Android Anti-Instrumentation & SSL Pinning Bypass (Frida/Objection)

Tip

Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprende y practica Hacking en Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Apoya a HackTricks

This page provides a practical workflow to regain dynamic analysis against Android apps that detect/root‑block instrumentation or enforce TLS pinning. It focuses on fast triage, common detections, and copy‑pasteable hooks/tactics to bypass them without repacking when possible.

Detection Surface (what apps check)

  • Root checks: su binary, Magisk paths, getprop values, common root packages
  • Frida/debugger checks (Java): Debug.isDebuggerConnected(), ActivityManager.getRunningAppProcesses(), getRunningServices(), scanning /proc, classpath, loaded libs
  • Native anti‑debug: ptrace(), syscalls, anti‑attach, breakpoints, inline hooks
  • Early init checks: Application.onCreate() or process start hooks that crash if instrumentation is present
  • TLS pinning: custom TrustManager/HostnameVerifier, OkHttp CertificatePinner, Conscrypt pinning, native pins

Step 1 — Quick win: hide root with Magisk DenyList

  • Enable Zygisk in Magisk
  • Enable DenyList, add the target package
  • Reboot and retest

Many apps only look for obvious indicators (su/Magisk paths/getprop). DenyList often neutralizes naive checks.

References:

  • Magisk (Zygisk & DenyList): https://github.com/topjohnwu/Magisk

Step 2 — 30‑second Frida Codeshare tests

Try common drop‑in scripts before deep diving:

  • anti-root-bypass.js
  • anti-frida-detection.js
  • hide_frida_gum.js

Example:

frida -U -f com.example.app -l anti-frida-detection.js

Estos suelen anular las comprobaciones Java de root/debug, los process/service scans y el ptrace() nativo. Útiles en apps poco protegidas; en objetivos reforzados puede que se necesiten hooks personalizados.

  • Codeshare: https://codeshare.frida.re/

Automatiza con Medusa (Frida framework)

Medusa proporciona más de 90 módulos listos para SSL unpinning, root/emulator detection bypass, HTTP comms logging, crypto key interception y más.

git clone https://github.com/Ch0pin/medusa
cd medusa
pip install -r requirements.txt
python medusa.py

# Example interactive workflow
show categories
use http_communications/multiple_unpinner
use root_detection/universal_root_detection_bypass
run com.target.app

Consejo: Medusa es excelente para victorias rápidas antes de escribir custom hooks. También puedes cherry-pick modules y combinarlos con tus propios scripts.

Paso 3 — Eludir detectores en tiempo de inicialización adjuntándose tarde

Muchas detecciones solo se ejecutan durante el spawn del proceso/onCreate(). Spawn‑time injection (-f) o los gadgets quedan capturados; adjuntar después de que la UI cargue puede pasarlas por alto.

# Launch the app normally (launcher/adb), wait for UI, then attach
frida -U -n com.example.app
# Or with Objection to attach to running process
aobjection --gadget com.example.app explore  # if using gadget

Si esto funciona, mantén la sesión estable y procede a mapear y realizar comprobaciones de stubs.

Paso 4 — Mapear la lógica de detección vía Jadx y búsqueda de cadenas

Palabras clave para triaje estático en Jadx:

  • “frida”, “gum”, “root”, “magisk”, “ptrace”, “su”, “getprop”, “debugger”

Patrones típicos de Java:

public boolean isFridaDetected() {
return getRunningServices().contains("frida");
}

APIs comunes para review/hook:

  • android.os.Debug.isDebuggerConnected
  • android.app.ActivityManager.getRunningAppProcesses / getRunningServices
  • java.lang.System.loadLibrary / System.load (native bridge)
  • java.lang.Runtime.exec / ProcessBuilder (probing commands)
  • android.os.SystemProperties.get (root/emulator heuristics)

Paso 5 — Runtime stubbing con Frida (Java)

Override custom guards para devolver valores seguros sin repacking:

Java.perform(() => {
const Checks = Java.use('com.example.security.Checks');
Checks.isFridaDetected.implementation = function () { return false; };

// Neutralize debugger checks
const Debug = Java.use('android.os.Debug');
Debug.isDebuggerConnected.implementation = function () { return false; };

// Example: kill ActivityManager scans
const AM = Java.use('android.app.ActivityManager');
AM.getRunningAppProcesses.implementation = function () { return java.util.Collections.emptyList(); };
});

¿Priorizando fallos tempranos? Vuelca las classes justo antes de que se cierre para detectar namespaces probablemente usados para detección:

Java.perform(() => {
Java.enumerateLoadedClasses({
onMatch: n => console.log(n),
onComplete: () => console.log('Done')
});
});

// Quick root detection stub example (adapt to target package/class names) Java.perform(() => { try { const RootChecker = Java.use(‘com.target.security.RootCheck’); RootChecker.isDeviceRooted.implementation = function () { return false; }; } catch (e) {} });

Log y neutraliza métodos sospechosos para confirmar el flujo de ejecución:

Java.perform(() => {
const Det = Java.use('com.example.security.DetectionManager');
Det.checkFrida.implementation = function () {
console.log('checkFrida() called');
return false;
};
});

Bypass emulator/VM detection (Java stubs)

Heurísticas comunes: Build.FINGERPRINT/MODEL/MANUFACTURER/HARDWARE que contienen generic/goldfish/ranchu/sdk; artefactos de QEMU como /dev/qemu_pipe, /dev/socket/qemud; MAC por defecto 02:00:00:00:00:00; NAT 10.0.2.x; falta de telefonía/sensores.

Quick spoof of Build fields:

Java.perform(function(){
var Build = Java.use('android.os.Build');
Build.MODEL.value = 'Pixel 7 Pro';
Build.MANUFACTURER.value = 'Google';
Build.BRAND.value = 'google';
Build.FINGERPRINT.value = 'google/panther/panther:14/UP1A.231105.003/1234567:user/release-keys';
});

Complementa con stubs para comprobaciones de existencia de archivos y identificadores (TelephonyManager.getDeviceId/SubscriberId, WifiInfo.getMacAddress, SensorManager.getSensorList) para devolver valores realistas.

SSL pinning bypass quick hook (Java)

Neutraliza TrustManagers personalizados y fuerza contextos SSL permisivos:

Java.perform(function(){
var X509TrustManager = Java.use('javax.net.ssl.X509TrustManager');
var SSLContext = Java.use('javax.net.ssl.SSLContext');

// No-op validations
X509TrustManager.checkClientTrusted.implementation = function(){ };
X509TrustManager.checkServerTrusted.implementation = function(){ };

// Force permissive TrustManagers
var TrustManagers = [ X509TrustManager.$new() ];
var SSLContextInit = SSLContext.init.overload('[Ljavax.net.ssl.KeyManager;','[Ljavax.net.ssl.TrustManager;','java.security.SecureRandom');
SSLContextInit.implementation = function(km, tm, sr){
return SSLContextInit.call(this, km, TrustManagers, sr);
};
});

Notas

  • Extiende para OkHttp: hook okhttp3.CertificatePinner y HostnameVerifier según sea necesario, o usa un script universal de unpinning de CodeShare.
  • Ejecutar ejemplo: frida -U -f com.target.app -l ssl-bypass.js --no-pause

Paso 6 — Sigue la pista JNI/native cuando los hooks de Java fallen

Traza los puntos de entrada JNI para localizar cargadores nativos e inicialización de detección:

frida-trace -n com.example.app -i "JNI_OnLoad"

Triaje nativo rápido de archivos .so incluidos:

# List exported symbols & JNI
nm -D libfoo.so | head
objdump -T libfoo.so | grep Java_
strings -n 6 libfoo.so | egrep -i 'frida|ptrace|gum|magisk|su|root'

Interactivo/nativo reversing:

  • Ghidra: https://ghidra-sre.org/
  • r2frida: https://github.com/nowsecure/r2frida

Ejemplo: neuter ptrace to defeat simple anti‑debug in libc:

const ptrace = Module.findExportByName(null, 'ptrace');
if (ptrace) {
Interceptor.replace(ptrace, new NativeCallback(function () {
return -1; // pretend failure
}, 'int', ['int', 'int', 'pointer', 'pointer']));
}

Ver también: Reversing Native Libraries

Paso 7 — Objection patching (embed gadget / strip basics)

Si prefieres repacking en lugar de runtime hooks, prueba:

objection patchapk --source app.apk

Notas:

  • Requiere apktool; asegúrate de usar una versión actual siguiendo la guía oficial para evitar problemas de compilación: https://apktool.org/docs/install
  • Gadget injection permite instrumentación sin root, pero aún puede ser detectada por comprobaciones más estrictas en tiempo de inicialización.

Opcionalmente, añade módulos LSPosed y Shamiko para un ocultamiento de root más robusto en entornos Zygisk, y ajusta DenyList para cubrir procesos hijo.

Para un flujo de trabajo completo que incluye la configuración de Gadget en modo script y la inclusión de tu Frida 17+ agent en el APK, consulta:

Frida Tutorial — Self-contained agent + Gadget embedding

Referencias:

  • Objection: https://github.com/sensepost/objection

Paso 8 — Solución alternativa: Parchear TLS pinning para visibilidad de red

Si la instrumentación está bloqueada, aún puedes inspeccionar el tráfico eliminando el pinning de forma estática:

apk-mitm app.apk
# Then install the patched APK and proxy via Burp/mitmproxy
  • Herramienta: https://github.com/shroudedcode/apk-mitm
  • Para trucos de configuración de red relacionados con la confianza en CA (y la confianza en certificados CA de usuario en Android 7+), ver:

Make APK Accept CA Certificate

Install Burp Certificate

Chuleta de comandos útil

# List processes and attach
frida-ps -Uai
frida -U -n com.example.app

# Spawn with a script (may trigger detectors)
frida -U -f com.example.app -l anti-frida-detection.js

# Trace native init
frida-trace -n com.example.app -i "JNI_OnLoad"

# Objection runtime
objection --gadget com.example.app explore

# Static TLS pinning removal
apk-mitm app.apk

Universal proxy forcing + TLS unpinning (HTTP Toolkit Frida hooks)

Las apps modernas a menudo ignoran los proxies del sistema y aplican múltiples capas de pinning (Java + native), lo que hace que la captura de tráfico sea dolorosa incluso con CAs de usuario/sistema instaladas. Un enfoque práctico es combinar TLS unpinning universal con forzado de proxy mediante hooks de Frida ya preparados de HTTP Toolkit, y enrutar todo a través de mitmproxy/Burp.

Workflow

  • Ejecute mitmproxy en su host (o Burp). Asegúrese de que el dispositivo pueda alcanzar la IP/puerto del host.
  • Cargue los hooks consolidados de Frida de HTTP Toolkit para TLS unpinning y forzar el uso de proxy en las pilas comunes (OkHttp/OkHttp3, HttpsURLConnection, Conscrypt, WebView, etc.). Esto evade las comprobaciones de CertificatePinner/TrustManager y sobrescribe los proxy selectors, por lo que el tráfico siempre se envía a través de su proxy incluso si la app desactiva explícitamente los proxies.
  • Inicie la app objetivo con Frida y el script hook, y capture las peticiones en mitmproxy.

Example

# Device connected via ADB or over network (-U)
# See the repo for the exact script names & options
frida -U -f com.vendor.app \
-l ./android-unpinning-with-proxy.js \
--no-pause

# mitmproxy listening locally
mitmproxy -p 8080

Notas

  • Combínalo con un proxy a nivel de sistema mediante adb shell settings put global http_proxy <host>:<port> cuando sea posible. Los hooks de Frida aplicarán el uso del proxy incluso cuando las apps eviten la configuración global.
  • Esta técnica es ideal cuando necesitas realizar MITM en flujos de onboarding entre dispositivos móviles e IoT, donde el pinning o la evitación del proxy son comunes.
  • Hooks: https://github.com/httptoolkit/frida-interception-and-unpinning

Referencias

Tip

Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprende y practica Hacking en Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Apoya a HackTricks