如何分析中招 app，到底发了什么数据到服务器

[mahone3297]

xcode 问题，然后始作俑者已经上传代码到 github ，但是大家并不能亲信，也有人说上传了个阉割版。所以，是否可以这样。在 ios 内，配置一个 host 的东西，然后这个域名，指向自己的服务器。然后，自己的服务器接收包，看看，到底发了什么东西给服务器。

[virusdefender]

charles fiddler 之类的抓包

[loading]

有什么能阻挡抓包！

看来下次后门还是用 ssl 。。。

[LINAICAI]

有想法。。。
我想知道怎么在 ios 上配置 host
话说 xcode7 的新增功能默认 https 简直好针对啊。。。

[ybh37]

@loading 好办法， URL 还是暴露了……

[loading]

@ybh37 你没看别人用防火墙都没感觉出来吗？域名很重要！

[Quaintjade]

如果 app 还能监听和执行远程指令呢？
比如不主动弹窗钓鱼，但服务器可以插段弹窗代码让它执行，类似这种你只是监听没用的。
另外，假如发包是加密的，你抓了包也很难分析。

[zhujinliang]

我抓到了，但是不会解密。。。

https://github.com/XcodeGhostSource/XcodeGhost/blob/master/CoreFoundations.m
527 行应该是解密函数
有人能翻译成 go 语言的么。。。

[CRH]

http://www.weibo.com/p/1001603888503866975286 这里有人解密了，发上去的确实就是那些没什么用的信息。但是关键是服务器返回什么指令

[loading]

@CRH 让你手机弹出一个高仿的密码输入框。。。

[CRH]

@loading 但是目前为止没看到证据说他确实弹过这么个框。。
而且能获取 Apple ID 的漏洞 CVE-2014-4423 只在 iOS 7.1.2 及更早的版本中存在

[CRH]

@loading 源码（暂时就当它是真的）里也没有弹出文本输入框的相关代码

[loqixh]

ida 神器

[PP]

@CRH 我曾经在今年夏天至少两次见过个别应用在正常使用（无购买行为）时弹出苹果账号登录对话框，当时的做法好象是忽略。如果没有存在理解差异问题，那么我见到过。我的系统版本是 7.1.2 ，现在打算升到 9 了。

[dong3580]

上次我在 v2 上说的经常被弹出密码输入框，有好几个童鞋和我一样的情况，不知道这个是不是与这货有关，还是系统本身的问题。

https://www.v2ex.com/t/218298#reply11

[dcty]

@zhujinliang 貌似内存泄漏

[est]

@loading 抓包很容易阻挡的。。。。

[lawder]

@PP
@CRH 看源码（（暂时就当它是真的）） 482 行，[self Store:appID]，再看 Store: 这个方法，调用 presentViewController 方法弹出一个 SKStoreProductViewController ，看苹果文档 https://developer.apple.com/library/prerelease/ios/documentation/StoreKit/Reference/SKITunesProductViewController_Ref/index.html#//apple_ref/occ/instm/SKStoreProductViewController/loadProductWithParameters:completionBlock: 对 SKStoreProductViewController 的解释， A SKStoreProductViewController object presents a store that allows the user to purchase other media from the App Store. For example, your app might display the store to allow the user to purchase another app. 这货调用购买接口，系统应该会弹出苹果账号登录对话框的

[wuhx]

@est @loading 在路由器上用中间人攻击分析流量，自建一个 CA 把 https 也搞定

[PP]

@lawder So, it's true. Thank you!

[Strikeactor]

Debookee
一直对这货有好感，顺手安利一下吧
优点是只要处在同一局域网，移动端不用装客户端就能抓