HackTricks
Frida チュートリアル
Tip
AWSハッキングを学び、実践する：
HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE)
HackTricks Training Azure Red Team Expert (AzRTE)
HackTricksをサポートする
- サブスクリプションプランを確認してください！
- **💬 Discordグループまたはテレグラムグループに参加するか、Twitter 🐦 @hacktricks_liveをフォローしてください。
- HackTricksおよびHackTricks CloudのGitHubリポジトリにPRを提出してハッキングトリックを共有してください。
インストール
frida tools をインストールする:
pip install frida-tools
pip install frida
ダウンロードしてインストール: Android に frida server をインストールします (Download the latest release).
adb を root モードで再起動し、接続して frida-server をアップロードし、実行権限を付与してバックグラウンドで実行するワンライナー:
adb root; adb connect localhost:6000; sleep 1; adb push frida-server /data/local/tmp/; adb shell "chmod 755 /data/local/tmp/frida-server"; adb shell "/data/local/tmp/frida-server &"
確認 それが 動作しているか:
frida-ps -U #List packages and processes
frida-ps -U | grep -i <part_of_the_package_name> #Get all the package name
frida-ui (ブラウザベースの Frida コントローラ)
frida-ui は http://127.0.0.1:8000 でデバイス/アプリを一覧表示し、スクリプトでターゲットにattachまたはspawnできます（CLI不要）。
- インストール（
fridaをデバイスサーバーのバージョンに固定）:
uv tool install frida-ui --with frida==16.7.19
# pipx install frida-ui
# pip install frida-ui
- 実行:
frida-ui
frida-ui --host 127.0.0.1 --port 8000 --reload
- 機能: USB/ローカルデバイスを検出し、リモートサーバー（
192.168.1.x:27042）を追加でき、Attach, Spawn, and Spawn & Run（早期のonCreate()ロジックより前にフックするため）をサポートします。 - スクリプティング: エディタ、ドラッグ＆ドロップで
.js、CodeShare のインポート、スクリプトやセッションログのダウンロード。 - リモートサーバー:
./frida-server -l 0.0.0.0:27042 -Dをネットワーク上に公開し、frida-ui が ADB なしで接続できるようにする。
Frida server vs. Gadget (root vs. no-root)
Fridaを使ってAndroidアプリをインストゥルメント（フック）する一般的な方法が2つあります:
- Frida server (rooted devices): ネイティブのデーモンをプッシュして実行し、任意のプロセスにattachできるようにする。
- Frida Gadget (no root): Fridaを共有ライブラリとしてAPKに組み込み、ターゲットプロセス内で自動的にロードする。
Frida server (rooted)
# Download the matching frida-server binary for your device's arch
# https://github.com/frida/frida/releases
adb root
adb push frida-server-<ver>-android-<arch> /data/local/tmp/frida-server
adb shell chmod 755 /data/local/tmp/frida-server
adb shell /data/local/tmp/frida-server & # run at boot via init/magisk if desired
# From host, list processes and attach
frida-ps -Uai
frida -U -n com.example.app
Frida Gadget (no-root)
- APK を展開し、gadget の .so と設定を追加する:
lib/<abi>/(例: lib/arm64-v8a/) に libfrida-gadget.so を配置する- assets/frida-gadget.config を作成し、スクリプトの読み込み設定を記述する
frida-gadget.config の例
{
"interaction": { "type": "script", "path": "/sdcard/ssl-bypass.js" },
"runtime": { "logFile": "/sdcard/frida-gadget.log" }
}
- ガジェットを参照/ロードして早期に初期化されるようにする:
- 簡単な方法: Application.onCreate() に System.loadLibrary(“frida-gadget”) を呼ぶ小さな Java スタブを追加する、または既存のネイティブライブラリのロードを利用する。
- APK を再パックして署名し、インストールする:
apktool d app.apk -o app_m
# ... add gadget .so and config ...
apktool b app_m -o app_gadget.apk
uber-apk-signer -a app_gadget.apk -o out_signed
adb install -r out_signed/app_gadget-aligned-debugSigned.apk
- ホストからgadget processへAttachする:
frida-ps -Uai
frida -U -n com.example.app
注意
- Gadgetは一部の保護機構に検出されることがあるため、名前やパスはステルスにし、必要なら遅延または条件付きでロードしてください。
- ハード化されたアプリでは、server + late attachでのrootedテストを推奨するか、Magisk/Zygiskの隠蔽と組み合わせてください。
JDWP-based Frida injection without root/repackaging (frida-jdwp-loader)
APKがデバッグ可能(android:debuggable=“true”)であれば、JDWP経由でアタッチしてJavaのブレークポイントでネイティブライブラリを注入できます。No root and no APK repackaging.
- Repo: https://github.com/frankheat/frida-jdwp-loader
- Requirements: ADB, Python 3, USB/Wireless debugging。アプリはデバッグ可能である必要があります（エミュレータで
ro.debuggable=1、rootedデバイスでresetprop、またはマニフェストを再ビルド）。
クイックスタート
git clone https://github.com/frankheat/frida-jdwp-loader.git
cd frida-jdwp-loader
# Inject frida-gadget.so into a debuggable target
python frida-jdwp-loader.py frida -n com.example.myapplication
# Keep the breakpoint thread suspended for early hooks
python frida-jdwp-loader.py frida -n com.example.myapplication -s
# Networkless: run a local agent script via Gadget "script" mode
python frida-jdwp-loader.py frida -n com.example.myapplication -i script -l script.js
メモ
- モード: spawn (Application.onCreateでブレーク) or attach (Activity.onStartでブレーク)。特定のJavaメソッドを設定するには
-bを、Gadgetのバージョン/パスを選択するには-gを、JDWPポートを選ぶには-pを使用します。 - Listenモード: 必要ならGadgetをフォワード（デフォルト 127.0.0.1:27042）:
adb forward tcp:27042 tcp:27042; その後frida-ps -H 127.0.0.1:27042。 - これはJDWPデバッグを利用します。リスクとして、デバッグ可能なビルドを出荷したりJDWPを公開してしまうことがあります。
自己完結型エージェント + Gadget 埋め込み (Frida 17+; Objectionで自動化)
Frida 17はGumJSから組み込みのJava/ObjCブリッジを削除しました。エージェントがJavaをフックする場合、Javaブリッジをバンドル内に含める必要があります。
- Fridaエージェント (TypeScript) を作成し、Javaブリッジを含める
# Scaffolding
frida-create -t agent -o mod
cd mod && npm install
# Install the Java bridge for Frida 17+
npm install frida-java-bridge
# Dev loop (optional live-reload via REPL)
npm run watch
最小限の Java hook（サイコロの出目を1に強制）:
import Java from "frida-java-bridge";
Java.perform(function () {
var dicer = Java.use("org.secuso.privacyfriendlydicer.dicer.Dicer");
dicer.rollDice.implementation = function (numDice: number, numFaces: number) {
return Array(numDice).fill(1);
};
});
埋め込み用の単一バンドルをビルドする:
npm run build # produces _agent.js via frida-compile
簡易 USB テスト（任意）：
frida -U -f org.secuso.privacyfriendlydicer -l _agent.js
- Gadget を設定してあなたの script を自動ロードする
Objection’s patcher は Gadget config を期待します; script mode を使用する場合は、APK lib dir 内の on-disk path を指定してください:
{
"interaction": {
"type": "script",
"path": "libfrida-gadget.script.so"
}
}
- Objection を使って APK のパッチ適用を自動化する
# Embed Gadget, config, and your compiled agent into the APK; rebuild and sign
objection patchapk -s org.secuso.privacyfriendlydicer.apk \
-c gadget-config.json \
-l mod/_agent.js \
--use-aapt2
patchapk が行うこと（概要）：
- デバイスの ABI（例: arm64-v8a）を検出し、それに対応する Gadget を取得する
- 必要に応じて android.permission.INTERNET をオプションで追加する
- 起動アクティビティに System.loadLibrary(“frida-gadget”) を呼び出す static クラスイニシャライザを注入する
- 次のファイルを
lib/<abi>/の下に配置する: - libfrida-gadget.so
- libfrida-gadget.config.so（シリアライズされた設定）
- libfrida-gadget.script.so（あなたの _agent.js）
Example injected smali (static initializer):
.method static constructor <clinit>()V
.locals 1
const-string v0, "frida-gadget"
invoke-static {v0}, Ljava/lang/System;->loadLibrary(Ljava/lang/String;)V
return-void
.end method
- repack を検証する
apktool d org.secuso.privacyfriendlydicer.apk
apktool d org.secuso.privacyfriendlydicer.objection.apk
# Inspect differences
diff -r org.secuso.privacyfriendlydicer org.secuso.privacyfriendlydicer.objection
Expected changes:
- AndroidManifest.xml に
<uses-permission android:name="android.permission.INTERNET"/>が含まれている可能性がある - 新しいネイティブライブラリが
lib/<abi>/に配置される（前述の通り） - Launchable activity の smali に、System.loadLibrary(“frida-gadget”) を呼ぶ静的な
<clinit>が含まれる
- Split APKs
- base APK（MAIN/LAUNCHER activity を宣言しているもの）をパッチする
- 残りの splits を同じキーで再署名する:
objection signapk split1.apk split2.apk ...
- splits を一緒にインストールする:
adb install-multiple split1.apk split2.apk ...
- 配布のために、splits を APKEditor で単一の APK にマージし、その後 align/sign する
動的解析中に FLAG_SECURE をクリアする
getWindow().setFlags(LayoutParams.FLAG_SECURE, LayoutParams.FLAG_SECURE) を呼ぶアプリはスクリーンショット、リモート表示、さらには Android の recent-task スナップショットを防ぎます。Freedom Chat がこのフラグを強制していたとき、leaks を記録する唯一の方法はランタイムでウィンドウを改ざんすることでした。信頼できるパターンは次のとおりです:
- フラグを再適用し得るすべての
Windowオーバーロード（setFlags,addFlags,setAttributes）にフックし、ビット0x00002000(WindowManager.LayoutParams.FLAG_SECURE) をマスクアウトする。 - 各 Activity が resume した後、UI スレッドで
clearFlags(FLAG_SECURE)を呼ぶようスケジュールして、後で作成される Dialogs/Fragments が解除された状態を継承するようにする。 - React Native / Flutter で作られたアプリは入れ子のウィンドウを作ることが多いので、
android.app.Dialog/android.view.Viewヘルパーにフックするか、まだ黒いフレームが見える場合はgetWindow().peekDecorView()を辿る。
Frida hook clearing Window.FLAG_SECURE
```javascript Java.perform(function () { var LayoutParams = Java.use("android.view.WindowManager$LayoutParams"); var FLAG_SECURE = LayoutParams.FLAG_SECURE.value; var Window = Java.use("android.view.Window"); var Activity = Java.use("android.app.Activity");function strip(value) { var masked = value & (~FLAG_SECURE); if (masked !== value) { console.log(“[-] Stripped FLAG_SECURE from 0x” + value.toString(16)); } return masked; }
Window.setFlags.overload(‘int’, ‘int’).implementation = function (flags, mask) { return this.setFlags.call(this, strip(flags), strip(mask)); };
Window.addFlags.implementation = function (flags) { return this.addFlags.call(this, strip(flags)); };
Window.setAttributes.implementation = function (attrs) { attrs.flags.value = strip(attrs.flags.value); return this.setAttributes.call(this, attrs); };
Activity.onResume.implementation = function () { this.onResume(); var self = this; Java.scheduleOnMainThread(function () { try { self.getWindow().clearFlags(FLAG_SECURE); console.log(“[+] Cleared FLAG_SECURE on “ + self.getClass().getName()); } catch (err) { console.log(”[!] clearFlags failed: “ + err); } }); }; });
</details>
スクリプトを `frida -U -f <package> -l disable-flag-secure.js --no-pause` で実行し、UI と対話すると、スクリーンショット/録画が再び機能します。すべてが UI スレッド上で実行されるためフリッカーは発生せず、フックを HTTP Toolkit/Burp と組み合わせて `/channel` PIN leak を明らかにしたトラフィックをキャプチャすることもできます。
## チュートリアル
### [Tutorial 1](frida-tutorial-1.md)
**出典**: [https://medium.com/infosec-adventures/introduction-to-frida-5a3f51595ca1](https://medium.com/infosec-adventures/introduction-to-frida-5a3f51595ca1)\
**APK**: [https://github.com/t0thkr1s/frida-demo/releases](https://github.com/t0thkr1s/frida-demo/releases)\
**ソースコード**: [https://github.com/t0thkr1s/frida-demo](https://github.com/t0thkr1s/frida-demo)
**以下の [link to read it](frida-tutorial-1.md) を参照してください。**
### [Tutorial 2](frida-tutorial-2.md)
**出典**: [https://11x256.github.io/Frida-hooking-android-part-2/](https://11x256.github.io/Frida-hooking-android-part-2/) (Parts 2, 3 & 4)\
**APKs and Source code**: [https://github.com/11x256/frida-android-examples](https://github.com/11x256/frida-android-examples)
**以下の [link to read it.](frida-tutorial-2.md) を参照してください。**
### [Tutorial 3](owaspuncrackable-1.md)
**出典**: [https://joshspicer.com/android-frida-1](https://joshspicer.com/android-frida-1)\
**APK**: [https://github.com/OWASP/owasp-mstg/blob/master/Crackmes/Android/Level_01/UnCrackable-Level1.apk](https://github.com/OWASP/owasp-mstg/blob/master/Crackmes/Android/Level_01/UnCrackable-Level1.apk)
**以下の [link to read it](owaspuncrackable-1.md) を参照してください。**
**You can find more Awesome Frida scripts here:** [**https://codeshare.frida.re/**](https://codeshare.frida.re)
## クイック例
### コマンドラインから Frida を呼び出す
```bash
frida-ps -U
#Basic frida hooking
frida -l disableRoot.js -f owasp.mstg.uncrackable1
#Hooking before starting the app
frida -U --no-pause -l disableRoot.js -f owasp.mstg.uncrackable1
#The --no-pause and -f options allow the app to be spawned automatically,
#frozen so that the instrumentation can occur, and the automatically
#continue execution with our modified code.
基本的な Python スクリプト
import frida, sys
jscode = open(sys.argv[0]).read()
process = frida.get_usb_device().attach('infosecadventures.fridademo')
script = process.create_script(jscode)
print('[ * ] Running Frida Demo application')
script.load()
sys.stdin.read()
Hooking functions without parameters
クラス sg.vantagepoint.a.c の関数 a() をフックする
Java.perform(function () {
rootcheck1.a.overload().implementation = function () {
return false;
};
});
javaのexit()をHookする
var sysexit = Java.use("java.lang.System")
sysexit.exit.overload("int").implementation = function (var_0) {
send("java.lang.System.exit(I)V // We avoid exiting the application :)")
}
Hook MainActivity .onStart() & .onCreate()
var mainactivity = Java.use("sg.vantagepoint.uncrackable1.MainActivity")
mainactivity.onStart.overload().implementation = function () {
send("MainActivity.onStart() HIT!!!")
var ret = this.onStart.overload().call(this)
}
mainactivity.onCreate.overload("android.os.Bundle").implementation = function (
var_0
) {
send("MainActivity.onCreate() HIT!!!")
var ret = this.onCreate.overload("android.os.Bundle").call(this, var_0)
}
Hook android .onCreate()
var activity = Java.use("android.app.Activity")
activity.onCreate.overload("android.os.Bundle").implementation = function (
var_0
) {
send("Activity HIT!!!")
var ret = this.onCreate.overload("android.os.Bundle").call(this, var_0)
}
Hooking: パラメータ付き関数のフックと値の取得
decryption function をHookingします。入力を表示し、元の関数を呼び出して入力をdecryptし、最後に平文を表示します:
Hooking a decryption function (Java) — print inputs/outputs
```javascript function getString(data) { var ret = "" for (var i = 0; i < data.length; i++) { ret += data[i].toString() } return ret } var aes_decrypt = Java.use("sg.vantagepoint.a.a") aes_decrypt.a.overload("[B", "[B").implementation = function (var_0, var_1) { send("sg.vantagepoint.a.a.a([B[B)[B doFinal(enc) // AES/ECB/PKCS7Padding") send("Key : " + getString(var_0)) send("Encrypted : " + getString(var_1)) var ret = this.a.overload("[B", "[B").call(this, var_0, var_1) send("Decrypted : " + ret)var flag = “” for (var i = 0; i < ret.length; i++) { flag += String.fromCharCode(ret[i]) } send(“Decrypted flag: “ + flag) return ret //[B }
</details>
### Hooking functions を自分の入力で呼び出す
stringを受け取るfunctionをHookして、別のstringで呼び出す (from [here](https://11x256.github.io/Frida-hooking-android-part-2/))
```javascript
var string_class = Java.use("java.lang.String") // get a JS wrapper for java's String class
my_class.fun.overload("java.lang.String").implementation = function (x) {
//hooking the new function
var my_string = string_class.$new("My TeSt String#####") //creating a new String by using `new` operator
console.log("Original arg: " + x)
var ret = this.fun(my_string) // calling the original function with the new String, and putting its return value in ret variable
console.log("Return value: " + ret)
return ret
}
既に作成されたクラスのオブジェクトを取得する
既に作成されたオブジェクトの属性を抽出したい場合は、これを使用できます。
この例ではクラス my_activity のオブジェクトを取得し、.secret() を呼び出してオブジェクトのプライベート属性を出力する方法を示します:
Java.choose("com.example.a11x256.frida_test.my_activity", {
onMatch: function (instance) {
//This function will be called for every instance found by frida
console.log("Found instance: " + instance)
console.log("Result of secret func: " + instance.secret())
},
onComplete: function () {},
})
その他の Frida チュートリアル
- https://github.com/DERE-ad2001/Frida-Labs
- Advanced Frida Usage ブログシリーズ — Part 1: IOS Encryption Libraries
参考資料
- 繰り返し可能な Android Bug Bounty ラボを構築する: Emulator vs Magisk, Burp, Frida, and Medusa
- Frida Gadget ドキュメント
- Frida releases (server binaries)
- Objection (SensePost)
- Frida を使った Modding とモバイルアプリの配布
- frida-jdwp-loader
- debuggable Android apps のための Library injection (blog)
- jdwp-lib-injector（オリジナルのアイデア/ツール）
- jdwp-shellifier
- “Super secure” MAGA-themed messaging app leaks everyone’s phone number
- Android Frida Hooking: FLAG_SECURE の無効化
- frida-ui
Tip
AWSハッキングを学び、実践する：
GCPハッキングを学び、実践する：HackTricksをサポートする
- サブスクリプションプランを確認してください！
- **💬 Discordグループまたはテレグラムグループに参加するか、Twitter 🐦 @hacktricks_liveをフォローしてください。
- HackTricksおよびHackTricks CloudのGitHubリポジトリにPRを提出してハッキングトリックを共有してください。