看我如何逆向iPhoneX的Home Indicator

admin
admin
admin
0
文章
0
评论
2023-12-04 13:51:37 AnQuanKeInfo 来源：ZONE.CI 全球网 0 阅读模式

一、前言

Apple在iPhone X上取消了之前一直存在的物理Home键，取而代之的是位于屏幕底部的一个横线，官方称之为Home Indicator。当我第一次见到Home Indicator时，我比较感兴趣的是该横线的行为模式：不管是以任意壁纸作为背景的锁屏界面上，还是在显示任意内容的第三方app上（如视频应用或者游戏应用，此时背景内容变化会比较快），它都必须处于可见状态。

很显然UIKit并不会向我们透露这方面的相关信息，因此我们需要自己动手，弄清楚Home Indicator的构建原理。

二、找出Home Indicator类

为了弄清楚应该在哪里寻找相关代码，我试着去寻找类似的UI元素。最开始我认为系统状态栏是最为接近的一种元素。与Home Indicator一样，系统状态栏也会出现在锁屏界面上，也会被添加到每一个app窗口中。因此我最开始尝试在UIKit中寻找包含与状态栏有关的一些代码。搜索GitHub上已有的UIKit头文件代码后，我并没有找到与新的Home Indicator有关的任何代码。接下来，我想探索的是SpringBoard，这是一个“app”，位于CoreServices目录中，包含与锁屏及主屏幕有关的各种系统功能。使用class-dump（安装命令为$ brew install class-dump）导出SpringBoard中包含的类后，我们可以找到一个比较有趣的东西：SBHomeGrabberView。这对我们而言是个不错的开始：

$ class-dump /Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/Library/CoreSimulator/Profiles/Runtimes/iOS.simruntime/Contents/Resources/RuntimeRoot/System/Library/CoreServices/SpringBoard.app/SpringBoard

...

@interface SBHomeGrabberView : UIView <_UISettingsKeyPathObserver, SBAttentionAwarenessClientDelegate, MTLumaDodgePillBackgroundLuminanceObserver>
{
    SBHomeGrabberSettings *_settings;
    MTLumaDodgePillView *_pillView;
    SBAttentionAwarenessClient *_idleTouchAwarenessClient;
    _Bool _touchesAreIdle;
    _Bool _autoHides;
    long long _luma;
    unsigned long long _suppressLumaUpdates;
}

@property(nonatomic) _Bool autoHides; // @synthesize autoHides=_autoHides;
- (void).cxx_destruct;
- (void)lumaDodgePillDidDetectBackgroundLuminanceChange:(id)arg1;

接下来，让我们将整段代码从SpringBoard中加载到我们自己的虚拟应用中，以便将该视图添加到窗口中，检查该视图是否就是我们苦苦寻找的目标。这段代码并不复杂，基本思想如下：

#import <dlfcn.h>

// somewhere in viewDidLoad
dlopen([binaryPath cStringUsingEncoding:NSUTF8StringEncoding], RTLD_NOW);
UIView *const view = [[NSClassFromString(@"SBHomeGrabberView") alloc] init];
[view sizeToFit];
[self.view addSubview:view];

以上代码不需要经过太多改动，我们就可以得到如下效果：

这的确就是我们所寻找的目标，现在我们可以来分析一下这个视图的构建过程。为了了解实现细节，我选择使用Hopper Disassembler，免费版的已经足以满足我们的使用需求。在这个应用的帮助下，我们可以更好理解汇编代码（虽然我自己对汇编代码本身也不是特别了解）。我们所需要做的就是打开一个二进制文件，查找其中比较感兴趣的那些方法。跳转到该方法后，在顶部区域切换为伪代码视图。这样该应用就会生成Objective-C、C++以及汇编语言混合而成的代码，可读性大大提高。

具体步骤如下：

1、输入类名，查看所有已实现的方法。

2、随着时间的推移，你会逐渐掌握技巧，知道如何挖掘“有趣”的那些方法。选择以公开的UIKit方法开始总归是不错的选择，因为Apple的工程师也会使用这些方法。这也是我选择从-[SBHomeGrabberView initWithFrame:]开始的原因所在。

3、除非你很习惯于阅读汇编代码，否则还是选择伪代码模式比较好。

4、尽量理解其中代码。有时候代码本身看起来就比较好理解，有时候你会陷入代码的迷宫中无法自拔。

就我自己而言，我发现阅读实现细节本身就是一件非常有趣的事情。有时候我单纯只是因为觉得“有趣”才这么做，有时候则是想更好地理解某些行为背后的原因。

回到我们的SBHomeGrabberView上来，我们可以看到它只是一个比较简单的封装器（某些地方除外，比如AWAttentionAwarenessConfiguration，回头我们再来处理它），其中添加了一个MTLumaDodgePillView子视图。最开始我认为它的定义应该位于Metal框架中（因为使用了MTL前缀），但看起来它又有点过于具体，不应该在Metal这类“底层”框架中定义。此外，Matthias也在Twitter上指出，这个类的前缀实际上是MT，并不是MTL。幸运的是，如果我们将某个二进制文件（如SpringBoard）载入这个app中，我们同时也可以访问该文件后续加载的所有库。想要知道哪个库定义某个类并不困难，只需要使用dladdr即可：

const Class MTLumaDodgePillViewClass = NSClassFromString(@"MTLumaDodgePillView");
Dl_info dlInfo;
dladdr((__bridge void *)MTLumaDodgePillViewClass, &dlInfo);
dlInfo.dli_fname; // path to the binary defining the symbol (class in this case)

以上代码可以添加到我们设计的那个应用中，稍加运行即可。此外，我们也可以选择使用lldb。很少人知道lldb支持变量设置功能。使用lldb的优点在于我们并不需要重新编译目标应用，缺点在于lldb需要知道代码中的具体类型，因为它并不能访问头文件，因此我们需要额外花些精力，处理变量及函数返回结果的类型：

(lldb) e Dl_info $dlInfo
(lldb) e (void)dladdr((__bridge void *)NSClassFromString(@"MTLumaDodgePillView"), & $dlInfo);
(lldb) p $dlInfo.dli_fname
(const char *) $1 = 0x00006000001fd900 "/Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/Library/CoreSimulator/Profiles/Runtimes/iOS.simruntime/Contents/Resources/RuntimeRoot/System/Library/PrivateFrameworks/MaterialKit.framework/MaterialKit"

如上所述，MTLumaDodgePillView的定义位于/System/Library/PrivateFrameworks/MaterialKit.framework/MaterialKit中。

@class MTLumaDodgePillView;

@protocol MTLumaDodgePillBackgroundLuminanceObserver <NSObject>
- (void)lumaDodgePillDidDetectBackgroundLuminanceChange:(MTLumaDodgePillView *)arg1;
@end

@interface MTLumaDodgePillView : UIView
@property(nonatomic, weak) id <MTLumaDodgePillBackgroundLuminanceObserver> backgroundLumninanceObserver;
@property(nonatomic) MTLumaDodgePillViewStyle style;
@property(nonatomic, readonly) MTLumaDodgePillViewBackgroundLuminance backgroundLuminance;
@end

信息量并不大。为了找到MTLumaDodgePillViewStyle以及MTLumaDodgePillViewBackgroundLuminance的具体值，我们只要查看相关的方法描述即可。根据描述，它会将整数值转换为常量形式的字符串，如下所示：

typedef NS_ENUM(NSInteger, MTLumaDodgePillViewStyle) {
 MTLumaDodgePillViewStyleNone = 0,
 MTLumaDodgePillViewStyleThin = 1,
 MTLumaDodgePillViewStyleGray = 2,
 MTLumaDodgePillViewStyleBlack = 3,
 MTLumaDodgePillViewStyleWhite = 4,
};

typedef NS_ENUM(NSInteger, MTLumaDodgePillViewBackgroundLuminance) {
 MTLumaDodgePillViewBackgroundLuminanceUnknown = 0,
 MTLumaDodgePillViewBackgroundLuminanceDark = 1,
 MTLumaDodgePillViewBackgroundLuminanceLight = 2,
};

最后我们还要注意backgroundLumninanceObserver这个API，每当目标视图改变外观时，这个函数都会调用回调函数。

三、构建我们自己的MTLumaDodgePillView

我们离目标已经越来越近，MTLumaDodgePillViewStyle本身只是有序数字的一个封装器。在内部中，它还包含许多私有类：它可以作为调用CABackdropLayer（私有类，自iOS 7以上系统引入）的代理，使用了一整套CAFilter（私有类，自iOS 2以上系统引入），其中包括名为kCAFilterHomeAffordanceBase的一个滤镜类。iOS从7开始引入了毛玻璃特效，而CABackdropLayer正是该特性背后的推动者。简而言之，它负责克隆图层后的视图层次结构，收集相关内容的统计信息。此外，任何CALayer都支持将QuartzCore过滤器应用于任何图层上。只要克隆视图的层次结构以及应用在试图上的过滤器，我们就可以产生UIVisualEffectView提供的所有变化效果。我们来看一下最基本的一种毛玻璃效果：

UIBlurEffect *blur = [UIBlurEffect effectWithStyle:UIBlurEffectStyleLight];
UIVisualEffectView *blurView = [[UIVisualEffectView alloc] initWithEffect:blur];

为了生成这种效果，我们只需要：高斯（Gaussian）模糊、饱和度滤镜（saturation filter）以及使用source over混合模式的纯白色图层即可。过滤器部分的大致代码如下所示：

CAFilter *const blur = [(id)NSClassFromString(@"CAFilter") filterWithType:kCAFilterGaussianBlur];
[blur setValue:@30 forKey:@"inputRadius"];
CAFilter *const saturate = [(id)NSClassFromString(@"CAFilter") filterWithType:kCAFilterColorSaturate];
[saturate setValue:@1.8 forKey:@"inputAmount"];
CABackdropLayer *backdrop = [NSClassFromString(@"CABackdropLayer") new];
backdrop.filters = @[ blur, saturate ];

CALayer *overlay = [CALayer new];
overlay.backgroundColor = [UIColor colorWithWhite:1 alpha:0.3].CGColor;
overlay.compositeFilter = [(id)NSClassFromString(@"CAFilter") filterWithType:kCAFilterSourceOver];

[layer addSublayer:backdrop];
[layer addSublayer:overlay];

四、综合应用

最后一步就是打开-[MTLumaDodgePillView initWithFrame:]，它会显示复制该特效时MaterialKit需要创建的那些过滤器：

CAFilter *const blur = [(id)NSClassFromString(@"CAFilter") filterWithType:kCAFilterGaussianBlur];
CAFilter *const colorBrightness = [(id)NSClassFromString(@"CAFilter") filterWithType:kCAFilterColorBrightness];
CAFilter *const colorSaturate = [(id)NSClassFromString(@"CAFilter") filterWithType:kCAFilterColorSaturate];

为了得到每个过滤器的真实值，我们需要使用view debugger暂停执行过程，选择我们添加的某个视图，从右侧的视图或图层区复制具体地址。

现在，我们可以在控制台（console）中使用我们选择的那些地址，将这些地址作为视图以及图层的索引加以使用。

(lldb) po 0x7fc81331a8a0
<MTLumaDodgePillView:0x7fc81331a8a0 frame={{120.5, 107.5}, {134, 5}} style=white backgroundLuminance=unknown>

(lldb) po ((CALayer *)0x600000226d60).filters
<__NSArrayI 0x60000005e450>(
homeAffordanceBase,
gaussianBlur,
colorBrightness,
colorSaturate
)

(lldb) po [((CALayer *)0x600000226d60).filters[0] valueForKey:@"inputAmount"]
1

(lldb) po [((CALayer *)0x600000226d60).filters[0] valueForKey:@"inputAddWhite"]
0.71

你可能会注意到，我们在上面使用了显示类型转换，以调用那些整数的属性，之所以这么做是为了帮助lldb适配这些指针背后对象的具体类型。

找到-[MTLumaDodgePillView initWithFrame:]中的所有属性后，我们需要在每个属性上应用valueForKey:操作。这个过程有点枯燥，但我实在不想去查找原始的style定义文件（假设具体定义位于某个plist中）。一旦操作完成，只需要使用QuartzCore我们可以重构视图：

CAFilter *const homeAffordanceBase = [(id)NSClassFromString(@"CAFilter") filterWithType:kCAFilterHomeAffordanceBase];
UIImage *const lumaDodgeMap = [UIImage imageNamed:@"lumaDodgePillMap" inBundle:[NSBundle bundleForClass:viewClass] compatibleWithTraitCollection:nil];
[homeAffordanceBase setValue:(__bridge id)lumaDodgeMap.CGImage forKey:@"inputColorMap"];
CAFilter *const blurFilter = [(id)NSClassFromString(@"CAFilter") filterWithType:kCAFilterGaussianBlur];
CAFilter *const colorBrightness = [(id)NSClassFromString(@"CAFilter") filterWithType:kCAFilterColorBrightness];
CAFilter *const colorSaturate = [(id)NSClassFromString(@"CAFilter") filterWithType:kCAFilterColorSaturate];

// MTLumaDodgePillViewStyleThin values
[homeAffordanceBase setValue:@0.31 forKey:@"inputAmount"];
[homeAffordanceBase setValue:@0.37275 forKey:@"inputAddWhite"];
[homeAffordanceBase setValue:@0.4 forKey:@"inputOverlayOpacity"];
[blurFilter setValue:@10 forKey:@"inputRadius"];
[blurFilter setValue:@YES forKey:@"inputHardEdges"];
[colorBrightness setValue:@0.06 forKey:@"inputAmount"];
[colorSaturate setValue:@1.15 forKey:@"inputAmount"];

CALayer *layer = [NSClassFromString(@"CABackdropLayer") new];
layer.frame = CGRectInset(self.view.bounds, 100, 100);
layer.filters = @[ homeAffordanceBase, blurFilter, colorSaturate, colorSaturate ];
layer.cornerRadius = 10;
[self.view.layer addSublayer:layer];

新的滤镜貌似使用的是lumaDodgePullMap图像来映射输入图像，其他方面则直接使用了我们在UIVisualEffectView实现代码中看到的那些过滤器。最终结果如下图所示：

五、总结

希望这篇文章能在逆向工程方面给大家带来更多体验，在Objective-C语言的二进制程序中保留着许多有用的信息，能给逆向工程带来更有趣的体验。如果有什么问题或想法，欢迎通过Twitter随时向@zats反馈。

感谢@warpling、@myell0w以及@shaps在本文成稿过程中给予的帮助。

六、拓展阅读

weinxin
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
ZONE.CI 全球网 | 安全领域涉猎者-乌云独行地带
ZONE.CI 全球网
ZONE.CI 全球网
安全领域涉猎者-乌云独行地带
ZONE.CI 全球网 | 安全领域涉猎者-乌云独行地带
ZONE.CI 全球网
安全领域涉猎者-乌云独行地带
ZONE.CI 全球网
评论：0   参与：  0