[IOS] IPA 추출방법. (IOS 12.4.7/12.4.8)

App Store에 올라가는 Application의 IPA 파일은 자동으로 Encrypt된다. 따라서 우리가 분석을 위해서 IPA를 PC로 추출하기 위해서는 반드시 Decrypt과정과 임의의 서명과정을 거쳐야만 한다.

 

IOS 11 이전에는 Clutch를 사용해 Decrypt를 수행했다. 그러나 막히면서 이상 상위 버전에서는 CrackerXI 혹은 frida-ios-dump를 이용해 Decrypt 과정을 수행합니다.

 

[ CrackerXI 사용법 ]

1. Cydia의 소스에탭에서 편집-추가에 http://cydia.iphonecake.com/ 을 입력해 추가한다.

2. AppCake가 생기면 거기에 포함된 CrackerXI를 설치한다.

 

 

3. 앱 실행후 새로고침을 누르면 추출가능한 APP List가 나온다. 

 

 

4. Settings을 누르고 위와 동일하게 설정한다. (Cracker Name은 서명할 때 사용될 이름이다.)

5. 다시 App List탭으로 넘어가서 복호화할 앱을 선택하여 복호화한다.

   (IPA 전체를 할지 Binary File만 할지 선택할 수 있으며 결과가 경로와 함께 주어진다.)

6. 3uTools를 사용해 해당 경로에 있는 Decrypt된 파일을 PC로 옮긴다.

 

 

---

 

[ frida-ios-dump ]

frida-ios-dump는 Windows환경에서도 가능하지만 조금 더 편한 Kali Linux(2020.02)를 설치해서 진행한다.

Ubuntu(2020.02) 에서도 동일하게 진행되는 것을 확인했다.

 

1. [Kali] sudo apt --reinstall install libc6-dev libgcc-9-dev gcc-9-base

           (의존성 문제를 해결하기 위함이다. 다음에 안하고하면 어떻게되나 해봐야지..)

2. [Kali] sudo apt install libimobiledevice*

          sudo apt install libgcrypt20-doc gnutls-doc gnutls-bin usbmuxd

3. [Kali] git clone https://github.com/rcg4u/iphonessh 

rcg4u/iphonessh

 

        cd iphonessh/python-client

        chmod +x *

        python tcprelay.py -t 22:2222

        (이렇게 하면 포트포워딩을 진행하는데 이 터미널말고 새로운 터미널에서 계속 진행한다.)

4. [Kali] 아이폰을 USB에 연결하고 Kali Linux에 정확히 연결되는지 확인한다.

          ssh -p 2222 root@localhost 하면 iphone에 연결된다. (Default 선택)

          root/alpine 으로 로그인하면 정상적으로 로그인된다.

            (당연히 사전에 iphone기기에 OpenSSH를 설치해놔야 한다.)

5. [Kali] 또다시 새로운 터미널을 열고 Frida를 설치한다.

           sudo apt install python3-pip

           sudo pip3 install frida==[Version]

           sudo pip3 install frida-tools

6. [Kali] git clone https://github.com/AloneMonkey/frida-ios-dump.git 

AloneMonkey/frida-ios-dump

 

           cd frida-ios-dump

           sudo pip3 install -r requirement.txt --upgrade

7. [Kali] ssh-keygen

           ssh-copy-id -p 2222 root@localhost

            (아이폰에 SSH 접속할 때 id/password 쓰지않고 할 수 있다.)

8. [Kali] frida-ps -Uai (패키지명 확인)

9. [Kali] sudo python3 dump.py [패키지명]

 

이러면 해당 frida-ios-dump 경로에 IPA이 생성되는 것을 확인할 수 있다. 

사진은 나중에 추가로 첨부할 예정이다.