Frida Playgroundで実践練習をする #02

Frida Playground

から実戦経験が積めます。

インストール用のIPAも配布されているのでSideloadlyでちゃちゃっとインストールしてしまいましょう。

Challenges

早速簡単な方から解いていきます。

適当にインストールしたせいでBundle IDがわからないので調べます。

1
$ frida-ps -Ua
2
 PID  Name                    Identifier
3
----  ----------------------  ------------------------
4
2069  AppStore                com.apple.AppStore
5
2060  Nintendo Switch Online  com.nintendo.znca
6
3130  Playground              eu.nviso.fridaplayground
7
2033  Search                  com.apple.Spotlight
8
1993  Settings                com.apple.Preferences
9
2039  Sileo                   org.coolstar.SileoStore
10
2068  palera1nLoader          com.samiiau.loader

というわけでeu.nviso.fridaplaygroundという値であることがわかりました。

2.1 Switch implementation (ObjC.implement)

ObjC.implementを使ってボタンを押したときに本来呼ばれるlose()に代えてwin()を実行するというものです。

Objc.chooseSync

正解手ではないですがいろいろ解法を載せておきます。

1
function solve201() {
2
    const method = VulnerableVault['- lose'];
3
    Interceptor.attach(method.implementation, {
4
        onEnter: function (args) {
5
            const object = ObjC.chooseSync(VulnerableVault)[0];
6
            object.win();
7
        },
8
    })
9
}

Vulnerable

method.implmentationがそのメソッドの処理を持っているのでメソッドの処理自体を置き換えます。

なのでイメージとしては以下のような感じです。

1
function solve201() {
2
    VulnerableVault['- lose'].implementation = VulnerableVault['- win'].implementation;
3
}

で、実際にこれは正しく動作します。

1
function solve201() {
2
    const method = VulnerableVault['- lose'];
3
    method.implementation = VulnerableVault['- win'].implementation;
4
}

値渡しではなく参照渡しになっているのでこちらの書き方でも大丈夫です。

Objc.implement

正攻法で解きます。

1
function solve201() {
2
    const method = VulnerableVault['- lose'];
3
    method.implementation = ObjC.implement(method, function (handle, selector) {
4
        ObjC.Object(handle).win();
5
    })
6
}

こちらであれば長いコードを書くことができます。

2.2 Switch implementation (Interceptor.replace)

使い方がいまいちわからないです。

さっぱりわからないので答えを見ました。

1
function solve202() {
2
    const method = VulnerableVault["- lose"];
3
    Interceptor.replace(method.implementation, new NativeCallback(function(instance, selector) {
4
        ObjC.Object(instance).win();
5
    }, 'void', ['pointer', 'pointer']));
6
}

NativeCallbackの使い方がいまいち分かりません。特に後半のポインターを指定しているのはなんですかこれ。

2.3 Hook exported function

isSecureがTrueを返すように変更しろとのこと。

で、Hopper Disassemblerで調べてもisSecureというメソッドはありません。

調べてみるとisSecureはiOS 2.0から実装されている標準ライブラリらしいです。

メソッドを読み込むには以下のコードを書きます。

1
const method = Module.findExportByName(null, "isSecure");

このメソッドが実行されたときの処理を書き換えたいので、

1
    Interceptor.attach(method.implementation, {
2
        onEnter: function (args) {
3
            const object = ObjC.chooseSync(VulnerableVault)[0];
4
            object.win();
5
        },
6
    })

Frida Playgroundで実践練習をする #02