이 게시판의 RSS 주소 : http://x86osx.com/bbs/zero_rss.php?id=realmacbook [List by write date] [List by comment]

제목:

Universal Version(FAT BINARY) App을 decrypt하는 이해하기~

분류: 아이폰

이름:

방현오빠

Date: 2010-08-22 04:16

Read: 3778

Link#1: http://v.daum.net/link/8914540

Link#2:

최근에 나온 앱들이 Universal버젼입니다.
armv6+armv7이 둘다들어있는거죠. OSX의 ppc+intel로 이해하시면 됩니다.
이윤~ ^^ iPhone3GS(이하 iPod및 iPhone)/iPhone4/iPad때문이겠죠~
기존의 방식에 추가가 되는겁니다.
먼저 앱이 FAT BINARY인지 아닌지를 확인하며 정보를 추출해야합니다.

아이폰에서..
otool -f {타겟} // 아이폰에 gdb툴들이 설치가 되어있어야 합니다. 없다면.."apt-get install gdb"을 아이폰에서 실행시키세요.
아이폰 터미널의 위치는 /User/Applications/{해당앱CODE}/ <- 여기가 되겠죠.
그리고 만약에 한글이라면..
ls | grep .app | sed 's/^(.*).app//1/'
명령을 수행하세요
그럼 화일명을 출력합니다.
..
otool -f {타겟} // 위해당 위치라면 XXX.app까지 포함해서..
예)
otool -f KB341204211341205263341204220341205241341204207341205242341206274341204217341205265341206274.app/KB341204211341205263341204220341205241341204207341205242341206274341204217341205265341206274

Fat headers
fat_magic 0xcafebabe
nfat_arch 2
architecture 0
    cputype 12
    cpusubtype 6
    capabilities 0x0
    offset 4096
    size 2127616
    align 2^12 (4096)
architecture 1
    cputype 12
    cpusubtype 9
    capabilities 0x0
    offset 2134016
    size 1879824
    align 2^12 (4096)

이렇게 출력이 됩니다.
여기서 정보는 두번째 architecture 1의 offset 값~ 2134016 입니다.

그리고 원본 실행화일을 컴터로 가져옵니다.
중요한것은 최신 iPhone SDK가 설치되어 있어야 합니다.
이윤 armv6/armv7의 영역의 추출하기 위함인데..
아이폰3GS에선 armv7의 옵션이 없습니다~ 당연하겠죠?

정확히는 이해를 못하겠지만 어찌되었든 메모리덤프를 위한 영역사이즈를 구하기 위해서~
lipo를 이용해 실제메모리 사이즈를 구합니다.

lipo {타겟} -thin armv7 -output armv7_thin

그럼 해당디렉토리에 armv7_thin화일 생성됩니다.

otool -l armv7_thin | grep crypt
cryptoff  4096
cryptsize 1175552
cryptid   1

여기서 1175552를 적어두세요.

이제 메모리 덤프를 합니다.
다시 아이폰 터미널로 가세요~
먼저 해당 앱을 실행하시고.. 튕기지 않고 경고메세지가 출력된 상태겠죠?(^^ 무슨말인지 아실껍니다)

터미널에서 프로세스 아이디를 구하세요.

ps ax | grep {타겟} // 여기서 타겟은 실행화일 이름만입니다. 이름 구하시는 법은 위에 있고.
아니면 그냥~
ps ax만 하셔도 구분할수 있도록 리스트에 나옵니다.

  PID   TT  STAT      TIME COMMAND
    1   ??  Ss     0:05.78 /sbin/launchd
   12   ??  Ss     0:01.72 /usr/sbin/mDNSResponder -launchd
   13   ??  Ss     0:03.27 /usr/sbin/notifyd
   14   ??  Ss     0:00.41 /usr/sbin/syslogd
   15   ??  Ss     0:29.56 /usr/libexec/configd
   17   ??  Ss     0:01.96 /usr/sbin/BTServer
   18   ??  Ss     2:01.17 /System/Library/CoreServices/SpringBoard.app/SpringBoard
   19   ??  Ss     0:19.91 /System/Library/Frameworks/CoreTelephony.framework/Support/CommCenter
   24   ??  Ss     0:49.65 /usr/libexec/lockdownd
   27   ??  Ss     0:00.55 /usr/sbin/fairplayd.N88
   29   ??  Ss     0:02.42 /usr/bin/sbsettingsd
   31   ??  Ss     0:06.96 /usr/libexec/ptpd -t usb
   36   ??  Ss     0:07.46 /usr/sbin/mediaserverd
   37   ??  Ss     0:03.53 /usr/libexec/locationd
   39   ??  Ss     0:00.06 /usr/sbin/accessoryd
   52   ??  S      0:00.59 /usr/libexec/afcd --lockdown -d /var/mobile/Media -u mobile
   53   ??  S      0:33.08 /usr/libexec/afcd --lockdown -d /
   54   ??  S      0:00.41 /usr/libexec/afcd --lockdown -d /var/mobile/Media -u mobile
   55   ??  S      0:00.02 /usr/libexec/notification_proxy
  124   ??  Ss     0:01.56 /System/Library/PrivateFrameworks/ApplePushService.framework/apsd
  125   ??  Ss     0:00.21 /usr/libexec/lsd
  174   ??  Ss     5:26.84 //Applications/iFile.app/iFile_
  604   ??  Ss     0:02.25 /Applications/MobileMail.app/MobileMail
  605   ??  Ss     0:01.30 /Applications/MobilePhone.app/MobilePhone
  657   ??  S      0:00.55 /usr/sbin/sshd -i
  675   ??  Ss     0:01.30 /var/mobile/Applications/B01E4726-1FD6-41EA-91E9-FF49BE979A9D/KBM-aM^DM^IM-aM^EM-3M-aM^DM^PM-aM^EM-!M-
  658 s000  Ss     0:00.17 -sh
  676 s000  R+     0:00.00 ps ax

675번이겠죠?
이제 gdb를 실행합니다.
gdb -p 675
(gdb) dump memory dump.bin 0x2000 {여기에 lipo를 이용한 메모리덤프용 사이즈값 1175552+8192를 대입합니다. 16진수로요 > 0x121000}
(gdb) quit
==========
16진수계산은
OSX의 계산기를 실행시켜~
보기메뉴에서 프로그래머로 선택하시면 됩니다.
==========
해당디렉토리에 보시면 dump.bin이라고 생성이 되어있습니다.
이제 메모리덤프는 만드셨으니~ ^^

dump.bin을 컴퓨터로 복사해서 원본파일에 덮어쓰면 됩니다.
중요한것은 덮어씌어질 영역주소값입니다.

영역주소값은 처음에 otool -f 로 구한값~ 2134016+4096입니다.
역시나 16진수값~ 0x20A000

컴퓨터에서 HEX편집기로 dump.bin을 여시고 전체를 카피합니다.
그리고 원본화일을 여신후에 주소0x20A000 위치에 커서를 두시고 OverWrite(덮어쓰우기)로 붙여넣습니다.

최종으로 cryptid값을 1 > 0 으로 변경해야합니다.
방법은 ^^ 간단합니다.
1175552값을 16진수로 계산합니다.
0x11F000
11 <> F0의 위치를 바꿉니다. F011이 되겠죠?
00F01100을 HEX편집기에서 HEX FIND(주소검색이 아님, 내용검색)로 검색합니다.
그럼..
00 F0 11 00 01 00 00 00...
이렇게 검색이 될껍니다.
그럼 무엇인지 알겠죠?
뒤에 있는 01 00 00 00 에서 01 > 00으로 바꿔주면 됩니다.
자~
이제 decrypt가 완벽히 끝났습니다.

무언가를 수정해야 한다면..
지금부터 하시면 됩니다.
저도 처음에 다른 사이트에 있는 정보에서~ 맞는 주소값을 찾았는데 값이 틀려서 헤멨는데~(기존의 thin방식으로 하다가)
이해가 되겠더군요.

그리고 마지막으로 당부를 드리는것은~
현재의 방법은..
iPhone3GS(iPod/iPhone2G/3G)에 해당됩니다.
만약에 iPad/iPhone4를 하셔야 한다면(FAT BINARY일때)..
덤프화일을 원본화일에 덮으실때~
architecture 1대신에 architecture 0의 정보로 하시면 되겠죠?
architecture 0의 offset값이 4096이니~
-.- 여기서 조금은 헛깔리는데..
Universal이 아닐때는 덮을때~ 0x1000주소에서 시작을 했는데..
일단 offset값이 4096(0x1000)이니 0x1000+0x1000 = 0x2000에서 덤프화일을 덮어씌우면 되겠네요.
확인할길이 없네요..지금 아이패드/아이폰4가 없어서~

^^ 클돌님의 DeCryptIt 1.2버젼이면 다 해결됩니다. 아마도 아이폰3GS(이하)만 해당되는것 같더군요.
이글은..
그래도 내용에 대해 이해를 하시라고 올립니다~