banner
raye~

Raye's Journey

且趁闲身未老,尽放我、些子疏狂。
medium
tg_channel
telegram
twitter
douban
github
email
nintendo switch
playstation
steam_profiles
zhihu

frida hook工具使用

375791

本文当做复习 frida 的使用,并且给出一些例题,封面图 via AI

frida 的常见命令速查#

frida-ls-devices # 列出所有设备

frida-ps -U # 列出usb设备的进程

frida-ps -Ua # 列出正在跑的应用

frida-ps -Uai # 列出所有安装的应用

frida-ps -D xxxxx # 连接指定的设备,设备id可以从第一条命令获得

# 启动应用并注入脚本 后面会提到这两者的区别
frida -U -l exploit.js -f com.xxx.yyy

# 应用已经在运行,注入脚本
frida -U -l exploit.js "XXXX"

frida 基础#

frida 是一款基于 python+javascript 的 hook 框架,可运行在 android、ios、linux、win 等各个平台,主要使用的动态二进制插桩技术。

pip 命令安装 fridafrida-tools

pip install frida
pip install frida-tools

查看 python 安装的 frida 版本

frida --version

之后在 PC 端和手机端分别安装 frida 和 frida-server,并且版本要一致。

之后在手机端运行 frida-server,并将手机端的端口转发到 PC 端,以便 PC 端的 python 脚本和手机端的 frida-server 通信。可以使用 adb 命令来实现端口转发,这一步似乎并不是必须的,不转发好像也可以。例如:

adb forward tcp:27042 tcp:27042
adb forward tcp:27043 tcp:27043

可以使用 frida-ps -U 命令来查看手机上的进程信息,以便选择要 hook 的目标进程.

简单概括下:

  1. 下载好对应的 frida server,这个在官方的 GitHub release 页面去找,注意如果用电脑模拟器(如夜神模拟器,则对应架构位 x86 而不是 arm)
  2. adb 连接模拟器,push 第一步下载好的 server 到目录 /data/local/tmp (一般是这个目录),chmod a+x 后启动
  3. pip install frida frida-tools
  4. 输入 frida-ps -U 可以看到手机的进程列表,此时就配置成功了

编写、运行 hook 脚本#

启动并注入一个 hook 脚本

frida -U -l exploit.js -f com.xxx.yyy

一些简单的编写用法,如果熟悉了 java 反射会很好理解

如果要使用一个 string,因为java.lang.String是一个类,所以我们需要 new 出来(其余的类如果想要用到类方法同理,如果是静态方法则不需)

var x = Java.use("java.lang.String").$new("xxxxxxxx")

如果要用到某个类的某个静态方法(类方法则需要先 new 对象)

Java.use("com.xxx.yyy").method(param1, param2)

如果要 hook 某个方法

Java.perform(function() {
	var class = Java.use("com.xxx.yyy")
	classs.方法名.implementation = function(param1, param2){
      send(); // 打印日志
			return this.xxxx	// hook 返回值		
	}
})

基础的用法可以说就这么多

踩坑 && 技巧#

jadx 支持直接复制 frida 代码片段,可以省去不少功夫

Untitled

hook 方法需要指定参数:

// JS 代码
Java.perform(function () {
    var MainActivity = Java.use("com.example.MainActivity"); // 获取类引用
    var a = MainActivity.a.overload("int", "int", "long"); // 指定要 hook 的重载方法的参数类型
    a.implementation = function (x, y, z) { // 替换重载方法的实现
        console.log("x: " + x + ", y: " + y + ", z: " + z); // 打印参数
        var result = this.a(x, y, z); // 调用原始的重载方法
        console.log("result: " + result); // 打印返回值
        return result; // 返回原始的值
    };
});

如果有些函数没有参数,则 overload 不需要指定

// JS 代码
Java.perform(function () {
    var MainActivity = Java.use("com.example.MainActivity"); // 获取类引用
    var onCreate = MainActivity.onCreate.overload(); // 指定要 hook 的函数的重载类型,不传入任何参数
    onCreate.implementation = function () { // 替换函数的实现
        console.log("onCreate() is called"); // 打印日志
        this.onCreate(); // 调用原始的函数
    };
});

示例#

hook MainActivity 方法示例#

参照官方文档的示例,apk 也可以下载:Android | Frida • A world-class dynamic instrumentation toolkit

jadx 分析下逻辑,可以看到要求 this.nthis.m 要相差为 1,并且 this.cnt+1 后等于 1000

Untitled 1

那么什么时候会修改这几个变量呢?往下看到了 onClick 方法

Untitled 2

那么就可以编写 js 脚本,hook onClick 方法

Java.perform (() => {
  // 选择类
  const MainActivity = Java.use ('com.example.seccon2015.rock_paper_scissors.MainActivity');
  // 选择onClick方法
  const onClick = MainActivity.onClick;
  // hook onClick
  onClick.implementation = function (v) {
		// 函数被调用的时候打印一条消息
    send ('onClick');
    // 调用原始的onClick方法
    onClick.call (this, v);
    // 调用完之后修改m,n,cnt的值
    this.m.value = 0;
    this.n.value = 1;
    this.cnt.value = 999;
		// frida控制台打印结果
		// hook结束
    console.log ('Done:'  JSON.stringify (this.cnt));
  };
});

运行命令

frida -U -l .\seccon2015.js rock_paper_scissors

执行后会进入 frida 的 shell,日志消息会打印出来

Untitled 3

frida 也提供了 python 方式调用,不过有个坑点在代码注释中,个人更喜欢用 js 的方式

import frida, sys
def on_message(message, data):
    if message['type'] == 'send':
        print("[*] {0}".format(message['payload']))
    else:
        print(message)

jscode = """ 
...复制上面的jscode
"""

# 注意这里有一个坑点,attach的时候不用输入全包名
process = frida.get_usb_device().attach('rock_paper_scissors')
script = process.create_script(jscode)
script.on('message', on_message)
print('[*] Running CTF')
script.load()
sys.stdin.read()

找了下原因:

import frida
process = frida.get_usb_device().enumerate_processes() # 枚举所有的process

此时发现实际的 process 名字,所以代码中直接写 rock_paper_scissors 而不是完整的包名

Process(pid=2982, name="rock_paper_scissors", parameters={})

运行效果:

Untitled 4

此时应用上就打印出了 flag

Untitled 5

吾爱破解红包第三题#

jadx 分析下逻辑,只要 check 函数返回的结果等于 999 即可获得 flag

Untitled 6
因此直接 hook MainActivity 下的 check 方法即可,返回 999

function main(){
    Java.perform(function(){
        var activity = Java.use("com.zj.wuaipojie2023_3.MainActivity");
        var check_method = activity.check.overload(); // 这里实际没有重载,因此不需要

        check_method.implementation = function(arg){
            // send('check');
            check_method.call(this);
            return 999
        }
    })
 
}
setImmediate(main)

点几下就可以获得 flag 了

Untitled 7

hook rsa 加密#

一次比赛中,有一个关卡是破解 apk,(源文件遗失)jadx 获得源码发现是一个 RSA 加密,这里有个坑搞了半天

安卓的 RSA 和 java 包中的实现不一样,需要手动下载一个 BouncyCastleProvider.jar 包,引入项目后修改代码即可运行

其实最简单的方案就是用 frida 进行 hook

实现的代码如下:

function main(){
    Java.perform(function(){
        var enc = Java.use("java.lang.String").$new("F3RSCi59ewpMm+dIGtiAn752tBQ0TPx7tCayrCXrrwyG2gtlUJ3C82rcrfgg2A4X7XfhXWGidsJgGDzbD9JwvzGbKMHTK5kxJUf1EJ605R/Rv2N+6Jtr54wQAKbqGyU8g/rUhLUf/EgNqPPYTQ6fa4LqFEMTrPm/UZMvL/4yTNhFoM5vQbceQeD9QNATh6kdYEzLfRdWbv/ESllURlgZbQsc7+pHC8Sg9wVh/2MGZHKzZI8a67Usqhk8ojmfgN5ABodQ2z1DOCICg7AH+l+3fx6eOn1dup/Q1hpCHVCgtojMOPfoLcxICY5LkSonrFjAKzv4JHO/f5ihFXX8Dr4MFw=="); // new一个string
        var PrivateKey = Java.use("java.lang.String").$new("MIIEvwIBADANBgkqhkiG9w0BAQEFAASCBKkwggSlAgEAAoIBAQDcscawF6Fy4Smk\nqwOy2W/IcewNTYzHe9ZFV6w1dqrZ+sRBRD6Sapv7k4deLF9ziYsWXfcDNuvG2HN6\nAgk6CeN5QHUj7OiJmTnitHAQFIw7Ed6O3uyE64i3dhZIKh7oAies6EMpfKusXIZ6\nt1lFwVVpPjlrW6435j/nW5X0OeaRRk89zOxIbzAhS0yxArkMSecy9lr+UwzWQhFO\nW4+O/ywesds9VdCuycx2S/1zbG7BwJP507nTxstLkUnet0BHqXH3tH8cRXXDyFo1\n13gBgrBZ7Y79Z7T39B+21qq7RxfwvPDqu6Rq3p9cOUQCwfJSWlHYBVtYOME04vZP\nkZj/PqLhAgMBAAECggEBAL9QLRkBoydfISZqSW6FJ23vs91kWKGlLH44HkTKdhk4\nVWDus/9hA472uOZeOPCDT1s4YaUbuxBJGvGtSipR4CuAQQu/l2WQuqlYGb0W0ulx\n+CiJ/ybKt12ytGYifWBKXfJ59Z7FQFzOaJWA05awnkX5dvUmKMS0iLkan8dzWfic\nCn379Jn/bLmRXSTKgWNMi9toT4kNhnr2/cf1ah1i2MHHZb4ZMdC9rqnSvyzFRAFM\nuess0Qg8ckyoNzx2daP9vXapn8rg6B/MFBZqjorwyv0KJms/S6W/YKw88OixM/J3\nxlBsk8QHJqaL5IZW6/QeIHJk4K6o9+3fTxtHEjcWoAECgYEA8ASApzgATrHUFVdT\nZ6ZohLFMyQQZzaKLtZhBRfenASrWQSpHHcGdF15C45fik/vohZvF/byrHLkwvosp\nvC6BHyF7toJDrTEWBo/xymGNYmovr0keMUc3T4aRomaERz0gY8CLhKpHMKJrVtgj\nkHlAGqkRZB6AAlcEQUSOyvYziyECgYEA62Pg4xMw1BfJKSfLhCoaWHeWBMAbuZ8K\ncEOLIO8CtGKwXRLBe6MUKTDnHt7aXawVd/j6jk27uhD8p1noYqbsAexzMIKAAzic\nI6fsCVgUfvRZzhaQ98xyBO34AmAtzhJQEg65TnybyEf8tC5xPSegCzzYA5w8QfaM\necRq8V8R38ECgYEAkRNXpDuATBDGzaN8AXGfSV1VuUcmRZpTcg82nREFO/pliPwC\nAmVuC5rpOWIsDSC9ukyezzEECJeTdAjv0BQX7fYyLe3s9DlwQ8Ur9BUk/XCLpBrB\nCi4uq33+dzgaCmlTM5hFfInj/+ycjuCUFpaDfdnlbivVWhS4uK601M8d9qECgYEA\nuxel1ZaZRtqo/tcsgZ3dVtemG5x97OmmKFjnKoQOiEWwnCmeM6EJEzxVV0oWEkIG\nxlbU/2p1fYym5HUnqdG24EiJvdLb4LOMFyMPDtY9ZDLfdlilXO/Y6GYkq+66OYKA\ntfmR+/o679OX3bbUNqFaKdRwdV4m3t8SBG7D+Zlw4YECgYAp2B4F1WOu5H/P0yC6\n6Hn/FGcQec8ty6MCPlH1km9dQBS3jMvBAFpmnMv+hWiR4W93tOHRqRndR6VFC/dX\n+io76NklgjQGteUJ/Nawhg0sDpWCUGECRypwbNTgmhcrmu/RF1B22rO8sckPXXeB\nDzVmjKFXgpDDIJ0eDUTQbqEEMw=="); // new一个string
        var encB64Decode = Java.use("com.chaos.view.example.Base64Utils").decode(enc); // 调用Base64Utils的decode方法
        var loadPrivateKey = Java.use("com.chaos.view.example.RSAUtils").loadPrivateKey(PrivateKey); // 调用RSAUtils的loadPrivateKey方法

        var res = Java.use("java.lang.String").$new(Java.use("com.chaos.view.example.RSAUtils").decryptDataPrivate(encB64Decode, loadPrivateKey)); // 调用RSAUtils的decryptDataPrivate解密方法
        
        var qaq = Java.use("com.chaos.view.example.Qaq").decode(res, 127);
        console.log(qaq);
    })
 
}
setImmediate(main)

调用 frida -U -l xxx.js

owasp.mstg.uncrackable1 绕开 root 检测#

apk 有 root 检测,jadx 查看逻辑发现判断是写在 a.a 函数的

Untitled 8

Untitled 9

跟进下 a.a方法 ,简单点就直接 hook 返回结果为 true 好了

Untitled 10

首先绕开 root 检测,找一个大神公开的脚本:

Frida CodeShare

然后试一下就成功绕开了 root

frida -U --codeshare dzonerzy/fridantiroot -f "owasp.mstg.uncrackable1"

接下来就是 hook 下

Java.perform(() => {
    // 找到a类
    const a = Java.use('sg.vantagepoint.uncrackable1.a');
  
    // 找到a方法,虽然没有重载但还是指定下参数类型
    const a_method = a.a.overload("java.lang.String");
    a_method.implementation = function (v) {
      // 打印一条消息表示hook了
      send('a method call');
  
      // call原方法
      a_method.call(this, v);
  
      return true; // hook 原函数的返回值
    };
  });

接下来在通过 -l 去运行自己的脚本,--codeshare 是运行的绕开 root 检测到脚本

frida -U --codeshare dzonerzy/fridantiroot -l .\uncrackable1.js -f "owasp.mstg.uncrackable1"

Untitled 11

owasp.mstg.uncrackable2#

这里的逻辑类似第一个,但是方法是位于 native lib 中的,因此需要去 hook libfoo.so 中的函数

hook native 方法的模版如下:

Java.perform(() => {        
        setTimeout(function(){
            Interceptor.attach(Module.findExportByName('libfoo.so', 'xxxx'),{
    
                onEnter: function(args){
								    // 这里修改函数进入的时的参数
                },
    
                onLeave: function(retval){
								    // 这里修改函数的返回值
                }
    
            });
        },2000);

});

参考模版代码,可以写出如下 hook 脚本:

Java.perform(() => {
        setTimeout(function(){
            Interceptor.attach(Module.findExportByName('libfoo.so', 'Java_sg_vantagepoint_uncrackable2_CodeCheck_bar'),{
    
                onEnter: function(args){
    
                },
    
                onLeave: function(retval){
                    console.log(retval);
                    retval.replace(ptr(1));
                    console.log(retval);
                }
    
            });
        },2000);
});

注意这里的坑:

这里要区分下 frida hook 的两种方式

  • 注入
frida -U  -l .\uncrackable2.js "Uncrackable Level 2" # 注入对应的进程
  • 启动
frida -U  -l .\uncrackable2.js -f owasp.mstg.uncrackable2 # 启动对应的进程

我最开始用的是 -f 导致程序一开始其实没有加载到 libsfoo.so 为这个问题找了半天解决办法,甚至一度以为夜神模拟器就是不支持

最后整理出的两种均可用的代码,只要加上 setTimeout 就行了

注意第一次运行失败,第二次才会成功

frida -U --codeshare dzonerzy/fridantiroot  -l .\uncrackable2.js -f owasp.mstg.uncrackable2

Untitled 12

参考 https://1337.dcodx.com/mobile-security/owasp-mstg-crackme-2-writeup-android 这里给出了去 hook native 中的 strncmp 方法的代码

Java.perform(() => {
        console.log("[*] Hijacking the onClick button")
        var clazz_main = Java.use('sg.vantagepoint.uncrackable2.MainActivity$1')

        clazz_main.onClick.implementation = function () {
            console.log('onCLick() is replaced ');
            
        };

        console.log()
        console.log('[*] ACTION NEEDED: Insert the string "I want your secret asap" as input')
        console.log()

        
        setTimeout(function(){
            Interceptor.attach(Module.findExportByName('libfoo.so', 'strncmp'),{
    
                onEnter: function(args){
    
                    if( Memory.readUtf8String(args[1]).length == 23 && Memory.readUtf8String(args[0]).includes("I want your secret asap")){
                        console.log()
                        console.log()
                        console.log("*******SECRET********")
                        console.log(Memory.readUtf8String(args[1]))
                        console.log("*******SECRET********")
                        console.log()
                        console.log()
                    }
    
                },
    
                onLeave: function(retval){
    
                }
    

            });
        },2000);

});

运行即可

frida -U  -l .\uncrackable2.js "Uncrackable Level 2"

owasp.mstg.uncrackable3#

后面再来补充吧~

Loading...
Ownership of this post data is guaranteed by blockchain and smart contracts to the creator alone.