Engenharia Reversa de Apps iOS com Frida

Quando Usar

Use esta habilidade quando:

• Analisar os detalhes internos de apps iOS durante avaliações de segurança autorizadas sem código-fonte
• Extrair chaves de criptografia, segredos de API ou detalhes de protocolos proprietários de apps iOS em execução
• Compreender a lógica ofuscada em Swift/Objective-C através do rastreamento de métodos em tempo de execução
• Contornar mecanismos de segurança complexos (detecção de jailbreak, anti-tampering, anti-debugging)

Não use esta habilidade para engenharia reversa não autorizada que viole termos de serviço ou leis de propriedade intelectual.

Pré-requisitos

• Dispositivo iOS com jailbreak e servidor Frida instalado via Cydia/Sileo, ou dispositivo sem jailbreak com IPA com Frida Gadget injetado
• Python 3.10+ com frida-tools (pip install frida-tools)
• Conexão USB ao dispositivo iOS
• class-dump ou dsdump para extração de cabeçalhos Objective-C
• Hopper Disassembler ou Ghidra para análise estática de binários (complementar)
• Conhecimento do runtime Objective-C e do name mangling do Swift

Fluxo de Trabalho

Passo 1: Extrair e Analisar o Binário

# On jailbroken device, find app binary
ssh root@<device_ip>
find /var/containers/Bundle/Application/ -name "TargetApp" -type f

# Pull decrypted binary (apps from App Store are encrypted with FairPlay)
# Use frida-ios-dump or Clutch for decryption
pip install frida-ios-dump
dump.py com.target.app

# Extract Objective-C class headers
class-dump -H decrypted_binary -o headers/
ls headers/  # Lists all class header files

Passo 2: Enumerar Classes e Métodos em Tempo de Execução

// enumerate_classes.js - List all loaded classes
Java.perform(function() {});  // N/A for iOS

// iOS uses ObjC runtime
if (ObjC.available) {
    var classes = ObjC.classes;
    for (var className in classes) {
        if (className.indexOf("Target") !== -1 ||
            className.indexOf("Auth") !== -1 ||
            className.indexOf("Crypto") !== -1) {
            console.log("[Class] " + className);

            // List methods
            var methods = classes[className].$ownMethods;
            for (var i = 0; i < methods.length; i++) {
                console.log("  [Method] " + methods[i]);
            }
        }
    }
}

frida -U -n TargetApp -l enumerate_classes.js

Passo 3: Rastrear Chamadas de Métodos com frida-trace

# Trace all methods of a class
frida-trace -U -n TargetApp -m "*[TargetAuth *]"

# Trace specific patterns
frida-trace -U -n TargetApp -m "*[*Crypto* *]"
frida-trace -U -n TargetApp -m "*[*KeyChain* *]"
frida-trace -U -n TargetApp -m "*[*Token* *]"

# Trace Swift methods (mangled names)
frida-trace -U -n TargetApp -m "*[*$s*Auth*]"

Passo 4: Hookar e Modificar o Comportamento de Métodos

// hook_auth.js - Intercepta a lógica de autenticação
if (ObjC.available) {
    // Hooka método Objective-C
    var AuthManager = ObjC.classes.AuthManager;
    if (AuthManager) {
        Interceptor.attach(AuthManager["- validateToken:"].implementation, {
            onEnter: function(args) {
                // args[0] = self, args[1] = selector, args[2+] = argumentos do método
                var token = new ObjC.Object(args[2]);
                console.log("[Auth] validateToken chamado com: " + token.toString());
            },
            onLeave: function(retval) {
                console.log("[Auth] validateToken retornou: " + retval);
                // Opcionalmente, modifique o valor de retorno
                // retval.replace(ptr(1));  // Força o retorno true
            }
        });
    }

    // Hooka CommonCrypto para análise de criptografia
    var CCCrypt = Module.findExportByName("libcommonCrypto.dylib", "CCCrypt");
    if (CCCrypt) {
        Interceptor.attach(CCCrypt, {
            onEnter: function(args) {
                this.operation = args[0].toInt32();  // 0=criptografar, 1=descriptografar
                this.algorithm = args[1].toInt32();  // 0=AES128, 1=DES, 2=3DES
                this.keyLength = args[4].toInt32();
                this.key = Memory.readByteArray(args[3], this.keyLength);
                console.log("[CCCrypt] Op: " + (this.operation === 0 ? "Criptografar" : "Descriptografar"));
                console.log("[CCCrypt] Chave: " + hexify(this.key));
            },
            onLeave: function(retval) {
                console.log("[CCCrypt] Status: " + retval);
            }
        });
    }
}

function hexify(buffer) {
    var bytes = new Uint8Array(buffer);
    var hex = [];
    for (var i = 0; i < bytes.length; i++) {

…