Frida 入门

环境配置#

分别在 PC 和目标 Android 上配置 Frida：

1
# 我使用 UV 管理 Python，因此没有一个全局的 Python
2
# uv venv --seed --clear venv
3
# venv\Scripts\activate
4

5
pip install frida frida-tools

记住 Frida 版本：

1
$ pip show frida
2

3
Name: frida
4
Version: 17.5.1

在 ADB shell 中查看 Android 设备架构：

1
$ uname -m
2

3
aarch64

在 Releases · frida/frida 下载对应版本的 Frida-server，例如此处应下 frida-server-17.5.1-android-arm64.xz。

解压得到的文件传输到 Android 上：

1
adb push frida-server-17.5.1-android-arm64 /data/local/tmp/

在 Android 上启动服务端：

1
adb shell
2
su # 需要在 Root 下运行，否则 SELinux 会报错
3
cd /data/local/tmp
4
chmod +x ./frida-server-17.5.1-android-arm64 # 赋予执行权限
5
./frida-server-17.5.1-android-arm64
6
 # 无报错即服务端正常运行

现在就可以用 Frida 了 😊

Frida 调试基础#

Android 每个 APP 都运行在自己独立的虚拟机和沙盒中，如果每个 APP 的运行时环境都不共享，那么资源消耗是很恐怖的。而 Android 提供了 Zygote 进程，所有 APP 都是由 Zygote fork 出来的：

1
init
2
└── Zygote（已预加载所有 Framework 类）
3
    ├── system_server
4
    ├── com.tencent.mm
5
    └── com.example.yourapp  ← 你要分析的 APP

Zygote 的作用是：提前把 Android Framework 所有的类加载好，每次 fork 新进程时直接继承，不用重新初始化。这样做可以实现极速启动和节省内存.

两种模式：Spawn（生成）和 Attach（附加）。Spawn 模式是从头启动应用并调试，Attach 模式是在应用运行时才开始调试。Spawn 模式下，Frida 利用 Zygote 控制进程创建，可以在业务代码运行前完成 Hook；Attach 模式下，APP 的 Application.onCreate 等初始化逻辑已经执行完，注入太晚。因此对抗加固的场景大多用 Spawn 模式。

但 Spawn 模式也可以被某些 APP 检测到。

Spawn 模式：

1
frida -U -f <TARGET> -l <SCRIPT>

• TARGET：APP 包名或可执行文件名
• SCRIPT：用于调试的 Python, JS 或 TS 脚本。自己写或者用已有的。如果不附带脚本，则进入交互式调试。

TARGET 需要的包名可以通过 frida-ps -Ua（运行中的应用）/frida-ps -Uai（安装的应用）得到。

Spawn 方式启动后，会立刻暂停运行。需要继续运行，需要手动输入：%resume

旧版本有一个 --no-pause 会自动运行，但新版本已不支持。

Attach 模式：

1
frida -U -N TARGET -l SCRIPT

1
// 所有 Java API 调用必须在 Java.perform() 回调中执行
2
Java.perform(function () {
3
  // 获取目标类的引用
4
  var Vault = Java.use("com.heroctf.freeda1.utils.Vault");
5

6
  // 尝试调用目标方法并处理异常。延迟 1000ms 执行以减少 bug
7
  setTimeout(function () {
8
    try {
9
      var flag = Vault.get_flag();
10
      console.log("[SUCCESS] Flag: " + flag);
11
    } catch (e) {
12
      console.log("[ERROR] " + e);
13
    }
14
  }, 1000);
15
});

1
package com.heroctf.freeda2.utils;
2

3
import android.content.Context;
4
import com.scottyab.rootbeer.RootBeer;
5

6
/* compiled from: r8-map-id-baa4c77f810b701c3077d4ce68a3d5b79ee91034c03e266e8ba1aed7e464c1a1 */
7
/* loaded from: classes.dex */
8
public final class Security {
9
    private Security() {
10
    }
11

12
    public static boolean detectRoot(Context context) {
13
        return new RootBeer(context).isRooted();
14
    }
15
}

1
Java.perform(function () {
2
  console.log("[+] Bypassing root detection...");
3

4
  // 绕过 RootBeer
5
  var RootBeer = Java.use("com.scottyab.rootbeer.RootBeer");
6
  RootBeer.isRooted.implementation = function () {
7
    console.log("[+] RootBeer.isRooted() bypassed");
8
    return false;
9
  };
10

11
  // 绕过 Vault 构造函数检测
12
  var Vault = Java.use("com.heroctf.freeda2.utils.Vault");
13
  Vault.$init.implementation = function () {
14
    console.log("[+] Vault constructor bypassed");
15
    // Don't call original constructor
16
  };
17

18
  setTimeout(function () {
19
    try {
20
      var flag = Vault.get_flag();
21
      console.log("[SUCCESS] Flag: " + flag);
22
    } catch (e) {
23
      console.log("[ERROR] " + e);
24
    }
25
  }, 1000);
26
});