一、基本情况介绍
数盟IOS端可信ID介绍页: 数字联盟
数盟号称是还原出原生的IDFA, 但是苹果官网这么介绍：
用户开启跟踪允许跟踪后，APP才可以请求获取IDFA，且用户交互界面允许后，APP才能获取到IDFA.
官网给出的基本架构：
APP集成SDK后，SDK上报一些信息到后台，后台进行一些数据分析并与数据库比对，返回可信设备ID和IDFA到客户端。
二、SDK及上报数据分析
官网给出了这么多合作客户：
以知乎IOS客户端分析数盟SDK，提取知乎APP后发现数盟SDK以动态库的形式集成：
du.framework即为SDK库
反编译主程序du文件，SDK使用了代码平坦化混淆、类名方法名混淆、字符串混淆。
直接定位到请求后台的关键代码处：
输出请求后台后返回的JSON数据并解密后格式如下：
{
"err":0,
"rid":"2TU2CA:0KM1:R7E6:3R0E8", // 数盟APP层面设备ID
"cdd":"D2mvLaZZIwmd8SJa6RXIHkOA1sdwcmsG5gw6YPSo3o6a=X0d", // 后台生成的APP层面可信设备ID
"cck":"36",
"rdm":"176",
"qid":"FC44AE3D-B6F1-A01E-9C03-24EA241CE1B4" //全局的IDFA
}
cdd是可信设备ID, qid 是IDFA
同时接口 http://idfa2.shuzilm.cn/q?did=&pkg= 可以返回IDFA，参数为设备ID和包名，这里的did即返回的cdd。
SDK请求后台有两个部分：携带的数据类似：
1）只上报数据，后台无返回数据，每次启动上报：http://idaa.shuzilm.cn/report?v=1.0&t=iaa
2）上报数据后，后台返回设备ID，首次运行（APP缓存内无相关字段时）获取：https://ipi.shuzilm.cn/report?v=1.0
拦截请求前和加密前的上报字符串，如下：
{
AAA = "v1.0";
AI3 = (
"zh-Hans-CN"
);
BBB = "v1.0";
BP1 = 1;
Be8 = "12603.479420792";
En9 = {
bO4 = "";
sb4O = "";
sl2 = "";
};
FU2 = "u9v3o@Wlp";
Fx4 = {
AI7 = "7@jlA7h8:A?;k7AlAm7A?mlmm";
};
GI7 = {
AI7 = "hkj@A7k<hA?hmlA?Ak7A?@l9m";
};
Gd9 = 1;
Gl1 = iOS;
HJ2 = 0;
Hg2 = {
kCFProxyTypeKey = kCFProxyTypeNone;
};
Hq2 = "0.119999997317791";
Ih2 = "2.3.4";
Ke6 = "sg.bigo.alpha";
LW5 = "";
LZ3 = {
fW2 = 77777777477777777747777477777777747;
gy8 = "";
js2 = ":<;:M<;@4:LM?;=9KJ4K9<J47<H7<;@?94M";
qH4 = "M89??I>;?4L=9HK;9H<4:KIL48I<M889<:4K";
se1 = "48B8B8:D2119D:F25820:fc00";
sf2W = 66be31e;
sg8y = "";
sj2s = 06964dc;
zT2 = "l?k@78<lm<7li:k<him7?h8i7:i;>>88;8ll=87l";
};
NA8 = 1;
NP1 = osee2unifiedRelease;
OW5 = "7.3.1";
PJ2 = 3;
Pm4 = "48B8B8:D2119D:F25820:fc00";
Pq2 = {
alt = 0;
lat = 0;
lng = 0;
};
RP5 = 858;
RQ5 = "8;;";
TV5 = 1615277876;
VR1 = 1615290767;
Wm7 = 4;
Wt9 = 1;
XE3 = (
"77??5577?958"
);
ZY9 = 4G;
at9 = {
IW2 = 67895296;
bB8 = 3146072064;
vB9 = 234242048;
};
aw2 = {
AI7 = "7A@k?j<iA:?Ak;m<9jAA>=l<@;m?AAh?97k;j9";
Oa6 = "5>=;:8855:7>8";
Ox7 = "5<<<<9955<<<<99";
tK5 = "5>=;:8855:7>8";
};
bj9 = 3866;
bk6 = {
qA4 = 47185707008;
uu2 = 127968497664;
};
eK5 = "wIwKh65ujvhpt{nhpj\"p6sKw9wLHI67lHs?kHuH|KI86Lz4yLl7uJpHh4{IuMvHj;64y<h:};6>l4{9h=}<p>y9wH6";
fC8 = 6332d8dbf4b37a95e1ea4b773c35c109;
go4 = 2;
hL4 = ":=>";
Identifier prefix = 1;
jN2 = {
};
jj5 = {
fW2 = 77777777477777777747777477777777747;
js2 = ":<;:M<;@4:LM?;=9KJ4K9<J47<H7<;@?94M";
qH4 = "M89??I>;?4L=9HK;9H<4:KIL48I<M889<:4K";
se1 = "48B8B8:D2119D:F25820:fc00";
sf2W = 66be31e;
sj2s = 06964dc;
zT2 = "l?k@78<lm<7li:k<him7?h8i7:i;>>88;8ll=87l";
};
kU4 = "zhihu_shuzilm_cn";
kn7 = "dj/jzHEK";
kp6 = 1615291006;
lH8 = {
AI7 = "ijA@m8l8lAAm:m<>jjAA=7<<<;?lAA?;7@;89";
};
lo7 = "2020-10-03 04:14:37 +0000,2020-10-03 04:14:37 +0000";
mM3 = 1;
mT5 = 1;
mi1 = {
Uc4 = "+9cmRoTSYyKLhgs5";
mE1 = uj;
nO8 = 87;
xX9 = "=7;";
};
ms1 = {
RH9 = 2;
bt3 = ARM64;
};
nC9 = "Jv@p8{;h8jMpIs=w8w@H=6:h4{JhLK@6Iz4y>l7u7p;h4{:uMv8JK64l>s;p;iJvIt96Ly;h6}u6";
oF8 = "0.7466846704483032";
ou5 = 1615290786;
tJ3 = 1615277876983893;
tP9 = "14.1";
tf8 = {
fW2 = 77777777477777777747777477777777747;
js2 = ":<;:M<;@4:LM?;=9KJ4K9<J47<H7<;@?94M";
qH4 = "M89??I>;?4L=9HK;9H<4:KIL48I<M889<:4K";
se1 = "48B8B8:D2119D:F25820:fc00";
sf2W = 66be31e;
sj2s = 06964dc;
zT2 = "l?k@78<lm<7li:k<him7?h8i7:i;>>88;8ll=87l";
};
th1 = 1615291006;
xs6 = 0;
zk4 = (
"A??A?A????A???7A;79",
"A?@A@A?@?@A???7A;79"
);
zv7 = 1;
}
JSON字符串的Key和Value都有加密处理，上报内容丰富
利用iPhone 7P 越狱手机, 测试 贝壳找房APP和 知乎APP 测试得到不同的可信设备ID，但是请求接口 http://idfa2.shuzilm.cn/q?did=&pkg= 时，返回了相同的IDFA！
三、解密关键数据
上报数据的接口都做了加密处理，定位到关键解密的类，HOOK输出参数和加密结果（加密方式有多种）：
还原出字符串的原始值：
{
"model":"iPhone9,2",
"fC8":"11dc97a54f95d15dcb3ea403223a5f69",
"RQ5":"414",
"PJ2":"3",
"mi1":{ // SIM卡信息
"locale":"CN",
"xX9":"460", //中国 移动网络标志
"Uc4":"+9cmRoTSYyKLhgs5", // 应该是 中国联通
"nO8":"01" // 01 是联通
},
"tJ3":1615133047280091,
"proxy_info":{ // 代理
"port":8080,
"type":"http",
"ip":"172.24.67.27"
},
"net_type":"WIFI",
"lo7":"2020-10-03 04:14:37 +0000,2020-10-03 04:14:37 +0000", // 系统文件的改写时间，可以认为是系统更新的时间
"ips":[
"172.24.8.15",
"172.24.8.16"
],
"ou5":1615185614,
"En9":{
"sl2":"",
"bO4":"",
"sb4O":""
},
"ms1":{
"bt3":"ARM64",
"RH9":2
},
"nC9":"/var/mobile/Containers/Data/Application/57E3F5DB-B9C6-448B-AA7A-B24010B266C4", // 文件保存路径
"Hq2":0.43000000715255737,
"mM3":0,
"kn7":"9uwmRarGbDmbBtvLcAHu",
"Be8":"15086.353942000",
"NA8":false,
"Wm7":4,
"time":1615185614,
"BP1":"0.",
"at9":{
"bB8":3146072064,
"vB9":218480640,
"IW2":46333952
},
"AI3":[
"zh-Hans-CN"
],
"Pq2":{
"lat":22.934495944497922,
"lng":113.38160809348251,
"alt":5.5634598731994629
},
"Gd9":true, //应该是越狱状态
"TV5":1615133047,
"tf8":{
"IDFV":"0ECDDDCC-2CCA-4720-A173-90F92AAB971F",
"OpenUDID":"b61de9b10bdd52286dc9b198b2d249ea2ae5c7e2",
"IDFA":"00000000-0000-0000-0000-000000000000",
"simulateIDFA":"D32151ED-A4A6-4B81-6617-5438DACAA604",
"deviceid":"9C487F:ACC4DC:CB91C9:5200"
},
"oF8":0.73140573501586914,
"app_versionn":"7.3.1",
"utun0 ":"fe80::dcd3:f490:692c:4fd0", // 应该是ipv6地址
"aw2":{ // 移动网络IP信息
"cip":"10.91.113.211",
"mask":"255.255.255.255",
"pdp_ip0 ":"2408:8456:c03:46ed:4d54:6579:af3b:7103" //应该是ipv6地址
},
"os_type":"iOS",
"LW5":"",
"jN2":{
},
"VR1":1614826186,
"zv7":true,
"BBB":"v1.0",
"xs6":true,
"lip":"172.24.106.152", // 内网ip地址
"deviceid":"9C487F:ACC4DC:CB91C9:5200",
"AAA":"v1.0",
"jj5":{
"did":"9C487F:ACC4DC:CB91C9:5200",
"idfa":"00000000-0000-0000-0000-000000000000",
"idfv":"0ECDDDCC-2CCA-4720-A173-90F92AAB971F",
"IDFA1":"",
"simulateIDFA":"D32151ED-A4A6-4B81-6617-5438DACAA604",
"OpenUDID":"b61de9b10bdd52286dc9b198b2d249ea2ae5c7e2"
},
"go4":1,
"kU4":"zhihu_shuzilm_cn", //应该是集成的key
"tP9":"14.1",
"RP5":1170,
"bj9":"3866", // APP版本信息
"bk6":{
"qA4":48616042496,
"uu2":127968497664
},
"identifierPrefix":4,
"eK5":"/var/mobile/Containers/Data/Application/57E3F5DB-B9C6-448B-AA7A-B24010B266C4",
"mT5":4,
"identifier":"com.zhihu.ios",
"ip0":"2408:8556:c07:bda6:241c:150c:f9ae:8f91", // ipv6
"hL4":"736",
"Wt9":true,
"HJ2":false,
"sdk_ver":"2.3.4",
"LZ3":{
"IDFV":"0ECDDDCC-2CCA-4720-A173-90F92AAB971F ",
"openUDID":"b61de9b10bdd52286dc9b198b2d249ea2ae5c7e2",
"IDFA":"00000000-0000-0000-00000000",
"simulateIDFA ":"D32151ED-A4A6-4B81-6617-5438DACAA604",
"IDFA1":"", //这个字段如果不为空，权重较大。
"did":"9C487F:ACC4DC:CB91C9:5200"
},
"filename":"osee2unifiedRelease",
"zk4":[
]
}
几个确定设备的重要参数：
1、did
形式如：9C487F:ACC4DC:CB91C9:5200 , 如果设备是越狱状态，APP有文件系统的读权限时，从下面四个路径获取：
1) /Library/Managed Preferences/mobile/com.apple.mobileserver.plist
2)/private/var/MobileDevice/ProvisioningProfiles/b87aa91c-bdb2-1b91-baaf-d73ec4bfb86c
3) /private/var/logs/mediaserverd/com.apple.mediaserverd.plist
4）/var/mobile/Library/Preferences/com.mobicom.net2.plist
也就是说对于越狱设备，直接读取到的就是与APP无关的全局设备ID，当系统不存在这些文件以及设备未越狱时，由SDK生成并保存，未越狱设备测试发现每次清空数据后启动did值改变。
2）IDFA
系统提供的获取IDFA的接口，但是IOS14以后默认关闭，因为正常情况下基本是全0
2）openUDID
一个开源的ID方案，测试更改包名变化较大。
3）simulateIDFA
一个开源的ID方案，有变化，有一定稳定性。
组合方案包括：系统版本、硬件型号、SIM卡信息、系统容量等，
以及开机时间、国家码、语言、设备名称两部分组成
碰撞率小，但是明显存在不稳定性。
4）IDFA1
暂且叫做IDFA1，应为它是后台返回的IDFA缓存在本地，每次都会带上，可能APP中缓存和剪切板中缓存（跨APP，新版本系统限定在同一开发者）
5）IDFV
跟APP的开发者有关，一个开发者的所有APP都卸载后，再次运行会改变。
6）lo7
某个系统文件上次的改写时间，目前APP沙盒外的文件，具备读权限的只发现一个：
/System/Library/CoreServices/SystemVersion.plist
可以认为是上次系统更新的时间。该文件记录了系统版本，系统类型（IOS、MacOS）以及系统版本的ID和系统镜像的ID（对应机型和系统版本）
7）文件路径
文件路径中存在随机字符串，可能也会成为归因的一个因素
8）设备其它信息：机型、系统版本、设备名、IP、经纬度等
测试几组数据：
1、改变包名，但是是同一个开发者账号，IDFA1不为空，上报返回同一个qid和cdd。
2、改变包名，不是同一个开发者，IDFA1此时为空，simulateIDFA相同，其余ID不同，但是返回了不同的qid和cdd
基本结论: 所谓的可信设备ID，并不是还原原生的IDFA，同样只是上报一些数据，后台归因然后返回后台保存的IDFA.后台归因时，不是简单的根据某个ID一样判断出是一个设备。而是结合了多个ID，可能每个ID有一定的权重。
用户安装一个全新的APP时下列情况IDFA肯定会变：
1、全新安装，并且没有安装该开发者其它的APP，且设备有重启或系统更新等。这种情况下各个ID都出现不同的值。
2、SDK内部的did出现碰撞等。SDK以did作为高权重。did一样，基本认为是同一个设备，即did出现碰撞，则IDFA会对应错误。
3、系统更新后再安装一个未安装过的应用。
只考虑正常用户，设备ID保存在缓存中或者keychain中能够提高稳定性，基本不会发散。
