banner
raye~

Raye's Journey

且趁闲身未老，尽放我、些子疏狂。
medium
tg_channel
twitter
github
email
nintendo switch
playstation
steam_profiles
主页归档周报关于

frida hook工具使用

#安卓#frida384
AI 生成的摘要
本文是关于复习Frida使用的，并提供了一些示例题目。Frida是一个基于Python和JavaScript的hook框架，可以在Android、iOS、Linux和Windows等各个平台上运行，并使用动态二进制插桩技术。文章介绍了安装Frida和Frida-tools的方法，并说明了在PC端和手机端分别安装Frida和Frida-server，并将手机端的端口转发到PC端的步骤。文章还提供了一些Frida的常见命令，以及编写和运行hook脚本的方法。最后，文章给出了一些关于Frida的技巧和注意事项，并提供了一些示例题目来演示如何使用Frida进行hook。

375791

本文当做复习 frida 的使用，并且给出一些例题，封面图 via AI

frida 的常见命令速查#

frida-ls-devices # 列出所有设备

frida-ps -U # 列出usb设备的进程

frida-ps -Ua # 列出正在跑的应用

frida-ps -Uai # 列出所有安装的应用

frida-ps -D xxxxx # 连接指定的设备，设备id可以从第一条命令获得

# 启动应用并注入脚本 后面会提到这两者的区别
frida -U -l exploit.js -f com.xxx.yyy

# 应用已经在运行，注入脚本
frida -U -l exploit.js "XXXX"

frida 基础#

frida 是一款基于 python+javascript 的 hook 框架，可运行在 android、ios、linux、win 等各个平台，主要使用的动态二进制插桩技术。

pip 命令安装 frida 和 frida-tools：

pip install frida
pip install frida-tools

查看 python 安装的 frida 版本

frida --version

之后在 PC 端和手机端分别安装 frida 和 frida-server，并且版本要一致。

之后在手机端运行 frida-server，并将手机端的端口转发到 PC 端，以便 PC 端的 python 脚本和手机端的 frida-server 通信。可以使用 adb 命令来实现端口转发，这一步似乎并不是必须的，不转发好像也可以。例如：

adb forward tcp:27042 tcp:27042
adb forward tcp:27043 tcp:27043

可以使用 frida-ps -U 命令来查看手机上的进程信息，以便选择要 hook 的目标进程.

简单概括下：

  1. 下载好对应的 frida server，这个在官方的 GitHub release 页面去找，注意如果用电脑模拟器（如夜神模拟器，则对应架构位 x86 而不是 arm）
  2. adb 连接模拟器，push 第一步下载好的 server 到目录 /data/local/tmp (一般是这个目录），chmod a+x 后启动
  3. pip install frida frida-tools
  4. 输入 frida-ps -U 可以看到手机的进程列表，此时就配置成功了

编写、运行 hook 脚本#

启动并注入一个 hook 脚本

frida -U -l exploit.js -f com.xxx.yyy

一些简单的编写用法，如果熟悉了 java 反射会很好理解

如果要使用一个 string，因为java.lang.String是一个类，所以我们需要 new 出来（其余的类如果想要用到类方法同理，如果是静态方法则不需）

var x = Java.use("java.lang.String").$new("xxxxxxxx")

如果要用到某个类的某个静态方法（类方法则需要先 new 对象）

Java.use("com.xxx.yyy").method(param1, param2)

如果要 hook 某个方法

Java.perform(function() {
	var class = Java.use("com.xxx.yyy")
	classs.方法名.implementation = function(param1, param2){
      send(); // 打印日志
			return this.xxxx	// hook 返回值		
	}
})

基础的用法可以说就这么多

踩坑 && 技巧#

jadx 支持直接复制 frida 代码片段，可以省去不少功夫

Untitled

hook 方法需要指定参数：

// JS 代码
Java.perform(function () {
    var MainActivity = Java.use("com.example.MainActivity"); // 获取类引用
    var a = MainActivity.a.overload("int", "int", "long"); // 指定要 hook 的重载方法的参数类型
    a.implementation = function (x, y, z) { // 替换重载方法的实现
        console.log("x: " + x + ", y: " + y + ", z: " + z); // 打印参数
        var result = this.a(x, y, z); // 调用原始的重载方法
        console.log("result: " + result); // 打印返回值
        return result; // 返回原始的值
    };
});

如果有些函数没有参数，则 overload 不需要指定

// JS 代码
Java.perform(function () {
    var MainActivity = Java.use("com.example.MainActivity"); // 获取类引用
    var onCreate = MainActivity.onCreate.overload(); // 指定要 hook 的函数的重载类型，不传入任何参数
    onCreate.implementation = function () { // 替换函数的实现
        console.log("onCreate() is called"); // 打印日志
        this.onCreate(); // 调用原始的函数
    };
});

示例#

hook MainActivity 方法示例#

参照官方文档的示例，apk 也可以下载：Android | Frida • A world-class dynamic instrumentation toolkit

jadx 分析下逻辑，可以看到要求 this.n 和 this.m 要相差为 1，并且 this.cnt+1 后等于 1000

Untitled 1

那么什么时候会修改这几个变量呢？往下看到了 onClick 方法

Untitled 2

那么就可以编写 js 脚本，hook onClick 方法

Java.perform (() => {
  // 选择类
  const MainActivity = Java.use ('com.example.seccon2015.rock_paper_scissors.MainActivity');
  // 选择onClick方法
  const onClick = MainActivity.onClick;
  // hook onClick
  onClick.implementation = function (v) {
		// 函数被调用的时候打印一条消息
    send ('onClick');
    // 调用原始的onClick方法
    onClick.call (this, v);
    // 调用完之后修改m,n,cnt的值
    this.m.value = 0;
    this.n.value = 1;
    this.cnt.value = 999;
		// frida控制台打印结果
		// hook结束
    console.log ('Done:'  JSON.stringify (this.cnt));
  };
});

运行命令

frida -U -l .\seccon2015.js rock_paper_scissors

执行后会进入 frida 的 shell，日志消息会打印出来

Untitled 3

frida 也提供了 python 方式调用，不过有个坑点在代码注释中，个人更喜欢用 js 的方式

import frida, sys
def on_message(message, data):
    if message['type'] == 'send':
        print("[*] {0}".format(message['payload']))
    else:
        print(message)

jscode = """ 
...复制上面的jscode
"""

# 注意这里有一个坑点，attach的时候不用输入全包名
process = frida.get_usb_device().attach('rock_paper_scissors')
script = process.create_script(jscode)
script.on('message', on_message)
print('[*] Running CTF')
script.load()
sys.stdin.read()

找了下原因：

import frida
process = frida.get_usb_device().enumerate_processes() # 枚举所有的process

此时发现实际的 process 名字，所以代码中直接写 rock_paper_scissors 而不是完整的包名

Process(pid=2982, name="rock_paper_scissors", parameters={})

运行效果：

Untitled 4

此时应用上就打印出了 flag

Untitled 5

吾爱破解红包第三题#

jadx 分析下逻辑，只要 check 函数返回的结果等于 999 即可获得 flag

Untitled 6
因此直接 hook MainActivity 下的 check 方法即可，返回 999

function main(){
    Java.perform(function(){
        var activity = Java.use("com.zj.wuaipojie2023_3.MainActivity");
        var check_method = activity.check.overload(); // 这里实际没有重载，因此不需要

        check_method.implementation = function(arg){
            // send('check');
            check_method.call(this);
            return 999
        }
    })
 
}
setImmediate(main)

点几下就可以获得 flag 了

Untitled 7

hook rsa 加密#

一次比赛中，有一个关卡是破解 apk，（源文件遗失）jadx 获得源码发现是一个 RSA 加密，这里有个坑搞了半天

安卓的 RSA 和 java 包中的实现不一样，需要手动下载一个 BouncyCastleProvider.jar 包，引入项目后修改代码即可运行

其实最简单的方案就是用 frida 进行 hook

实现的代码如下:

function main(){
    Java.perform(function(){
        var enc = Java.use("java.lang.String").$new("F3RSCi59ewpMm+dIGtiAn752tBQ0TPx7tCayrCXrrwyG2gtlUJ3C82rcrfgg2A4X7XfhXWGidsJgGDzbD9JwvzGbKMHTK5kxJUf1EJ605R/Rv2N+6Jtr54wQAKbqGyU8g/rUhLUf/EgNqPPYTQ6fa4LqFEMTrPm/UZMvL/4yTNhFoM5vQbceQeD9QNATh6kdYEzLfRdWbv/ESllURlgZbQsc7+pHC8Sg9wVh/2MGZHKzZI8a67Usqhk8ojmfgN5ABodQ2z1DOCICg7AH+l+3fx6eOn1dup/Q1hpCHVCgtojMOPfoLcxICY5LkSonrFjAKzv4JHO/f5ihFXX8Dr4MFw=="); // new一个string
        var PrivateKey = Java.use("java.lang.String").$new("MIIEvwIBADANBgkqhkiG9w0BAQEFAASCBKkwggSlAgEAAoIBAQDcscawF6Fy4Smk\nqwOy2W/IcewNTYzHe9ZFV6w1dqrZ+sRBRD6Sapv7k4deLF9ziYsWXfcDNuvG2HN6\nAgk6CeN5QHUj7OiJmTnitHAQFIw7Ed6O3uyE64i3dhZIKh7oAies6EMpfKusXIZ6\nt1lFwVVpPjlrW6435j/nW5X0OeaRRk89zOxIbzAhS0yxArkMSecy9lr+UwzWQhFO\nW4+O/ywesds9VdCuycx2S/1zbG7BwJP507nTxstLkUnet0BHqXH3tH8cRXXDyFo1\n13gBgrBZ7Y79Z7T39B+21qq7RxfwvPDqu6Rq3p9cOUQCwfJSWlHYBVtYOME04vZP\nkZj/PqLhAgMBAAECggEBAL9QLRkBoydfISZqSW6FJ23vs91kWKGlLH44HkTKdhk4\nVWDus/9hA472uOZeOPCDT1s4YaUbuxBJGvGtSipR4CuAQQu/l2WQuqlYGb0W0ulx\n+CiJ/ybKt12ytGYifWBKXfJ59Z7FQFzOaJWA05awnkX5dvUmKMS0iLkan8dzWfic\nCn379Jn/bLmRXSTKgWNMi9toT4kNhnr2/cf1ah1i2MHHZb4ZMdC9rqnSvyzFRAFM\nuess0Qg8ckyoNzx2daP9vXapn8rg6B/MFBZqjorwyv0KJms/S6W/YKw88OixM/J3\nxlBsk8QHJqaL5IZW6/QeIHJk4K6o9+3fTxtHEjcWoAECgYEA8ASApzgATrHUFVdT\nZ6ZohLFMyQQZzaKLtZhBRfenASrWQSpHHcGdF15C45fik/vohZvF/byrHLkwvosp\nvC6BHyF7toJDrTEWBo/xymGNYmovr0keMUc3T4aRomaERz0gY8CLhKpHMKJrVtgj\nkHlAGqkRZB6AAlcEQUSOyvYziyECgYEA62Pg4xMw1BfJKSfLhCoaWHeWBMAbuZ8K\ncEOLIO8CtGKwXRLBe6MUKTDnHt7aXawVd/j6jk27uhD8p1noYqbsAexzMIKAAzic\nI6fsCVgUfvRZzhaQ98xyBO34AmAtzhJQEg65TnybyEf8tC5xPSegCzzYA5w8QfaM\necRq8V8R38ECgYEAkRNXpDuATBDGzaN8AXGfSV1VuUcmRZpTcg82nREFO/pliPwC\nAmVuC5rpOWIsDSC9ukyezzEECJeTdAjv0BQX7fYyLe3s9DlwQ8Ur9BUk/XCLpBrB\nCi4uq33+dzgaCmlTM5hFfInj/+ycjuCUFpaDfdnlbivVWhS4uK601M8d9qECgYEA\nuxel1ZaZRtqo/tcsgZ3dVtemG5x97OmmKFjnKoQOiEWwnCmeM6EJEzxVV0oWEkIG\nxlbU/2p1fYym5HUnqdG24EiJvdLb4LOMFyMPDtY9ZDLfdlilXO/Y6GYkq+66OYKA\ntfmR+/o679OX3bbUNqFaKdRwdV4m3t8SBG7D+Zlw4YECgYAp2B4F1WOu5H/P0yC6\n6Hn/FGcQec8ty6MCPlH1km9dQBS3jMvBAFpmnMv+hWiR4W93tOHRqRndR6VFC/dX\n+io76NklgjQGteUJ/Nawhg0sDpWCUGECRypwbNTgmhcrmu/RF1B22rO8sckPXXeB\nDzVmjKFXgpDDIJ0eDUTQbqEEMw=="); // new一个string
        var encB64Decode = Java.use("com.chaos.view.example.Base64Utils").decode(enc); // 调用Base64Utils的decode方法
        var loadPrivateKey = Java.use("com.chaos.view.example.RSAUtils").loadPrivateKey(PrivateKey); // 调用RSAUtils的loadPrivateKey方法

        var res = Java.use("java.lang.String").$new(Java.use("com.chaos.view.example.RSAUtils").decryptDataPrivate(encB64Decode, loadPrivateKey)); // 调用RSAUtils的decryptDataPrivate解密方法
        
        var qaq = Java.use("com.chaos.view.example.Qaq").decode(res, 127);
        console.log(qaq);
    })
 
}
setImmediate(main)

调用 frida -U -l xxx.js

owasp.mstg.uncrackable1 绕开 root 检测#

apk 有 root 检测，jadx 查看逻辑发现判断是写在 a.a 函数的

Untitled 8

Untitled 9

跟进下 a.a方法 ，简单点就直接 hook 返回结果为 true 好了

Untitled 10

首先绕开 root 检测，找一个大神公开的脚本：

Frida CodeShare

然后试一下就成功绕开了 root

frida -U --codeshare dzonerzy/fridantiroot -f "owasp.mstg.uncrackable1"

接下来就是 hook 下

Java.perform(() => {
    // 找到a类
    const a = Java.use('sg.vantagepoint.uncrackable1.a');
  
    // 找到a方法，虽然没有重载但还是指定下参数类型
    const a_method = a.a.overload("java.lang.String");
    a_method.implementation = function (v) {
      // 打印一条消息表示hook了
      send('a method call');
  
      // call原方法
      a_method.call(this, v);
  
      return true; // hook 原函数的返回值
    };
  });

接下来在通过 -l 去运行自己的脚本，--codeshare 是运行的绕开 root 检测到脚本

frida -U --codeshare dzonerzy/fridantiroot -l .\uncrackable1.js -f "owasp.mstg.uncrackable1"

Untitled 11

owasp.mstg.uncrackable2#

这里的逻辑类似第一个，但是方法是位于 native lib 中的，因此需要去 hook libfoo.so 中的函数

hook native 方法的模版如下：

Java.perform(() => {        
        setTimeout(function(){
            Interceptor.attach(Module.findExportByName('libfoo.so', 'xxxx'),{
    
                onEnter: function(args){
								    // 这里修改函数进入的时的参数
                },
    
                onLeave: function(retval){
								    // 这里修改函数的返回值
                }
    
            });
        },2000);

});

参考模版代码，可以写出如下 hook 脚本：

Java.perform(() => {
        setTimeout(function(){
            Interceptor.attach(Module.findExportByName('libfoo.so', 'Java_sg_vantagepoint_uncrackable2_CodeCheck_bar'),{
    
                onEnter: function(args){
    
                },
    
                onLeave: function(retval){
                    console.log(retval);
                    retval.replace(ptr(1));
                    console.log(retval);
                }
    
            });
        },2000);
});

注意这里的坑：

这里要区分下 frida hook 的两种方式

  • 注入
frida -U  -l .\uncrackable2.js "Uncrackable Level 2" # 注入对应的进程
  • 启动
frida -U  -l .\uncrackable2.js -f owasp.mstg.uncrackable2 # 启动对应的进程

我最开始用的是 -f 导致程序一开始其实没有加载到 libsfoo.so 为这个问题找了半天解决办法，甚至一度以为夜神模拟器就是不支持

最后整理出的两种均可用的代码，只要加上 setTimeout 就行了

注意第一次运行失败，第二次才会成功

frida -U --codeshare dzonerzy/fridantiroot  -l .\uncrackable2.js -f owasp.mstg.uncrackable2

Untitled 12

参考 https://1337.dcodx.com/mobile-security/owasp-mstg-crackme-2-writeup-android 这里给出了去 hook native 中的 strncmp 方法的代码

Java.perform(() => {
        console.log("[*] Hijacking the onClick button")
        var clazz_main = Java.use('sg.vantagepoint.uncrackable2.MainActivity$1')

        clazz_main.onClick.implementation = function () {
            console.log('onCLick() is replaced ');
            
        };

        console.log()
        console.log('[*] ACTION NEEDED: Insert the string "I want your secret asap" as input')
        console.log()

        
        setTimeout(function(){
            Interceptor.attach(Module.findExportByName('libfoo.so', 'strncmp'),{
    
                onEnter: function(args){
    
                    if( Memory.readUtf8String(args[1]).length == 23 && Memory.readUtf8String(args[0]).includes("I want your secret asap")){
                        console.log()
                        console.log()
                        console.log("*******SECRET********")
                        console.log(Memory.readUtf8String(args[1]))
                        console.log("*******SECRET********")
                        console.log()
                        console.log()
                    }
    
                },
    
                onLeave: function(retval){
    
                }
    

            });
        },2000);

});

运行即可

frida -U  -l .\uncrackable2.js "Uncrackable Level 2"

owasp.mstg.uncrackable3#

后面再来补充吧～

加载中...
此文章数据所有权由区块链加密技术和智能合约保障仅归创作者所有。