Android Anti-Instrumentation & SSL Pinning Bypass (Frida/Objection)

Reading time: 8 minutes

Ova stranica pruža praktičan workflow za povratak dinamičke analize protiv Android aplikacija koje detektuju/blokiraju instrumentation zbog root‑a ili primenjuju TLS pinning. Fokusira se na brzu trijažu, česte detekcije i copy‑pasteable hooks/tactics za njihovo zaobilaženje bez repack‑ovanja kad god je to moguće.

Detection Surface (what apps check)

• Root provere: su binary, Magisk paths, getprop values, common root packages
• Frida/debugger provere (Java): Debug.isDebuggerConnected(), ActivityManager.getRunningAppProcesses(), getRunningServices(), skeniranje /proc, classpath, učitane libs
• Native anti‑debug: ptrace(), syscalls, anti‑attach, breakpoints, inline hooks
• Rane init provere: Application.onCreate() ili process start hooks koji ruše aplikaciju ako je instrumentation prisutna
• TLS pinning: custom TrustManager/HostnameVerifier, OkHttp CertificatePinner, Conscrypt pinning, native pins

Step 1 — Quick win: hide root with Magisk DenyList

• Omogući Zygisk u Magisk
• Omogući DenyList, dodaj target package
• Restartuj i ponovo testiraj

Mnoge aplikacije traže samo očigledne indikatore (su/Magisk paths/getprop). DenyList često neutrališe naivne provere.

References:

• Magisk (Zygisk & DenyList): https://github.com/topjohnwu/Magisk

Step 2 — 30‑second Frida Codeshare tests

Probaj uobičajene drop‑in skripte pre dubljeg istraživanja:

• anti-root-bypass.js
• anti-frida-detection.js
• hide_frida_gum.js

Example:

frida -U -f com.example.app -l anti-frida-detection.js

Ovo obično pravi stub-ove za Java root/debug checks, process/service scans i native ptrace(). Korisno za slabije zaštićene aplikacije; ojačani ciljevi mogu zahtevati prilagođene hooks.

• Codeshare: https://codeshare.frida.re/

Automatizujte sa Medusa (Frida framework)

Medusa pruža 90+ gotovih modula za SSL unpinning, root/emulator detection bypass, HTTP comms logging, crypto key interception i još mnogo toga.

git clone https://github.com/Ch0pin/medusa
cd medusa
pip install -r requirements.txt
python medusa.py

# Example interactive workflow
show categories
use http_communications/multiple_unpinner
use root_detection/universal_root_detection_bypass
run com.target.app

Savet: Medusa je odlična za brze dobitke pre nego što napišete custom hooks. Takođe možete cherry-pick modules i kombinovati ih sa svojim scripts.

Korak 3 — Zaobiđite detektore pri inicijalizaciji priključivanjem kasnije

Mnoge detekcije se pokreću samo tokom process spawn/onCreate(). Spawn‑time injection (-f) ili gadgets bivaju otkriveni; priključenje nakon učitavanja UI može proći neopaženo.

# Launch the app normally (launcher/adb), wait for UI, then attach
frida -U -n com.example.app
# Or with Objection to attach to running process
aobjection --gadget com.example.app explore  # if using gadget

Ako ovo uspe, zadržite sesiju stabilnom i nastavite sa mapiranjem i stub proverama.

Korak 4 — Mapirajte logiku detekcije putem Jadx i pretrage stringova

Statičke ključne reči za triage u Jadx:

• "frida", "gum", "root", "magisk", "ptrace", "su", "getprop", "debugger"

Tipični Java obrasci:

public boolean isFridaDetected() {
return getRunningServices().contains("frida");
}

Uobičajeni API-ji za pregled/hook:

• android.os.Debug.isDebuggerConnected
• android.app.ActivityManager.getRunningAppProcesses / getRunningServices
• java.lang.System.loadLibrary / System.load (native bridge)
• java.lang.Runtime.exec / ProcessBuilder (probing commands)
• android.os.SystemProperties.get (root/emulator heuristics)

Korak 5 — Runtime stubbing sa Frida (Java)

Prepišite custom guards da vrate bezbedne vrednosti bez repackinga:

Java.perform(() => {
const Checks = Java.use('com.example.security.Checks');
Checks.isFridaDetected.implementation = function () { return false; };

// Neutralize debugger checks
const Debug = Java.use('android.os.Debug');
Debug.isDebuggerConnected.implementation = function () { return false; };

// Example: kill ActivityManager scans
const AM = Java.use('android.app.ActivityManager');
AM.getRunningAppProcesses.implementation = function () { return java.util.Collections.emptyList(); };
});

Triaging ranih crash-eva? Dump classes neposredno pre nego što se aplikacija sruši, da biste uočili verovatne detection namespaces:

Java.perform(() => {
Java.enumerateLoadedClasses({
onMatch: n => console.log(n),
onComplete: () => console.log('Done')
});
});

// Quick root detection stub example (adapt to target package/class names) Java.perform(() => { try { const RootChecker = Java.use('com.target.security.RootCheck'); RootChecker.isDeviceRooted.implementation = function () { return false; }; } catch (e) {} });

Log i onesposobite sumnjive metode kako biste potvrdili tok izvršavanja:

Java.perform(() => {
const Det = Java.use('com.example.security.DetectionManager');
Det.checkFrida.implementation = function () {
console.log('checkFrida() called');
return false;
};
});

Bypass emulator/VM detection (Java stubs)

Uobičajene heuristike: Build.FINGERPRINT/MODEL/MANUFACTURER/HARDWARE koji sadrže generic/goldfish/ranchu/sdk; QEMU artefakti kao /dev/qemu_pipe, /dev/socket/qemud; podrazumevana MAC 02:00:00:00:00:00; 10.0.2.x NAT; nedostatak telephony/sensors.

Quick spoof of Build fields:

Java.perform(function(){
var Build = Java.use('android.os.Build');
Build.MODEL.value = 'Pixel 7 Pro';
Build.MANUFACTURER.value = 'Google';
Build.BRAND.value = 'google';
Build.FINGERPRINT.value = 'google/panther/panther:14/UP1A.231105.003/1234567:user/release-keys';
});

Dopunite stubovima za provere postojanja fajlova i identifikatore (TelephonyManager.getDeviceId/SubscriberId, WifiInfo.getMacAddress, SensorManager.getSensorList) da vrate realistične vrednosti.

SSL pinning bypass quick hook (Java)

Neutralizujte prilagođene TrustManagers i prisilite permisivne SSL contexts:

Java.perform(function(){
var X509TrustManager = Java.use('javax.net.ssl.X509TrustManager');
var SSLContext = Java.use('javax.net.ssl.SSLContext');

// No-op validations
X509TrustManager.checkClientTrusted.implementation = function(){ };
X509TrustManager.checkServerTrusted.implementation = function(){ };

// Force permissive TrustManagers
var TrustManagers = [ X509TrustManager.$new() ];
var SSLContextInit = SSLContext.init.overload('[Ljavax.net.ssl.KeyManager;','[Ljavax.net.ssl.TrustManager;','java.security.SecureRandom');
SSLContextInit.implementation = function(km, tm, sr){
return SSLContextInit.call(this, km, TrustManagers, sr);
};
});

Napomene

• Proširi za OkHttp: hook okhttp3.CertificatePinner i HostnameVerifier po potrebi, ili koristi univerzalni unpinning script sa CodeShare.
• Primer pokretanja: frida -U -f com.target.app -l ssl-bypass.js --no-pause

Korak 6 — Prati JNI/native trag kada Java hooks zakažu

Prati JNI ulazne tačke da bi pronašao native loadere i inicijalizaciju detekcije:

frida-trace -n com.example.app -i "JNI_OnLoad"

Brza nativna trijaža priloženih .so fajlova:

# List exported symbols & JNI
nm -D libfoo.so | head
objdump -T libfoo.so | grep Java_
strings -n 6 libfoo.so | egrep -i 'frida|ptrace|gum|magisk|su|root'

Interaktivno/nativno reversing:

• Ghidra: https://ghidra-sre.org/
• r2frida: https://github.com/nowsecure/r2frida

Primer: onesposobiti ptrace da bi se zaobišao jednostavan anti‑debug u libc:

const ptrace = Module.findExportByName(null, 'ptrace');
if (ptrace) {
Interceptor.replace(ptrace, new NativeCallback(function () {
return -1; // pretend failure
}, 'int', ['int', 'int', 'pointer', 'pointer']));
}

Vidi takođe: Reversing Native Libraries

Korak 7 — Objection patching (embed gadget / strip basics)

Ako više volite repacking umesto runtime hooks, probajte:

objection patchapk --source app.apk

Napomene:

• Zahteva apktool; obezbedite ažuriranu verziju iz zvaničnog uputstva da biste izbegli probleme pri izgradnji: https://apktool.org/docs/install
• Gadget injection omogućava instrumentation bez root-a, ali i dalje može biti otkrivena jačim init‑time checks.

Opcionalno, dodajte LSPosed moduli i Shamiko za jače skrivanje root-a u Zygisk okruženjima, i prilagodite DenyList da pokrije child processes.

Reference:

• Objection: https://github.com/sensepost/objection

Korak 8 — Fallback: Patch TLS pinning za omogućavanje vidljivosti mrežnog saobraćaja

Ako je instrumentation blokirana, i dalje možete pregledati saobraćaj uklanjanjem pinning-a statički:

apk-mitm app.apk
# Then install the patched APK and proxy via Burp/mitmproxy

• Alat: https://github.com/shroudedcode/apk-mitm
• Za trikove vezane za CA‑trust u konfiguraciji mreže (i Android 7+ user CA trust), vidi:

Make APK Accept CA Certificate

Install Burp Certificate

Korisna lista komandi

# List processes and attach
frida-ps -Uai
frida -U -n com.example.app

# Spawn with a script (may trigger detectors)
frida -U -f com.example.app -l anti-frida-detection.js

# Trace native init
frida-trace -n com.example.app -i "JNI_OnLoad"

# Objection runtime
objection --gadget com.example.app explore

# Static TLS pinning removal
apk-mitm app.apk

Saveti i upozorenja

• Radije zakačite kasnije nego pokrenete novi proces (spawn) kada se aplikacije ruše pri pokretanju
• Neka otkrivanja se ponovo pokreću u kritičnim tokovima (npr. plaćanje, autentifikacija) — držite hooks aktivnim tokom navigacije
• Kombinujte static i dynamic pristup: traženje stringova u Jadx da biste suzili listu klasa; zatim hook-ujte metode da verifikujete u runtime-u
• Zaštićene aplikacije mogu koristiti packers i native TLS pinning — očekujte da ćete morati reverse-ovati native kod

Reference

• Reversing Android Apps: Bypassing Detection Like a Pro
• Frida Codeshare
• Objection
• apk-mitm
• Jadx
• Ghidra
• r2frida
• Apktool install guide
• Magisk
• Medusa (Android Frida framework)
• Build a Repeatable Android Bug Bounty Lab: Emulator vs Magisk, Burp, Frida, and Medusa