andorid jar/库源码解析之frida体验
Frida体验：
作用：
android手机上可以对，java和so层代码，进行hook.监控数据和处理内存数据。
官译：面向开发人员、逆向工程师和安全研究人员的动态工具工具包。
栗子：
运行步骤：
1、https://github.com/frida/frida/releases 下载适合需要运行环境的可执行程序。我这里是arm64,所以下载了一个最新版本的frida64位。
2、PC端，安装python环境，直接从官网下载一个python安装包安装即可，我这里安装的是python3， 安装包会自己配置环境变量，cmd运行 python，看看有没有，有就是安装上了环境变量了。
3、使用 pip install frida 安装 frida 环境，基于 python的。 再安装 pip install frida-tools ，我看大部分都是按照了。tools的。
4、一切ok。开始跑了，，，把步骤1中得到的，可执行文件，拷贝到手机上面 adb push D:\xxx\xxx\frixxxx /data/local/tmp/
5、因为push上去的可执行文件默认没有权限，下一步授权。。adb shell 进入手机 su，得到root权限。。cd /data/local 进入 local文件夹 chmod 777 -R * 授权可执行。。 再 cd tmp 进入 tmp 执行 ：./frXXX回车运行exe
效果如下图：
6、端口转发，因为要把手机的数据和本地电脑互通，需要设置端口转发，两个端口：执行两条命令
adb forward tcp:27042 tcp:27042 adb forward tcp:27043 tcp:27043
7、接着就可以允许python了。
8、代码示例：
import frida, sys jsCode = """ Java.perform(function () { var impl = Java.use("com.android.test.TestUtil"); impl.test1.implementation = function () { send("test1 called!"); this.test1(); }; impl.test2.implementation = function () { send("test2 called!"); }; impl.test3.implementation = function (a) { send("test3 called!"); }; impl.test4.implementation = function (a,b,c) { send("test4 called!"); return this.test4(a,b,c); }; impl.test5.overload("int").implementation = function (a) { send("test5 1 called!"); }; impl.test5.overload("int", "java.lang.String").implementation = function (a,b) { send("test5 2 called!"); }; }); """ def message(message, data): if message["type"] == 'send': print(u"[*] {0}".format(message['payload'])) else: print(message) process = frida.get_remote_device().attach("com.android.test") script= process.create_script(jsCode) script.on("message", message) script.load() sys.stdin.read()
代码中，把js写到了一个string变量中。多行都是用这个固定格式。
对test1方法进行了hook同时,在后面也对 test1方法进行了调用，如果不调用，方法就不会执行了。参考 test2
test3针对单个参数的情况，test4针对多个参数。test5，针对不同参数进行了重载，需要指明参数类型，上面做了处理。
执行js的send方法，内容回呗，发往，scritp的绑定方法 。def message(message, data)在里面，进行输出，你也可以在js中使用 console.log进行输出参数。
针对是复杂类型的情况，可以直接a.XXXX拿到复杂类型的变量。
8.2、其他js
// 遍历所有js.指定名称，过滤 Java.perform(function(){ Java.enumerateLoadedClasses({ onMatch: function(className) { if(className.toString().indexOf("down") >= 0){ send(className+'\"));'); } }, onComplete:function(){ send("done"); } }); });
9：so，hook处理。
import frida, sys jsCode3 = """ Java.perform(function(){ var exports = Module.enumerateExportsSync("xxx.so"); for(var i = 0; i < exports.length; i++) { if(exports[i] && exports[i].name != undefined){ if(exports[i].name.indexOf("rapidjson")>=0){ var nativePointer = new NativePointer(exports[i].address); send("exports " + exports[i].name + " nativePointer " + nativePointer); Interceptor.attach(nativePointer, { onEnter: function(args) { send(this.context.pc + " called! "); send("context " + JSON.stringify(this.context)); // 保存长度，在返回方法进行调用 this.fd = args[1]; // send(nativePointer + " arg0 " +args[0] + " arg1 " +args[1] + " arg2 " +args[2]); }, onLeave:function(retval){ send(this.context.pc + " retval " +retval); // dump出内容 var size = parseInt(this.fd); if(size > 0){ const r = Memory.alloc(); // 复制以module.base地址开始的10个字节 那肯定会是7F 45 4C 46...因为一个ELF文件的Magic属性如此。 Memory.copy(r,ptr(retval),size); console.log(hexdump(r, { offset: 0, length: size, header: true, ansi: false })); } } }); } } } }); """; jsCode2 = """ Java.perform(function(){ // 遍历所有模块 Process.enumerateModules({ onMatch: function(exp){ //先获取so的module对象 var module = Process.findModuleByName(exp.name); //??是通配符 var pattern = "11 22 33 44 55 66"; // //基址 // console.log("base:" + module.base) //从so的基址开始搜索，搜索大小为so文件的大小，搜指定条件03 49 ?? 50 20 44的数据 var res = Memory.scan(module.base, module.size, pattern, { onMatch: function(address, size){ //搜索成功 console.log('搜索到 ' + pattern +" 地址是:"+ address.toString()); }, onError: function(reason){ //搜索失败 // console.log('搜索失败 ' + reason); }, onComplete: function(){ //搜索完毕 // console.log("搜索完毕") } }); }, onComplete: function(){ send('stop'); } }); // 导入函数 var imports = Module.enumerateImportsSync("xxx.so"); for(var i = 0; i < imports.length; i++) { if(imports[i].name == 'strncat'){ send(imports[i].name + ": " + imports[i].address); break; } } // 导出函数 var exports = Module.enumerateExportsSync("xxx.so"); for(var i = 0; i < exports.length; i++) { if(exports[i].name.indexOf('add') != -1){ send(exports[i].name + ": " + exports[i].address); break; } } }); """; jsCode = """ var module = Process.findModuleByName("xxx.so"); var nativePointer = new NativePointer(module.base.add(0x1740)); send("nativePointer " + nativePointer); Interceptor.attach(nativePointer, { onEnter: function(args) { send("mou sub_method called!"); }, onLeave:function(retval){ } }); var nativePointer = new NativePointer(ptr(0x00001122)); send("nativePointer " + nativePointer); Interceptor.attach(nativePointer, { onEnter: function(args) { send("mou sub_method 2 called!"); }, onLeave:function(retval){ } }); """ def message(message, data): if message["type"] == 'send': print(u"[*] {0}".format(message['payload'])) else: print(message) process = frida.get_remote_device().attach("com.android.test") script= process.create_script(jsCode2) script.on("message", message) script.load() sys.stdin.read()
提供了多种方法：
a>遍历所有so模块，查找指定关键字。
b>遍历某个模块的所有导出函数，名称包含
c>遍历某个模块的所有导入函数，名称包含。
d>直接通过，模块得到内存地址和偏移，进行hook.
e>通过利用 this.的成员变量，在结果中，dump出，入参的参数的某个值进行dump内容。
f>输出 this.context对象。
源码解读：
待补充
参考：
https://www.anquanke.com/post/id/195215
https://www.anquanke.com/member/131652
