简介这是适用于iOS越狱开发者的Theos工具包面向需要绕过App Store限制、在越狱设备上构建Cydia插件与deb应用的开发人员解决官方工具链受限及网上链接失效的问题。压缩包大小为7.08MB官方未提供文件总数与类型明细但内容为经过验证可用的Theos副本包含编译所需的框架、依赖库与基础配置可直接用于搭建越狱开发环境。已有188人学习下载。借助该工具开发者能够编写Objective-C或Swift代码结合Cydia Substrate实现运行时动态注入制作修改系统行为、添加新功能的插件同时可避开原作者已失效的下载地址省去自行搜索排查的麻烦。由于越狱开发涉及系统底层与安全风险适合具备Objective-C/Swift基础、理解动态链接器原理并愿意承担设备稳定性风险的进阶开发者使用。 最近几年iOS 系统安全研究的热度一直在涨而“越狱开发工具”这个组合词也经常被拿到台面上讨论。很多人以为越狱开发就是装插件、换主题其实真正进入这个圈子后才会发现越狱生态的核心是一套离传统 iOS 开发非常远的工具链。它包含了编译工具、签名工具、打包工具、动态调试器、静态逆向分析器甚至对终端命令行的依赖程度远超普通 App 开发。这篇文章我打算从“这是一套什么工具链”讲起再完整走一遍“从环境搭建到写出一个可安装的 Tweak越狱插件”把我在实际开发中踩过的坑和常用的技巧一并写出来。如果你是想做 iOS 逆向、安全研究或者纯粹想深度定制自己的手机这套内容应该能给你省下不少弯路。1. 越狱开发工具到底是一套什么东西1.1 先理解“越狱开发”和“普通 iOS 开发”的分水岭普通 iOS 开发面向的是 App Store 的沙盒环境。你写的代码运行在系统为你划好的容器里想访问别人的进程、修改系统文件、加载动态库门儿都没有。而越狱开发恰恰相反它要的就是拿到 root 权限之后做那些被系统明令禁止的事注入第三方进程、hook 任意 Objective-C 方法、修改系统 UI、拦截网络请求、读写系统分区。这就是为什么越狱开发不能直接用 Xcode 一把梭。Xcode 编译出来的 App 默认带的是 Apple 签名越狱设备虽然能装但装完没有 root 权限也跑不了注入逻辑。真正干这行的工具链需要自己完成三件事编译出针对越狱环境的二进制也就是用 ldid 做假签名绕过系统签名校验把产物打成 deb 包通过 Cydia/Sileo 或命令行安装到设备里在运行时注入目标进程并完成 Hook再往深了说越狱开发工具链可以分为“编译层”“打包层”“调试层”“逆向层”四个层次。我平时常用的一套组合是Theos 负责编译打包MonkeyDev 负责集成进 Xcode 方便调试Frida 负责动态注入Hopper/class-dump 负责静态分析LLDB 负责断点调试。这套组合几乎覆盖了从拿到一个陌生 App 到写出对应 Tweak 的全过程。1.2 为什么需要一套“独立于 Xcode”的链子可能有读者会问Xcode 不是有 clang 和 LLDB 吗为什么还要 Theos原因很简单Xcode 默认的构建流程是给 App Store 服务的它不认越狱开发里的“Logos 语法”也就是%hook、%orig这类预处理指令也没有内置把二进制签名成“可执行 fake sign”的 ldid。越狱开发本质上是“构建一套 App Store 不允许的程序”所以必须由专用工具来接管签名和打包流程。再说直白点Theos 就是一套开源的构建系统它把 clang、ldid、dpkg-deb 这些散落的小工具串成了一条龙。你只需要写好几行配置敲make package它就会自动完成编译、签名、打包。我用它写过很多 Tweak其中最核心的部分也就是一个Tweak.xm文件和一个Makefile理解了这两个文件的逻辑整条链子也就通了。提示如果你想快速上手MonkeyDev 是个更好的切入点。它直接给 Xcode 装了一套模板让你能像写普通 App 一样写 Tweak调试和日志输出都方便很多。但它对 Xcode 版本比较敏感后面我会单独讲。2. 开发环境搭建从零开始的第一步2.1 硬件和基础依赖怎么准备先说结论一台 Mac 是体验最顺的但不是必需的。Theos 支持在 macOS、Linux、WindowsWSL上运行不过我用下来的经验是编译和签名环节在 macOS 上碰到的问题最少因为 ldid 的兼容性和 Xcode 自带的 clang 版本都能对上。如果你手头只有 Windows用 WSL 也能跑只是还要额外处理 usbmuxd 和 SSH 转发的坑劝退指数有点高。设备方面你需要一台能越狱的 iPhone 或 iPad系统版本最好和被注入的目标 App 兼容。这里特别提一下 iOS 14 的越狱情况iOS 14.0/14.1可用 unc0ver 或 TaurineiOS 14.2/14.3unc0ver 也支持再往后的版本就得看具体越狱工具是否更新了开发机上的基础依赖我建议按这个清单准备# macOS 上先装 Homebrew /bin/bash -c $(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh) # 基础工具 brew install git make ldid dpkg fakeroot # 建议装一下 Xcode Command Line Tools xcode-select --install注意ldid是必须的它是给越狱二进制做伪签名的工具不能用系统自带的 codesign。dpkg用来打 deb 包fakeroot可以让普通用户模拟 root 文件权限这两个在make package阶段缺一不可。2.2 真正的主角Theos 的安装与配置Theos 的安装方式不算复杂但有两个非常容易踩坑的地方我一个个说。第一步把 Theos 拉下来export THEOS~/theos git clone --recursive https://github.com/theos/theos.git $THEOS这里有个细节--recursive会把 Theos 依赖的子模块全部拉下来如果漏了后面编译时会出现%hook相关头文件找不到的问题。国内网络如果不稳定建议直接下载 GitHub 上的 release 包或者配置一下 git 的代理确保子模块完整。第二步配置环境变量。Theos 在编译时需要知道两件事SDK 在哪、目标平台和架构是什么。# 让 Theos 能找到 iOS SDK export THEOS_SDK/path/to/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/SDKs # 指定目标平台和架构 export TARGETiphone:latest:14.0 export ARCHSarm64如果这些没配好最常见的报错就是Cant find iOS SDK。我早期的做法是直接建立一个~/.theosrc文件把这些变量写死这样每个终端窗口打开都能用不用每次 export 一遍。2.3 环境变量的那些坑很多新手在 Theos 环境搭建上翻车主要就是环境变量没设置好。我举几个实际碰到的场景THEOS~/theos没生效导致命令找不到。这是因为~在部分 shell 中需要展开你直接写~/theos是没问题的但如果把变量放在单引号里就不会展开建议写全路径。Xcode 版本更新后SDK 路径变了。这个最常见升级 Xcode 之前好好的升级后突然编译不过报SDK path not found。原因就是 Xcode 里的 SDK 路径从iPhoneOS.sdk变成了iPhoneOS17.0.sdk你需要重新指定一遍。目标版本写太老比如写成14.0没问题但写成9.0可能会让编译器启用旧架构编译而越狱设备跑不了。有一个排查思路可以分享在编译报错时先运行echo $THEOS $THEOS_SDK确认环境变量在当前终端里有没有生效再去看具体是编译错误还是签名错误。这个简单的检查能帮你筛掉一大半的问题。3. 完整实操从零写出并安装一个 Tweak3.1 创建工程nic.pl 模板到底怎么选Theos 安装好之后命令行里会多一个nic.pl工具它是 Theos 的工程生成器。运行$THEOS/bin/nic.pl会有一个交互式菜单让你选工程模板。常用的模板有这些模板名称用途适用场景tweak生成一个注入第三方 App 的 Tweak 工程最常用Hook 指定 App 的方法application生成一个独立的命令行 App写工具类程序时用library生成动态库给其他插件提供公共库preference_bundle生成设置项 bundle配合 Tweak 在设置里加可配置项我写 Tweak 时几乎每次都选tweak。选模板之后会让你填项目名如果是 tweak 就填要注入的 App bundle id这里会被写在 Makefile 里的Tweak.bundle里我们一般填 SpringBoard也就是注入桌面进程然后还需要填文件名和作者名之类的。填完之后目录里会生成四个关键文件Tweak.xm写 hook 逻辑的地方Makefile配置文件告诉编译系统目标、架构、包名controldeb 包的元信息包名、版本、描述工程名.plist描述插件的加载配置3.2 Logos 语法入门写一个真实的 Hook我在学习越狱开发时最惊叹的就是 Logos 语法。它把复杂的 method swizzling方法交换简化成了几行声明式指令核心就五个%hook ClassName声明要 Hook 哪个类%orig调用原始方法%new给类添加新方法%group/%end对多个 hook 进行分组管理%ctor/%dtor定义构造函数和析构函数拿一个非常经典的例子来说修改一个 App 的某个按钮标题。假设目标 App 有个类叫HomeViewController里面有个方法viewDidLoad我想让 App 打开后自动弹一个 alert。代码可以这么写#import UIKit/UIKit.h %hook HomeViewController - (void)viewDidLoad { %orig; // 先调用原始方法保证页面正常加载 UIAlertController *alert [UIAlertController alertControllerWithTitle:Tweak 注入成功 message:这是越狱开发的测试弹窗 preferredStyle:UIAlertControllerStyleAlert]; [[UIApplication sharedApplication].keyWindow.rootViewController presentViewController:alert animated:YES completion:nil]; } %end这段代码的逻辑很简单在HomeViewController的viewDidLoad被调用时先执行原始方法再弹窗展示。但看%hook/%end这种写法它几乎完全把 runtime 的 method_exchangeImplementations 封装掉了。你不需要关心 IMP 指针怎么交换、SEL 怎么注册只需要声明“我要接管这个类的方法”。还需要特别注意的是凡是要 hook 的类方法如果它不在类名里直接写出来而是通过NSClassFromString动态获取的那么%hook也能处理因为 Logos 本质是生成运行时替换代码而不是静态编译期行为。如果你需要 hook 一个字符串形式的类名可以用%hook(NSClassFromString(XXX))但这属于进阶用法平时用得少。3.3 Makefile 与编译打包一条命令完成全流程写完.xm文件后打开生成的Makefile你需要确认三处配置TARGET : iphone:clang:latest:14.0 ARCHS arm64 INSTALL_TARGET_PROCESSES SpringBoard include $(THEOS)/makefiles/common.mk TWEAK_NAME MyFirstTweak MyFirstTweak_FILES Tweak.xm MyFirstTweak_CFLAGS -fobjc-arc include $(THEOS_MAKE_PATH)/tweak.mkTARGET里的latest表示用当前 Xcode 提供的最新 SDK14.0表示最低部署版本为 iOS 14这个值决定了编译时用的语言特性和 API 可用性。ARCHS写arm64即可因为越狱设备基本都是 64 位。如果还要支持老机型可以写成armv7 arm64但现在的越狱环境基本不需要了。INSTALL_TARGET_PROCESSES表示安装插件后自动重启哪个进程。如果是注入 App写成 App 名如果改的是桌面 UI就是SpringBoard。配置写好后编译打包的命令也不复杂make clean make package如果一切顺利packages目录下会生成一个com.yourname.myfirsttweak_0.0.1-1_iphoneos-arm.deb文件。这就是标准的可安装 deb 包。如果你想直接装到设备上在手机连到同一 Wi-Fi、并安装了 OpenSSH 的情况下可以一条命令搞定make install它会默认通过 SSH 连接你设备的 IP并用 root 密码 alpine 执行安装。装完后 SpringBoard 会自动重启你的 Tweak 就在桌面上生效了。make package也不是每次都能一次过。我碰到过的最常见错误是dpkg-deb: error: unknown option --pbzip2这是因为新版 dpkg 版本和系统默认压缩选项不匹配解决办法很简单在 Makefile 或命令里加一个PACKAGE_FORMATipsw或者直接用make package PACKAGE_FORMATlzma之类即可。4. 调试与逆向辅助工具光有 Tweak 不行4.1 运行时动态调试LLDB 与 Frida 双管齐下写完 Tweak 装到手机上如果不调试基本等于盲人摸象。插件没生效、崩溃、UI 错乱这些都是家常便饭。我常用的调试手段里LLDB 是起步先通过 usbmuxd 连接设备端口然后让目标 App 启动后停在断点处。Theos 的make debug会在debugserver环境里启动 LLDB但很多新手先要解决的是“设备上没装 debugserver”。这需要在越狱设备上用 appinst 重签debugserver步骤略繁琐但网上都有现成脚本执行一次就可以长期使用。Frida 则比 LLDB 更适合做动态注入和函数 hook。它的玩法是直接往运行中的 App 里塞一段 JS 代码让你在不改包体的情况下查看函数调用、修改参数返回值。我平时最常用的命令是frida -U -f com.apple.SpringBoard -l myhook.js如果你连要 hook 哪个方法都不确定还可以用frida-trace快速跟踪所有调用frida-trace -U -f com.apple.SpringBoard -m -[NSObject description]这个命令会把 SpringBoard 里所有 NSObject 的description调用打出来虽然输出量很大但能快速定位 App 到底走了哪些逻辑。4.2 静态逆向分析读懂别人的 App 再动手动态调试能解决“这个函数执行了什么”但解决不了“这个 App 里有哪些类和函数”。想搞清楚目标 App 的结构就得靠静态分析工具。class-dump是第一个要推荐的。它能把 Mach-O 文件里的__objc_classlist段导出来生成易读的.h头文件让你直接看到目标 App 的类名、属性、方法名。命令很简单class-dump -H /path/to/App -o ./headers我拿到一个新 App第一件事就是 class-dump 出所有头文件然后用 gRIP 搜关键词比如搜索password、login、secret看看有没有值得研究的加密或逻辑。如果你不满足于方法名想看函数内部的伪代码Hopper Disassembler 和 IDA 是更进阶的工具。Hopper 对新手更友好把 Mach-O 拖进去就能反编译出高亮伪代码分析逻辑快很多。下面是一个简单的工具选型对比供参考工具作用上手难度适合场景class-dump导出头文件低快速了解类结构Hopper Disassembler静态反编译中分析核心函数逻辑IDA Pro高级反编译高复杂算法研究Frida动态注入中运行时调试与函数级 hookLLDB断点调试中高精确到指令级别调试注意class-dump 只对 Objective-C 有效如果你的目标 App 是 Swift 写的类名和方法名会被混淆或者变成 Swift mangled name可读性会差很多。Swift App 的逆向一般得靠 Opaque 类型的 Frida 脚本来做运行时分析。5. 常见问题与排查技巧实录5.1 编译和打包阶段的问题越狱开发的问题有 80% 以上集中在编译打包阶段我整理了一份高频问题对照表报错/现象原因解决办法Cant find iOS SDKTHEOS_SDK 路径没配好重设环境变量确认 Xcode SDK 路径存在dpkg-deb: errordpkg 版本过新压缩选项不兼容make package PACKAGE_FORMATlzmaNo rule to make targetMakefile 中文件名写错检查_FILES配置确保.xm文件名一致ldid: cant open output file输出目录不存在或权限不足用sudo或手动创建目录clang: error: invalid archARCHS 写错或 SDK 不支持统一改为arm64最诡异的一次是我升级完 Xcode 后Theos 突然怎么也编译不过报错指向 clang 版本不兼容。后来查了半天才发现是 Xcode 新版本把SDKROOT路径改了导致 Theos 内部默认的 clang 路径失效。解决办法是重新make clean并确保THEOS_SDK指向新路径这个问题在升级 Xcode 后非常常见。5.2 安装与加载阶段的问题装完包、SpringBoard 重启后插件不生效这个问题排查起来比较麻烦因为涉及的因素很多。我常用的排查顺序是先看包有没有正确安装dpkg -l | grep yourtweak再看有没有注入到目标进程ps aux | grep SpringBoard确认 SpringBoard 是否重启过检查系统日志tail -f /var/log/syslog或killall -SIGABRT SpringBoard后看崩溃日志用ldid -e查看签名是否存在如果签名失效make install后还是不会加载如果 SpringBoard 一直崩溃循环最直接的恢复方式是进安全模式然后 SSH 进去把 deb 包卸载dpkg -r com.yourname.myfirsttweak killall SpringBoard新手的常见错误是在低版本越狱环境下把部署目标写太高比如TARGETiphone:latest:17.0结果设备是 iOS 14导致加载时被系统拒之门外。5.3 运行时崩溃与内存问题越狱开发里崩溃是很常见的很多崩溃源自于你 hook 的方法在运行时行为与你预期不一致。举一个例子你在viewDidLoad里强行调用了presentViewController但此时控制器可能还没完全出现在 window 上系统会抛异常。这类问题不能只靠看代码需要结合 Frida 和 LLDB 去确认调用时机。我的建议是在写 Tweak 时尽量用dispatch_async包裹 UI 操作或者监听viewDidAppear而不是viewDidLoad这样能减少大量时序崩溃。另外要留意内存管理。Theos 默认不开启 ARC如果你用%new添加新方法里创建了对象一定要记得release。用-fobjc-arc编译时也要注意某些复杂对象生命周期仍然会被 runtime 误判。我吃过不少亏最后总结出一个铁律凡是%hook的类只要涉及对象创建和返回就用 autorelease pool 包起来。这个方法能规避大多数循环引用和过度释放的问题。6. 写在最后越狱开发工具带给我的启发回头看我最早接触越狱开发工具的时候也是在网上看到别人的精华文章和成品插件然后照着教程一步步搭环境、编译、安装。最开始那些年连最基本的 Theos 安装都因为网络原因反复失败更别提make package时候各种报错。但正是这些挫折逼着我搞懂了 iOS 的进程模型、签名机制、dyld 加载流程这些知识后来对我的工作帮助极大。如果你也想入坑我给你一个最实际的建议别一上来就追求复杂的 Tweak先从一个“弹窗”或“改按钮颜色”这类最小功能开始完整跑通“开发-编译-打包-安装-重启进程-生效”这个闭环。等你把这条链路走得无比熟练之后再去研究动态调试、静态分析和逆向工程顺理成章。还有个小技巧整理代码时尽量把不同功能的 hook 拆分到多个.xm文件里然后用%group统一管理这样后期维护会轻松很多。越狱开发本身就是一门“反着读系统”的艺术工具越顺手你能探索到的底层逻辑就越深。希望这篇文章能帮你顺利迈过最初的那些坎早点把头文件 dump 出来离真相更近一步。本文还有配套的精品资源点击获取
iOS越狱开发工具链完全指南：从环境搭建到Tweak实战
简介这是适用于iOS越狱开发者的Theos工具包面向需要绕过App Store限制、在越狱设备上构建Cydia插件与deb应用的开发人员解决官方工具链受限及网上链接失效的问题。压缩包大小为7.08MB官方未提供文件总数与类型明细但内容为经过验证可用的Theos副本包含编译所需的框架、依赖库与基础配置可直接用于搭建越狱开发环境。已有188人学习下载。借助该工具开发者能够编写Objective-C或Swift代码结合Cydia Substrate实现运行时动态注入制作修改系统行为、添加新功能的插件同时可避开原作者已失效的下载地址省去自行搜索排查的麻烦。由于越狱开发涉及系统底层与安全风险适合具备Objective-C/Swift基础、理解动态链接器原理并愿意承担设备稳定性风险的进阶开发者使用。 最近几年iOS 系统安全研究的热度一直在涨而“越狱开发工具”这个组合词也经常被拿到台面上讨论。很多人以为越狱开发就是装插件、换主题其实真正进入这个圈子后才会发现越狱生态的核心是一套离传统 iOS 开发非常远的工具链。它包含了编译工具、签名工具、打包工具、动态调试器、静态逆向分析器甚至对终端命令行的依赖程度远超普通 App 开发。这篇文章我打算从“这是一套什么工具链”讲起再完整走一遍“从环境搭建到写出一个可安装的 Tweak越狱插件”把我在实际开发中踩过的坑和常用的技巧一并写出来。如果你是想做 iOS 逆向、安全研究或者纯粹想深度定制自己的手机这套内容应该能给你省下不少弯路。1. 越狱开发工具到底是一套什么东西1.1 先理解“越狱开发”和“普通 iOS 开发”的分水岭普通 iOS 开发面向的是 App Store 的沙盒环境。你写的代码运行在系统为你划好的容器里想访问别人的进程、修改系统文件、加载动态库门儿都没有。而越狱开发恰恰相反它要的就是拿到 root 权限之后做那些被系统明令禁止的事注入第三方进程、hook 任意 Objective-C 方法、修改系统 UI、拦截网络请求、读写系统分区。这就是为什么越狱开发不能直接用 Xcode 一把梭。Xcode 编译出来的 App 默认带的是 Apple 签名越狱设备虽然能装但装完没有 root 权限也跑不了注入逻辑。真正干这行的工具链需要自己完成三件事编译出针对越狱环境的二进制也就是用 ldid 做假签名绕过系统签名校验把产物打成 deb 包通过 Cydia/Sileo 或命令行安装到设备里在运行时注入目标进程并完成 Hook再往深了说越狱开发工具链可以分为“编译层”“打包层”“调试层”“逆向层”四个层次。我平时常用的一套组合是Theos 负责编译打包MonkeyDev 负责集成进 Xcode 方便调试Frida 负责动态注入Hopper/class-dump 负责静态分析LLDB 负责断点调试。这套组合几乎覆盖了从拿到一个陌生 App 到写出对应 Tweak 的全过程。1.2 为什么需要一套“独立于 Xcode”的链子可能有读者会问Xcode 不是有 clang 和 LLDB 吗为什么还要 Theos原因很简单Xcode 默认的构建流程是给 App Store 服务的它不认越狱开发里的“Logos 语法”也就是%hook、%orig这类预处理指令也没有内置把二进制签名成“可执行 fake sign”的 ldid。越狱开发本质上是“构建一套 App Store 不允许的程序”所以必须由专用工具来接管签名和打包流程。再说直白点Theos 就是一套开源的构建系统它把 clang、ldid、dpkg-deb 这些散落的小工具串成了一条龙。你只需要写好几行配置敲make package它就会自动完成编译、签名、打包。我用它写过很多 Tweak其中最核心的部分也就是一个Tweak.xm文件和一个Makefile理解了这两个文件的逻辑整条链子也就通了。提示如果你想快速上手MonkeyDev 是个更好的切入点。它直接给 Xcode 装了一套模板让你能像写普通 App 一样写 Tweak调试和日志输出都方便很多。但它对 Xcode 版本比较敏感后面我会单独讲。2. 开发环境搭建从零开始的第一步2.1 硬件和基础依赖怎么准备先说结论一台 Mac 是体验最顺的但不是必需的。Theos 支持在 macOS、Linux、WindowsWSL上运行不过我用下来的经验是编译和签名环节在 macOS 上碰到的问题最少因为 ldid 的兼容性和 Xcode 自带的 clang 版本都能对上。如果你手头只有 Windows用 WSL 也能跑只是还要额外处理 usbmuxd 和 SSH 转发的坑劝退指数有点高。设备方面你需要一台能越狱的 iPhone 或 iPad系统版本最好和被注入的目标 App 兼容。这里特别提一下 iOS 14 的越狱情况iOS 14.0/14.1可用 unc0ver 或 TaurineiOS 14.2/14.3unc0ver 也支持再往后的版本就得看具体越狱工具是否更新了开发机上的基础依赖我建议按这个清单准备# macOS 上先装 Homebrew /bin/bash -c $(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh) # 基础工具 brew install git make ldid dpkg fakeroot # 建议装一下 Xcode Command Line Tools xcode-select --install注意ldid是必须的它是给越狱二进制做伪签名的工具不能用系统自带的 codesign。dpkg用来打 deb 包fakeroot可以让普通用户模拟 root 文件权限这两个在make package阶段缺一不可。2.2 真正的主角Theos 的安装与配置Theos 的安装方式不算复杂但有两个非常容易踩坑的地方我一个个说。第一步把 Theos 拉下来export THEOS~/theos git clone --recursive https://github.com/theos/theos.git $THEOS这里有个细节--recursive会把 Theos 依赖的子模块全部拉下来如果漏了后面编译时会出现%hook相关头文件找不到的问题。国内网络如果不稳定建议直接下载 GitHub 上的 release 包或者配置一下 git 的代理确保子模块完整。第二步配置环境变量。Theos 在编译时需要知道两件事SDK 在哪、目标平台和架构是什么。# 让 Theos 能找到 iOS SDK export THEOS_SDK/path/to/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/SDKs # 指定目标平台和架构 export TARGETiphone:latest:14.0 export ARCHSarm64如果这些没配好最常见的报错就是Cant find iOS SDK。我早期的做法是直接建立一个~/.theosrc文件把这些变量写死这样每个终端窗口打开都能用不用每次 export 一遍。2.3 环境变量的那些坑很多新手在 Theos 环境搭建上翻车主要就是环境变量没设置好。我举几个实际碰到的场景THEOS~/theos没生效导致命令找不到。这是因为~在部分 shell 中需要展开你直接写~/theos是没问题的但如果把变量放在单引号里就不会展开建议写全路径。Xcode 版本更新后SDK 路径变了。这个最常见升级 Xcode 之前好好的升级后突然编译不过报SDK path not found。原因就是 Xcode 里的 SDK 路径从iPhoneOS.sdk变成了iPhoneOS17.0.sdk你需要重新指定一遍。目标版本写太老比如写成14.0没问题但写成9.0可能会让编译器启用旧架构编译而越狱设备跑不了。有一个排查思路可以分享在编译报错时先运行echo $THEOS $THEOS_SDK确认环境变量在当前终端里有没有生效再去看具体是编译错误还是签名错误。这个简单的检查能帮你筛掉一大半的问题。3. 完整实操从零写出并安装一个 Tweak3.1 创建工程nic.pl 模板到底怎么选Theos 安装好之后命令行里会多一个nic.pl工具它是 Theos 的工程生成器。运行$THEOS/bin/nic.pl会有一个交互式菜单让你选工程模板。常用的模板有这些模板名称用途适用场景tweak生成一个注入第三方 App 的 Tweak 工程最常用Hook 指定 App 的方法application生成一个独立的命令行 App写工具类程序时用library生成动态库给其他插件提供公共库preference_bundle生成设置项 bundle配合 Tweak 在设置里加可配置项我写 Tweak 时几乎每次都选tweak。选模板之后会让你填项目名如果是 tweak 就填要注入的 App bundle id这里会被写在 Makefile 里的Tweak.bundle里我们一般填 SpringBoard也就是注入桌面进程然后还需要填文件名和作者名之类的。填完之后目录里会生成四个关键文件Tweak.xm写 hook 逻辑的地方Makefile配置文件告诉编译系统目标、架构、包名controldeb 包的元信息包名、版本、描述工程名.plist描述插件的加载配置3.2 Logos 语法入门写一个真实的 Hook我在学习越狱开发时最惊叹的就是 Logos 语法。它把复杂的 method swizzling方法交换简化成了几行声明式指令核心就五个%hook ClassName声明要 Hook 哪个类%orig调用原始方法%new给类添加新方法%group/%end对多个 hook 进行分组管理%ctor/%dtor定义构造函数和析构函数拿一个非常经典的例子来说修改一个 App 的某个按钮标题。假设目标 App 有个类叫HomeViewController里面有个方法viewDidLoad我想让 App 打开后自动弹一个 alert。代码可以这么写#import UIKit/UIKit.h %hook HomeViewController - (void)viewDidLoad { %orig; // 先调用原始方法保证页面正常加载 UIAlertController *alert [UIAlertController alertControllerWithTitle:Tweak 注入成功 message:这是越狱开发的测试弹窗 preferredStyle:UIAlertControllerStyleAlert]; [[UIApplication sharedApplication].keyWindow.rootViewController presentViewController:alert animated:YES completion:nil]; } %end这段代码的逻辑很简单在HomeViewController的viewDidLoad被调用时先执行原始方法再弹窗展示。但看%hook/%end这种写法它几乎完全把 runtime 的 method_exchangeImplementations 封装掉了。你不需要关心 IMP 指针怎么交换、SEL 怎么注册只需要声明“我要接管这个类的方法”。还需要特别注意的是凡是要 hook 的类方法如果它不在类名里直接写出来而是通过NSClassFromString动态获取的那么%hook也能处理因为 Logos 本质是生成运行时替换代码而不是静态编译期行为。如果你需要 hook 一个字符串形式的类名可以用%hook(NSClassFromString(XXX))但这属于进阶用法平时用得少。3.3 Makefile 与编译打包一条命令完成全流程写完.xm文件后打开生成的Makefile你需要确认三处配置TARGET : iphone:clang:latest:14.0 ARCHS arm64 INSTALL_TARGET_PROCESSES SpringBoard include $(THEOS)/makefiles/common.mk TWEAK_NAME MyFirstTweak MyFirstTweak_FILES Tweak.xm MyFirstTweak_CFLAGS -fobjc-arc include $(THEOS_MAKE_PATH)/tweak.mkTARGET里的latest表示用当前 Xcode 提供的最新 SDK14.0表示最低部署版本为 iOS 14这个值决定了编译时用的语言特性和 API 可用性。ARCHS写arm64即可因为越狱设备基本都是 64 位。如果还要支持老机型可以写成armv7 arm64但现在的越狱环境基本不需要了。INSTALL_TARGET_PROCESSES表示安装插件后自动重启哪个进程。如果是注入 App写成 App 名如果改的是桌面 UI就是SpringBoard。配置写好后编译打包的命令也不复杂make clean make package如果一切顺利packages目录下会生成一个com.yourname.myfirsttweak_0.0.1-1_iphoneos-arm.deb文件。这就是标准的可安装 deb 包。如果你想直接装到设备上在手机连到同一 Wi-Fi、并安装了 OpenSSH 的情况下可以一条命令搞定make install它会默认通过 SSH 连接你设备的 IP并用 root 密码 alpine 执行安装。装完后 SpringBoard 会自动重启你的 Tweak 就在桌面上生效了。make package也不是每次都能一次过。我碰到过的最常见错误是dpkg-deb: error: unknown option --pbzip2这是因为新版 dpkg 版本和系统默认压缩选项不匹配解决办法很简单在 Makefile 或命令里加一个PACKAGE_FORMATipsw或者直接用make package PACKAGE_FORMATlzma之类即可。4. 调试与逆向辅助工具光有 Tweak 不行4.1 运行时动态调试LLDB 与 Frida 双管齐下写完 Tweak 装到手机上如果不调试基本等于盲人摸象。插件没生效、崩溃、UI 错乱这些都是家常便饭。我常用的调试手段里LLDB 是起步先通过 usbmuxd 连接设备端口然后让目标 App 启动后停在断点处。Theos 的make debug会在debugserver环境里启动 LLDB但很多新手先要解决的是“设备上没装 debugserver”。这需要在越狱设备上用 appinst 重签debugserver步骤略繁琐但网上都有现成脚本执行一次就可以长期使用。Frida 则比 LLDB 更适合做动态注入和函数 hook。它的玩法是直接往运行中的 App 里塞一段 JS 代码让你在不改包体的情况下查看函数调用、修改参数返回值。我平时最常用的命令是frida -U -f com.apple.SpringBoard -l myhook.js如果你连要 hook 哪个方法都不确定还可以用frida-trace快速跟踪所有调用frida-trace -U -f com.apple.SpringBoard -m -[NSObject description]这个命令会把 SpringBoard 里所有 NSObject 的description调用打出来虽然输出量很大但能快速定位 App 到底走了哪些逻辑。4.2 静态逆向分析读懂别人的 App 再动手动态调试能解决“这个函数执行了什么”但解决不了“这个 App 里有哪些类和函数”。想搞清楚目标 App 的结构就得靠静态分析工具。class-dump是第一个要推荐的。它能把 Mach-O 文件里的__objc_classlist段导出来生成易读的.h头文件让你直接看到目标 App 的类名、属性、方法名。命令很简单class-dump -H /path/to/App -o ./headers我拿到一个新 App第一件事就是 class-dump 出所有头文件然后用 gRIP 搜关键词比如搜索password、login、secret看看有没有值得研究的加密或逻辑。如果你不满足于方法名想看函数内部的伪代码Hopper Disassembler 和 IDA 是更进阶的工具。Hopper 对新手更友好把 Mach-O 拖进去就能反编译出高亮伪代码分析逻辑快很多。下面是一个简单的工具选型对比供参考工具作用上手难度适合场景class-dump导出头文件低快速了解类结构Hopper Disassembler静态反编译中分析核心函数逻辑IDA Pro高级反编译高复杂算法研究Frida动态注入中运行时调试与函数级 hookLLDB断点调试中高精确到指令级别调试注意class-dump 只对 Objective-C 有效如果你的目标 App 是 Swift 写的类名和方法名会被混淆或者变成 Swift mangled name可读性会差很多。Swift App 的逆向一般得靠 Opaque 类型的 Frida 脚本来做运行时分析。5. 常见问题与排查技巧实录5.1 编译和打包阶段的问题越狱开发的问题有 80% 以上集中在编译打包阶段我整理了一份高频问题对照表报错/现象原因解决办法Cant find iOS SDKTHEOS_SDK 路径没配好重设环境变量确认 Xcode SDK 路径存在dpkg-deb: errordpkg 版本过新压缩选项不兼容make package PACKAGE_FORMATlzmaNo rule to make targetMakefile 中文件名写错检查_FILES配置确保.xm文件名一致ldid: cant open output file输出目录不存在或权限不足用sudo或手动创建目录clang: error: invalid archARCHS 写错或 SDK 不支持统一改为arm64最诡异的一次是我升级完 Xcode 后Theos 突然怎么也编译不过报错指向 clang 版本不兼容。后来查了半天才发现是 Xcode 新版本把SDKROOT路径改了导致 Theos 内部默认的 clang 路径失效。解决办法是重新make clean并确保THEOS_SDK指向新路径这个问题在升级 Xcode 后非常常见。5.2 安装与加载阶段的问题装完包、SpringBoard 重启后插件不生效这个问题排查起来比较麻烦因为涉及的因素很多。我常用的排查顺序是先看包有没有正确安装dpkg -l | grep yourtweak再看有没有注入到目标进程ps aux | grep SpringBoard确认 SpringBoard 是否重启过检查系统日志tail -f /var/log/syslog或killall -SIGABRT SpringBoard后看崩溃日志用ldid -e查看签名是否存在如果签名失效make install后还是不会加载如果 SpringBoard 一直崩溃循环最直接的恢复方式是进安全模式然后 SSH 进去把 deb 包卸载dpkg -r com.yourname.myfirsttweak killall SpringBoard新手的常见错误是在低版本越狱环境下把部署目标写太高比如TARGETiphone:latest:17.0结果设备是 iOS 14导致加载时被系统拒之门外。5.3 运行时崩溃与内存问题越狱开发里崩溃是很常见的很多崩溃源自于你 hook 的方法在运行时行为与你预期不一致。举一个例子你在viewDidLoad里强行调用了presentViewController但此时控制器可能还没完全出现在 window 上系统会抛异常。这类问题不能只靠看代码需要结合 Frida 和 LLDB 去确认调用时机。我的建议是在写 Tweak 时尽量用dispatch_async包裹 UI 操作或者监听viewDidAppear而不是viewDidLoad这样能减少大量时序崩溃。另外要留意内存管理。Theos 默认不开启 ARC如果你用%new添加新方法里创建了对象一定要记得release。用-fobjc-arc编译时也要注意某些复杂对象生命周期仍然会被 runtime 误判。我吃过不少亏最后总结出一个铁律凡是%hook的类只要涉及对象创建和返回就用 autorelease pool 包起来。这个方法能规避大多数循环引用和过度释放的问题。6. 写在最后越狱开发工具带给我的启发回头看我最早接触越狱开发工具的时候也是在网上看到别人的精华文章和成品插件然后照着教程一步步搭环境、编译、安装。最开始那些年连最基本的 Theos 安装都因为网络原因反复失败更别提make package时候各种报错。但正是这些挫折逼着我搞懂了 iOS 的进程模型、签名机制、dyld 加载流程这些知识后来对我的工作帮助极大。如果你也想入坑我给你一个最实际的建议别一上来就追求复杂的 Tweak先从一个“弹窗”或“改按钮颜色”这类最小功能开始完整跑通“开发-编译-打包-安装-重启进程-生效”这个闭环。等你把这条链路走得无比熟练之后再去研究动态调试、静态分析和逆向工程顺理成章。还有个小技巧整理代码时尽量把不同功能的 hook 拆分到多个.xm文件里然后用%group统一管理这样后期维护会轻松很多。越狱开发本身就是一门“反着读系统”的艺术工具越顺手你能探索到的底层逻辑就越深。希望这篇文章能帮你顺利迈过最初的那些坎早点把头文件 dump 出来离真相更近一步。本文还有配套的精品资源点击获取
