andorid jar/庫源碼解析之frida體驗

来源:https://www.cnblogs.com/Supperlitt/archive/2020/06/11/12981516.html
-Advertisement-
Play Games

目錄：andorid jar/庫源碼解析 Frida體驗： 作用： android手機上可以對，java和so層代碼，進行hook.監控數據和處理記憶體數據。 官譯：面向開發人員、逆向工程師和安全研究人員的動態工具工具包。 慄子： 運行步驟： 1、https://github.com/frida/fr ...


目錄：andorid jar/庫源碼解析 

Frida體驗：

　　作用：

　　　　android手機上可以對，java和so層代碼，進行hook.監控數據和處理記憶體數據。

　　　　官譯：面向開發人員、逆向工程師和安全研究人員的動態工具工具包。

　　慄子：

 　　　運行步驟：

　　　　1、https://github.com/frida/frida/releases 下載適合需要運行環境的可執行程式。我這裡是arm64,所以下載了一個最新版本的frida64位。

　　　　2、PC端，安裝python環境，直接從官網下載一個python安裝包安裝即可，我這裡安裝的是python3， 安裝包會自己配置環境變數，cmd運行 python，看看有沒有，有就是安裝上了環境變數了。

　　　　3、使用 pip install frida 安裝 frida 環境，基於 python的。  再安裝  pip install frida-tools ，我看大部分都是按照了。tools的。

　　　　4、一切ok。開始跑了，，，把步驟1中得到的，可執行文件，拷貝到手機上面  adb push D:\xxx\xxx\frixxxx   /data/local/tmp/

　　　　5、因為push上去的可執行文件預設沒有許可權，下一步授權。。adb shell 進入手機  su，得到root許可權。。cd /data/local 進入 local文件夾  chmod 777 -R *  授權可執行。。 再  cd tmp  進入 tmp  執行 ：./frXXX回車運行exe

效果如下圖：

　　　　

　　　　6、埠轉發，因為要把手機的數據和本地電腦互通，需要設置埠轉發，兩個埠：執行兩條命令

　　　　

adb forward tcp:27042 tcp:27042
adb forward tcp:27043 tcp:27043

　　　　7、接著就可以允許python了。

　　　　8、代碼示例：

import frida, sys

jsCode = """

Java.perform(function () {
    var impl = Java.use("com.android.test.TestUtil");
    impl.test1.implementation = function () {
        send("test1 called!");
        this.test1();
    };

    impl.test2.implementation = function () {
        send("test2 called!");
    };

    impl.test3.implementation = function (a) {
        send("test3 called!");
    };

    impl.test4.implementation = function (a,b,c) {
        send("test4 called!");
        return this.test4(a,b,c);
    };

    impl.test5.overload("int").implementation = function (a) {
        send("test5 1 called!");
    };

    impl.test5.overload("int", "java.lang.String").implementation = function (a,b) {
        send("test5 2 called!");
    };

});

"""
def message(message, data):
    if message["type"] == 'send':
        print(u"[*] {0}".format(message['payload']))
    else:
        print(message)

process = frida.get_remote_device().attach("com.android.test")
script= process.create_script(jsCode)
script.on("message", message)
script.load()
sys.stdin.read()

　　代碼中，把js寫到了一個string變數中。多行都是用這個固定格式。

　　對test1方法進行了hook同時,在後面也對 test1方法進行了調用，如果不調用，方法就不會執行了。參考 test2

　　test3針對單個參數的情況，test4針對多個參數。test5，針對不同參數進行了重載，需要指明參數類型，上面做了處理。

　　執行js的send方法，內容回唄，發往，scritp的綁定方法 。def message(message, data)在裡面，進行輸出，你也可以在js中使用 console.log進行輸出參數。

　　針對是複雜類型的情況，可以直接a.XXXX拿到複雜類型的變數。

　　8.2、其他js

// 遍歷所有js.指定名稱，過濾
Java.perform(function(){
    Java.enumerateLoadedClasses({
        onMatch: function(className) {
            if(className.toString().indexOf("down") >= 0){
                send(className+'\"));');
            }
        },
        onComplete:function(){
            send("done");
        }
    });
});

　　9：so，hook處理。

　　

import frida, sys

jsCode3 = """
Java.perform(function(){
    
    var exports = Module.enumerateExportsSync("xxx.so");
    for(var i = 0; i < exports.length; i++) {
        if(exports[i] && exports[i].name != undefined){
            if(exports[i].name.indexOf("rapidjson")>=0){
                var nativePointer = new NativePointer(exports[i].address);
                send("exports " + exports[i].name + " nativePointer " + nativePointer);
                Interceptor.attach(nativePointer, {
                    onEnter: function(args) {
                        send(this.context.pc + " called! ");
                        send("context " + JSON.stringify(this.context));
                        
                        // 保存長度，在返回方法進行調用
                        this.fd = args[1];
                        // send(nativePointer + " arg0 " +args[0] + " arg1 " +args[1] + " arg2 " +args[2]);
                    },
                    onLeave:function(retval){
                        send(this.context.pc + " retval " +retval);
                        
                        // dump出內容
                        var size = parseInt(this.fd);
                        if(size > 0){
                            const r = Memory.alloc();
                                
                            // 複製以module.base地址開始的10個位元組 那肯定會是7F 45 4C 46...因為一個ELF文件的Magic屬性如此。
                            Memory.copy(r,ptr(retval),size);
                            console.log(hexdump(r, {
                                offset: 0,
                                length: size,
                                header: true,
                                ansi: false
                            }));
                        }
                    }
                });
            }
        }
    }
});

""";

jsCode2 = """
Java.perform(function(){
    // 遍歷所有模塊
    Process.enumerateModules({
        onMatch: function(exp){
            //先獲取so的module對象
            var module = Process.findModuleByName(exp.name); 
            
            //??是通配符
            var pattern = "11 22 33 44 55 66"; //
            //基址
            // console.log("base:" + module.base)
            //從so的基址開始搜索，搜索大小為so文件的大小，搜指定條件03 49 ?? 50 20 44的數據
            var res = Memory.scan(module.base, module.size, pattern, {
                onMatch: function(address, size){
                    //搜索成功
                    console.log('搜索到 ' + pattern +" 地址是:"+ address.toString());  
                }, 
                onError: function(reason){
                    //搜索失敗
                    // console.log('搜索失敗 ' + reason);
                },
                onComplete: function(){
                    //搜索完畢
                    // console.log("搜索完畢")
                }
            });
        },
        onComplete: function(){
            send('stop');
        }
    });

    // 導入函數
    var imports = Module.enumerateImportsSync("xxx.so");
    for(var i = 0; i < imports.length; i++) {
        if(imports[i].name == 'strncat'){
            send(imports[i].name + ": " + imports[i].address);
            break;
        }
    }
    
    // 導出函數
    var exports = Module.enumerateExportsSync("xxx.so");
    for(var i = 0; i < exports.length; i++) {
        if(exports[i].name.indexOf('add') != -1){
            send(exports[i].name + ": " + exports[i].address);
            break;
        }
    }
});

""";
    
jsCode = """

var module = Process.findModuleByName("xxx.so"); 
var nativePointer = new NativePointer(module.base.add(0x1740));
send("nativePointer " + nativePointer);
Interceptor.attach(nativePointer, {
    onEnter: function(args) {
        send("mou sub_method called!");
    },
    onLeave:function(retval){
    
    }
});

var nativePointer = new NativePointer(ptr(0x00001122));
send("nativePointer " + nativePointer);
Interceptor.attach(nativePointer, {
    onEnter: function(args) {
        send("mou sub_method 2 called!");
    },
    onLeave:function(retval){
    
    }
});

"""
def message(message, data):
    if message["type"] == 'send':
        print(u"[*] {0}".format(message['payload']))
    else:
        print(message)

process = frida.get_remote_device().attach("com.android.test")
script= process.create_script(jsCode2)
script.on("message", message)
script.load()
sys.stdin.read()

　　提供了多種方法：

　　a>遍歷所有so模塊，查找指定關鍵字。

　　b>遍歷某個模塊的所有導出函數，名稱包含

　　c>遍歷某個模塊的所有導入函數，名稱包含。

　　d>直接通過，模塊得到記憶體地址和偏移，進行hook.

　　e>通過利用 this.的成員變數，在結果中，dump出，入參的參數的某個值進行dump內容。

　　f>輸出 this.context對象。

　　源碼解讀：

　　待補充

　　參考：

        https://www.anquanke.com/post/id/195215

　　https://www.anquanke.com/member/131652

　　源碼：https://frida.re/

　　引入：

 
您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • 【MySQL】鎖之MyISAM
    紙上得來終覺淺，絕知此事要躬行。 鎖的分類 從對數據操作的粒度分 ： 表鎖：操作時，會鎖定整個表。 行鎖：操作時，會鎖定當前操作行。 從對數據操作的類型分： 讀鎖（共用鎖）：針對同一份數據，多個讀操作可以同時進行而不會互相影響。 寫鎖（排它鎖）：當前操作沒有完成之前，它會阻斷其他寫鎖和讀鎖。 MyS ...
  • Telegraf和Grafana監控多平臺上的SQL Server-自定義監控數據收集
    問題 在上一篇文章中，我們使用Telegraf自帶的Plugin配置好了的監控，但是自帶的Plugin並不能完全覆蓋我們想要的監控指標，就需要收集額外的自定義的監控數據，實現的方法有： 開發自己的Telegraf Plugin 使用可以執行自定義腳本的inputs plugin 此處收集的監控項不多 ...
  • 實時標簽開發——從零開始搭建實時用戶畫像(五)
    ​ 數據接入 數據的接入可以通過將數據實時寫入Kafka進行接入，不管是直接的寫入還是通過oracle和mysql的實時接入方式，比如oracle的ogg，mysql的binlog ogg Golden Gate（簡稱OGG）提供異構環境下交易數據的實時捕捉、變換、投遞。 通過OGG可以實時的將or ...
  • android6,0申請許可權
    #android6.0開啟許可權遇到的一些坑 一個小白，記錄學習遇到的一些坑 最近在做android方面的實驗，做到用LocationManager進行定位，發現單獨在AndroidManifest.xml文件中 聲明開啟許可權，不能夠真正的開啟想要的許可權，說是安全問題，其實在日常中我們都很清楚的一個權 ...
  • 這才是Android設置界面的正確做法&#128076;&#128076;&#128076;
    ####話不多說，先上效果圖 本文參考簡書博客：《這才是Android設置界面的正確做法👌👌👌》寫成，在其基礎上刪改並增加了一些內容。建議新視窗打開原文，在本文講述不清楚的地方參考原文去尋找答案。 其實設置界面，不需要自己去一個一個選項地去做。Android為我們提供了一些封裝好的東西，那就是 ...
  • Windows環境下為Android編譯OpenCV4.3
    踩了三四天的坑，今天終於順利跑通了，原來是toolchain的問題，外網的教程大多都是用opencv source里的toolchain，會導致各種奇奇怪怪的錯誤（std not a member of std，canot find iostram等等） ...
  • Mac系統下使用Fastboot線刷安卓設備
    安裝Homebrew（已安裝跳過） raw.githubusercontent.com功能變數名稱被污染，如果報錯，host文件添加 199.232.68.133 raw.githubusercontent.com 安裝安卓工具 brew cask install android-platform-tool ...
  • 過招多家大廠提煉的iOS面試心經
    2020年，整個資本市場風起雲涌，大環境下，互聯網更是風聲鶴唳，大多數公司面臨著裁員，結構重構，他們收緊資本，為自己取暖。在漫長的寒冬下，互聯網人只有自己修煉內功，才能在寒風中屹立不倒。作為一名iOS開發者，要時時刻刻保持學習的衝勁，新的知識每年都是海量增長，要學的東西真的太多太多。很多公司收緊資本 ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類