Android Anti-Instrumentation & SSL Pinning Bypass (Frida/Objection)

Reading time: 9 minutes

Ta strona przedstawia praktyczny workflow, aby odzyskać dynamic analysis przeciw aplikacjom Android, które wykrywają/blokują instrumentation z powodu roota lub wymuszają TLS pinning. Skupia się na szybkiej triage, typowych detekcjach oraz hookach/taktykach do skopiowania i wklejenia, aby je obejść bez repackowania, gdy to możliwe.

Detection Surface (what apps check)

• Root checks: su binary, Magisk paths, getprop values, common root packages
• Frida/debugger checks (Java): Debug.isDebuggerConnected(), ActivityManager.getRunningAppProcesses(), getRunningServices(), scanning /proc, classpath, loaded libs
• Native anti‑debug: ptrace(), syscalls, anti‑attach, breakpoints, inline hooks
• Early init checks: Application.onCreate() or process start hooks that crash if instrumentation is present
• TLS pinning: custom TrustManager/HostnameVerifier, OkHttp CertificatePinner, Conscrypt pinning, native pins

Krok 1 — szybki sukces: ukryj root za pomocą Magisk DenyList

• Włącz Zygisk w Magisk
• Włącz DenyList, dodaj docelowy pakiet
• Uruchom ponownie i przetestuj ponownie

Wiele aplikacji sprawdza tylko oczywiste wskaźniki (su/ścieżki Magisk/getprop). DenyList często neutralizuje naiwne sprawdzenia.

Referencje:

• Magisk (Zygisk & DenyList): https://github.com/topjohnwu/Magisk

Krok 2 — 30‑sekundowe testy Frida Codeshare

Wypróbuj popularne skrypty typu drop‑in zanim zaczniesz głębszą analizę:

• anti-root-bypass.js
• anti-frida-detection.js
• hide_frida_gum.js

Przykład:

frida -U -f com.example.app -l anti-frida-detection.js

Zwykle zastępują (stub) Java root/debug checks, skany procesów/usług oraz natywne ptrace(). Przydatne w słabo zabezpieczonych aplikacjach; w przypadku utwardzonych celów mogą być potrzebne dopasowane hooki.

• Codeshare: https://codeshare.frida.re/

Automatyzacja z Medusa (Frida framework)

Medusa oferuje ponad 90 gotowych modułów do SSL unpinning, root/emulator detection bypass, HTTP comms logging, crypto key interception i innych.

git clone https://github.com/Ch0pin/medusa
cd medusa
pip install -r requirements.txt
python medusa.py

# Example interactive workflow
show categories
use http_communications/multiple_unpinner
use root_detection/universal_root_detection_bypass
run com.target.app

Wskazówka: Medusa jest świetna do szybkich zwycięstw przed napisaniem custom hooks. Możesz też cherry-pick modules i połączyć je z własnymi skryptami.

Step 3 — Bypass init-time detectors by attaching late

Wiele detektorów uruchamia się tylko podczas process spawn/onCreate(). Spawn‑time injection (-f) lub gadgets zostają wykryte; podłączenie się dopiero po załadowaniu UI może to obejść.

# Launch the app normally (launcher/adb), wait for UI, then attach
frida -U -n com.example.app
# Or with Objection to attach to running process
aobjection --gadget com.example.app explore  # if using gadget

Jeśli to zadziała, utrzymaj sesję stabilną i przejdź do mapowania i testów stubów.

Krok 4 — Mapuj logikę wykrywania za pomocą Jadx i przeszukiwania łańcuchów

Statyczne słowa kluczowe do triage w Jadx:

• "frida", "gum", "root", "magisk", "ptrace", "su", "getprop", "debugger"

Typowe wzorce Java:

public boolean isFridaDetected() {
return getRunningServices().contains("frida");
}

Common APIs to review/hook:

• android.os.Debug.isDebuggerConnected
• android.app.ActivityManager.getRunningAppProcesses / getRunningServices
• java.lang.System.loadLibrary / System.load (mostek natywny)
• java.lang.Runtime.exec / ProcessBuilder (komendy sondowania)
• android.os.SystemProperties.get (heurystyki root/emulator)

Krok 5 — Stubowanie w czasie wykonania z Frida (Java)

Nadpisz niestandardowe mechanizmy ochronne, aby zwracały bezpieczne wartości bez repacking:

Java.perform(() => {
const Checks = Java.use('com.example.security.Checks');
Checks.isFridaDetected.implementation = function () { return false; };

// Neutralize debugger checks
const Debug = Java.use('android.os.Debug');
Debug.isDebuggerConnected.implementation = function () { return false; };

// Example: kill ActivityManager scans
const AM = Java.use('android.app.ActivityManager');
AM.getRunningAppProcesses.implementation = function () { return java.util.Collections.emptyList(); };
});

Masz do czynienia z wczesnymi awariami? Zrzucaj klasy tuż przed ich wystąpieniem, żeby wykryć prawdopodobne przestrzenie nazw odpowiedzialne za detekcję:

Java.perform(() => {
Java.enumerateLoadedClasses({
onMatch: n => console.log(n),
onComplete: () => console.log('Done')
});
});

// Quick root detection stub example (adapt to target package/class names) Java.perform(() => { try { const RootChecker = Java.use('com.target.security.RootCheck'); RootChecker.isDeviceRooted.implementation = function () { return false; }; } catch (e) {} });

Zaloguj i zneutralizuj podejrzane metody, aby potwierdzić przebieg wykonania:

Java.perform(() => {
const Det = Java.use('com.example.security.DetectionManager');
Det.checkFrida.implementation = function () {
console.log('checkFrida() called');
return false;
};
});

Omijanie wykrywania emulatora/VM (Java stubs)

Powszechne heurystyki: Build.FINGERPRINT/MODEL/MANUFACTURER/HARDWARE zawierające generic/goldfish/ranchu/sdk; artefakty QEMU jak /dev/qemu_pipe, /dev/socket/qemud; domyślny MAC 02:00:00:00:00:00; NAT 10.0.2.x; brak telephony/sensors.

Szybkie spoofowanie pól Build:

Java.perform(function(){
var Build = Java.use('android.os.Build');
Build.MODEL.value = 'Pixel 7 Pro';
Build.MANUFACTURER.value = 'Google';
Build.BRAND.value = 'google';
Build.FINGERPRINT.value = 'google/panther/panther:14/UP1A.231105.003/1234567:user/release-keys';
});

Uzupełnij o stuby do sprawdzania istnienia plików oraz identyfikatorów (TelephonyManager.getDeviceId/SubscriberId, WifiInfo.getMacAddress, SensorManager.getSensorList), aby zwracały realistyczne wartości.

SSL pinning bypass quick hook (Java)

Zneutralizuj niestandardowe TrustManagers i wymuś permissive SSL contexts:

Java.perform(function(){
var X509TrustManager = Java.use('javax.net.ssl.X509TrustManager');
var SSLContext = Java.use('javax.net.ssl.SSLContext');

// No-op validations
X509TrustManager.checkClientTrusted.implementation = function(){ };
X509TrustManager.checkServerTrusted.implementation = function(){ };

// Force permissive TrustManagers
var TrustManagers = [ X509TrustManager.$new() ];
var SSLContextInit = SSLContext.init.overload('[Ljavax.net.ssl.KeyManager;','[Ljavax.net.ssl.TrustManager;','java.security.SecureRandom');
SSLContextInit.implementation = function(km, tm, sr){
return SSLContextInit.call(this, km, TrustManagers, sr);
};
});

Notatki

• Rozszerz dla OkHttp: hook okhttp3.CertificatePinner and HostnameVerifier as needed, or use a universal unpinning script from CodeShare.
• Przykład uruchomienia: frida -U -f com.target.app -l ssl-bypass.js --no-pause

Krok 6 — Śledź ślad JNI/native, gdy Java hooks zawodzą

Śledź JNI entry points, aby zlokalizować native loaders i detection init:

frida-trace -n com.example.app -i "JNI_OnLoad"

Szybka natywna analiza dołączonych plików .so:

# List exported symbols & JNI
nm -D libfoo.so | head
objdump -T libfoo.so | grep Java_
strings -n 6 libfoo.so | egrep -i 'frida|ptrace|gum|magisk|su|root'

Interaktywne/native reversing:

• Ghidra: https://ghidra-sre.org/
• r2frida: https://github.com/nowsecure/r2frida

Przykład: neuter ptrace to defeat simple anti‑debug in libc:

const ptrace = Module.findExportByName(null, 'ptrace');
if (ptrace) {
Interceptor.replace(ptrace, new NativeCallback(function () {
return -1; // pretend failure
}, 'int', ['int', 'int', 'pointer', 'pointer']));
}

Zobacz także: Reversing Native Libraries

Krok 7 — Objection patching (embed gadget / strip basics)

Jeżeli wolisz repacking zamiast runtime hooks, wypróbuj:

objection patchapk --source app.apk

Notatki:

• Wymaga apktool; upewnij się, że używasz aktualnej wersji zgodnie z oficjalnym przewodnikiem, aby uniknąć problemów z budowaniem: https://apktool.org/docs/install
• Gadget injection umożliwia instrumentation bez roota, ale nadal może zostać wykryte przez bardziej rygorystyczne kontrole inicjalizacji.

Opcjonalnie dodaj moduły LSPosed i Shamiko dla silniejszego ukrywania roota w środowiskach Zygisk oraz zarządzaj DenyList, aby objąć procesy potomne.

Referencje:

• Objection: https://github.com/sensepost/objection

Krok 8 — Plan awaryjny: Patch TLS pinning dla widoczności sieciowej

Jeśli instrumentation jest zablokowane, nadal możesz analizować ruch, usuwając pinning statycznie:

apk-mitm app.apk
# Then install the patched APK and proxy via Burp/mitmproxy

• Narzędzie: https://github.com/shroudedcode/apk-mitm
• Dla sztuczek związanych z CA‑trust w konfiguracji sieci (i zaufania użytkownika CA w Android 7+), zobacz:

Make APK Accept CA Certificate

Install Burp Certificate

Przydatna ściągawka poleceń

# List processes and attach
frida-ps -Uai
frida -U -n com.example.app

# Spawn with a script (may trigger detectors)
frida -U -f com.example.app -l anti-frida-detection.js

# Trace native init
frida-trace -n com.example.app -i "JNI_OnLoad"

# Objection runtime
objection --gadget com.example.app explore

# Static TLS pinning removal
apk-mitm app.apk

Universal proxy forcing + TLS unpinning (HTTP Toolkit Frida hooks)

Nowoczesne aplikacje często ignorują systemowe proxy i wymuszają wielowarstwowe pinowanie (Java + native), co utrudnia przechwytywanie ruchu nawet przy zainstalowanych user/system CAs. Praktycznym podejściem jest połączenie uniwersalnego TLS unpinning z wymuszaniem proxy za pomocą gotowych Frida hooks i skierowanie całego ruchu przez mitmproxy/Burp.

Przebieg

• Uruchom mitmproxy na swoim hoście (lub Burp). Upewnij się, że urządzenie może połączyć się z IP/portem hosta.
• Załaduj skonsolidowane Frida hooks z HTTP Toolkit, aby jednocześnie wykonać TLS unpinning i wymusić użycie proxy w popularnych stosach (OkHttp/OkHttp3, HttpsURLConnection, Conscrypt, WebView itp.). To omija sprawdzenia CertificatePinner/TrustManager i nadpisuje selektory proxy, dzięki czemu ruch zawsze jest wysyłany przez twój serwer proxy, nawet jeśli aplikacja jawnie wyłącza proxy.
• Uruchom docelową aplikację z Frida i hook script, a następnie przechwyć żądania w mitmproxy.

Przykład

# Device connected via ADB or over network (-U)
# See the repo for the exact script names & options
frida -U -f com.vendor.app \
-l ./android-unpinning-with-proxy.js \
--no-pause

# mitmproxy listening locally
mitmproxy -p 8080

Notatki

• Połącz z systemowym proxy za pomocą adb shell settings put global http_proxy <host>:<port> kiedy to możliwe. Frida hooks będą wymuszać użycie proxy nawet gdy aplikacje omijają ustawienia globalne.
• Ta technika jest idealna, gdy musisz przeprowadzić MITM dla mobile-to-IoT onboarding flows, gdzie pinning/proxy avoidance jest powszechne.
• Hooks: https://github.com/httptoolkit/frida-interception-and-unpinning

References

• Reversing Android Apps: Bypassing Detection Like a Pro
• Frida Codeshare
• Objection
• apk-mitm
• Jadx
• Ghidra
• r2frida
• Apktool install guide
• Magisk
• Medusa (Android Frida framework)
• Build a Repeatable Android Bug Bounty Lab: Emulator vs Magisk, Burp, Frida, and Medusa