Android Anti-Instrumentation & SSL Pinning Bypass (Frida/Objection)

Reading time: 7 minutes

tip

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Вивчайте та практикуйте Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Підтримайте HackTricks

Ця сторінка надає практичний робочий процес для відновлення динамічного аналізу проти Android-додатків, які виявляють/блокують інструментування через root або застосовують TLS pinning. Вона фокусується на швидкій триажі, поширених детекціях та копіюваних hooks/тактиках для їх обходу без репакування, коли це можливо.

Detection Surface (що перевіряють додатки)

  • Перевірки root: su binary, Magisk paths, getprop values, common root packages
  • Frida/debugger checks (Java): Debug.isDebuggerConnected(), ActivityManager.getRunningAppProcesses(), getRunningServices(), scanning /proc, classpath, loaded libs
  • Native anti‑debug: ptrace(), syscalls, anti‑attach, breakpoints, inline hooks
  • Early init checks: Application.onCreate() or process start hooks that crash if instrumentation is present
  • TLS pinning: custom TrustManager/HostnameVerifier, OkHttp CertificatePinner, Conscrypt pinning, native pins

Step 1 — Quick win: hide root with Magisk DenyList

  • Увімкнути Zygisk в Magisk
  • Увімкнути DenyList, додати цільовий пакет
  • Перезавантажити та повторно протестувати

Багато додатків перевіряють лише очевидні індикатори (su/Magisk paths/getprop). DenyList часто нейтралізує наївні перевірки.

References:

  • Magisk (Zygisk & DenyList): https://github.com/topjohnwu/Magisk

Step 2 — 30‑second Frida Codeshare tests

Спробуйте поширені drop‑in скрипти перед глибоким аналізом:

  • anti-root-bypass.js
  • anti-frida-detection.js
  • hide_frida_gum.js

Example:

bash
frida -U -f com.example.app -l anti-frida-detection.js

Ці методи зазвичай підмінюють Java root/debug checks, process/service scans та native ptrace(). Корисні для слабо захищених додатків; для жорстко захищених цілей можуть знадобитися індивідуальні hooks.

  • Codeshare: https://codeshare.frida.re/

Step 3 — Обійти init-time detectors, приєднавшись пізніше

Багато детекцій виконуються лише під час process spawn/onCreate(). Spawn‑time injection (-f) або gadgets потрапляють у вир; приєднання після завантаження UI може пройти непоміченим.

bash
# Launch the app normally (launcher/adb), wait for UI, then attach
frida -U -n com.example.app
# Or with Objection to attach to running process
aobjection --gadget com.example.app explore  # if using gadget

If this works, keep the session stable and proceed to map and stub checks.

Крок 4 — Картографування логіки виявлення через Jadx та пошук рядків

Статичні ключові слова для триажу в Jadx:

  • "frida", "gum", "root", "magisk", "ptrace", "su", "getprop", "debugger"

Типові Java патерни:

java
public boolean isFridaDetected() {
return getRunningServices().contains("frida");
}

Поширені API для перегляду/hook:

  • android.os.Debug.isDebuggerConnected
  • android.app.ActivityManager.getRunningAppProcesses / getRunningServices
  • java.lang.System.loadLibrary / System.load (native bridge)
  • java.lang.Runtime.exec / ProcessBuilder (probing commands)
  • android.os.SystemProperties.get (root/emulator heuristics)

Крок 5 — Замінювання поведінки на час виконання з Frida (Java)

Перевизначте користувацькі перевірки (guards), щоб повертати безпечні значення без перепакування:

js
Java.perform(() => {
const Checks = Java.use('com.example.security.Checks');
Checks.isFridaDetected.implementation = function () { return false; };

// Neutralize debugger checks
const Debug = Java.use('android.os.Debug');
Debug.isDebuggerConnected.implementation = function () { return false; };

// Example: kill ActivityManager scans
const AM = Java.use('android.app.ActivityManager');
AM.getRunningAppProcesses.implementation = function () { return java.util.Collections.emptyList(); };
});

Тріаж ранніх крашів? Dump classes одразу перед тим, як додаток падає, щоб виявити ймовірні detection namespaces:

js
Java.perform(() => {
Java.enumerateLoadedClasses({
onMatch: n => console.log(n),
onComplete: () => console.log('Done')
});
});

Реєструйте та нейтралізуйте підозрілі методи, щоб підтвердити потік виконання:

js
Java.perform(() => {
const Det = Java.use('com.example.security.DetectionManager');
Det.checkFrida.implementation = function () {
console.log('checkFrida() called');
return false;
};
});

Крок 6 — Дотримуйтесь сліду JNI/native, коли Java hooks не працюють

Відстежте точки входу JNI, щоб знайти native loaders і detection init:

bash
frida-trace -n com.example.app -i "JNI_OnLoad"

Швидкий нативний триаж упакованих .so-файлів:

bash
# List exported symbols & JNI
nm -D libfoo.so | head
objdump -T libfoo.so | grep Java_
strings -n 6 libfoo.so | egrep -i 'frida|ptrace|gum|magisk|su|root'

Інтерактивний/нативний реверсинг:

  • Ghidra: https://ghidra-sre.org/
  • r2frida: https://github.com/nowsecure/r2frida

Приклад: нейтралізувати ptrace, щоб обійти простий anti‑debug у libc:

js
const ptrace = Module.findExportByName(null, 'ptrace');
if (ptrace) {
Interceptor.replace(ptrace, new NativeCallback(function () {
return -1; // pretend failure
}, 'int', ['int', 'int', 'pointer', 'pointer']));
}

Див. також: Reversing Native Libraries

Крок 7 — Objection patching (embed gadget / strip basics)

Коли ви віддаєте перевагу repacking замість runtime hooks, спробуйте:

bash
objection patchapk --source app.apk

Примітки:

  • Потребує apktool; переконайтесь, що у вас актуальна версія згідно офіційного керівництва, щоб уникнути проблем зі збіркою: https://apktool.org/docs/install
  • Gadget injection дозволяє instrumentation без root, але все ще може бути виявлений сильнішими init‑time перевірками.

Посилання:

  • Objection: https://github.com/sensepost/objection

Крок 8 — Запасний варіант: Запатчити TLS pinning для огляду мережевого трафіку

Якщо instrumentation заблоковано, ви все одно можете переглянути трафік, статично видаливши pinning:

bash
apk-mitm app.apk
# Then install the patched APK and proxy via Burp/mitmproxy
  • Інструмент: https://github.com/shroudedcode/apk-mitm
  • Для трюків із network config CA‑trust (та Android 7+ user CA trust), див.:

Make APK Accept CA Certificate

Install Burp Certificate

Зручна шпаргалка команд

bash
# List processes and attach
frida-ps -Uai
frida -U -n com.example.app

# Spawn with a script (may trigger detectors)
frida -U -f com.example.app -l anti-frida-detection.js

# Trace native init
frida-trace -n com.example.app -i "JNI_OnLoad"

# Objection runtime
objection --gadget com.example.app explore

# Static TLS pinning removal
apk-mitm app.apk

Поради та застереження

  • Краще attach пізніше, ніж spawn, якщо apps падають при запуску
  • Деякі detections re‑run в критичних потоках (наприклад, payment, auth) — тримайте hooks активними під час navigation
  • Поєднуйте static та dynamic: string hunt в Jadx, щоб звузити список класів; потім hook methods, щоб перевірити під час runtime
  • Hardened apps можуть використовувати packers та native TLS pinning — очікуйте reverse native code

Посилання

tip

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Вивчайте та практикуйте Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Підтримайте HackTricks