在IPA解包之后，目录里通常会同时出现主程序、动态库、扩展模块、配置文件以及图片资源。面对这样的结构，要搞清楚IDA反编译ipa时该从哪一层开始分析，以及解包后的资源目录又该怎样梳理，就不能光盯着文件数量乱翻；比较合理的顺序是先把应用的主入口确定下来，再去整理那些独立的二进制模块，最后用资源文件中发现的线索反过来在代码里做定位。IDA本身能够载入iOS所使用的Mach-O文件，也支持ARM架构的分析工作。

　　一、IDA反编译ipa时先看哪一层

　　IPA并不是一个可以直接丢进IDA的单一二进制文件，在着手分析之前，最好先给原始包留一个备份，然后在授权范围内把它解压缩，再顺着Payload目录往下找到对应的app包。

　　1、先找到主应用包

　　解压缩之后进入Payload文件夹，在里面找出那个后缀为app的目录，它就是应用的主体Bundle；按照Apple的文档说明，Bundle拥有一套标准化的层级结构，可执行代码和各类资源文件通常会一起放在这个目录下。

　　2、通过Info.plist确认主程序

　　接下来要打开app目录里的Info.plist文件，从里面找到名为CFBundleExecutable的字段，这个字段对应的那个不带后缀的文件名称，就是主可执行程序；iOS应用的Info.plist一般都会放在Bundle的根目录下，专门用来保存这类应用配置信息。

　　3、把主Mach-O文件载入IDA

　　将上面确认好的无扩展名主程序文件直接拖进IDA，让工具替它完成自动分析，然后依次去查看Functions、Strings、Imports，以及Objective-C的类名和交叉引用；对于梳理业务入口、页面逻辑和模块间的调用关系来说，主程序通常都是最合适的起点，不能跳过。

　　4、再去分析那些独立的模块

　　等主程序整理得差不多了，再把目光移到Frameworks和PlugIns这两个文件夹，Frameworks底下很可能存在独立的Mach-O动态库，PlugIns里则常常会出现如appex这样的扩展包，Apple的文档也提到，应用扩展本身就是一种随着应用一同分发的独立Bundle，系统有权单独启动它们。

　　二、IDA反编译ipa后资源目录怎么梳理

　　资源目录不需要一个不落地全部塞进IDA，更加省力的办法是把文件划分成二进制、配置文件、界面资源和本地数据这四类，然后分别为它们记录好用途。

　　1、先整理出一份二进制清单

　　可以先从主程序、Frameworks目录下的动态库，以及PlugIns里面的扩展程序着手，在表格中记清楚它们各自的文件路径、架构、模块名称，以及是不是已经导入进了IDA；每个Mach-O文件最好对应一个单独的数据库，这样分析记录才不至于混在一起，后面想找也不好找。

　　2、再把配置文件捋一遍

　　这一步要重点去查看Info.plist、各个扩展模块自己那一份Info.plist，还有权限声明和URL Schemes这些内容，这些配置文件能帮我们判断应用的启动入口、页面跳转方式、扩展类型，还有它所申请的部分系统能力，因为每一个应用和插件基本都会借助Info.plist来存放自身的配置信息。

　　3、把界面和文本资源归好类

　　像Assets.car、storyboard、nib、strings文件，以及图片和字体这些，都可以单独分出来登记；多语言的strings文件里面经常会藏有按钮名称、提示语和页面线索，以后可以拿它们来反查功能入口，而Assets.car更适合先标记一下存在就行，不必一上来就花大量时间去逐项拆解。

　　4、整理好本地的数据文件

　　碰到json、plist、db、sqlite还有配置模板这类文件，也要把它们单独列出来，先大致判断一下它们到底是默认配置、缓存结构还是真正的业务数据，然后再把一些有价值的键名挑出来，回头在IDA里面搜索这些文本，看看有没有交叉引用。

　　三、IDA分析ipa资源线索怎么继续追踪

　　资源目录大体整理完之后，后续的分析就要围绕具体的线索去逐步推进了，不要一头扎进去，想把所有模块都从头到尾读一遍。

　　1、靠着字符串往回反查函数

　　当我们在资源文件里发现了页面名称、配置键或者接口路径之后，就可以回到IDA里去搜这些相同的文本，然后再沿着交叉引用找到真正调用它们的函数，这种反向查找的方式，比在函数清单里漫无目的地一个一个翻要直接很多。

　　2、从框架调用关系里判断模块边界

　　假如主程序很频繁地去调动某一个Framework，就有必要把对应的动态库也单独载入IDA，先确认好它的导出符号和类名，再去判断核心逻辑到底是留在主程序里，还是早已经被拆到了那个独立的模块当中。

　　3、单独为扩展模块做好记录

　　像通知、分享、桌面组件这类扩展，一般都呆在PlugIns目录下面，它们自己就拥有一套Bundle、配置文件和可执行程序，需要单独拉出来整理，不能因为在主程序里瞧不见它们的代码，就忽略过去。

　　4、把文件哈希和版本信息保留下来

　　每次动手分析之前，最好能顺便记下IPA的版本号、Bundle ID、主程序名称、关键文件的哈希，还有这次分析的日期；等到样本更新以后，就可以先对比一下目录和哈希有没有发生变化，再决定哪些模块需要重新载入IDA，这样就可以避免一上来就盲目地把所有文件又重新分析一遍。

　　总结

　　总结起来，在IDA里反编译ipa的时候，一般是先解包进入Payload目录，然后靠着Info.plist里的CFBundleExecutable字段锁定主Mach‑O文件；主程序分析过之后，再去处理Frameworks和PlugIns里面的独立模块，而资源目录则尽量按照二进制、配置、界面资源和本地数据分开登记，先把各个模块的边界搭出来，再利用资源中挖出来的线索反查代码，这样整个分析过程更容易稳稳地朝前推进。