本文不包含具体编写插件的内容，只是从Tweak的原理去探究怎么防护插件的注入。
生成一个Tweak插件
有两种方式生成Tweak插件，一种是MonkeyDev，一种是Theos。
安装MonkeyDev
MonkeyDev安装与说明https://github.com/AloneMonkey/MonkeyDev
Monkey的使用
- MonkeyApp 重签名app，可以选择一个脱壳的ipa直接跑起来debug
- MonkeyPod 通过pod集成插件
- Command-line 命令行工具
- Tweak 越狱插件
我们选择Logos Tweak 来创建插件
项目中xm就是需要编写的hook文件、mm生成的目标文件
plist是注入目标的配置，截图上默认的是springboard应用
build settings里的设置，有三个空的需要填一下，如果是ssl登录，则不需要填写密码。最后一个是安装插件的时候，杀掉的目标进程。
安装Theos
Thoes的安装与使用https://github.com/theos/theos
编译生成Tweak
从编译产物中，可看出是一个dylib动态库文件
原理
Tweak通过dyld insert librarys 环境变量 插入到系统里
插入动态库的核心源码
// load any inserted libraries（越狱的环境都是用这个！）
if ( sEnv.DYLD_INSERT_LIBRARIES != NULL ) {
for (const char* const* lib = sEnv.DYLD_INSERT_LIBRARIES; *lib != NULL; ++lib)
loadInsertedDylib(*lib);
}
通过dyld源码查看到环境变量sEnv.DYLD_INSERT_LIBRARIES不为空的时候，会插入动态库，所以我们继续看源码环境变量相关的部分
在insert之前pruneEnvironmentVariables这行代码表示移除相关的环境变量，因此我们只要关注!gLinkContext.allowEnvVarsPrint && !gLinkContext.allowEnvVarsPath && !gLinkContext.allowEnvVarsSharedCache这个判断为true就可以
if ( !gLinkContext.allowEnvVarsPrint && !gLinkContext.allowEnvVarsPath && !gLinkContext.allowEnvVarsSharedCache ) {
pruneEnvironmentVariables(envp, &apple);
// set again because envp and apple may have changed or moved
setContext(mainExecutableMH, argc, argv, envp, apple);
}
继续查看源码看到hasRestrictedSegment这个函数，Mach-O里如果包含了Restricted段就可以是值为true.
// support chrooting from old kernel
bool isRestricted = false;
bool libraryValidation = false;
// any processes with setuid or setgid bit set or with __RESTRICT segment is restricted
// issetugid 这个函数不能在上架的app使用
if ( issetugid() || hasRestrictedSegment(mainExecutableMH) ) {
isRestricted = true;
}
bool usingSIP = (csr_check(CSR_ALLOW_TASK_FOR_PID) != 0);
uint32_t flags;
if ( csops(0, CS_OPS_STATUS, &flags, sizeof(flags)) != -1 ) {
// On OS X CS_RESTRICT means the program was signed with entitlements
if ( ((flags & CS_RESTRICT) == CS_RESTRICT) && usingSIP ) {
isRestricted = true;
}
// Library Validation loosens searching but requires everything to be code signed
if ( flags & CS_REQUIRE_LV ) {
isRestricted = false;
libraryValidation = true;
}
}
gLinkContext.allowAtPaths = !isRestricted;
gLinkContext.allowEnvVarsPrint = !isRestricted;
gLinkContext.allowEnvVarsPath = !isRestricted;
gLinkContext.allowEnvVarsSharedCache = !libraryValidation || !usingSIP;
gLinkContext.allowClassicFallbackPaths = !isRestricted;
gLinkContext.allowInsertFailures = false;
static bool hasRestrictedSegment(const macho_header* mh)
{
const uint32_t cmd_count = mh->ncmds;
const struct load_command* const cmds = (struct load_command*)(((char*)mh)+sizeof(macho_header));
const struct load_command* cmd = cmds;
for (uint32_t i = 0; i < cmd_count; ++i) {
switch (cmd->cmd) {
case LC_SEGMENT_COMMAND:
{
const struct macho_segment_command* seg = (struct macho_segment_command*)cmd;
//dyld::log("seg name: %s\n", seg->segname);
if (strcmp(seg->segname, "__RESTRICT") == 0) {
const struct macho_section* const sectionsStart = (struct macho_section*)((char*)seg + sizeof(struct macho_segment_command));
const struct macho_section* const sectionsEnd = §ionsStart[seg->nsects];
for (const struct macho_section* sect=sectionsStart; sect < sectionsEnd; ++sect) {
if (strcmp(sect->sectname, "__restrict") == 0)
return true;
}
}
}
break;
}
cmd = (const struct load_command*)(((char*)cmd)+cmd->cmdsize);
}
return false;
}
防护
通过上边的源码，得到了一个结论，只要在Mach-O里包含了__RESTRICT段就能防止insert library。图里在otherLinker里增加了几个参数
增加完后，用MachOview查看内容，Mach-O里成功的增加了__RESTRICT段，防护住了应用插件
再突破
修改Mach-O,使用MachOview，修改完成后保存。然后需要重签名后运行，重签名后，bundleId变了，可以通过其他方式监测Hook情况
再防护
应用程序内校验Mach-O情况，通过上边的源码hasRestrictedSegment函数，去查看是否__RESTRICT段被破坏。
后续
hook hasRestrictedSegment 方法，继续突破与防护，永无止境。
