Android Anti-Instrumentation & SSL Pinning Bypass (Frida/Objection)

Reading time: 6 minutes

This page provides a practical workflow to regain dynamic analysis against Android apps that detect/root‑block instrumentation or enforce TLS pinning. It focuses on fast triage, common detections, and copy‑pasteable hooks/tactics to bypass them without repacking when possible.

Detection Surface (what apps check)

• Root kontrolleri: su binary, Magisk paths, getprop values, common root packages
• Frida/debugger kontrolleri (Java): Debug.isDebuggerConnected(), ActivityManager.getRunningAppProcesses(), getRunningServices(), scanning /proc, classpath, loaded libs
• Native anti‑debug: ptrace(), syscalls, anti‑attach, breakpoints, inline hooks
• Erken init kontrolleri: Application.onCreate() veya process start hooks that crash if instrumentation is present
• TLS pinning: custom TrustManager/HostnameVerifier, OkHttp CertificatePinner, Conscrypt pinning, native pins

Step 1 — Quick win: hide root with Magisk DenyList

• Enable Zygisk in Magisk
• Enable DenyList, add the target package
• Reboot and retest

Many apps only look for obvious indicators (su/Magisk paths/getprop). DenyList often neutralizes naive checks.

References:

• Magisk (Zygisk & DenyList): https://github.com/topjohnwu/Magisk

Step 2 — 30‑second Frida Codeshare tests

Try common drop‑in scripts before deep diving:

• anti-root-bypass.js
• anti-frida-detection.js
• hide_frida_gum.js

Example:

frida -U -f com.example.app -l anti-frida-detection.js

Bunlar tipik olarak Java root/debug checks, process/service scans ve native ptrace()'i stub'lar. Hafif korunan uygulamalarda kullanışlıdır; sertleştirilmiş hedefler özelleştirilmiş hooks gerektirebilir.

• Codeshare: https://codeshare.frida.re/

Adım 3 — Başlatma-zamanı dedektörlerini geç bağlanarak atlatma

Pek çok tespit yalnızca process spawn/onCreate() sırasında çalışır. Spawn‑time injection (-f) veya gadgets yakalanır; UI yüklendikten sonra bağlanmak atlatmayı sağlayabilir.

# Launch the app normally (launcher/adb), wait for UI, then attach
frida -U -n com.example.app
# Or with Objection to attach to running process
aobjection --gadget com.example.app explore  # if using gadget

Bu işe yararsa, oturumu kararlı tutun ve map ile stub kontrollerine geçin.

Adım 4 — Jadx ile tespit mantığını haritalandırma ve string hunting

Jadx'te statik triage anahtar kelimeleri:

• "frida", "gum", "root", "magisk", "ptrace", "su", "getprop", "debugger"

Tipik Java kalıpları:

public boolean isFridaDetected() {
return getRunningServices().contains("frida");
}

Gözden geçirilecek/hooklanacak ortak API'ler:

• android.os.Debug.isDebuggerConnected
• android.app.ActivityManager.getRunningAppProcesses / getRunningServices
• java.lang.System.loadLibrary / System.load (native bridge)
• java.lang.Runtime.exec / ProcessBuilder (probing commands)
• android.os.SystemProperties.get (root/emulator heuristics)

Adım 5 — Frida ile çalışma zamanında stub oluşturma (Java)

Repacking yapmadan özel guard'ları güvenli değerler döndürecek şekilde override edin:

Java.perform(() => {
const Checks = Java.use('com.example.security.Checks');
Checks.isFridaDetected.implementation = function () { return false; };

// Neutralize debugger checks
const Debug = Java.use('android.os.Debug');
Debug.isDebuggerConnected.implementation = function () { return false; };

// Example: kill ActivityManager scans
const AM = Java.use('android.app.ActivityManager');
AM.getRunningAppProcesses.implementation = function () { return java.util.Collections.emptyList(); };
});

Erken çökmeleri mi değerlendiriyorsunuz? Uygulama ölmeden hemen önce classes'ları dump edin, muhtemel detection namespaces'lerini tespit etmek için:

Java.perform(() => {
Java.enumerateLoadedClasses({
onMatch: n => console.log(n),
onComplete: () => console.log('Done')
});
});

Yürütme akışını doğrulamak için şüpheli yöntemleri Loglayın ve etkisiz hale getirin:

Java.perform(() => {
const Det = Java.use('com.example.security.DetectionManager');
Det.checkFrida.implementation = function () {
console.log('checkFrida() called');
return false;
};
});

Step 6 — Java hooks başarısız olduğunda JNI/native izini takip edin

Native loader'ları ve detection init'i bulmak için JNI entry point'lerini izleyin:

frida-trace -n com.example.app -i "JNI_OnLoad"

Paketlenmiş .so dosyalarının hızlı yerel ön değerlendirmesi:

# List exported symbols & JNI
nm -D libfoo.so | head
objdump -T libfoo.so | grep Java_
strings -n 6 libfoo.so | egrep -i 'frida|ptrace|gum|magisk|su|root'

Etkileşimli/native reversing:

• Ghidra: https://ghidra-sre.org/
• r2frida: https://github.com/nowsecure/r2frida

Örnek: ptrace'i etkisiz hale getirerek libc içindeki basit anti‑debug'i atlatma:

const ptrace = Module.findExportByName(null, 'ptrace');
if (ptrace) {
Interceptor.replace(ptrace, new NativeCallback(function () {
return -1; // pretend failure
}, 'int', ['int', 'int', 'pointer', 'pointer']));
}

Ayrıca bakınız: Reversing Native Libraries

Adım 7 — Objection patching (embed gadget / strip basics)

Eğer runtime hooks yerine repacking'i tercih ediyorsanız, şunu deneyin:

objection patchapk --source app.apk

Notlar:

• Gerektirir apktool; yapı sorunlarını önlemek için resmi kılavuzdan güncel bir sürüm kullanıldığından emin olun: https://apktool.org/docs/install
• Gadget injection, root olmadan instrumentation sağlar, ancak daha güçlü init‑time checks tarafından yine de tespit edilebilir.

Referanslar:

• Objection: https://github.com/sensepost/objection

Adım 8 — Fallback: TLS pinning'i ağ görünürlüğü için düzeltin

Eğer instrumentation engellenmişse, pinning'i statik olarak kaldırarak trafiği yine de inceleyebilirsiniz:

apk-mitm app.apk
# Then install the patched APK and proxy via Burp/mitmproxy

• Araç: https://github.com/shroudedcode/apk-mitm
• Ağ yapılandırması CA‑trust hileleri (ve Android 7+ user CA trust) için bkz:

Make APK Accept CA Certificate

Install Burp Certificate

Pratik komut özeti

# List processes and attach
frida-ps -Uai
frida -U -n com.example.app

# Spawn with a script (may trigger detectors)
frida -U -f com.example.app -l anti-frida-detection.js

# Trace native init
frida-trace -n com.example.app -i "JNI_OnLoad"

# Objection runtime
objection --gadget com.example.app explore

# Static TLS pinning removal
apk-mitm app.apk

İpuçları ve uyarılar

• Uygulamalar başlatılırken çöküyorsa, spawning yerine attaching'i geç bağlamayı tercih edin
• Bazı detections kritik akışlarda (örn., payment, auth) yeniden çalıştırılır — navigation sırasında hooks'ları aktif tutun
• Statik ve dinamiki birlikte kullanın: Jadx'te string hunt yaparak sınıfların ön listesini oluşturun; sonra runtime'da doğrulamak için methods'ları hook'layın
• Güçlendirilmiş uygulamalar packers ve native TLS pinning kullanabilir — native kodu tersine çevirmek gerekebilir

Referanslar

• Reversing Android Apps: Bypassing Detection Like a Pro
• Frida Codeshare
• Objection
• apk-mitm
• Jadx
• Ghidra
• r2frida
• Apktool install guide
• Magisk