Обнаруживать, подключен ли Cycript/субстрат или gdb к процессу приложения iOS?

Question

Я создаю приложение iOS, которое передает конфиденциальные данные на мой сервер, и я подписываю свои запросы API в качестве дополнительной меры. Я хочу как можно быстрее сделать обратное проектирование, и, используя Cycript для поиска ключей подписи некоторых приложений реального мира, я знаю, что не сложно найти эти ключи, присоединившись к процессу. Я абсолютно уверен, что если кто-то действительно умеет и пытается достаточно тяжело, они в конечном итоге будут использовать, но я стараюсь сделать это как можно труднее, но при этом удобен для себя и для пользователей.

Я могу проверить состояние джейлбрейка и принять дополнительные меры, или я могу выполнить привязку SSL, но оба они по-прежнему легко обойти, присоединяясь к процессу и изменяя память.

Есть ли способ определить, есть ли что-то (будь то Cycript, gdb или любой аналогичный инструмент, который может быть использован для взлома процесса) прикреплен к процессу, не будучи отстраненным от App Store?

EDIT: Это не дубликат Detecting if iOS app is run in debugger. Этот вопрос больше связан с выводом и проверяет выходной поток, чтобы определить, есть ли выходной поток, подключенный к регистратору, в то время как мой вопрос не связан с этим (и эта проверка не распространяется на мое состояние).

Answer 1

определение gdb выполнимо via the linked stackoverflow question - он использует kstat для определения того, отлаживается ли процесс. Это определит, подключен ли отладчик к процессу.

Существует также кусок кода - Using the Macro SEC_IS_BEING_DEBUGGED_RETURN_NIL in iOS app - который позволяет вам бросить макрос, который выполняет прикрепленную отладчиком проверку в разных местах вашего кода (это C/Objective-C).

Что касается обнаружения Cycript, когда он выполняется против процесса, он вводит в процесс dylib для обработки сообщений между командной строкой cycript и процессом - в библиотеке есть часть имени, похожее на cynject. Это имя не похоже на какие-либо библиотеки, которые присутствуют в типичном приложении для iOS. Это должно быть обнаружено с небольшим контуром, как (C):

BOOL hasCynject() { 
    int max = _dyld_image_count(); 
    for (int i = 0; i < max; i++) { 
     const char *name = _dyld_get_image_name(i); 
     if (name != NULL) { 
      if (strstr(name, "cynject") == 0) return YES; 
     } 
    } 
} 

Опять же, придав ему лучшее название, чем это было бы целесообразно, а также запутывания строки, которую вы проверяете.

Это только подходы, которые могут быть предприняты - к сожалению, это лишь защитит вас во время выполнения, если кто-то захочет указать на него IDA или какой-нибудь другой дизассемблер, тогда вы не будете защищены.

Причина, по которой проверка на отладчик реализована как макрос, заключается в том, что вы размещаете код в разных местах кода, и в результате кто-то, пытающийся его исправить, должен будет исправить приложение в разнообразие мест.

Answer 2

Насколько я знаю, инъекция процесса Cycript стала возможной благодаря символам отладки. Таким образом, если вы вычеркиваете символы отладки для выпуска App Store (настройка по умолчанию для конфигурации Release), это поможет.

Еще одно действие, которое вы могли бы предпринять, что не повлияло бы на удобство использования приложения, было бы использовать обфускатор. Однако это приведет к тому, что любые сообщения о сбоях бесполезны, поскольку вы не сможете понять символы, даже если отчет о сбоях был символизирован.

Answer 3

Основываясь на ответе @ petesh, я обнаружил, что приведенный ниже код достиг того, что я хотел на телефоне с джейлбрейком с Cycript. Существование строк printf - золото для инженера-реверсора, поэтому этот код подходит только для приложений demo/crack-me.

#include <stdio.h> 
#include <string.h> 
#include <mach-o/dyld.h> 

int main() 
{ 
     int max = _dyld_image_count(); 
     for (int i = 0; i < max; i++) { 
      const char *name = _dyld_get_image_name(i); 
      const char needle[11] = "libcycript"; 
      char *ret; 

      if ((ret = strstr(name, needle)) != NULL){ 
       printf("%s\nThe substring is: %s\n", name, ret); 
      } 
     } 

    return 0; 
}