态性,同时,为了更高效的运行,充分利用了寄存器,能直接传递就不间接传递,以实现的复杂性来得到运行的高效性。当然对于逆向研究来说,这里面还有很多可以挖掘的地方,笔者在此仅尝试了一小部分且仍有瑕疵,欢迎大家留言交流学习。如果觉得有用,欢迎star项目FridaHookSwiftAlamofire

参考资料

来源:freebuf.com 2020-07-15 23:01:02 by: neilwoo

© 版权声明
THE END
喜欢就支持一下吧
点赞0
分享
评论 抢沙发

请登录后发表评论