Android Anti-Instrumentation & SSL Pinning Bypass (Frida/Objection)

Tip

Impara e pratica il hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Impara e pratica il hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Impara e pratica il hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Supporta HackTricks

Questa pagina fornisce un workflow pratico per recuperare l’analisi dinamica su app Android che rilevano/bloccano l’instrumentation o che applicano TLS pinning. Si concentra su triage rapido, rilevamenti comuni e hook/tattiche copiabili per bypassarli senza repacking quando possibile.

Detection Surface (what apps check)

  • Controlli per root: su binary, Magisk paths, valori getprop, pacchetti root comuni
  • Rilevamenti Frida/debugger (Java): Debug.isDebuggerConnected(), ActivityManager.getRunningAppProcesses(), getRunningServices(), scansione di /proc, classpath, librerie caricate
  • Anti‑debug nativo: ptrace(), syscalls, anti‑attach, breakpoints, inline hooks
  • Controlli in early init: Application.onCreate() o hook all’avvio del processo che crashano se è presente instrumentation
  • TLS pinning: custom TrustManager/HostnameVerifier, OkHttp CertificatePinner, Conscrypt pinning, pin nativi

Step 1 — Quick win: hide root with Magisk DenyList

  • Abilita Zygisk in Magisk
  • Abilita DenyList, aggiungi il package target
  • Reboot e retest

Molte app cercano solo indicatori ovvi (su/Magisk paths/getprop). DenyList spesso neutralizza controlli ingenui.

References:

  • Magisk (Zygisk & DenyList): https://github.com/topjohnwu/Magisk

Step 2 — 30‑second Frida Codeshare tests

Prova script drop‑in comuni prima di approfondire:

  • anti-root-bypass.js
  • anti-frida-detection.js
  • hide_frida_gum.js

Example:

frida -U -f com.example.app -l anti-frida-detection.js

Questi solitamente neutralizzano i Java root/debug checks, i process/service scans e la native ptrace(). Utili su lightly protected apps; i hardened targets potrebbero richiedere tailored hooks.

  • Codeshare: https://codeshare.frida.re/

Automatizza con Medusa (Frida framework)

Medusa offre oltre 90 moduli pronti per SSL unpinning, root/emulator detection bypass, HTTP comms logging, crypto key interception e altro.

git clone https://github.com/Ch0pin/medusa
cd medusa
pip install -r requirements.txt
python medusa.py

# Example interactive workflow
show categories
use http_communications/multiple_unpinner
use root_detection/universal_root_detection_bypass
run com.target.app

Suggerimento: Medusa è ottimo per ottenere risultati rapidi prima di scrivere custom hooks. Puoi anche cherry-pick modules e combinarli con i tuoi script.

Passo 3 — Bypass degli init-time detectors collegandosi in ritardo

Molte rilevazioni vengono eseguite solo durante il process spawn/onCreate(). Spawn‑time injection (-f) o gadgets vengono intercettati; collegarsi dopo il caricamento della UI può evitarli.

# Launch the app normally (launcher/adb), wait for UI, then attach
frida -U -n com.example.app
# Or with Objection to attach to running process
aobjection --gadget com.example.app explore  # if using gadget

Se questo funziona, mantieni la sessione stabile e procedi a mappare e controllare gli stub.

Passo 4 — Mappa la logica di rilevamento tramite Jadx e ricerca di stringhe

Parole chiave per triage statico in Jadx:

  • “frida”, “gum”, “root”, “magisk”, “ptrace”, “su”, “getprop”, “debugger”

Tipici pattern Java:

public boolean isFridaDetected() {
return getRunningServices().contains("frida");
}

API comuni da rivedere/hook:

  • android.os.Debug.isDebuggerConnected
  • android.app.ActivityManager.getRunningAppProcesses / getRunningServices
  • java.lang.System.loadLibrary / System.load (native bridge)
  • java.lang.Runtime.exec / ProcessBuilder (probing commands)
  • android.os.SystemProperties.get (root/emulator heuristics)

Passo 5 — Sostituzione a runtime con Frida (Java)

Sovrascrivi i controlli personalizzati per restituire valori sicuri senza rifare il repackaging:

Java.perform(() => {
const Checks = Java.use('com.example.security.Checks');
Checks.isFridaDetected.implementation = function () { return false; };

// Neutralize debugger checks
const Debug = Java.use('android.os.Debug');
Debug.isDebuggerConnected.implementation = function () { return false; };

// Example: kill ActivityManager scans
const AM = Java.use('android.app.ActivityManager');
AM.getRunningAppProcesses.implementation = function () { return java.util.Collections.emptyList(); };
});

Triaging dei crash iniziali? Esegui il dump delle classi poco prima che si arresti per individuare i namespace probabilmente usati per il rilevamento:

Java.perform(() => {
Java.enumerateLoadedClasses({
onMatch: n => console.log(n),
onComplete: () => console.log('Done')
});
});

// Quick root detection stub example (adapt to target package/class names) Java.perform(() => { try { const RootChecker = Java.use(‘com.target.security.RootCheck’); RootChecker.isDeviceRooted.implementation = function () { return false; }; } catch (e) {} });

Log e neutralizza metodi sospetti per confermare il flusso di esecuzione:

Java.perform(() => {
const Det = Java.use('com.example.security.DetectionManager');
Det.checkFrida.implementation = function () {
console.log('checkFrida() called');
return false;
};
});

Bypass rilevamento emulator/VM (Java stubs)

Euristiche comuni: Build.FINGERPRINT/MODEL/MANUFACTURER/HARDWARE che contengono generic/goldfish/ranchu/sdk; artefatti QEMU come /dev/qemu_pipe, /dev/socket/qemud; MAC predefinito 02:00:00:00:00:00; NAT 10.0.2.x; assenza di telephony/sensors.

Falsificazione rapida dei campi Build:

Java.perform(function(){
var Build = Java.use('android.os.Build');
Build.MODEL.value = 'Pixel 7 Pro';
Build.MANUFACTURER.value = 'Google';
Build.BRAND.value = 'google';
Build.FINGERPRINT.value = 'google/panther/panther:14/UP1A.231105.003/1234567:user/release-keys';
});

Completa con stub per i controlli di esistenza dei file e gli identificatori (TelephonyManager.getDeviceId/SubscriberId, WifiInfo.getMacAddress, SensorManager.getSensorList) in modo che restituiscano valori realistici.

SSL pinning bypass quick hook (Java)

Neutralizza i TrustManagers personalizzati e forza contesti SSL permissivi:

Java.perform(function(){
var X509TrustManager = Java.use('javax.net.ssl.X509TrustManager');
var SSLContext = Java.use('javax.net.ssl.SSLContext');

// No-op validations
X509TrustManager.checkClientTrusted.implementation = function(){ };
X509TrustManager.checkServerTrusted.implementation = function(){ };

// Force permissive TrustManagers
var TrustManagers = [ X509TrustManager.$new() ];
var SSLContextInit = SSLContext.init.overload('[Ljavax.net.ssl.KeyManager;','[Ljavax.net.ssl.TrustManager;','java.security.SecureRandom');
SSLContextInit.implementation = function(km, tm, sr){
return SSLContextInit.call(this, km, TrustManagers, sr);
};
});

Note

  • Estendi per OkHttp: hook okhttp3.CertificatePinner and HostnameVerifier se necessario, oppure usa uno script di unpinning universale da CodeShare.
  • Esempio di esecuzione: frida -U -f com.target.app -l ssl-bypass.js --no-pause

Passo 6 — Segui la traccia JNI/native quando i Java hooks falliscono

Traccia i punti di ingresso JNI per individuare i loader nativi e l’inizializzazione delle rilevazioni:

frida-trace -n com.example.app -i "JNI_OnLoad"

Rapida triage nativa dei file .so inclusi:

# List exported symbols & JNI
nm -D libfoo.so | head
objdump -T libfoo.so | grep Java_
strings -n 6 libfoo.so | egrep -i 'frida|ptrace|gum|magisk|su|root'

Interattivo/nativo reversing:

  • Ghidra: https://ghidra-sre.org/
  • r2frida: https://github.com/nowsecure/r2frida

Esempio: inattivare ptrace per bypassare un semplice anti‑debug in libc:

const ptrace = Module.findExportByName(null, 'ptrace');
if (ptrace) {
Interceptor.replace(ptrace, new NativeCallback(function () {
return -1; // pretend failure
}, 'int', ['int', 'int', 'pointer', 'pointer']));
}

Vedi anche: Reversing Native Libraries

Passo 7 — Objection patching (embed gadget / strip basics)

Quando preferisci repacking rispetto a runtime hooks, prova:

objection patchapk --source app.apk

Note:

  • Richiede apktool; assicurati di usare una versione aggiornata seguendo la guida ufficiale per evitare problemi di build: https://apktool.org/docs/install
  • Gadget injection permette l’instrumentation senza root ma può comunque essere individuata da controlli piĂš rigidi eseguiti all’avvio.

Facoltativamente, aggiungi moduli LSPosed e Shamiko per nascondere meglio il root negli ambienti Zygisk, e cura la DenyList per coprire i processi figli.

Per un workflow completo che include la configurazione di Gadget in modalità script e l’inclusione del tuo agente Frida 17+ nell’APK, vedi:

Frida Tutorial — Self-contained agent + Gadget embedding

Riferimenti:

  • Objection: https://github.com/sensepost/objection

Passo 8 — Fallback: Patch TLS pinning per la visibilità della rete

Se l’instrumentation è bloccata, puoi comunque ispezionare il traffico rimuovendo staticamente il pinning:

apk-mitm app.apk
# Then install the patched APK and proxy via Burp/mitmproxy
  • Strumento: https://github.com/shroudedcode/apk-mitm
  • Per trucchi relativi alla trust CA nella network config (e per il trust dei certificati CA utente su Android 7+), vedi:

Make APK Accept CA Certificate

Install Burp Certificate

Scheda rapida dei comandi

# List processes and attach
frida-ps -Uai
frida -U -n com.example.app

# Spawn with a script (may trigger detectors)
frida -U -f com.example.app -l anti-frida-detection.js

# Trace native init
frida-trace -n com.example.app -i "JNI_OnLoad"

# Objection runtime
objection --gadget com.example.app explore

# Static TLS pinning removal
apk-mitm app.apk

Forzatura universale del proxy + TLS unpinning (HTTP Toolkit Frida hooks)

Le app moderne spesso ignorano i proxy di sistema e applicano piÚ livelli di pinning (Java + native), rendendo la cattura del traffico difficile anche con CA utente/sistema installate. Un approccio pratico è combinare un TLS unpinning universale con la forzatura del proxy tramite Frida hooks già pronti, e instradare tutto attraverso mitmproxy/Burp.

Workflow

  • Esegui mitmproxy sul tuo host (o Burp). Assicurati che il dispositivo possa raggiungere l’IP/porta dell’host.
  • Carica i Frida hooks consolidati di HTTP Toolkit per rimuovere il pinning TLS e forzare l’uso del proxy attraverso gli stack comuni (OkHttp/OkHttp3, HttpsURLConnection, Conscrypt, WebView, ecc.). Questo bypassa i controlli di CertificatePinner/TrustManager e sovrascrive i proxy selectors, cosĂŹ il traffico è sempre inviato attraverso il tuo proxy anche se l’app disabilita esplicitamente i proxy.
  • Avvia l’app target con Frida e lo script hook, e cattura le richieste in mitmproxy.

Esempio

# Device connected via ADB or over network (-U)
# See the repo for the exact script names & options
frida -U -f com.vendor.app \
-l ./android-unpinning-with-proxy.js \
--no-pause

# mitmproxy listening locally
mitmproxy -p 8080

Note

  • Combina con un proxy di sistema tramite adb shell settings put global http_proxy <host>:<port> quando possibile. I Frida hooks forzeranno l’uso del proxy anche quando le app aggirano le impostazioni globali.
  • Questa tecnica è ideale quando devi effettuare MITM nei flussi di onboarding mobile verso IoT, dove pinning/evitamento del proxy è comune.
  • Hooks: https://github.com/httptoolkit/frida-interception-and-unpinning

Riferimenti

Tip

Impara e pratica il hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Impara e pratica il hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Impara e pratica il hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Supporta HackTricks