[iOS] Objection 주요 명령어

개요

앱 진단을 하시는 분들이라면 대표적으로 Frida, Drozer 등 을 사용하시면서 동적, 정적 진단을 하시지만 Objection이라는 툴을 사용하시면 몇 가지 도구들과 조합하여 다양한 시도를 할 수 있습니다.

 

Objection은 Run-Time Exploration 즉 런타임을 조작하여 공격자가 원하는 행위를 성공적으로 할 수 있도록 프로세스에 실시간으로 주입하여 사용하며 Frida 기반으로 동작하기 때문에 Python3 환경에서 frida 환경을 사전에 구축해주시고  pip install을 통해 objection을 설치해야 됩니다.

 

*프리다 환경 구축

guleum-zone.tistory.com/137

프리다(Frida) 환경 구축

/* objection 설치 */
python3.75# pip install objection
python3.75# objection -> 명령어 확인 가능
python3.75# objection -g 패키지명 explore -> 대상 애플리케이션에 attach

---

# frida-ps -Ua -> attach 하기위한 애플리케이션의 패키지명 확인
# objection -g 패키지명 explore

테스트를 진행할 애플리케이션의 이름을 통해 접근을 해주셔야 됩니다. 

 

env 명령을 사용하시면 애플리케이션의 내부 디렉토리 경로를 확인하실 수 있습니다. 내부의 중요 정보가 평문으로 저장되는지 확인하기 위해선 전수진단을 통해 확인해주시면 됩니다.

 

"Documents" 경로로 접근해 보시면 "userInfo.plist" 파일이 존재합니다. plist 파일은 Property List의 줄임말로 애플리케이션의 필요한 데이터 및 설정 정보를 저장하는 데 사용되는 xml 파일입니다.

 

# ios plist cat "plist파일명"

"userInfo.plist" 파일을 열람해보면 사용자가 입력한 개인정보가 평문으로 저장되어 있는 것을 확인하실 수 있습니다. 

 

# ios keychain dump

keychain dumper 도구를 사용하지 않아도 키체인 값을 쉽게 확인하실수 있습니다. iOS Keychain은 암호화 키와 세션 토큰 같은 민감 데이터를 저장해주는 암호화된 데이터베이스지만 별도의 추가적인 암호화가 진행되지 않으면 쉽게 복호화가 가능합니다.

 

# Library/Preferences 쪽 경로 이동
# ios plist cat "plist파일명"

만약 앱이 UserDefault의 취약점인  NSUserDefaults 클래스를 통해 사용자의 기본 설정 및 정보를 저장한다면 암호화되지 않은 상태로 디바이스 내부에 저장되기 때문에 위처럼 쉽게 value를 획득하실 수 있습니다. NSUserDefaults 클래스를 사용하지 말고 keychain에 추가적으로 암호화하여 저장하도록 권고하고 있습니다.

 

# ios nsuserdefaults get

NSUserDefault 클래스에 저장된 값을 확인하기 위한 방법 두 번째는 별도의 경로 이동 필요 없이 상단의 명령어를 통해 전체 plist 내부를 읽어오는 방법이 존재합니다.

 

# ios cookies get --json

objection을 통해 디바이스에 저장된 바이너리 쿠키값도 확인이 가능하지만 취약한 애플리케이션에는 쿠키값이 노출되진 않았습니다.

앱에서 사용되는 데이터베이스에 민감정보가 암호화되어 저장되는지 확인하기 위해 connect가 가능하지만 그냥 별도의  SQLite 파일을 로컬 pc로 가져와서 확인해보는 게 더 편한 것 같습니다.

 

# ios jailbreak disable

대상 애플리케이션에서 탈옥된 디바이스를 탐지하고 차단하고 있다면 상단의 명령을 통해 동적으로 탐지 우회를 할 수 있는 강력한 기능이 있습니다.

하지만 사전에 앱에 attached 되어 있어야 하는 전제조건이 있기 때문에 최초 앱 실행 시 탐지를 한다면 해당 기능을 이용하기 힘들어지지만, 최초 탈옥 탐지 우회 -> 특정 이벤트 시 추가 탈옥 탐지를 한 번 더 수행한다면 objection을 통해 탈옥 탐지를 우회가 가능할 것으로 파악됩니다.

 

탈옥 탐지를 강제 비활성화시키고 앱을 사용하면 탐지되는 실시간 정보를 커맨드 창에 띄워서 나타내 줍니다.

 

탈옥 탐지를 우회해주는 키워드는 Objection의 "agent.js" 파일 내부에 배열형식으로 지정되어 있습니다. 커스텀을 진행하실분은 해당파일에 추가 탐지 경로를 넣어주시면 우회에 도움이 됩니다.

 

# ios sslpinning disable

애플리케이션의 프록시를 잡아 요청/응답 변수값을 조작하기 위해 시도하다 보면 sslpinning에 잡혀 막히는 경우가 존재합니다. 그럴 때는 sslpinning을 강제 비활성화할 수 있습니다.

 

# ios hooking list classes -> 전체 클래스명 출력
# ios hooking search_classes "KEYWORD" -> 추측 가능한 클래스명 검색

대상 앱에 사용된 "class"와 "method" 정보를 통해 공격자가 자신이 원하는 방향대로 런타임 조작을 하기 위해 로직 탐지를 할 수 있습니다. 해당 방법은 Frida Script를 통해 Trace 할 수 있지만 objection을 사용하시면 쉽게 확인이 가능합니다.

 

# ios hooking list class_methods "클래스명"

위를 통해 클래스명을 찾으셨다면 "메소드" 를 찾기 위한 명령어입니다. "JailbreakDetection"이라는 클래스에는 isJailbroken 메소드가 포함되어 있는 것을 알 수 있습니다.

 

# ios hooking watch method "+[클래스명 메소드명]" --dump-args --dump-return --dump-backtrace

클래스와 메소드 정보를 획득했다면 boolean에 따른 "retval" 즉 리턴 값을 확인하여 true 또는 false로 조작해보도록 하겠습니다.

 

# ios hooking set return_value "+[클래스명 메소드명]" false OR true

출력된 반환 값을 replace 하여 공격자가 원하는 값으로 조작되도록 수행할 수 있습니다. 해당 기능의 경우 탈옥을 탐지하는 반환 값을 조작함으로써 우회할 수 있게끔 할수 있습니다.

 

추가적으로 유용한 명령어는 갱신해두도록 하겠습니다.