frida 高级 api 食用方法（三）¶

1. 前提准备¶

本文章是对看雪教程的简单总结，可快速了解 frida hook api 的使用方法

这里提供下参考文档及其注意事项

https://frida.re/
https://github.com/frida/frida
https://github.com/frida/frida/wiki/Comparison-of-function-hooking-libraries
对应的分析 app 为 kgb-messenger.apk，本文不提供，只是用来说明各个场景下 frida 的命令使用。
jadx: 用来查看反编译的 apk 内容，可不用，文中已有相应截图。
vscode 安装 frida js 代码提示工具 npm install -g @types/frida-gum

2. frida 的使用¶

2.1. hook java 层的 jni 函数¶

注册时随便输入后点击好吧，最后 app 闪退

教程中先根据 AndroidManifest.xml 找到程序入口 MainActivity，在其中找到启动了另一个 activity: starActivity 为 RegActivity。

在 RegActivity 中需要关注输入框的相关处理 saveSN 函数。

可以看到 saveSN 为 java 层的 jni 函数

对应的 frida 代码如下，frida -U com.gdufs.xman -l hook_xman.js：

需要将 kill_process 给 hook 掉，不要让它执行 killProcess 方法。

function hook_java() {
    Java.perform(function () {
        var MyApp = Java.use("com.gdufs.xman.MyApp");
        // hook java 层的jni函数 
        MyApp.saveSN.implementation = function (str) {
            console.log("MyApp.saveSN:", str);
            this.saveSN(str);
        };

        var Process = Java.use("android.os.Process");
        Process.killProcess.implementation = function (pid) {
            //this.killProcess(pid);
            console.log("Process.killProcess:", pid);
        };

        console.log("hook_java");
    });
}

然后，输入注册码点好吧后就不会闪退了，但也没有其它现象。

2.2. 获取模块基址，hook 导出函数¶

解决输入注册码后闪退的问题后，接着分析 saveSN 的方法，需要 ida 来分析对应 so 文件的逻辑。

发现 ida 中的导出函数中没有 saveSN 方法。

1.首先看下 JNI_OnLoad 方法

2.ctrl + s 快捷键看下 init_array，看有没有函数，此情况没有，不用看了。

我们需要查看 jni_onload 方法，f5 反编译后查看

先 Hide casts 是的代码清晰

再添加 jni_h 的 c 头，或者直接 Set item type 即可。

整理后的代码如下，可以看出为 saveSN 为动态注册的函数：

jint JNI_OnLoad(JavaVM *vm, void *reserved)
{
  if ( !(*vm)->GetEnv(vm, &g_env, 65542) )
  {
    j___android_log_print(2, "com.gdufs.xman", "JNI_OnLoad()");
    native_class = (*g_env)->FindClass(g_env, "com/gdufs/xman/MyApp");
    if ( !(*g_env)->RegisterNatives(g_env, native_class, off_5004, 3) )
    {
      j___android_log_print(2, "com.gdufs.xman", "RegisterNatives() --> nativeMethod() ok");
      return 65542;
    }
    j___android_log_print(6, "com.gdufs.xman", "RegisterNatives() --> nativeMethod() failed");
  }
  return -1;
}

点击 off_5004 进入，可以看到如下，再点击 n2 就可以跳转到 saveSN 的函数中。

n2 反编译后的代码为：

// saveSN
int __fastcall n2(_JNIEnv *a1, int a2, int a3)
{
  int v5; // r7
  const char *v7; // r6
  const char *v8; // r5
  int v9; // r4
  int v10; // r0
  char v11; // r2
  signed int v12; // [sp+8h] [bp-38h]
  char v13[20]; // [sp+10h] [bp-30h] BYREF

  v5 = j_fopen("/sdcard/reg.dat", "w+");
  if ( !v5 )
    return j___android_log_print(3, "com.gdufs.xman", byte_2E5A);
  strcpy(v13, "W3_arE_whO_we_ARE");
  v7 = a1->functions->GetStringUTFChars(a1, a3, 0);
  v8 = v7;
  v12 = j_strlen(v7);
  v9 = 2016;
  while ( 1 )
  {
    v10 = v8 - v7;
    if ( v8 - v7 >= v12 )
      break;
    if ( v10 % 3 == 1 )
    {
      v9 = (v9 + 5) % 16;
      v11 = v13[v9 + 1];
    }
    else if ( v10 % 3 == 2 )
    {
      v9 = (v9 + 7) % 15;
      v11 = v13[v9 + 2];
    }
    else
    {
      v9 = (v9 + 3) % 13;
      v11 = v13[v9 + 3];
    }
    *v8++ ^= v11;
  }
  j_fputs(v7, v5);
  return j_fclose(v5);
}

我们要 hook 下 n2 函数，n2 函数为导出函数：

这里：n2 - base_myjni 就等于 ida 静态分析地址加一，打开 ida 的 opcode 即可查看。

2.3. 枚举模块的符号¶

我们需要 hook n2 中的 GetStringUTFChars 这个关键方法， String -> jstring -> char * 的转换。

查看 initSN 函数，并根据上图 hook FindClass，GetStaticFieldID 和 SetStaticIntField 方法

n1 反编译后的代码为：

int __fastcall n1(int a1)
{
  int v2; // r0
  int v3; // r4
  int v4; // r0
  int v5; // r7
  const char *v6; // r5
  int v8; // r0
  int v9; // r1

  v2 = j_fopen("/sdcard/reg.dat", "r+");
  v3 = v2;
  if ( !v2 )
  {
    v4 = a1;
    return setValue(v4, 0);
  }
  j_fseek(v2, 0, 2);
  v5 = j_ftell(v3);
  v6 = j_malloc(v5 + 1);
  if ( !v6 )
  {
    j_fclose(v3);
    v4 = a1;
    return setValue(v4, 0);
  }
  j_fseek(v3, 0, 0);
  j_fread(v6, v5, 1, v3);
  v6[v5] = 0;
  if ( !j_strcmp(v6, "EoPAoY62@ElRD") )
  {
    v8 = a1;
    v9 = 1;
  }
  else
  {
    v8 = a1;
    v9 = 0;
  }
  setValue(v8, v9);
  return j_fclose(v3);
}

2.4. hook libart 的一些函数¶

并打印调用栈

2.5. hook libc的函数¶

需要 hook j_strcmp 函数，frida -U --no-pause -f com.gdufs.xman -l hook_xman.js

hook 结果就可以知道，需要将 args[0] 与 args[1] 的结果相同，就可以使得 m 赋值为 1，就可以注册正常。

可以使用 adb 命令：echo "EoPAoY62@ElRD" > /sdcard/reg.dat

也可以使用 frida api 来做到。

2.6. Frida 操作文件 api¶

2.6.1. Frida 的 File api写文件¶

使用 frida 的 file api 写文件代码如下：

2.6.2. 把 C 函数定义为 NativeFunction 来写文件¶

这是另一种 frida 操作文件的 api 写法：

3. 总结及补充¶

这里放上所涉及到的 frida js hook 脚本：

function hook_java() {
    Java.perform(function () {
        var MyApp = Java.use("com.gdufs.xman.MyApp");
        // hook java 层的jni函数 
        MyApp.saveSN.implementation = function (str) {
            console.log("MyApp.saveSN:", str);
            this.saveSN(str);
        };

        var Process = Java.use("android.os.Process");
        Process.killProcess.implementation = function (pid) {
            //this.killProcess(pid);
            console.log("Process.killProcess:", pid);
        };

        console.log("hook_java");
    });
}

function hook_native() {
    //获取模块的基址
    var base_myjni = Module.findBaseAddress("libmyjni.so");
    if ( ) {
        //获取模块的导出函数
        var n2 = Module.findExportByName("libmyjni.so", "n2");
        //thumb的函数，0x000011F8, 实际地址0xdba461f9
        console.log("base_myjni:", base_myjni, "n2:", n2);
        //hook模块的导出函数
        Interceptor.attach(n2, {
            onEnter: function (args) {
                console.log("n2 onEnter:", args[0], args[1], args[2]);
            }, onLeave: function (retval) {

            }
        });
    }
}

function hook_libart() {
    var module_libart = Process.findModuleByName("libart.so");
    var symbols = module_libart.enumerateSymbols();     //枚举模块的符号

    var addr_GetStringUTFChars = null;
    var addr_FindClass = null;
    var addr_GetStaticFieldID = null;
    var addr_SetStaticIntField = null;

    for (var i = 0; i < symbols.length; i++) {
        var name = symbols[i].name;
        if (name.indexOf("art") >= 0) {
            // 函数不能有 CheckJNI
            if ((name.indexOf("CheckJNI") == -1) && (name.indexOf("JNI") >= 0)) {
                if (name.indexOf("GetStringUTFChars") >= 0) {
                    console.log(name);
                    addr_GetStringUTFChars = symbols[i].address;
                } else if (name.indexOf("FindClass") >= 0) {
                    console.log(name);
                    addr_FindClass = symbols[i].address;
                } else if (name.indexOf("GetStaticFieldID") >= 0) {
                    console.log(name);
                    addr_GetStaticFieldID = symbols[i].address;
                } else if (name.indexOf("SetStaticIntField") >= 0) {
                    console.log(name);
                    addr_SetStaticIntField = symbols[i].address;
                }
            }
        }
    }

    //hook jni的一些函数
    if (addr_GetStringUTFChars) {
        Interceptor.attach(addr_GetStringUTFChars, {
            onEnter: function (args) {
                //打印调用栈
                // console.log('addr_GetStringUTFChars onEnter called from:\n' +
                //     Thread.backtrace(this.context, Backtracer.FUZZY)
                //         .map(DebugSymbol.fromAddress).join('\n') + '\n');
            }, onLeave: function (retval) {
                // retval const char*
                console.log("addr_GetStringUTFChars onLeave:", ptr(retval).readCString(), "\r\n");
            }
        });
    }

    if (addr_FindClass) {
        Interceptor.attach(addr_FindClass, {
            onEnter: function (args) {
                console.log("addr_FindClass:", ptr(args[1]).readCString());
            }, onLeave: function (retval) {

            }
        });
    }
    if (addr_GetStaticFieldID) {
        Interceptor.attach(addr_GetStaticFieldID, {
            onEnter: function (args) {
                console.log("addr_GetStaticFieldID:", ptr(args[2]).readCString(), ptr(args[3]).readCString());
            }, onLeave: function (retval) {

            }
        });
    }
    if (addr_SetStaticIntField) {
        Interceptor.attach(addr_SetStaticIntField, {
            onEnter: function (args) {
                console.log("addr_SetStaticIntField:", args[3]);
            }, onLeave: function (retval) {

            }
        });
    }
}

function hook_libc() {
    //hook libc的函数
    var strcmp = Module.findExportByName("libc.so", "strcmp");
    console.log("strcmp:", strcmp);
    Interceptor.attach(strcmp, {
        onEnter: function (args) {
            var str_2 = ptr(args[1]).readCString();
            if (str_2 == "EoPAoY62@ElRD") {
                console.log("strcmp:", ptr(args[0]).readCString(),
                    ptr(args[1]).readCString());
            }
        }, onLeave: function (retval) {
        }
    });

}

function write_reg_dat() {

    //frida 的api来写文件
    var file = new File("/sdcard/reg.dat", "w");
    file.write("EoPAoY62@ElRD");
    file.flush();
    file.close();
}


function write_reg_dat2() {

    //把C函数定义为NativeFunction来写文件
    var addr_fopen = Module.findExportByName("libc.so", "fopen");
    var addr_fputs = Module.findExportByName("libc.so", "fputs");
    var addr_fclose = Module.findExportByName("libc.so", "fclose");

    console.log("addr_fopen:", addr_fopen, "addr_fputs:", addr_fputs, "addr_fclose:", addr_fclose);
    var fopen = new NativeFunction(addr_fopen, "pointer", ["pointer", "pointer"]);
    var fputs = new NativeFunction(addr_fputs, "int", ["pointer", "pointer"]);
    var fclose = new NativeFunction(addr_fclose, "int", ["pointer"]);

    var filename = Memory.allocUtf8String("/sdcard/reg.dat");
    var open_mode = Memory.allocUtf8String("w+");
    var file = fopen(filename, open_mode);
    console.log("fopen file:", file);

    var buffer = Memory.allocUtf8String("EoPAoY62@ElRD");
    var ret = fputs(buffer, file);
    console.log("fputs ret:", ret);

    fclose(file);
}

function main() {
    hook_java();
    hook_native();
    hook_libart();
    hook_libc();
}

setImmediate(main);

frida 高级 api 食用方法（三）¶

1. 前提准备¶

2. frida 的使用¶

2.1. hook java 层的 jni 函数¶

2.2. 获取模块基址，hook 导出函数¶

2.3. 枚举模块的符号¶

2.4. hook libart 的一些函数¶

2.5. hook libc的函数¶

2.6. Frida 操作文件 api¶

2.6.1. Frida 的 File api写文件¶

2.6.2. 把 C 函数定义为 NativeFunction 来写文件¶

3. 总结及补充¶

评论