React Native iOS应用反调试防护实现方案及替代方案咨询

一、ptrace 实现反调试（最常用原生方案） #

这是iOS端阻止调试器附加的经典手段，具体实现步骤如下：

1. 引入头文件
   打开React Native项目的iOS文件夹，找到AppDelegate.m（或AppDelegate.mm），在文件顶部添加：

#include <sys/ptrace.h>

2. 实现反调试函数
   在AppDelegate类中添加类方法：

+ (void)enableAntiDebugging {
    // PT_DENY_ATTACH 指令直接拒绝调试器附加
    ptrace(PT_DENY_ATTACH, 0, 0, 0);
    
    // 可选：检测ptrace是否被Hook，若返回值异常则终止进程
    if (ptrace(PT_ATTACH, getpid(), 0, 0) == 0) {
        ptrace(PT_DETACH, getpid(), 0, 0);
        exit(EXIT_FAILURE);
    }
}

3. 启动时调用防护逻辑
   在application:didFinishLaunchingWithOptions:方法最开始（RN初始化前）调用，同时用宏控制仅在Release模式生效：

- (BOOL)application:(UIApplication *)application didFinishLaunchingWithOptions:(NSDictionary *)launchOptions
{
#ifndef DEBUG
    [AppDelegate enableAntiDebugging];
#endif
    
    // 原有RN初始化代码...
    RCTBridge *bridge = [[RCTBridge alloc] initWithDelegate:self launchOptions:launchOptions];
    RCTRootView *rootView = [[RCTRootView alloc] initWithBridge:bridge
                                                 moduleName:@"YourAppName"
                                          initialProperties:nil];
    // ...
    return YES;
}

二、其他可行反调试方案 #

1. sysctl 检测调试器附加 #

通过系统调用获取进程状态，判断是否被调试器追踪：

#include <sys/sysctl.h>

+ (BOOL)isDebuggerAttached {
    int name[4];
    name[0] = CTL_KERN;
    name[1] = KERN_PROC;
    name[2] = KERN_PROC_PID;
    name[3] = getpid();
    
    struct kinfo_proc info;
    size_t infoSize = sizeof(info);
    int result = sysctl(name, 4, &info, &infoSize, NULL, 0);
    
    return (result == 0 && (info.kp_proc.p_flag & P_TRACED) != 0);
}

在启动时调用该方法，若检测到调试器则终止进程：

if ([AppDelegate isDebuggerAttached]) {
    exit(EXIT_FAILURE);
}

2. 禁用RN JS远程调试 #

在Release版本中强制关闭JS远程调试，防止通过Chrome逆向JS逻辑：
在RN的JS入口文件（如index.js）添加：

if (!__DEV__) {
    global.__disableReactDevTools = true;
    // 检测是否开启了远程调试，若开启则通知原生端终止应用
    if (typeof __REACT_DEVTOOLS_GLOBAL_HOOK__ !== 'undefined') {
        NativeModules.DeviceEventEmitter.emit('forceExitApp');
    }
}

iOS原生端监听事件并处理：

// 在AppDelegate的初始化代码中添加监听
[[NSNotificationCenter defaultCenter] addObserver:self selector:@selector(forceExitApp) name:@"forceExitApp" object:nil];

- (void)forceExitApp {
    exit(EXIT_FAILURE);
}

3. 检测Hook框架（Frida/Cycript） #

检查应用是否加载了常见Hook工具的动态库：

#include <dlfcn.h>

+ (BOOL)isHooked {
    // 检测Frida代理库
    if (dlopen("libfrida-agent.dylib", RTLD_NOLOAD) != NULL) {
        return YES;
    }
    // 可扩展检测Cycript等其他Hook库
    if (dlopen("libcycript.dylib", RTLD_NOLOAD) != NULL) {
        return YES;
    }
    return NO;
}

检测到Hook框架时直接终止进程即可。

4. 开启苹果Hardened Runtime #

通过系统级权限限制调试：

• 打开Xcode项目，选择Target → Signing & Capabilities
• 点击+ Capability，添加Hardened Runtime
• 在Hardened Runtime设置中，取消勾选Allow Debugging（仅Release版本）
  此设置会阻止未经苹果签名授权的调试器附加到应用。

5. 代码混淆 #

• iOS原生代码：使用Obfuscator-LLVM等工具对原生代码进行变量名、函数名混淆，增加逆向难度
• RN JS代码：使用babel-plugin-minify、babel-plugin-transform-remove-console等工具压缩混淆JS代码，或使用专门的RN混淆工具处理

三、综合防护建议 #

单一防护手段易被绕过，建议组合使用：

• ptrace + sysctl 双重检测调试器
• 开启Hardened Runtime
• 禁用JS远程调试
• 添加Hook框架检测
• 原生+JS代码混淆

内容的提问来源于stack exchange，提问作者Jay Prajapati