Android Anti-Instrumentation & SSL Pinning Bypass (Frida/Objection)

Tip

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Вивчайте та практикуйте Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Підтримайте HackTricks

Ця сторінка надає практичний робочий процес для відновлення динамічного аналізу проти Android-додатків, які виявляють/блокують інструментацію або застосовують TLS pinning. Вона зосереджена на швидкому триажі, поширених виявленнях та готових для копіювання хуках/тактиках для їх обходу без репакування, коли це можливо.

Detection Surface (what apps check)

  • Перевірки root: su binary, Magisk paths, getprop values, common root packages
  • Перевірки Frida/налагоджувача (Java): Debug.isDebuggerConnected(), ActivityManager.getRunningAppProcesses(), getRunningServices(), сканування /proc, classpath, завантажені бібліотеки
  • Нативний anti‑debug: ptrace(), syscalls, anti‑attach, breakpoints, inline hooks
  • Ранні перевірки ініціалізації: Application.onCreate() або process start hooks, які аварійно завершують роботу, якщо інструментація присутня
  • TLS pinning: custom TrustManager/HostnameVerifier, OkHttp CertificatePinner, Conscrypt pinning, native pins

Step 1 — Quick win: hide root with Magisk DenyList

  • Увімкніть Zygisk у Magisk
  • Увімкніть DenyList, додайте цільовий пакет
  • Перезавантажте пристрій і протестуйте знову

Багато додатків шукають тільки очевидні індикатори (su/Magisk paths/getprop). DenyList часто нейтралізує такі наївні перевірки.

References:

  • Magisk (Zygisk & DenyList): https://github.com/topjohnwu/Magisk

Step 2 — 30‑second Frida Codeshare tests

Спробуйте поширені drop‑in скрипти перед глибоким аналізом:

  • anti-root-bypass.js
  • anti-frida-detection.js
  • hide_frida_gum.js

Example:

frida -U -f com.example.app -l anti-frida-detection.js

Зазвичай вони підмінюють Java root/debug checks, process/service scans і native ptrace(). Корисні для слабо захищених додатків; більш захищені цілі можуть потребувати спеціальних hooks.

  • Codeshare: https://codeshare.frida.re/

Автоматизуйте за допомогою Medusa (Frida framework)

Medusa надає 90+ готових модулів для SSL unpinning, root/emulator detection bypass, HTTP comms logging, crypto key interception та багато іншого.

git clone https://github.com/Ch0pin/medusa
cd medusa
pip install -r requirements.txt
python medusa.py

# Example interactive workflow
show categories
use http_communications/multiple_unpinner
use root_detection/universal_root_detection_bypass
run com.target.app

Порада: Medusa чудово підходить для швидких перемог перед написанням custom hooks. Ви також можете cherry-pick modules і комбінувати їх зі своїми власними scripts.

Крок 3 — Обійти детектори під час ініціалізації, приєднавшись пізніше

Багато детекцій виконуються лише під час process spawn/onCreate(). Spawn‑time injection (-f) або gadgets виявляються; приєднання після завантаження UI може пройти непоміченим.

# Launch the app normally (launcher/adb), wait for UI, then attach
frida -U -n com.example.app
# Or with Objection to attach to running process
aobjection --gadget com.example.app explore  # if using gadget

Якщо це спрацює, утримуйте сесію стабільною і переходьте до мапування та перевірок stub.

Крок 4 — Мапування логіки виявлення через Jadx і пошук рядків

Ключові слова для статичного триажу в Jadx:

  • “frida”, “gum”, “root”, “magisk”, “ptrace”, “su”, “getprop”, “debugger”

Типові шаблони Java:

public boolean isFridaDetected() {
return getRunningServices().contains("frida");
}

Поширені API для перегляду/перехоплення:

  • android.os.Debug.isDebuggerConnected
  • android.app.ActivityManager.getRunningAppProcesses / getRunningServices
  • java.lang.System.loadLibrary / System.load (native bridge)
  • java.lang.Runtime.exec / ProcessBuilder (probing commands)
  • android.os.SystemProperties.get (root/emulator heuristics)

Крок 5 — Runtime stubbing with Frida (Java)

Перевизначте кастомні guards, щоб повертати безпечні значення без перепакування:

Java.perform(() => {
const Checks = Java.use('com.example.security.Checks');
Checks.isFridaDetected.implementation = function () { return false; };

// Neutralize debugger checks
const Debug = Java.use('android.os.Debug');
Debug.isDebuggerConnected.implementation = function () { return false; };

// Example: kill ActivityManager scans
const AM = Java.use('android.app.ActivityManager');
AM.getRunningAppProcesses.implementation = function () { return java.util.Collections.emptyList(); };
});

Розбираєтеся з ранніми крашами? Dump classes безпосередньо перед тим, як додаток падає, щоб знайти ймовірні detection namespaces:

Java.perform(() => {
Java.enumerateLoadedClasses({
onMatch: n => console.log(n),
onComplete: () => console.log('Done')
});
});

// Quick root detection stub example (adapt to target package/class names)
Java.perform(() => {
try {
const RootChecker = Java.use('com.target.security.RootCheck');
RootChecker.isDeviceRooted.implementation = function () { return false; };
} catch (e) {}
});

Log і нейтралізуйте підозрілі методи, щоб підтвердити хід виконання:

Java.perform(() => {
const Det = Java.use('com.example.security.DetectionManager');
Det.checkFrida.implementation = function () {
console.log('checkFrida() called');
return false;
};
});

Bypass emulator/VM detection (Java stubs)

Поширені евристики: Build.FINGERPRINT/MODEL/MANUFACTURER/HARDWARE, що містять generic/goldfish/ranchu/sdk; артефакти QEMU, такі як /dev/qemu_pipe, /dev/socket/qemud; MAC за замовчуванням 02:00:00:00:00:00; 10.0.2.x NAT; відсутні telephony/sensors.

Швидка підміна полів Build:

Java.perform(function(){
var Build = Java.use('android.os.Build');
Build.MODEL.value = 'Pixel 7 Pro';
Build.MANUFACTURER.value = 'Google';
Build.BRAND.value = 'google';
Build.FINGERPRINT.value = 'google/panther/panther:14/UP1A.231105.003/1234567:user/release-keys';
});

Доповніть заглушками перевірки наявності файлів і ідентифікаторів (TelephonyManager.getDeviceId/SubscriberId, WifiInfo.getMacAddress, SensorManager.getSensorList), щоб повертати реалістичні значення.

SSL pinning bypass quick hook (Java)

Нейтралізуйте кастомні TrustManagers і примусово встановіть permissive SSL contexts:

Java.perform(function(){
var X509TrustManager = Java.use('javax.net.ssl.X509TrustManager');
var SSLContext = Java.use('javax.net.ssl.SSLContext');

// No-op validations
X509TrustManager.checkClientTrusted.implementation = function(){ };
X509TrustManager.checkServerTrusted.implementation = function(){ };

// Force permissive TrustManagers
var TrustManagers = [ X509TrustManager.$new() ];
var SSLContextInit = SSLContext.init.overload('[Ljavax.net.ssl.KeyManager;','[Ljavax.net.ssl.TrustManager;','java.security.SecureRandom');
SSLContextInit.implementation = function(km, tm, sr){
return SSLContextInit.call(this, km, TrustManagers, sr);
};
});

Примітки

  • Розширте для OkHttp: hook okhttp3.CertificatePinner і HostnameVerifier за потреби, або використайте універсальний unpinning script з CodeShare.
  • Приклад запуску: frida -U -f com.target.app -l ssl-bypass.js --no-pause

Крок 6 — Слідуйте за JNI/native слідом, коли Java hooks не спрацьовують

Прослідкуйте JNI вхідні точки, щоб знайти native завантажувачі та ініціалізацію детекції:

frida-trace -n com.example.app -i "JNI_OnLoad"

Швидка нативна перевірка упакованих .so файлів:

# List exported symbols & JNI
nm -D libfoo.so | head
objdump -T libfoo.so | grep Java_
strings -n 6 libfoo.so | egrep -i 'frida|ptrace|gum|magisk|su|root'

Інтерактивний/нативний reversing:

  • Ghidra: https://ghidra-sre.org/
  • r2frida: https://github.com/nowsecure/r2frida

Приклад: нейтралізувати ptrace, щоб обійти простий anti‑debug у libc:

const ptrace = Module.findExportByName(null, 'ptrace');
if (ptrace) {
Interceptor.replace(ptrace, new NativeCallback(function () {
return -1; // pretend failure
}, 'int', ['int', 'int', 'pointer', 'pointer']));
}

Див. також: Reversing Native Libraries

Крок 7 — Objection patching (embed gadget / strip basics)

Якщо ви віддаєте перевагу repacking замість runtime hooks, спробуйте:

objection patchapk --source app.apk

Примітки:

  • Потребує apktool; переконайтеся, що використовується актуальна версія згідно офіційного посібника, щоб уникнути проблем зі збіркою: https://apktool.org/docs/install
  • Gadget injection дозволяє інструментувати без root, але все ще може бути виявлена сильнішими перевірками на етапі init.

Опційно додайте LSPosed модулі та Shamiko для кращого приховування root у середовищах Zygisk, а також відредагуйте DenyList, щоб охопити дочірні процеси.

Для повного робочого процесу, що включає конфігурацію Gadget у script-mode та упаковку вашого Frida 17+ agent у APK, див.:

Frida Tutorial — Self-contained agent + Gadget embedding

Посилання:

  • Objection: https://github.com/sensepost/objection

Крок 8 — Запасний план: Патч TLS pinning для мережевої видимості

Якщо інструментування заблоковано, ви все ще можете інспектувати трафік, статично видаливши pinning:

apk-mitm app.apk
# Then install the patched APK and proxy via Burp/mitmproxy
  • Інструмент: https://github.com/shroudedcode/apk-mitm
  • Для трюків з network config CA‑trust (і Android 7+ user CA trust), дивіться:

Make APK Accept CA Certificate

Install Burp Certificate

Зручна шпаргалка команд

# List processes and attach
frida-ps -Uai
frida -U -n com.example.app

# Spawn with a script (may trigger detectors)
frida -U -f com.example.app -l anti-frida-detection.js

# Trace native init
frida-trace -n com.example.app -i "JNI_OnLoad"

# Objection runtime
objection --gadget com.example.app explore

# Static TLS pinning removal
apk-mitm app.apk

Universal proxy forcing + TLS unpinning (HTTP Toolkit Frida hooks)

Сучасні додатки часто ігнорують системні proxy та застосовують кілька шарів pinning (Java + native), що ускладнює перехоплення трафіку навіть при встановлених user/system CA. Практичний підхід — поєднати universal TLS unpinning з proxy forcing через готові Frida hooks і спрямувати весь трафік через mitmproxy/Burp.

Робочий процес

  • Запустіть mitmproxy на вашому хості (або Burp). Переконайтеся, що пристрій має доступ до IP/порту хоста.
  • Завантажте зведені Frida hooks від HTTP Toolkit, щоб одночасно unpin TLS і force proxy usage у поширених стеках (OkHttp/OkHttp3, HttpsURLConnection, Conscrypt, WebView тощо). Це обходить перевірки CertificatePinner/TrustManager і перевизначає proxy selectors, тож трафік завжди надсилається через ваш proxy навіть якщо додаток явно відключає проксі.
  • Запустіть цільовий додаток з Frida та hook script і перехоплюйте запити в mitmproxy.

Приклад

# Device connected via ADB or over network (-U)
# See the repo for the exact script names & options
frida -U -f com.vendor.app \
-l ./android-unpinning-with-proxy.js \
--no-pause

# mitmproxy listening locally
mitmproxy -p 8080

Примітки

  • По можливості комбінуйте з системним proxy через adb shell settings put global http_proxy <host>:<port>. Frida hooks забезпечуватимуть примусове використання proxy навіть коли додатки обходять глобальні налаштування.
  • Ця техніка ідеально підходить, коли потрібно зробити MITM під час процесів підключення mobile-to-IoT, де поширені pinning/уникнення proxy.
  • Hooks: https://github.com/httptoolkit/frida-interception-and-unpinning

Посилання

Tip

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Вивчайте та практикуйте Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Підтримайте HackTricks