HackTricks
Frida 教程
Tip
学习和实践 AWS 黑客技术：
HackTricks Training AWS Red Team Expert (ARTE)
学习和实践 GCP 黑客技术：HackTricks Training GCP Red Team Expert (GRTE)
HackTricks Training Azure Red Team Expert (AzRTE)
支持 HackTricks
- 查看 订阅计划!
- 加入 💬 Discord 群组 或 Telegram 群组 或 在 Twitter 🐦 上关注我们 @hacktricks_live.
- 通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 来分享黑客技巧。
安装
安装 frida tools:
pip install frida-tools
pip install frida
下载并安装 在 Android 上 frida server (Download the latest release).
用于以 root 模式重启 adb、连接到设备、上传 frida-server、赋予可执行权限并在后台运行它的一行命令：
adb root; adb connect localhost:6000; sleep 1; adb push frida-server /data/local/tmp/; adb shell "chmod 755 /data/local/tmp/frida-server"; adb shell "/data/local/tmp/frida-server &"
检查 它是否 工作:
frida-ps -U #List packages and processes
frida-ps -U | grep -i <part_of_the_package_name> #Get all the package name
frida-ui（基于浏览器的 Frida 控制器）
frida-ui 提供一个位于 http://127.0.0.1:8000 的 web UI，用于列出设备/应用并使用脚本 attach 或 spawn 目标（无需 CLI）。
- 安装（将
frida锁定为 device server 版本）：
uv tool install frida-ui --with frida==16.7.19
# pipx install frida-ui
# pip install frida-ui
- 运行：
frida-ui
frida-ui --host 127.0.0.1 --port 8000 --reload
- 功能：发现 USB/本地 设备，添加远程服务器 (
192.168.1.x:27042)，并支持 Attach, Spawn, 以及 Spawn & Run（用于在早期onCreate()逻辑之前 hook）。 - 脚本：编辑器，拖放
.js，导入 CodeShare，下载脚本和会话日志。 - 远程服务器：
./frida-server -l 0.0.0.0:27042 -D将其暴露在网络上，使 frida-ui 无需 ADB 即可连接。
Frida server vs. Gadget (root vs. no-root)
使用 Frida 对 Android 应用进行插桩的两种常见方法：
- Frida server (rooted devices): 推送并运行一个本地 daemon，允许你 attach 到任意进程。
- Frida Gadget (no root): 将 Frida 作为共享库打包进 APK，并在目标进程中自动加载。
Frida server (rooted)
# Download the matching frida-server binary for your device's arch
# https://github.com/frida/frida/releases
adb root
adb push frida-server-<ver>-android-<arch> /data/local/tmp/frida-server
adb shell chmod 755 /data/local/tmp/frida-server
adb shell /data/local/tmp/frida-server & # run at boot via init/magisk if desired
# From host, list processes and attach
frida-ps -Uai
frida -U -n com.example.app
Frida Gadget (no-root)
- 解包 APK，添加 gadget .so 和配置：
- 将 libfrida-gadget.so 放入
lib/<abi>/（例如，lib/arm64-v8a/） - 在 assets/frida-gadget.config 中创建你的脚本加载设置
示例 frida-gadget.config
{
"interaction": { "type": "script", "path": "/sdcard/ssl-bypass.js" },
"runtime": { "logFile": "/sdcard/frida-gadget.log" }
}
- 引用/加载 gadget 以便尽早初始化：
- 最简单：在 Application.onCreate() 中添加一个小的 Java 存根，调用 System.loadLibrary(“frida-gadget”)，或者使用已有的本地库加载。
- 重新打包并签名 APK，然后安装：
apktool d app.apk -o app_m
# ... add gadget .so and config ...
apktool b app_m -o app_gadget.apk
uber-apk-signer -a app_gadget.apk -o out_signed
adb install -r out_signed/app_gadget-aligned-debugSigned.apk
- 从 host 附加到 gadget process:
frida-ps -Uai
frida -U -n com.example.app
Notes
- Gadget 可能会被某些防护检测到；保持名称/路径隐蔽，并在需要时延迟或有条件加载。
- 在加固的应用上，优先使用 rooted 测试（server + late attach），或结合 Magisk/Zygisk 隐藏。
基于 JDWP 的 Frida 注入（无需 root/repackaging） (frida-jdwp-loader)
如果 APK 可调试 (android:debuggable=“true”)，你可以通过 JDWP 附加并在 Java 断点注入本地库。无需 root，也无需 APK repackaging。
- 仓库: https://github.com/frankheat/frida-jdwp-loader
- 要求：ADB、Python 3、USB/无线 调试。应用必须可调试（模拟器使用
ro.debuggable=1，rooted 设备使用resetprop，或重建 manifest）。
Quick start
git clone https://github.com/frankheat/frida-jdwp-loader.git
cd frida-jdwp-loader
# Inject frida-gadget.so into a debuggable target
python frida-jdwp-loader.py frida -n com.example.myapplication
# Keep the breakpoint thread suspended for early hooks
python frida-jdwp-loader.py frida -n com.example.myapplication -s
# Networkless: run a local agent script via Gadget "script" mode
python frida-jdwp-loader.py frida -n com.example.myapplication -i script -l script.js
注意
- 模式：spawn（在 Application.onCreate 中断）或 attach（在 Activity.onStart 中断）。使用
-b指定特定 Java 方法，-g选择 Gadget 版本/路径，-p选择 JDWP 端口。 - 监听模式：如有需要，转发 Gadget（默认为 127.0.0.1:27042）：
adb forward tcp:27042 tcp:27042；然后frida-ps -H 127.0.0.1:27042。 - 这依赖 JDWP 调试。风险在于发布 debuggable builds 或暴露 JDWP。
自包含 agent + Gadget 嵌入（Frida 17+；可由 Objection 自动化）
Frida 17 已经从 GumJS 中移除了内建的 Java/ObjC bridges。如果你的 agent hooks Java，你必须在 bundle 中包含 Java bridge。
- 创建一个 Frida agent（TypeScript），并包含 Java bridge
# Scaffolding
frida-create -t agent -o mod
cd mod && npm install
# Install the Java bridge for Frida 17+
npm install frida-java-bridge
# Dev loop (optional live-reload via REPL)
npm run watch
最小的 Java hook（强制骰子掷出为 1）：
import Java from "frida-java-bridge";
Java.perform(function () {
var dicer = Java.use("org.secuso.privacyfriendlydicer.dicer.Dicer");
dicer.rollDice.implementation = function (numDice: number, numFaces: number) {
return Array(numDice).fill(1);
};
});
为嵌入构建单个捆绑包：
npm run build # produces _agent.js via frida-compile
快速 USB 测试（可选）：
frida -U -f org.secuso.privacyfriendlydicer -l _agent.js
- 配置 Gadget 自动加载你的脚本 Objection’s patcher 需要一个 Gadget config；当使用 script mode 时，请指定 APK lib dir 内的 on-disk path：
{
"interaction": {
"type": "script",
"path": "libfrida-gadget.script.so"
}
}
- 使用 Objection 自动化 APK 打补丁
# Embed Gadget, config, and your compiled agent into the APK; rebuild and sign
objection patchapk -s org.secuso.privacyfriendlydicer.apk \
-c gadget-config.json \
-l mod/_agent.js \
--use-aapt2
What patchapk does (high level):
- 检测设备 ABI（例如 arm64-v8a）并获取匹配的 Gadget
- 在需要时可选地添加 android.permission.INTERNET
- 在启动 Activity 中注入一个静态类初始化器，调用 System.loadLibrary(“frida-gadget”)
- 将以下文件放置在
lib/<abi>/下： - libfrida-gadget.so
- libfrida-gadget.config.so (serialized config)
- libfrida-gadget.script.so (your _agent.js)
示例注入的 smali（静态初始化器）：
.method static constructor <clinit>()V
.locals 1
const-string v0, "frida-gadget"
invoke-static {v0}, Ljava/lang/System;->loadLibrary(Ljava/lang/String;)V
return-void
.end method
- 验证 repack
apktool d org.secuso.privacyfriendlydicer.apk
apktool d org.secuso.privacyfriendlydicer.objection.apk
# Inspect differences
diff -r org.secuso.privacyfriendlydicer org.secuso.privacyfriendlydicer.objection
预期更改：
- AndroidManifest.xml 可能包含
<uses-permission android:name="android.permission.INTERNET"/> - 在
lib/<abi>/下有新的本地库，如上 - 可启动 activity 的 smali 包含一个静态的
<clinit>，其中调用了 System.loadLibrary(“frida-gadget”)
- 拆分 APKs
- 修补 base APK（声明 MAIN/LAUNCHER activity 的那个）
- 用相同的密钥对剩余的 splits 重新签名：
objection signapk split1.apk split2.apk ...
- 一起安装 splits：
adb install-multiple split1.apk split2.apk ...
- 为了分发，你可以使用 APKEditor 将 splits 合并为单个 APK，然后进行对齐和签名
动态分析期间清除 FLAG_SECURE
调用 getWindow().setFlags(LayoutParams.FLAG_SECURE, LayoutParams.FLAG_SECURE) 的应用会阻止截图、远程显示，甚至 Android 的最近任务快照。When Freedom Chat enforced this flag the only way to document the leaks was to tamper with the window at runtime. 一个可靠的模式是：
- Hook 每个可以重新应用该标志的
Window重载（setFlags,addFlags,setAttributes），并屏蔽位0x00002000(WindowManager.LayoutParams.FLAG_SECURE)。 - 在每个 activity 恢复后，安排一个在 UI 线程上调用
clearFlags(FLAG_SECURE)的操作，以便后来创建的 Dialogs/Fragments 继承未锁定状态。 - 使用 React Native / Flutter 构建的应用通常会创建嵌套窗口；hook
android.app.Dialog/android.view.Viewhelpers 或在仍然看到黑色画面时遍历getWindow().peekDecorView()。
Frida hook clearing Window.FLAG_SECURE
```javascript Java.perform(function () { var LayoutParams = Java.use("android.view.WindowManager$LayoutParams"); var FLAG_SECURE = LayoutParams.FLAG_SECURE.value; var Window = Java.use("android.view.Window"); var Activity = Java.use("android.app.Activity");function strip(value) { var masked = value & (~FLAG_SECURE); if (masked !== value) { console.log(“[-] Stripped FLAG_SECURE from 0x” + value.toString(16)); } return masked; }
Window.setFlags.overload(‘int’, ‘int’).implementation = function (flags, mask) { return this.setFlags.call(this, strip(flags), strip(mask)); };
Window.addFlags.implementation = function (flags) { return this.addFlags.call(this, strip(flags)); };
Window.setAttributes.implementation = function (attrs) { attrs.flags.value = strip(attrs.flags.value); return this.setAttributes.call(this, attrs); };
Activity.onResume.implementation = function () { this.onResume(); var self = this; Java.scheduleOnMainThread(function () { try { self.getWindow().clearFlags(FLAG_SECURE); console.log(“[+] Cleared FLAG_SECURE on “ + self.getClass().getName()); } catch (err) { console.log(”[!] clearFlags failed: “ + err); } }); }; });
</details>
用 `frida -U -f <package> -l disable-flag-secure.js --no-pause` 运行脚本，交互 UI 后，截图/录屏将再次可用。由于所有操作都在 UI 线程上执行，所以不会出现闪烁，且你仍然可以将该 hook 与 HTTP Toolkit/Burp 结合使用以捕获揭示 `/channel` PIN leak 的流量。
## Tutorials
### [Tutorial 1](frida-tutorial-1.md)
**来源**: [https://medium.com/infosec-adventures/introduction-to-frida-5a3f51595ca1](https://medium.com/infosec-adventures/introduction-to-frida-5a3f51595ca1)\
**APK**: [https://github.com/t0thkr1s/frida-demo/releases](https://github.com/t0thkr1s/frida-demo/releases)\
**源码**: [https://github.com/t0thkr1s/frida-demo](https://github.com/t0thkr1s/frida-demo)
**Follow the [link to read it](frida-tutorial-1.md).**
### [Tutorial 2](frida-tutorial-2.md)
**来源**: [https://11x256.github.io/Frida-hooking-android-part-2/](https://11x256.github.io/Frida-hooking-android-part-2/)（第2、3和4部分）\
**APKs and Source code**: [https://github.com/11x256/frida-android-examples](https://github.com/11x256/frida-android-examples)
**Follow the [link to read it.](frida-tutorial-2.md)**
### [Tutorial 3](owaspuncrackable-1.md)
**来源**: [https://joshspicer.com/android-frida-1](https://joshspicer.com/android-frida-1)\
**APK**: [https://github.com/OWASP/owasp-mstg/blob/master/Crackmes/Android/Level_01/UnCrackable-Level1.apk](https://github.com/OWASP/owasp-mstg/blob/master/Crackmes/Android/Level_01/UnCrackable-Level1.apk)
**Follow the [link to read it](owaspuncrackable-1.md).**
**你可以在这里找到更多优秀的 Frida 脚本：** [**https://codeshare.frida.re/**](https://codeshare.frida.re)
## Quick Examples
### Calling Frida from command line
```bash
frida-ps -U
#Basic frida hooking
frida -l disableRoot.js -f owasp.mstg.uncrackable1
#Hooking before starting the app
frida -U --no-pause -l disableRoot.js -f owasp.mstg.uncrackable1
#The --no-pause and -f options allow the app to be spawned automatically,
#frozen so that the instrumentation can occur, and the automatically
#continue execution with our modified code.
基本 Python 脚本
import frida, sys
jscode = open(sys.argv[0]).read()
process = frida.get_usb_device().attach('infosecadventures.fridademo')
script = process.create_script(jscode)
print('[ * ] Running Frida Demo application')
script.load()
sys.stdin.read()
Hooking 没有参数的函数
Hook 类 sg.vantagepoint.a.c 的函数 a()
Java.perform(function () {
rootcheck1.a.overload().implementation = function () {
return false;
};
});
Hook java exit()
var sysexit = Java.use("java.lang.System")
sysexit.exit.overload("int").implementation = function (var_0) {
send("java.lang.System.exit(I)V // We avoid exiting the application :)")
}
Hook MainActivity .onStart() & .onCreate()
var mainactivity = Java.use("sg.vantagepoint.uncrackable1.MainActivity")
mainactivity.onStart.overload().implementation = function () {
send("MainActivity.onStart() HIT!!!")
var ret = this.onStart.overload().call(this)
}
mainactivity.onCreate.overload("android.os.Bundle").implementation = function (
var_0
) {
send("MainActivity.onCreate() HIT!!!")
var ret = this.onCreate.overload("android.os.Bundle").call(this, var_0)
}
Hook android .onCreate()
var activity = Java.use("android.app.Activity")
activity.onCreate.overload("android.os.Bundle").implementation = function (
var_0
) {
send("Activity HIT!!!")
var ret = this.onCreate.overload("android.os.Bundle").call(this, var_0)
}
Hooking 带参数的函数并获取返回值
Hooking 一个解密函数。打印输入，调用原始函数对输入进行解密，最后打印明文数据：
Hooking 一个解密函数 (Java) — 打印输入/输出
```javascript function getString(data) { var ret = "" for (var i = 0; i < data.length; i++) { ret += data[i].toString() } return ret } var aes_decrypt = Java.use("sg.vantagepoint.a.a") aes_decrypt.a.overload("[B", "[B").implementation = function (var_0, var_1) { send("sg.vantagepoint.a.a.a([B[B)[B doFinal(enc) // AES/ECB/PKCS7Padding") send("Key : " + getString(var_0)) send("Encrypted : " + getString(var_1)) var ret = this.a.overload("[B", "[B").call(this, var_0, var_1) send("Decrypted : " + ret)var flag = “” for (var i = 0; i < ret.length; i++) { flag += String.fromCharCode(ret[i]) } send(“Decrypted flag: “ + flag) return ret //[B }
</details>
### Hooking 函数并使用我们的输入调用它们
Hook 一个接收 string 的函数，并用另一个 string 调用它 (from [here](https://11x256.github.io/Frida-hooking-android-part-2/))
```javascript
var string_class = Java.use("java.lang.String") // get a JS wrapper for java's String class
my_class.fun.overload("java.lang.String").implementation = function (x) {
//hooking the new function
var my_string = string_class.$new("My TeSt String#####") //creating a new String by using `new` operator
console.log("Original arg: " + x)
var ret = this.fun(my_string) // calling the original function with the new String, and putting its return value in ret variable
console.log("Return value: " + ret)
return ret
}
获取已创建的类对象
如果你想提取已创建对象的某个属性，你可以使用这个。
在这个示例中，你将看到如何获取类 my_activity 的对象，以及如何调用函数 .secret() 来打印该对象的私有属性：
Java.choose("com.example.a11x256.frida_test.my_activity", {
onMatch: function (instance) {
//This function will be called for every instance found by frida
console.log("Found instance: " + instance)
console.log("Result of secret func: " + instance.secret())
},
onComplete: function () {},
})
其他 Frida 教程
- https://github.com/DERE-ad2001/Frida-Labs
- Part 1 of Advanced Frida Usage blog series: IOS Encryption Libraries
参考资料
- Build a Repeatable Android Bug Bounty Lab: Emulator vs Magisk, Burp, Frida, and Medusa
- Frida Gadget documentation
- Frida releases (server binaries)
- Objection (SensePost)
- Modding And Distributing Mobile Apps with Frida
- frida-jdwp-loader
- Library injection for debuggable Android apps (blog)
- jdwp-lib-injector (original idea/tool)
- jdwp-shellifier
- “Super secure” MAGA-themed messaging app leaks everyone’s phone number
- Android Frida Hooking: Disabling FLAG_SECURE
- frida-ui
Tip
学习和实践 AWS 黑客技术：
学习和实践 GCP 黑客技术：支持 HackTricks
- 查看 订阅计划!
- 加入 💬 Discord 群组 或 Telegram 群组 或 在 Twitter 🐦 上关注我们 @hacktricks_live.
- 通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 来分享黑客技巧。