SSL Kill Switch 2技术深度：Substrate vs Fishhook hooking机制对比
项目地址: https://gitcode.com/gh_mirrors/ss/ssl-kill-switch2 SSL Kill Switch 2是一款强大的iOS和macOS SSL/TLS证书验证禁用工具，能够绕过包括证书固定在内的各种安全机制。本文将深入探讨该工具核心的两种hook机制：Cydia Substrate与fishhook，解析它们在SSL Kill Switch 2中的实现原理、应用场景及技术差异。🔧
项目概述与核心功能
SSL Kill Switch 2是一个黑盒工具，通过hook iOS和macOS应用中处理SSL/TLS连接的低级函数，来覆盖并禁用系统的默认证书验证机制。该工具在安全研究、网络调试和渗透测试中具有重要价值，特别是在配合Charles Proxy等网络抓包工具进行HTTPS流量分析时尤为关键。
SSL Kill Switch 2 iOS设置界面 - 显示证书验证禁用开关和Charles Proxy排除配置
Cydia Substrate：越狱环境下的hook王者
Substrate在SSL Kill Switch 2中的应用
在iOS越狱环境中，SSL Kill Switch 2默认使用Cydia Substrate作为hook框架。通过编译时定义SUBSTRATE_BUILD宏，工具启用Substrate相关代码：
# Build as a Substrate Tweak
SSLKillSwitch2_CFLAGS=-DSUBSTRATE_BUILD
在SSLKillSwitch/SSLKillSwitch.m中，Substrate通过MSHookFunction和MSHookMessageEx函数实现hook：
MSHookFunction((void *) SSLHandshake, (void *) replaced_SSLHandshake, (void **) &original_SSLHandshake);
MSHookMessageEx(object_getClass(spdyProtocolClass), NSSelectorFromString(@"setTLSTrustEvaluator:"),
(IMP) &newSetTLSTrustEvaluator, (IMP *)&oldSetTLSTrustEvaluator);
Substrate的优势特点
- 运行时动态配置：通过读取
/private/var/mobile/Library/Preferences/com.nablac0d3.SSLKillSwitchSettings.plist配置文件，支持按需启用hook - 完整的Objective-C方法hook：支持
MSHookMessageEx用于hook Objective-C方法 - 进程注入集成：与Cydia Substrate的MobileLoader深度集成，自动注入到目标进程
- 多版本iOS支持：针对不同iOS版本（8-13）使用不同的hook策略
fishhook：轻量级符号重绑定方案
fishhook在SSL Kill Switch 2中的实现
当未定义SUBSTRATE_BUILD宏时，SSL Kill Switch 2使用fishhook进行hook。fishhook是Facebook开源的轻量级库，专注于Mach-O二进制文件中的符号重绑定：
#import "fishhook.h"
original_SSLHandshake = dlsym(RTLD_DEFAULT, "SSLHandshake");
rebind_symbols((struct rebinding[1]){{(char *)"SSLHandshake", (void *)replaced_SSLHandshake}}, 1);
fishhook的工作原理
fishhook通过修改__DATA段中的__nl_symbol_ptr（非懒绑定指针）和__la_symbol_ptr（懒绑定指针）节来实现符号重绑定。具体流程如下：
- 定位符号表：在Mach-O文件的
__LINKEDIT段中找到间接符号表 - 符号匹配：通过符号表索引找到对应的字符串表条目
- 指针替换：将目标符号的指针替换为自定义函数的地址
在SSLKillSwitch/fishhook/fishhook.c中，rebind_symbols函数负责处理整个重绑定过程。
技术对比分析
架构设计差异
| 特性 | Cydia Substrate | fishhook |
|---|---|---|
| hook范围 | 函数和方法（C/Objective-C） | 仅C函数符号 |
| 依赖环境 | 需要越狱和MobileSubstrate | 纯用户态，无需特殊权限 |
| 配置方式 | 通过plist文件动态控制 | 编译时确定 |
| iOS版本支持 | 完整版本支持（8-13） | 基础SSL函数hook |
| Objective-C支持 | 完整支持（MSHookMessageEx） | 不支持 |
实现复杂度对比
Substrate实现更加复杂但功能全面：
- 支持运行时配置检查
- 包含iOS版本检测逻辑
- 支持CocoaSPDY等高级协议hook
- 提供完整的错误处理和日志记录
fishhook实现更加简洁：
- 直接使用
dlsym获取原始函数地址 - 通过
rebind_symbols一次性重绑定多个符号 - 代码量少，依赖关系简单
应用场景选择
选择Substrate当：
- 目标设备已越狱
- 需要hook Objective-C方法
- 需要运行时配置开关
- 需要支持iOS 11+的新API
选择fishhook当：
- 开发macOS版本
- 需要轻量级hook方案
- 仅需hook C函数
- 希望减少外部依赖
实际应用中的hook策略
iOS版本适配的hook机制
SSL Kill Switch 2根据iOS版本动态选择hook策略：
- iOS 13+：hook
SSL_set_custom_verify()函数 - iOS 12：hook
SSL_CTX_set_custom_verify()函数 - iOS 11：hook
nw_tls_create_peer_trust()函数 - iOS 10：hook
tls_helper_create_peer_trust()函数 - iOS 8-9：hook SecureTransport相关函数（SSLHandshake等）
证书验证绕过原理
无论使用哪种hook机制，核心原理都是相同的：替换SSL/TLS验证相关的函数，使其始终返回成功或忽略验证错误。例如，replaced_SSLHandshake函数直接返回errSSLWouldBlock，绕过实际的握手验证过程。
安全注意事项与最佳实践
⚠️ 安全警告
SSL Kill Switch 2会严重降低设备安全性，使同一网络下的攻击者能够轻松进行中间人攻击。这意味着电子邮件、Safari浏览的网站以及设备上任何应用下载的数据都可能被窃取。
排除特定应用
为了避免干扰网络调试工具本身，SSL Kill Switch 2支持排除特定Bundle ID。在设置界面中可以添加如com.xk72.Charles（Charles Proxy）到排除列表，确保调试工具正常工作。
总结与展望
SSL Kill Switch 2通过巧妙的hook机制实现了SSL/TLS证书验证的绕过，其双架构设计（Substrate/fishhook）展示了不同环境下的技术适应性。Cydia Substrate提供了完整的越狱环境hook能力，而fishhook则为macOS和非越狱环境提供了轻量级替代方案。
对于安全研究人员和开发者来说，理解这两种hook机制不仅有助于更好地使用SSL Kill Switch 2，也为开发类似工具提供了宝贵的技术参考。随着iOS安全机制的不断加强，hook技术也在不断演进，SSL Kill Switch 2的架构设计为未来类似工具的开发提供了重要借鉴。
无论是进行安全审计、网络调试还是逆向工程研究，掌握这些底层hook技术都将大大提升工作效率和技术深度。🚀
创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
