过某交友软件frida反调试

过某交友软件frida反调试

今天在分析一款交友软件时遇见了frida反调试，收获挺大的，于是记录一下。

frida是逆向人员的神器，有了它就事半功倍，但正是因为frida太有名了，因此出现了很多检测方案，这个软件就检测了frida，不管是attach模式还是spawn模式都附加不上。

一般来说，frida检测由如下几个方面：

• 检测frida-server文件名
• 检测27042默认端口
• 双进程保护
• 检测D-Bus
• 检测/proc/pid/maps映射文件
• 检测/proc/pid/tast/tid/stat或/proc/pid/tast/tid/status

前三种可以通过改文件名、改端口和以spawn模式启动过掉，检测D-Bus可以通过hook系统库函数，比如strstr、strcmp等等，最后两种检测可以更改frida-server的特征从而达到隐藏的效果，这个可以具体参照这篇文章手动编译Hluda Frida Server，下面看具体演示

这里直接使用hluda server，它更改了frida的诸多特征，自己使用时记得把文件名给改了，并且换个端口，不要使用默认端口

然后以spawn模式启动应用，主要是为了过掉双进程保护(虽然这个应用是没有双进程保护的~~)

然后就。。。挂掉了，纳尼，神马情况，缓缓情绪，虽然hluda server改了很多特征，但也还有特征能够发现

先不说hluda server，先说说正常的frida server附加进应用之后它的/proc/pid/maps的文件的变化

很明显的发现出现了/data/local/tmp/re.frida.server/***，等等，re.frida.server是什么呢？这是当使用frida server的时候自动创建的，里面存放着frida的功能模块。

那么当使用hluda server会发生什么变化呢？

可以发现re.frida.server已经没有了，反而变成了一串没有意义的字符串，并且功能模块文件名也被混淆了，那么为什么还是被检测到了呢？会不会是D-Bus检测呢？别急，认真比对正常的与附加后的/proc/pid/maps文件，发现正常的maps里面是没有/data/local/tmp路径下的模块映射的，但附加了frida之后，不管模块名有没有被混淆，/data/local/tmp路径名总会出现的，见下图：

因此应用完全有理由去检测maps文件里是否有/data/local/tmp目录下的模块映射，所以我就尝试着伪造一个/proc/pid/maps文件，去掉所有有关/data/local/tmp的映射，并且hook open函数让其打开我伪造的maps文件，具体代码如下：

function main() {
    const openPtr = Module.getExportByName('libc.so', 'open');
    const open = new NativeFunction(openPtr, 'int', ['pointer', 'int']);
    var readPtr = Module.findExportByName("libc.so", "read");
    var read = new NativeFunction(readPtr, 'int', ['int', 'pointer', "int"]);
    var fakePath = "/data/data/com.xyz.qingtian/maps";
    var file = new File(fakePath, "w");
    var buffer = Memory.alloc(512);
    Interceptor.replace(openPtr, new NativeCallback(function (pathnameptr, flag) {
        var pathname = Memory.readUtf8String(pathnameptr);
        var realFd = open(pathnameptr, flag);
        if (pathname.indexOf("maps") >= 0) {
            while (parseInt(read(realFd, buffer, 512)) !== 0) {
                var oneLine = Memory.readCString(buffer);
                if (oneLine.indexOf("tmp") === -1) {
                    file.write(oneLine);
                }
            }
            var filename = Memory.allocUtf8String(fakePath);
            return open(filename, flag);
        }
        var fd = open(pathnameptr, flag);
        return fd;
    }, 'int', ['pointer', 'int']));
}
setImmediate(main)

 

很惊喜的发现成功过掉了frida检测