Frida 教程

Reading time: 13 minutes

tip

学习和实践 AWS 黑客技术：HackTricks Training AWS Red Team Expert (ARTE)
学习和实践 GCP 黑客技术：HackTricks Training GCP Red Team Expert (GRTE) 学习和实践 Azure 黑客技术：HackTricks Training Azure Red Team Expert (AzRTE)

支持 HackTricks

查看 订阅计划!
加入 💬 Discord 群组 或 Telegram 群组 或在 Twitter 🐦 上关注我们 @hacktricks_live.
通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 来分享黑客技巧。

安装

安装 frida tools:

bash

pip install frida-tools
pip install frida

下载并安装 在 Android 设备上 frida server (Download the latest release).
一行命令用于将 adb 重启为 root 模式、连接设备、上传 frida-server、赋予可执行权限并在后台运行：

bash

adb root; adb connect localhost:6000; sleep 1; adb push frida-server /data/local/tmp/; adb shell "chmod 755 /data/local/tmp/frida-server"; adb shell "/data/local/tmp/frida-server &"

检查它是否 正常工作:

bash

frida-ps -U #List packages and processes
frida-ps -U | grep -i <part_of_the_package_name> #Get all the package name

Frida server vs. Gadget (root vs. no-root)

使用 Frida 对 Android 应用进行插桩的两种常见方法：

Frida server (rooted devices): 推送并运行一个本地守护进程，允许你附加到任何进程。
Frida Gadget (no root): 将 Frida 打包为 APK 内的共享库，并在目标进程中自动加载它。

Frida server (rooted)

bash

# Download the matching frida-server binary for your device's arch
# https://github.com/frida/frida/releases
adb root
adb push frida-server-<ver>-android-<arch> /data/local/tmp/frida-server
adb shell chmod 755 /data/local/tmp/frida-server
adb shell /data/local/tmp/frida-server &    # run at boot via init/magisk if desired

# From host, list processes and attach
frida-ps -Uai
frida -U -n com.example.app

Frida Gadget (no-root)

解包 APK，添加 gadget .so 和 config：

将 libfrida-gadget.so 放入 lib/<abi>/（例如，lib/arm64-v8a/）
创建 assets/frida-gadget.config 并设置你的脚本加载配置

frida-gadget.config 示例

json

{
"interaction": { "type": "script", "path": "/sdcard/ssl-bypass.js" },
"runtime": { "logFile": "/sdcard/frida-gadget.log" }
}

引用/加载 gadget 以便其尽早初始化：

最简单：在 Application.onCreate() 中添加一个小的 Java 存根来调用 System.loadLibrary("frida-gadget")，或者使用已有的 native lib 加载。

重新打包并签名 APK，然后安装：

bash

apktool d app.apk -o app_m
# ... add gadget .so and config ...
apktool b app_m -o app_gadget.apk
uber-apk-signer -a app_gadget.apk -o out_signed
adb install -r out_signed/app_gadget-aligned-debugSigned.apk

从主机附加到 gadget 进程：

bash

frida-ps -Uai
frida -U -n com.example.app

注意事项

Gadget 可能会被某些防护检测到；必要时保持名称/路径隐蔽，并尽量延迟/有条件加载。
对于加固应用，优先使用 rooted testing，配合 server + late attach，或结合 Magisk/Zygisk 隐蔽。

独立的 agent + Gadget 嵌入 (Frida 17+; automated with Objection)

Frida 17 从 GumJS 中移除了内置的 Java/ObjC bridges。如果你的 agent hooks Java，必须在 bundle 内包含 Java bridge。

Create a Frida agent (TypeScript) and include the Java bridge

bash

# Scaffolding
frida-create -t agent -o mod
cd mod && npm install
# Install the Java bridge for Frida 17+
npm install frida-java-bridge
# Dev loop (optional live-reload via REPL)
npm run watch

最小的 Java hook (强制骰子掷出为 1):

import Java from "frida-java-bridge";

Java.perform(function () {
var dicer = Java.use("org.secuso.privacyfriendlydicer.dicer.Dicer");
dicer.rollDice.implementation = function (numDice: number, numFaces: number) {
return Array(numDice).fill(1);
};
});

为嵌入构建单个 bundle:

bash

npm run build    # produces _agent.js via frida-compile

快速 USB 测试（可选）：

bash

frida -U -f org.secuso.privacyfriendlydicer -l _agent.js

配置 Gadget 以自动加载你的 script Objection 的 patcher 期望一个 Gadget config；在使用 script mode 时，指定位于 APK lib dir 内的 on-disk path：

json

{
"interaction": {
"type": "script",
"path": "libfrida-gadget.script.so"
}
}

使用 Objection 自动化 APK 打补丁

bash

# Embed Gadget, config, and your compiled agent into the APK; rebuild and sign
objection patchapk -s org.secuso.privacyfriendlydicer.apk \
-c gadget-config.json \
-l mod/_agent.js \
--use-aapt2

patchapk 的功能（高层次）：

检测设备 ABI（例如 arm64-v8a）并抓取匹配的 Gadget
在需要时可选择添加 android.permission.INTERNET
向启动 activity 注入一个静态类初始化器，调用 System.loadLibrary("frida-gadget")
将以下文件放置于 lib/<abi>/：
libfrida-gadget.so
libfrida-gadget.config.so (序列化的配置)
libfrida-gadget.script.so (你的 _agent.js)

示例注入的 smali（静态初始化器）：

smali

.method static constructor <clinit>()V
.locals 1
const-string v0, "frida-gadget"
invoke-static {v0}, Ljava/lang/System;->loadLibrary(Ljava/lang/String;)V
return-void
.end method

验证 repack

bash

apktool d org.secuso.privacyfriendlydicer.apk
apktool d org.secuso.privacyfriendlydicer.objection.apk
# Inspect differences
diff -r org.secuso.privacyfriendlydicer org.secuso.privacyfriendlydicer.objection

预期更改：

AndroidManifest.xml 可能包含 <uses-permission android:name="android.permission.INTERNET"/>
新的本地库位于 lib// 如上
Launchable activity smali 包含一个静态 <clinit>，其调用 System.loadLibrary("frida-gadget")

拆分 APKs

修补 base APK（声明 MAIN/LAUNCHER activity 的那个）
以相同的密钥对剩余的 splits 重新签名：

bash

objection signapk split1.apk split2.apk ...

一起安装 splits：

bash

adb install-multiple split1.apk split2.apk ...

用于分发，可以使用 APKEditor 将拆分的 APK 合并为单个 APK，然后进行对齐/签名

防御提示（加固时需注意）

实施签名/重打包检查以及运行时完整性/attestation
在启动时检测意外的 System.loadLibrary("frida-gadget") 或可疑的本地库
避免声明未使用的 INTERNET 权限；减少 gadget 检测面

教程

教程 1

来源: https://medium.com/infosec-adventures/introduction-to-frida-5a3f51595ca1
APK: https://github.com/t0thkr1s/frida-demo/releases
源代码: https://github.com/t0thkr1s/frida-demo

通过此链接阅读。

教程 2

来源: https://11x256.github.io/Frida-hooking-android-part-2/ (Parts 2, 3 & 4)
APKs 和源代码: https://github.com/11x256/frida-android-examples

通过此链接阅读。

教程 3

来源: https://joshspicer.com/android-frida-1
APK: https://github.com/OWASP/owasp-mstg/blob/master/Crackmes/Android/Level_01/UnCrackable-Level1.apk

通过此链接阅读。

你可以在这里找到更多优秀的 Frida 脚本： https://codeshare.frida.re/

快速示例

从命令行调用 Frida

bash

frida-ps -U

#Basic frida hooking
frida -l disableRoot.js -f owasp.mstg.uncrackable1

#Hooking before starting the app
frida -U --no-pause -l disableRoot.js -f owasp.mstg.uncrackable1
#The --no-pause and -f options allow the app to be spawned automatically,
#frozen so that the instrumentation can occur, and the automatically
#continue execution with our modified code.

基本 Python 脚本

python

import frida, sys

jscode = open(sys.argv[0]).read()
process = frida.get_usb_device().attach('infosecadventures.fridademo')
script = process.create_script(jscode)
print('[ * ] Running Frida Demo application')
script.load()
sys.stdin.read()

Hooking 无参数函数

对类 sg.vantagepoint.a.c 的函数 a() 进行 Hook

javascript

Java.perform(function () {
;  rootcheck1.a.overload().implementation = function() {
rootcheck1.a.overload().implementation = function() {
send("sg.vantagepoint.a.c.a()Z   Root check 1 HIT!  su.exists()");
return false;
};
});

Hook java 的 exit()

javascript

var sysexit = Java.use("java.lang.System")
sysexit.exit.overload("int").implementation = function (var_0) {
send("java.lang.System.exit(I)V  // We avoid exiting the application  :)")
}

Hook MainActivity .onStart() 和 .onCreate()

javascript

var mainactivity = Java.use("sg.vantagepoint.uncrackable1.MainActivity")
mainactivity.onStart.overload().implementation = function () {
send("MainActivity.onStart() HIT!!!")
var ret = this.onStart.overload().call(this)
}
mainactivity.onCreate.overload("android.os.Bundle").implementation = function (
var_0
) {
send("MainActivity.onCreate() HIT!!!")
var ret = this.onCreate.overload("android.os.Bundle").call(this, var_0)
}

对 android 的 .onCreate() 进行 Hook

javascript

var activity = Java.use("android.app.Activity")
activity.onCreate.overload("android.os.Bundle").implementation = function (
var_0
) {
send("Activity HIT!!!")
var ret = this.onCreate.overload("android.os.Bundle").call(this, var_0)
}

Hooking functions with parameters and retrieving the value

Hooking 一个解密函数。打印输入，调用原始函数对输入进行解密，最后打印明文数据:

javascript

function getString(data) {
var ret = ""
for (var i = 0; i < data.length; i++) {
ret += data[i].toString()
}
return ret
}
var aes_decrypt = Java.use("sg.vantagepoint.a.a")
aes_decrypt.a.overload("[B", "[B").implementation = function (var_0, var_1) {
send("sg.vantagepoint.a.a.a([B[B)[B   doFinal(enc)  // AES/ECB/PKCS7Padding")
send("Key       : " + getString(var_0))
send("Encrypted : " + getString(var_1))
var ret = this.a.overload("[B", "[B").call(this, var_0, var_1)
send("Decrypted : " + ret)

var flag = ""
for (var i = 0; i < ret.length; i++) {
flag += String.fromCharCode(ret[i])
}
send("Decrypted flag: " + flag)
return ret //[B
}

Hooking functions 并用我们的 input 调用它们

Hook 一个接收 string 的 function，并用另一个 string 调用它 (来自 here)

javascript

var string_class = Java.use("java.lang.String") // get a JS wrapper for java's String class

my_class.fun.overload("java.lang.String").implementation = function (x) {
//hooking the new function
var my_string = string_class.$new("My TeSt String#####") //creating a new String by using `new` operator
console.log("Original arg: " + x)
var ret = this.fun(my_string) // calling the original function with the new String, and putting its return value in ret variable
console.log("Return value: " + ret)
return ret
}

获取已创建的类对象

如果你想提取已创建对象的某个属性，可以使用此方法。

在这个示例中，你将看到如何获取类 my_activity 的对象，以及如何调用函数 .secret() 来打印该对象的私有属性：

javascript

Java.choose("com.example.a11x256.frida_test.my_activity", {
onMatch: function (instance) {
//This function will be called for every instance found by frida
console.log("Found instance: " + instance)
console.log("Result of secret func: " + instance.secret())
},
onComplete: function () {},
})

其他 Frida 教程

参考资料

tip

支持 HackTricks

查看 订阅计划!
加入 💬 Discord 群组 或 Telegram 群组 或在 Twitter 🐦 上关注我们 @hacktricks_live.
通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 来分享黑客技巧。