HackTricksFrida 教程
Tip
学习和实践 AWS 黑客技术：
HackTricks Training AWS Red Team Expert (ARTE)
学习和实践 GCP 黑客技术：HackTricks Training GCP Red Team Expert (GRTE)
HackTricks Training Azure Red Team Expert (AzRTE)
支持 HackTricks
- 查看 订阅计划!
- 加入 💬 Discord 群组 或 Telegram 群组 或 在 Twitter 🐦 上关注我们 @hacktricks_live.
- 通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 来分享黑客技巧。
安装
安装 frida tools:
pip install frida-tools
pip install frida
在 android 上下载并安装 frida server (Download the latest release).
一行命令：重启 adb 至 root 模式、连接设备、上传 frida-server、赋予 exec 权限并在后台运行：
adb root; adb connect localhost:6000; sleep 1; adb push frida-server /data/local/tmp/; adb shell "chmod 755 /data/local/tmp/frida-server"; adb shell "/data/local/tmp/frida-server &"
检查 它是否工作:
frida-ps -U #List packages and processes
frida-ps -U | grep -i <part_of_the_package_name> #Get all the package name
Frida server vs. Gadget (root vs. no-root)
使用 Frida 对 Android 应用进行插桩的两种常见方式：
- Frida server (rooted devices): 推送并运行一个本地守护进程，允许你附加到任意进程。
- Frida Gadget (no root): 将 Frida 作为共享库打包进 APK，并在目标进程中自动加载。
Frida server (rooted)
# Download the matching frida-server binary for your device's arch
# https://github.com/frida/frida/releases
adb root
adb push frida-server-<ver>-android-<arch> /data/local/tmp/frida-server
adb shell chmod 755 /data/local/tmp/frida-server
adb shell /data/local/tmp/frida-server & # run at boot via init/magisk if desired
# From host, list processes and attach
frida-ps -Uai
frida -U -n com.example.app
Frida Gadget (no-root)
- 解包 APK，添加 gadget .so 和配置：
- 将 libfrida-gadget.so 放入
lib/<abi>/（例如，lib/arm64-v8a/） - 创建 assets/frida-gadget.config，并配置你的脚本加载设置
Example frida-gadget.config
{
"interaction": { "type": "script", "path": "/sdcard/ssl-bypass.js" },
"runtime": { "logFile": "/sdcard/frida-gadget.log" }
}
- 引用/加载 gadget 以便它尽早初始化：
- 最简单：在 Application.onCreate() 中添加一个小的 Java stub 来调用 System.loadLibrary(“frida-gadget”)，或使用已存在的本地库加载机制。
- 重新打包并签名 APK，然后安装：
apktool d app.apk -o app_m
# ... add gadget .so and config ...
apktool b app_m -o app_gadget.apk
uber-apk-signer -a app_gadget.apk -o out_signed
adb install -r out_signed/app_gadget-aligned-debugSigned.apk
- 从主机附加到 gadget 进程：
frida-ps -Uai
frida -U -n com.example.app
注意
- Gadget 会被某些防护检测到；必要时保持名称/路径隐蔽，并延迟或有条件地加载。
- 对于加固应用，优先使用 rooted testing，并配合 server + late attach，或结合 Magisk/Zygisk 隐藏。
基于 JDWP 的 Frida 注入（无需 root/重打包）（frida-jdwp-loader）
如果 APK 可调试（android:debuggable=“true”），你可以通过 JDWP 附加并在 Java 断点处注入本地库。无需 root 且无需对 APK 重新打包。
- Repo: https://github.com/frankheat/frida-jdwp-loader
- Requirements: ADB, Python 3, USB/Wireless debugging。应用必须可调试（emulator with
ro.debuggable=1、rooted device withresetprop，或重建 manifest）。
快速开始
git clone https://github.com/frankheat/frida-jdwp-loader.git
cd frida-jdwp-loader
# Inject frida-gadget.so into a debuggable target
python frida-jdwp-loader.py frida -n com.example.myapplication
# Keep the breakpoint thread suspended for early hooks
python frida-jdwp-loader.py frida -n com.example.myapplication -s
# Networkless: run a local agent script via Gadget "script" mode
python frida-jdwp-loader.py frida -n com.example.myapplication -i script -l script.js
注意
- 模式：spawn（在 Application.onCreate 中断）或 attach（在 Activity.onStart 中断）。使用
-b指定具体 Java 方法，使用-g选择 Gadget 版本/路径，使用-p指定 JDWP 端口。 - 监听模式：如有需要，转发 Gadget（默认 127.0.0.1:27042）：
adb forward tcp:27042 tcp:27042；然后运行frida-ps -H 127.0.0.1:27042。 - 这依赖 JDWP 调试。风险在于发布了 debuggable 构建或暴露 JDWP。
Self-contained agent + Gadget 嵌入 (Frida 17+；可用 Objection 自动化)
Frida 17 从 GumJS 中移除了内置的 Java/ObjC bridges。如果你的 agent 钩取 Java，你必须在 bundle 中包含 Java bridge。
- 创建一个 Frida agent（TypeScript），并包含 Java bridge
# Scaffolding
frida-create -t agent -o mod
cd mod && npm install
# Install the Java bridge for Frida 17+
npm install frida-java-bridge
# Dev loop (optional live-reload via REPL)
npm run watch
最小的 Java hook（强制骰子掷出 1）:
import Java from "frida-java-bridge";
Java.perform(function () {
var dicer = Java.use("org.secuso.privacyfriendlydicer.dicer.Dicer");
dicer.rollDice.implementation = function (numDice: number, numFaces: number) {
return Array(numDice).fill(1);
};
});
为嵌入构建单个 bundle:
npm run build # produces _agent.js via frida-compile
快速 USB 测试（可选）：
frida -U -f org.secuso.privacyfriendlydicer -l _agent.js
- 配置 Gadget 以自动加载你的 script Objection’s patcher 期望一个 Gadget config；在使用 script mode 时，指定位于 APK lib dir 内的 on-disk path：
{
"interaction": {
"type": "script",
"path": "libfrida-gadget.script.so"
}
}
- 使用 Objection 自动化 APK 修补
# Embed Gadget, config, and your compiled agent into the APK; rebuild and sign
objection patchapk -s org.secuso.privacyfriendlydicer.apk \
-c gadget-config.json \
-l mod/_agent.js \
--use-aapt2
patchapk 的功能（概览）：
- 检测设备 ABI（例如 arm64-v8a）并获取匹配的 Gadget
- 在需要时可选地添加 android.permission.INTERNET
- 在启动 Activity 中注入一个静态类初始化器，调用 System.loadLibrary(“frida-gadget”)
- 将以下文件放置在
lib/<abi>/下： - libfrida-gadget.so
- libfrida-gadget.config.so（序列化的配置）
- libfrida-gadget.script.so（你的 _agent.js）
示例注入的 smali（静态初始化器）：
.method static constructor <clinit>()V
.locals 1
const-string v0, "frida-gadget"
invoke-static {v0}, Ljava/lang/System;->loadLibrary(Ljava/lang/String;)V
return-void
.end method
- 验证 repack
apktool d org.secuso.privacyfriendlydicer.apk
apktool d org.secuso.privacyfriendlydicer.objection.apk
# Inspect differences
diff -r org.secuso.privacyfriendlydicer org.secuso.privacyfriendlydicer.objection
Expected changes:
- AndroidManifest.xml 可能包含
<uses-permission android:name="android.permission.INTERNET"/> - 在
lib/<abi>/下有新的 native libs，如上所述 - 可启动的 activity smali 包含一个静态的
<clinit>，它调用 System.loadLibrary(“frida-gadget”)
- 拆分 APKs
- 修补 base APK（声明 MAIN/LAUNCHER activity 的那个）
- 使用相同的密钥对剩余的 splits 重新签名：
objection signapk split1.apk split2.apk ...
- 一起安装 splits：
adb install-multiple split1.apk split2.apk ...
- 用于分发时，你可以使用 APKEditor 将 splits 合并成单个 APK，然后对齐/签名
Clearing FLAG_SECURE during dynamic analysis
调用 getWindow().setFlags(LayoutParams.FLAG_SECURE, LayoutParams.FLAG_SECURE) 的应用会阻止截屏、远程显示甚至 Android 的最近任务快照。当 Freedom Chat 强制启用此标志时，记录 leaks 的唯一方法是运行时篡改窗口。一个可靠的模式是：
- Hook 每个可以重新应用该标志的
Window重载（setFlags、addFlags、setAttributes），并屏蔽位0x00002000（WindowManager.LayoutParams.FLAG_SECURE）。 - 在每个 activity 恢复后，安排一个在 UI 线程调用
clearFlags(FLAG_SECURE)，以便之后创建的 Dialogs/Fragments 继承解锁状态。 - 使用 React Native / Flutter 构建的应用通常会创建嵌套窗口；如果仍然看到黑帧，hook
android.app.Dialog/android.view.View辅助方法或遍历getWindow().peekDecorView()。
Frida hook clearing Window.FLAG_SECURE
```javascript Java.perform(function () { var LayoutParams = Java.use("android.view.WindowManager$LayoutParams"); var FLAG_SECURE = LayoutParams.FLAG_SECURE.value; var Window = Java.use("android.view.Window"); var Activity = Java.use("android.app.Activity");function strip(value) { var masked = value & (~FLAG_SECURE); if (masked !== value) { console.log(“[-] Stripped FLAG_SECURE from 0x” + value.toString(16)); } return masked; }
Window.setFlags.overload(‘int’, ‘int’).implementation = function (flags, mask) { return this.setFlags.call(this, strip(flags), strip(mask)); };
Window.addFlags.implementation = function (flags) { return this.addFlags.call(this, strip(flags)); };
Window.setAttributes.implementation = function (attrs) { attrs.flags.value = strip(attrs.flags.value); return this.setAttributes.call(this, attrs); };
Activity.onResume.implementation = function () { this.onResume(); var self = this; Java.scheduleOnMainThread(function () { try { self.getWindow().clearFlags(FLAG_SECURE); console.log(“[+] Cleared FLAG_SECURE on “ + self.getClass().getName()); } catch (err) { console.log(”[!] clearFlags failed: “ + err); } }); }; });
</details>
使用 `frida -U -f <package> -l disable-flag-secure.js --no-pause` 运行脚本，与 UI 交互，截图/录制将再次可用。由于所有操作都发生在 UI 线程上，因此不会出现闪烁，并且你仍然可以将该 hook 与 HTTP Toolkit/Burp 结合使用，以捕获揭露 `/channel` PIN leak 的流量。
## 教程
### [Tutorial 1](frida-tutorial-1.md)
**From**: [https://medium.com/infosec-adventures/introduction-to-frida-5a3f51595ca1](https://medium.com/infosec-adventures/introduction-to-frida-5a3f51595ca1)\
**APK**: [https://github.com/t0thkr1s/frida-demo/releases](https://github.com/t0thkr1s/frida-demo/releases)\
**Source Code**: [https://github.com/t0thkr1s/frida-demo](https://github.com/t0thkr1s/frida-demo)
**Follow the [link to read it](frida-tutorial-1.md).**
### [Tutorial 2](frida-tutorial-2.md)
**From**: [https://11x256.github.io/Frida-hooking-android-part-2/](https://11x256.github.io/Frida-hooking-android-part-2/) (Parts 2, 3 & 4)\
**APKs and Source code**: [https://github.com/11x256/frida-android-examples](https://github.com/11x256/frida-android-examples)
**Follow the [link to read it.](frida-tutorial-2.md)**
### [Tutorial 3](owaspuncrackable-1.md)
**From**: [https://joshspicer.com/android-frida-1](https://joshspicer.com/android-frida-1)\
**APK**: [https://github.com/OWASP/owasp-mstg/blob/master/Crackmes/Android/Level_01/UnCrackable-Level1.apk](https://github.com/OWASP/owasp-mstg/blob/master/Crackmes/Android/Level_01/UnCrackable-Level1.apk)
**Follow the [link to read it](owaspuncrackable-1.md).**
**You can find more Awesome Frida scripts here:** [**https://codeshare.frida.re/**](https://codeshare.frida.re)
## 快速示例
### 在命令行调用 Frida
```bash
frida-ps -U
#Basic frida hooking
frida -l disableRoot.js -f owasp.mstg.uncrackable1
#Hooking before starting the app
frida -U --no-pause -l disableRoot.js -f owasp.mstg.uncrackable1
#The --no-pause and -f options allow the app to be spawned automatically,
#frozen so that the instrumentation can occur, and the automatically
#continue execution with our modified code.
基本 Python 脚本
import frida, sys
jscode = open(sys.argv[0]).read()
process = frida.get_usb_device().attach('infosecadventures.fridademo')
script = process.create_script(jscode)
print('[ * ] Running Frida Demo application')
script.load()
sys.stdin.read()
Hooking 无参数函数
Hook 类 sg.vantagepoint.a.c 的函数 a()
Java.perform(function () {
rootcheck1.a.overload().implementation = function() {
send("sg.vantagepoint.a.c.a()Z Root check 1 HIT! su.exists()")
return false;
};
});
Hook java 的 exit()
var sysexit = Java.use("java.lang.System")
sysexit.exit.overload("int").implementation = function (var_0) {
send("java.lang.System.exit(I)V // We avoid exiting the application :)")
}
Hook MainActivity .onStart() 和 .onCreate()
var mainactivity = Java.use("sg.vantagepoint.uncrackable1.MainActivity")
mainactivity.onStart.overload().implementation = function () {
send("MainActivity.onStart() HIT!!!")
var ret = this.onStart.overload().call(this)
}
mainactivity.onCreate.overload("android.os.Bundle").implementation = function (
var_0
) {
send("MainActivity.onCreate() HIT!!!")
var ret = this.onCreate.overload("android.os.Bundle").call(this, var_0)
}
Hook android 的 .onCreate()
var activity = Java.use("android.app.Activity")
activity.onCreate.overload("android.os.Bundle").implementation = function (
var_0
) {
send("Activity HIT!!!")
var ret = this.onCreate.overload("android.os.Bundle").call(this, var_0)
}
Hooking 带参数的函数并检索返回值
Hooking a decryption function。打印输入，调用原始函数对输入进行 decrypt，最后打印明文数据：
Hooking a decryption function (Java) — 打印输入/输出
```javascript function getString(data) { var ret = "" for (var i = 0; i < data.length; i++) { ret += data[i].toString() } return ret } var aes_decrypt = Java.use("sg.vantagepoint.a.a") aes_decrypt.a.overload("[B", "[B").implementation = function (var_0, var_1) { send("sg.vantagepoint.a.a.a([B[B)[B doFinal(enc) // AES/ECB/PKCS7Padding") send("Key : " + getString(var_0)) send("Encrypted : " + getString(var_1)) var ret = this.a.overload("[B", "[B").call(this, var_0, var_1) send("Decrypted : " + ret)var flag = “” for (var i = 0; i < ret.length; i++) { flag += String.fromCharCode(ret[i]) } send(“Decrypted flag: “ + flag) return ret //[B }
</details>
### Hooking 函数并用我们的输入调用它们
Hook 一个接收 string 的函数，并用另一个 string 调用它 (from [here](https://11x256.github.io/Frida-hooking-android-part-2/))
```javascript
var string_class = Java.use("java.lang.String") // get a JS wrapper for java's String class
my_class.fun.overload("java.lang.String").implementation = function (x) {
//hooking the new function
var my_string = string_class.$new("My TeSt String#####") //creating a new String by using `new` operator
console.log("Original arg: " + x)
var ret = this.fun(my_string) // calling the original function with the new String, and putting its return value in ret variable
console.log("Return value: " + ret)
return ret
}
获取已创建的类对象
如果你想提取已创建对象的某个属性，可以使用此方法。
在本示例中，你将看到如何获取类 my_activity 的对象，以及如何调用函数 .secret()，该函数会打印对象的私有属性：
Java.choose("com.example.a11x256.frida_test.my_activity", {
onMatch: function (instance) {
//This function will be called for every instance found by frida
console.log("Found instance: " + instance)
console.log("Result of secret func: " + instance.secret())
},
onComplete: function () {},
})
其他 Frida 教程
- https://github.com/DERE-ad2001/Frida-Labs
- Part 1 of Advanced Frida Usage blog series: IOS Encryption Libraries
参考资料
- Build a Repeatable Android Bug Bounty Lab: Emulator vs Magisk, Burp, Frida, and Medusa
- Frida Gadget documentation
- Frida releases (server binaries)
- Objection (SensePost)
- Modding And Distributing Mobile Apps with Frida
- frida-jdwp-loader
- Library injection for debuggable Android apps (blog)
- jdwp-lib-injector (original idea/tool)
- jdwp-shellifier
- “Super secure” MAGA-themed messaging app leaks everyone’s phone number
- Android Frida Hooking: Disabling FLAG_SECURE
Tip
学习和实践 AWS 黑客技术：
学习和实践 GCP 黑客技术：支持 HackTricks
- 查看 订阅计划!
- 加入 💬 Discord 群组 或 Telegram 群组 或 在 Twitter 🐦 上关注我们 @hacktricks_live.
- 通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 来分享黑客技巧。