文章总结： 本文记录了iOSAPP逆向分析实录，作者利用Hopper与IDAPro分析二进制文件。首先通过HookBiHelper类的identityStatus方法绕过实名认证弹窗，再定位IAPMgr与TempCell逻辑，修改isSubscript返回值以隐藏VIP解锁图标。文中对比了工具优势并提供了具体的TheosHook代码，最终通过注入dylib成功实现功能解锁。
综合评分： 84
文章分类： 逆向分析,移动安全,实战经验,安全工具

iOS简单逆向之小白的首个APP分析实录

原创

初心莫负眉间

初心莫负眉间雪

2025年8月23日 10:23
四川

这个app现在看来真的很简单，以至于之前写的dylib现在都还能用。不过当时真的花了点时间来搞定它，当时只知道有个hopper，对ida也不太感冒，注入器也才找到别人分享的在线网址安装上没多久，加上小孩在平板上下了这个app，还挺耐玩的，但是有些需要解锁，于是就想试一下，虽然是小白。

我能想到的就是使用Lookin看UI，再分析二进制。先注入看看关键UI吧。一上来就有个实名认证弹窗，是直接加在vc上的

每个cell上还有个vip可解锁的图标

直接在hooper中对应的vc中查找搜索实名认证的类名字符串

hopper查看

int&nbsp;-[HomeVC checkAlertView](int&nbsp;arg0) {&nbsp; &nbsp; r31 = r31 -&nbsp;0xb0;&nbsp; &nbsp; var_40 = d9;&nbsp; &nbsp; stack[-72] = d8;&nbsp; &nbsp; var_30 = r24;&nbsp; &nbsp; stack[-56] = r23;&nbsp; &nbsp; var_20 = r22;&nbsp; &nbsp; stack[-40] = r21;&nbsp; &nbsp; var_10 = r20;&nbsp; &nbsp; stack[-24] = r19;&nbsp; &nbsp; saved_fp = r29;&nbsp; &nbsp; stack[-8] = r30;&nbsp; &nbsp; r29 = &saved_fp;&nbsp; &nbsp; r19 = arg0;&nbsp; &nbsp;&nbsp;if&nbsp;(sub_10125a9c0() !=&nbsp;0x0) {&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; r0 =&nbsp;sub_101234340();&nbsp; &nbsp; }&nbsp; &nbsp;&nbsp;else&nbsp;{&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; r0 =&nbsp;sub_1012d2020();&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; ...

在IDA Professional 9.1中查看

void&nbsp;__cdecl -[HomeVC checkAlertView](HomeVC *self, SEL a2){&nbsp;&nbsp;id&nbsp;v4;&nbsp;// x21&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v5;&nbsp;// w22&nbsp;&nbsp;void&nbsp;*v6;&nbsp;// x20&nbsp;&nbsp;void&nbsp;*v7;&nbsp;// x22&nbsp;&nbsp;id&nbsp;v8;&nbsp;// x0&nbsp; _QWORD v9[5];&nbsp;// [xsp+8h] [xbp-98h] BYREF&nbsp; _QWORD v10[4];&nbsp;// [xsp+30h] [xbp-70h] BYREF&nbsp;&nbsp;id&nbsp;v11;&nbsp;// [xsp+50h] [xbp-50h] BYREF&nbsp;&nbsp;id&nbsp;v12;&nbsp;// [xsp+58h] [xbp-48h] BYREF
&nbsp;&nbsp;if&nbsp;( +[BiHelper identityStatus](&OBJC_CLASS___BiHelper,&nbsp;"identityStatus") )&nbsp; {&nbsp; &nbsp; -[HomeVC addAlertView](self,&nbsp;"addAlertView");&nbsp; &nbsp;&nbsp;return;&nbsp; }&nbsp; ...

所以个人觉得还是优先使用ida，hopper备用，可能会更快定位到关键类的关键方法。ida的话装上keypath会更nice，所以这里我们就直接过掉实名认证

%hook BiHelper+ (BOOL)identityStatus {&nbsp;&nbsp;return&nbsp;YES;}%end

接下来再看vip点亮图标。这个如果用hopper太难定位关键位置了，最后我在hopper里搜索的IAP，也算是成功拿下。

现在让我们用ida来找找，可以直接定位到关键处

v74 = objc_retainAutoreleasedReturnValue(+[IAPMgr sharedInstance](&OBJC_CLASS___IAPMgr,&nbsp;"sharedInstance"));v75 = -[IAPMgr isSubscript](v74,&nbsp;"isSubscript");objc_release(v74);objc_release(v73);if&nbsp;( (v75 &&nbsp;1) !=&nbsp;0&nbsp;)&nbsp; &nbsp;goto&nbsp;LABEL_48;&nbsp; &nbsp;v76 = objc_retainAutoreleasedReturnValue(-[TempCell proMker](self,&nbsp;"proMker"));&nbsp; &nbsp;-[UIImageView&nbsp;setAlpha:](v76,&nbsp;"setAlpha:",&nbsp;1.0);

LABEL_48:&nbsp; v81 = objc_retainAutoreleasedReturnValue(+[BiHelper instance](&OBJC_CLASS___BiHelper,&nbsp;"instance"));&nbsp; v82 = (unsigned&nbsp;int)objc_msgSend(v81,&nbsp;"noAD_ti");&nbsp; objc_release(v81);&nbsp;&nbsp;if&nbsp;( v82 )&nbsp; {&nbsp; &nbsp; v83 = objc_retainAutoreleasedReturnValue(-[TempCell proMker](self,&nbsp;"proMker"));&nbsp; &nbsp; -[UIImageView&nbsp;setAlpha:](v83,&nbsp;"setAlpha:",&nbsp;0.0);&nbsp; &nbsp; objc_release(v83);&nbsp; }

大约意思就是isSubscript就goto LABEL_48隐藏高级图标，没isSubscript就显示这个图标。过vip就简单如何了。

%hook IAPMgr-(BOOL)isSubscript{&nbsp;&nbsp;return&nbsp;YES;}-(BOOL)isExped{&nbsp;&nbsp;return&nbsp;NO;}%end

打包也dylib用注射器注入即可解锁了。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：初心莫负眉间雪初心莫负眉间《iOS简单逆向之小白的首个APP分析实录》

Tags: 安全工具实战经验移动安全逆向分析

你可能错过

动态｜智能体授权规则与用户权益保障专题研讨会顺利举办

谷歌承认其AI模型在安全测试中侵入三家公司系统

湖南省公安厅公布“护网—2026”专项行动8起典型案例

专家观点| 中移互联网庄严：以号卡能力作答政务AI安全之问，护航可信数智社会