iOS安全–IOS应用调试检测以及反调试

一、检测调试

当一个应用被调试的时候，会给进程设置一个标识（P_TRACED），我们可以通过检测该进程是否有设置这个标识来检测进程是否正在被调试以保护好我们的应用。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
#include <sys/types.h>
#include <sys/sysctl.h>

static int check_debugger( ) __attribute__((always_inline));

int check_debugger( )
{
    size_t size = sizeof(struct kinfo_proc);
    struct kinfo_proc info;
    int ret,name[4];
   
    memset(&info, 0, sizeof(struct kinfo_proc));
   
    name[0] = CTL_KERN;
    name[1] = KERN_PROC;
    name[2] = KERN_PROC_PID;
    name[3] = getpid();
   
    if((ret = (sysctl(name, 4, &info, &size, NULL, 0)))){
        return ret;  //sysctl() failed for some reason
    }
   
    return (info.kp_proc.p_flag & P_TRACED) ? 1 : 0;
}

为了让这个函数以inline方式编译，需要设置编译器的优化选项，-0z（函数以inline方式编译），-fast（加快编译速度）。

如果你不确信产生的目标代码以inline的方式编译该函数，你也可以将其转化成宏的方式。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
#define DEBUGGER_CHECK {                                \
    size_t size = sizeof(struct kinfo_proc);            \
    struct kinfo_proc info;                             \
    int ret,name[4];                                    \
                                                        \
    memset(&info, 0, sizeof(struct kinfo_proc));        \
                                                        \
    name[0] = CTL_KERN;                                 \
    name[1] = KERN_PROC;                                \
    name[2] = KERN_PROC_PID;                            \
    name[3] = getpid();                                 \
                                                        \
    if(ret = (sysctl(name, 4, &info, &size, NULL, 0))){ \
        return (EXIT_FAILURE);                          \
    }                                                   \
                                                        \
    if(info.kp_proc.p_flag & P_TRACED){                 \
        /* Code to react to debugging goes here */      \
    }                                                   \
}

当前该方法只能检测debugger或dtrace的调试，而不能阻止非法代码注入或者cycript依附。

二、阻止调试

调用ptrace设置参数PT_DENY_ATTACH，如果有调试器依附，则会产生错误并退出。关于PT_DENY_ATTACH的说明如下：

Snip20150118_2

这时再使用gdb attach的话会产生错误：

Segmentation fault: 11

或者使用gdb run该应用也会产生错误：

Program exited with code 055.

Mac OS X系统中，可以这样使用：

1
2
3
4
5
#include <sys/ptrace.h>
int main( ) {
    ptrace(PT_DENY_ATTACH, 0, 0, 0);
    ...
}

但是在IPhone中，<sys/ptrace>是不可用的，所以我们可以用下面的方式来代替：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
#import <dlfcn.h>
#import <sys/types.h>

typedef int (*ptrace_ptr_t)(int _request, pid_t _pid, caddr_t _addr, int _data);
#if !defined(PT_DENY_ATTACH)
#define PT_DENY_ATTACH 31
#endif  // !defined(PT_DENY_ATTACH)

void disable_gdb() {
  void* handle = dlopen(0, RTLD_GLOBAL | RTLD_NOW);
  ptrace_ptr_t ptrace_ptr = dlsym(handle, "ptrace");
  ptrace_ptr(PT_DENY_ATTACH, 0, 0, 0);
  dlclose(handle);
}

当然该方法也会被调试者下断点的方式来动态绕过或者使用IDA等反汇编工具打补丁绕过，所以我们应该在程序的多处地方调用该方式。

 

本文链接：http://www.alonemonkey.com/ioss-check-debug.html