Android Anti-Instrumentation & SSL Pinning Bypass (Frida/Objection)

Tip

Lernen & üben Sie AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Lernen & üben Sie GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Lernen & üben Sie Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Unterstützen Sie HackTricks

Diese Seite bietet einen praxisorientierten Workflow, um die dynamische Analyse gegen Android-Apps wiederherzustellen, die Instrumentation erkennen/root‑blocken oder TLS pinning durchsetzen. Sie konzentriert sich auf schnelle Triage, häufige Erkennungen und kopierbare Hooks/Taktiken, um sie nach Möglichkeit ohne repacking zu umgehen.

Detection Surface (was Apps prüfen)

  • Root checks: su binary, Magisk paths, getprop values, common root packages
  • Frida/debugger checks (Java): Debug.isDebuggerConnected(), ActivityManager.getRunningAppProcesses(), getRunningServices(), scanning /proc, classpath, loaded libs
  • Native anti‑debug: ptrace(), syscalls, anti‑attach, breakpoints, inline hooks
  • Early init checks: Application.onCreate() oder Prozessstart-Hooks, die abstürzen, wenn Instrumentation vorhanden ist
  • TLS pinning: custom TrustManager/HostnameVerifier, OkHttp CertificatePinner, Conscrypt pinning, native pins

Step 1 — Quick win: hide root with Magisk DenyList

  • Zygisk in Magisk aktivieren
  • DenyList aktivieren, das Zielpaket hinzufügen
  • Neustart und erneut testen

Viele Apps schauen nur nach offensichtlichen Indikatoren (su/Magisk paths/getprop). DenyList neutralisiert oft naive Checks.

Referenzen:

  • Magisk (Zygisk & DenyList): https://github.com/topjohnwu/Magisk

Step 2 — 30‑Sekunden Frida Codeshare Tests

Probiere gängige Drop‑in-Skripte, bevor du tiefer eintauchst:

  • anti-root-bypass.js
  • anti-frida-detection.js
  • hide_frida_gum.js

Beispiel:

frida -U -f com.example.app -l anti-frida-detection.js

Diese ersetzen typischerweise Java root/debug checks, process/service scans und native ptrace()-Aufrufe durch stubs. Nützlich bei leicht geschützten apps; gehärtete Ziele benötigen möglicherweise maßgeschneiderte hooks.

  • Codeshare: https://codeshare.frida.re/

Automatisieren mit Medusa (Frida framework)

Medusa bietet 90+ fertige Module für SSL unpinning, root/emulator detection bypass, HTTP comms logging, crypto key interception und mehr.

git clone https://github.com/Ch0pin/medusa
cd medusa
pip install -r requirements.txt
python medusa.py

# Example interactive workflow
show categories
use http_communications/multiple_unpinner
use root_detection/universal_root_detection_bypass
run com.target.app

Tipp: Medusa ist ideal für schnelle Erfolge, bevor du eigene hooks schreibst. Du kannst auch modules cherry-picken und sie mit deinen eigenen scripts kombinieren.

Schritt 3 — Umgehung von init-time Detektoren durch spätes Anhängen

Viele Detektionen laufen nur während des process spawn/onCreate(). Spawn‑time injection (-f) oder gadgets werden erwischt; ein spätes Anhängen, nachdem die UI geladen ist, kann unbemerkt durchrutschen.

# Launch the app normally (launcher/adb), wait for UI, then attach
frida -U -n com.example.app
# Or with Objection to attach to running process
aobjection --gadget com.example.app explore  # if using gadget

Wenn das funktioniert, halte die Session stabil und fahre mit Mapping- und Stub-Checks fort.

Schritt 4 — Erkennungslogik mit Jadx und String-Suche kartieren

Statische Triage-Schlüsselwörter in Jadx:

  • “frida”, “gum”, “root”, “magisk”, “ptrace”, “su”, “getprop”, “debugger”

Typische Java-Muster:

public boolean isFridaDetected() {
return getRunningServices().contains("frida");
}

Gängige APIs zum Überprüfen / Hooken:

  • android.os.Debug.isDebuggerConnected
  • android.app.ActivityManager.getRunningAppProcesses / getRunningServices
  • java.lang.System.loadLibrary / System.load (native bridge)
  • java.lang.Runtime.exec / ProcessBuilder (probing commands)
  • android.os.SystemProperties.get (root/emulator-Heuristiken)

Schritt 5 — Laufzeit-Stubbing mit Frida (Java)

Überschreibe benutzerdefinierte Guards, damit sie sichere Werte zurückgeben, ohne neu zu packen:

Java.perform(() => {
const Checks = Java.use('com.example.security.Checks');
Checks.isFridaDetected.implementation = function () { return false; };

// Neutralize debugger checks
const Debug = Java.use('android.os.Debug');
Debug.isDebuggerConnected.implementation = function () { return false; };

// Example: kill ActivityManager scans
const AM = Java.use('android.app.ActivityManager');
AM.getRunningAppProcesses.implementation = function () { return java.util.Collections.emptyList(); };
});

Triaging early crashes? Dump classes kurz bevor es abstürzt, um wahrscheinliche detection namespaces zu erkennen:

Java.perform(() => {
Java.enumerateLoadedClasses({
onMatch: n => console.log(n),
onComplete: () => console.log('Done')
});
});

// Quick root detection stub example (adapt to target package/class names)
Java.perform(() => {
try {
const RootChecker = Java.use('com.target.security.RootCheck');
RootChecker.isDeviceRooted.implementation = function () { return false; };
} catch (e) {}
});

Protokolliere und neutralisiere verdächtige Methoden, um den Ausführungsfluss zu bestätigen:

Java.perform(() => {
const Det = Java.use('com.example.security.DetectionManager');
Det.checkFrida.implementation = function () {
console.log('checkFrida() called');
return false;
};
});

Bypass emulator/VM detection (Java stubs)

Gängige Heuristiken: Build.FINGERPRINT/MODEL/MANUFACTURER/HARDWARE, die generic/goldfish/ranchu/sdk enthalten; QEMU-Artefakte wie /dev/qemu_pipe, /dev/socket/qemud; Standard-MAC 02:00:00:00:00:00; 10.0.2.x NAT; fehlende Telephony/Sensoren.

Schnelles Spoofing der Build-Felder:

Java.perform(function(){
var Build = Java.use('android.os.Build');
Build.MODEL.value = 'Pixel 7 Pro';
Build.MANUFACTURER.value = 'Google';
Build.BRAND.value = 'google';
Build.FINGERPRINT.value = 'google/panther/panther:14/UP1A.231105.003/1234567:user/release-keys';
});

Ergänze Stubs für Datei-Existenzprüfungen und Identifikatoren (TelephonyManager.getDeviceId/SubscriberId, WifiInfo.getMacAddress, SensorManager.getSensorList), damit realistische Werte zurückgegeben werden.

SSL pinning bypass quick hook (Java)

Neutralisiere benutzerdefinierte TrustManagers und erzwinge permissive SSL contexts:

Java.perform(function(){
var X509TrustManager = Java.use('javax.net.ssl.X509TrustManager');
var SSLContext = Java.use('javax.net.ssl.SSLContext');

// No-op validations
X509TrustManager.checkClientTrusted.implementation = function(){ };
X509TrustManager.checkServerTrusted.implementation = function(){ };

// Force permissive TrustManagers
var TrustManagers = [ X509TrustManager.$new() ];
var SSLContextInit = SSLContext.init.overload('[Ljavax.net.ssl.KeyManager;','[Ljavax.net.ssl.TrustManager;','java.security.SecureRandom');
SSLContextInit.implementation = function(km, tm, sr){
return SSLContextInit.call(this, km, TrustManagers, sr);
};
});

Hinweise

  • Für OkHttp erweitern: hook okhttp3.CertificatePinner und HostnameVerifier nach Bedarf, oder verwende ein universal unpinning script von CodeShare.
  • Beispiel ausführen: frida -U -f com.target.app -l ssl-bypass.js --no-pause

Schritt 6 — Folge der JNI/native-Spur, wenn Java hooks fehlschlagen

Verfolge JNI-Einstiegspunkte, um native Loader und detection init zu finden:

frida-trace -n com.example.app -i "JNI_OnLoad"

Schnelle native Triage gebündelter .so-Dateien:

# List exported symbols & JNI
nm -D libfoo.so | head
objdump -T libfoo.so | grep Java_
strings -n 6 libfoo.so | egrep -i 'frida|ptrace|gum|magisk|su|root'

Interaktives/native reversing:

  • Ghidra: https://ghidra-sre.org/
  • r2frida: https://github.com/nowsecure/r2frida

Beispiel: ptrace neutralisieren, um einfache anti‑debug in libc zu umgehen:

const ptrace = Module.findExportByName(null, 'ptrace');
if (ptrace) {
Interceptor.replace(ptrace, new NativeCallback(function () {
return -1; // pretend failure
}, 'int', ['int', 'int', 'pointer', 'pointer']));
}

Siehe auch: Reversing Native Libraries

Schritt 7 — Objection patching (embed gadget / strip basics)

Wenn Sie repacking Runtime-Hooks vorziehen, versuchen Sie:

objection patchapk --source app.apk

Hinweise:

  • Erfordert apktool; stelle sicher, dass du eine aktuelle Version laut offizieller Anleitung verwendest, um Build-Probleme zu vermeiden: https://apktool.org/docs/install
  • Gadget injection ermöglicht instrumentation ohne root, kann aber dennoch von stärkeren init‑time checks erkannt werden.

Optional: Füge LSPosed-Module und Shamiko hinzu, um stärkeres root hiding in Zygisk-Umgebungen zu erreichen, und pflege die DenyList so, dass sie Kindprozesse abdeckt.

Für einen vollständigen Workflow, einschließlich script-mode Gadget configuration und dem Bündeln deines Frida 17+ agent in die APK, siehe:

Frida Tutorial — Self-contained agent + Gadget embedding

Referenzen:

  • Objection: https://github.com/sensepost/objection

Schritt 8 — Fallback: Patch TLS pinning für Netzwerk-Sichtbarkeit

Wenn instrumentation blockiert ist, kannst du den Netzwerkverkehr dennoch untersuchen, indem du pinning statisch entfernst:

apk-mitm app.apk
# Then install the patched APK and proxy via Burp/mitmproxy
  • Tool: https://github.com/shroudedcode/apk-mitm
  • Für Netzwerk‑Konfigurations‑CA‑trust‑Tricks (und Android 7+ Benutzer‑CA‑trust), siehe:

Make APK Accept CA Certificate

Install Burp Certificate

Praktische Befehlsübersicht

# List processes and attach
frida-ps -Uai
frida -U -n com.example.app

# Spawn with a script (may trigger detectors)
frida -U -f com.example.app -l anti-frida-detection.js

# Trace native init
frida-trace -n com.example.app -i "JNI_OnLoad"

# Objection runtime
objection --gadget com.example.app explore

# Static TLS pinning removal
apk-mitm app.apk

Universelles Erzwingen von Proxys + TLS unpinning (HTTP Toolkit Frida hooks)

Moderne Apps ignorieren häufig Systemproxies und erzwingen mehrere Pinning-Schichten (Java + native), was das Erfassen von Traffic schmerzhaft macht — selbst wenn user/system CAs installiert sind. Ein praktischer Ansatz ist, universelles TLS unpinning mit Proxy-Erzwingen über fertige Frida-Hooks zu kombinieren und alles über mitmproxy/Burp zu routen.

Ablauf

  • Starte mitmproxy auf deinem Host (oder Burp). Stelle sicher, dass das Gerät die IP/Port des Hosts erreichen kann.
  • Lade HTTP Toolkit’s consolidated Frida hooks, um sowohl TLS unpinning durchzuführen als auch die Proxy-Nutzung über gängige Stacks (OkHttp/OkHttp3, HttpsURLConnection, Conscrypt, WebView, etc.) zu erzwingen. Dadurch werden CertificatePinner/TrustManager-Prüfungen umgangen und Proxy-Selectoren überschrieben, sodass der gesamte Traffic stets über deinen Proxy geleitet wird, selbst wenn die App Proxys explizit deaktiviert.
  • Starte die Ziel-App mit Frida und dem Hook-Skript und zeichne die Requests in mitmproxy auf.

Beispiel

# Device connected via ADB or over network (-U)
# See the repo for the exact script names & options
frida -U -f com.vendor.app \
-l ./android-unpinning-with-proxy.js \
--no-pause

# mitmproxy listening locally
mitmproxy -p 8080

Hinweise

  • Mit einem systemweiten Proxy kombinieren via adb shell settings put global http_proxy <host>:<port> wenn möglich. Die Frida hooks erzwingen die Proxy-Nutzung, selbst wenn Apps die globalen Einstellungen umgehen.
  • Diese Technik eignet sich besonders für MITM von mobile-to-IoT onboarding flows, bei denen pinning/proxy avoidance häufig vorkommt.
  • Hooks: https://github.com/httptoolkit/frida-interception-and-unpinning

Referenzen

Tip

Lernen & üben Sie AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Lernen & üben Sie GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Lernen & üben Sie Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Unterstützen Sie HackTricks