iOS 软件逆向到底怎么搞?从砸壳到 Hook,全网技术路线一次捋清

iOS 逆向这事儿，网上教程不少，但大多停在某个点：有人只讲砸壳，有人只贴 Frida 脚本，有人还在用 2018 年的 Cycript 示例。真上手的时候你会发现，卡点往往不在某个命令，而在不知道下一步该换哪条路。

这篇文章干的事很简单：把国内外社区（看雪、博客园、GitHub、OffensiveCon、Ostorlab、Corellium）里反复出现的工具和方法，按一条能落地的流程重新排一遍。尤其把 Swift、Objective-C、混编三条技术栈的差异和常见坑单独拎出来说——这块是大多数人从「会砸壳」到「真能分析」的分水岭。

逆向不是跟代码较劲，是跟一整套防护体系较劲。不了解这些机制，后面很多操作会莫名其妙失败。

大多数人走的是 A 或 A+D 组合。如果你只有一台没越狱的 iPhone，也不是完全没戏，只是流程会多几步重签名，且很多系统 API 调用不到。

App Store 下来的包，可执行文件带 LC_ENCRYPTION_INFO，不跑起来解密，静态工具只能看到一团乱。所谓砸壳，就是让 App 在运行时由系统解密，再把内存里的明文 Mach-O dump 到磁盘。

老教程爱讲 Clutch、dumpdecrypted 手动拷 dylib 到 Documents 目录——能跑，但步骤繁琐。现在更常见的做法是 frida-ios-dump：连上越狱机，一条 Python 命令，按 Bundle ID 直接出解密 IPA。

解密之后，别急着上 Frida。先花半小时把地形摸清，后面 Hook 才不会瞎猜。

class-dump 适合 ObjC 项目，一把梭出头文件，搜关键字（login、jailbreak、encrypt、password）往往就能圈出可疑类。纯 Swift 或混编时头文件会缺不少——混编项目 class-dump + dsdump 各跑一遍，后面有专门章节展开。

把 Mach-O 拖进 Hopper 或 Ghidra，看伪代码、跟字符串交叉引用，是日常操作。比如越狱检测函数，社区案例里常见名字带 isJailbroken，Swift 则是 mangled 符号 _$s9No_Escape12isJailbrokenSbyF 这类——Ghidra 搜字符串往往比搜类名更快。

静态能看出「有什么」，动态才能验证「是不是这里」。Frida 在 iOS 上和 Android 思路一样，语法不同——核心都是 JavaScript 跑在目标进程里，通过 ObjC runtime 或原生符号 Hook。OC 项目用 ObjC API，Swift 项目用 mangled 符号，混编先桥接层再下钻——搞混了就是前面坑清单里那些惨案。

拿到解密二进制，第一件事不是砸 Frida 脚本，而是判断这门 App 主要用什么写的。判断错了，后面全是白忙活——最典型的误会：对着纯 Swift 项目狂跑 class-dump，导出一堆残缺头文件，还以为 App 加了壳。

ObjC 是 iOS 逆向的「母语」。动态运行时把类、方法、协议全摊在桌面上，工具链也最成熟。如果你刚入门，建议先用 ObjC 为主的 App 练手（老版工具类、社交、支付 SDK 往往还是 ObjC）。

Swift 编译器会把函数名「揉」成一串 _$s... 或 _TtC... 的 mangled 符号，用来区分重载、泛型、所有权（owned/borrowed）。你看不懂这串，就没法 Hook，也没法在 Ghidra 里搜到正确函数。

举个例子，ContentView.dummyFunction(flag:) 在二进制里长这样：

更麻烦的是：没有 @objc 标注的纯 Swift 类，根本不会出现在 ObjC runtime 里。你在 Frida 里 ObjC.classes['LoginViewModel'] 搜不到，不代表没有这个类——它只是对 ObjC 不可见。

ARM64 上 Swift 的 String 不是简单指针。社区 CTF 案例里反复验证过：小字符串直接塞在 x0/x1 寄存器里；大字符串 x1 指向堆对象，实际 UTF-8 内容在指针 +32 偏移处。读错了就一堆乱码，还以为 Hook 没生效。

绝大多数国内 App 是混编：底层网络、支付、老业务模块留着 ObjC，新页面、ViewModel 用 Swift 写。两边通过 Bridging Header 和 @objc 注解打通。逆向时，桥接层往往是最薄的切入口。

下面这些是社区里反复出现的坑，不分先后，撞上哪个算哪个。每条都写了「怎么认」和「怎么绕」。

不少 App 会主动检测 Frida 线程、端口、/tmp 下的特征文件。这时候 LLDB 反而更「低调」——毕竟是苹果官方调试器，只是配置麻烦。

典型流程：越狱机起 debugserver，Mac 上 lldb 远程 attach。因为 ASLR，Ghidra 里看到的地址要加运行时 slide 才是真实地址。ARM64 上函数返回值在 x0 寄存器，在 ret 前把 x0 改成 0，就能让「是否越狱」返回 NO——这是很多安全课程里的经典练手题，实战里照样管用。

Frida 适合探测，Tweak 适合稳定复现。你确认某个方法 Hook 有效后，用 Theos 写成 dylib，装进越狱机，每次启动自动生效，不用反复 attach。

Logos 语法很直白：%hook ClassName 包住要改的方法，%orig 调原实现，%ctor 写初始化。编译链是 make → package → install，通过 SSH 推到手机的 /Library/MobileSubstrate/DynamicLibraries（rootless 环境路径会变，Makefile 里要加 THEOS_PACKAGE_SCHEME = rootless）。

很多人栽在 Flutter 上：class-dump 几乎没东西，Hopper 打开是一堆 C 函数。先确认技术栈再选工具，能少熬好几个通宵。

现在稍微正规点的 App，至少会带几样：越狱检测、调试器检测、完整性校验、SSL Pinning，有些还有 Frida/Substrate 检测。Corellium 去年的分享里提过一个趋势——攻防都在往更隐蔽的方向走：检测系统调用异常、内存映射特征、快照 diff 找 patch 点。

应对没有银弹，只有套路：

做安全审计时，建议把「检测项清单 + 绕过难度 + 业务影响」写进报告，而不是只贴一个「已绕过」的截图。开发侧也能对照 OWASP MASTG（移动应用安全测试指南）逐项查。

iOS 逆向看起来工具庞杂，核心其实就一句话：拿到明文二进制 → 判断 OC/Swift/混编 → 选对工具链 → 运行时验证 → 用 Tweak 或补丁固化结论。Frida 降低了 OC 项目的入门门槛，但 Swift 的 mangling 和 ABI 又把门槛抬回去了——混编项目则是两条路都要走。

如果你刚开始，建议分两条线练：找一款 ObjC 老 App 走通 class-dump → Hopper → Frida → Theos；再找一款 Swift 项目，专门练 nm → swift-demangle → 符号 Hook → 读 String 参数。两条都走过一遍，混编的自然就会了。

这篇把流程、工具、Swift/OC/混编差异和 25 条常见坑都收进来了。实际动手时当手册翻，比收藏十篇碎片化教程管用。