设为首页收藏本站
开启辅助访问

易游网-易游模拟器

 找回密码
 立即注册
易游网-易游模拟器»易游网 › 游戏制作&游戏修改 › 个人博客 › frida android 常用脚本备忘
返回列表 发新帖
查看: 4561|回复: 0

[破解逆向] frida android 常用脚本备忘

[复制链接]
eumnq8

3382

主题

3401

帖子

38

积分

超级版主

Rank: 8Rank: 8

积分
38

技术达人
发表于 2021-4-27 13:06:13 | 显示全部楼层 |阅读模式
1、//基础数据类型char
var char= Java.use("java.lang.Class").getPrimitiveClass("char")

2、挂钩dlopen函数
  1. //第一种方式（针对较老的系统版本）
  2. var dlopen = Module.findExportByName(null, "dlopen");
  3. console.log(dlopen);
  4. if(dlopen != null){
  5.     Interceptor.attach(dlopen,{
  6.         onEnter: function(args){
  7.             var soName = args[0].readCString();
  8.             console.log(soName);
  9.             if(soName.indexOf("libc.so") != -1){
  10.                 this.hook = true;
  11.             }
  12.         },
  13.         onLeave: function(retval){
  14.             if(this.hook) {
  15.                 dlopentodo();
  16.             };
  17.         }
  18.     });
  19. }

  21. //第二种方式（针对新系统版本）
  22. var android_dlopen_ext = Module.findExportByName(null, "android_dlopen_ext");
  23. console.log(android_dlopen_ext);
  24. if(android_dlopen_ext != null){
  25.     Interceptor.attach(android_dlopen_ext,{
  26.         onEnter: function(args){
  27.             var soName = args[0].readCString();
  28.             console.log(soName);
  29.             if(soName.indexOf("libc.so") != -1){
  30.                 this.hook = true;
  31.             }
  32.         },
  33.         onLeave: function(retval){
  34.             if(this.hook) {
  35.                 dlopentodo();
  36.             };
  37.         }
  38.     });
  39. }
  40. function dlopentodo(){
  41.     //todo ...
  42. }
复制代码


3、打印java层堆栈
  1. function show_java_trace(){
  2. Java.perform(function(){
  3.         var MessageDigest = Java.use("java.security.MessageDigest");
  4.         MessageDigest.digest.overload().implementation = function(){
  5.             //var stack = Java.use("android.util.Log").getStackTraceString(Java.use("java.lang.Exception").$new());
  6.             var stack = Java.use("android.util.Log").getStackTraceString(Java.use("java.lang.Throwable").$new());
  7.             console.log(stack);
  8.             return this.digest();
  9.         }
  10.     });
  11. }
复制代码


4、打印Native堆栈

  2. function show_native_trace(){
  3.     var func = Module.findBaseAddress("libil2cpp.so").add(0x56FCA8);
  4.     Interceptor.attach(func, {
  5.         onEnter: function(args){
  6.             console.log("called from:\n"+
  7.                 Thread.backtrace(this.context,Backtracer.ACCURATE)
  8.                 .map(DebugSymbol.fromAddress).join("\n"));
  9.         },
  10.         onLeave: function(retval){
  11.             
  12.         }
  13.     });
  14. }
复制代码


5、挂钩Java中的loadLibrary并打印堆栈
  1. function hook_library(){
  2.     Java.perform(function() {
  3.         const System = Java.use('java.lang.System');
  4.         const Runtime = Java.use('java.lang.Runtime');
  5.         const VMStack = Java.use('dalvik.system.VMStack');

  7.         System.loadLibrary.implementation = function(library) {
  8.             try {
  9.                 console.log('System.loadLibrary("' + library + '")');
  10.                 console.log(Java.use("android.util.Log").getStackTraceString(Java.use("java.lang.Throwable").$new()));
  11.                 const loaded = Runtime.getRuntime().loadLibrary0(VMStack.getCallingClassLoader(), library);
  12.                 return loaded;
  13.             } catch(ex) {
  14.                 console.log(ex);
  15.             }
  16.         };

  18.         System.load.implementation = function(library) {
  19.             try {
  20.                 console.log('System.load("' + library + '")');
  21.                 console.log(Java.use("android.util.Log").getStackTraceString(Java.use("java.lang.Throwable").$new()));
  22.                 const loaded = Runtime.getRuntime().load0(VMStack.getCallingClassLoader(), library);
  23.                 return loaded;
  24.             } catch(ex) {
  25.                 console.log(ex);
  26.             }
  27.         };
  28.     });
  29. }
复制代码


6、String转Byte
  1. function stringToBytes(str) {  
  2.     var ch, st, re = [];
  3.     for (var i = 0; i < str.length; i++ ) {
  4.         ch = str.charCodeAt(i);  
  5.         st = [];                 
  6.         do {  
  7.             st.push( ch & 0xFF );  
  8.             ch = ch >> 8;         
  9.         }   
  10.         while ( ch );  
  11.         re = re.concat( st.reverse() );
  12.     }  
  13.     return re;  
  14. }
复制代码


7、hexToBytes
  1. function hexToBytes(str) {
  2.     var pos = 0;
  3.     var len = str.length;
  4.     if (len % 2 != 0) {
  5.         return null;
  6.     }
  7.     len /= 2;
  8.     var hexA = new Array();
  9.     for (var i = 0; i < len; i++) {
  10.         var s = str.substr(pos, 2);
  11.         var v = parseInt(s, 16);
  12.         hexA.push(v);
  13.         pos += 2;
  14.     }
  15.     return hexA;
  16. }
复制代码


8、bytes2Hex
  1. function bytes2Hex(arr) {
  2.     var str = "[";
  3.     for (var i = 0; i < arr.length; i++) {
  4.         var z = parseInt(arr[i]);
  5.         if (z < 0) z = 255 + z;
  6.         var tmp = z.toString(16);
  7.         if (tmp.length == 1) {
  8.             tmp = "0" + tmp;
  9.         }
  10.         str = str + " " + tmp;
  11.     }
  12.     return (str + " ]").toUpperCase();
  13. }
复制代码


9、ArrayBuffer 转换
  1. function ab2Hex(buffer) {
  2.     var arr = Array.prototype.map.call(new Uint8Array(buffer), function (x) {return ('00' + x.toString(16)).slice(-2)}).join(" ").toUpperCase();
  3.     return "[" + arr + "]";
  4. }

  6. function ab2Str(buffer) {
  7.     return String.fromCharCode.apply(null, new Uint8Array(buffer));
  8. }
复制代码


10、jstring, jbytearray显示

  2. function jstring2Str(jstring) {
  3.    var ret;
  4.    Java.perform(function() {
  5.        var String = Java.use("java.lang.String");
  6.        ret = Java.cast(jstring, String);
  7.    });
  8.    return ret;
  9. }

  11. function jbyteArray2Array(jbyteArray) {
  12.    var ret;
  13.    Java.perform(function() {
  14.        var b = Java.use('[B');
  15.        var buffer = Java.cast(jbyteArray, b);
  16.        ret = Java.array('byte', buffer);
  17.    });
  18.    return ret;
  19. }
复制代码


11、主线程调用
  1. function RunOnMain(){
  2.     Java.perform(function(){
  3.         var cls_main = null
  4.         //获取Context
  5.         Java.choose("com.lzy.ndk.MainActivity",{
  6.             onMatch:function(clazz){
  7.                 cls_main = clazz
  8.             },
  9.             onComplete:function(){}
  10.         })
  11.         //动态注册一个类实现Runnable方法
  12.         var cls_run = Java.registerClass({
  13.             name:"com.lzy.frida.runnable",
  14.             implements:[Java.use("java.lang.Runnable")],
  15.             //创建类成员变量
  16.             fields:{
  17.                 description: 'java.lang.String',
  18.                 limit: 'int'
  19.             },
  20.             //创建方法以及重载方法的用法
  21.             methods:{
  22.                 run:function(){
  23.                     Java.use("android.widget.Toast").makeText(cls_main,Java.use("java.lang.String").$new("this is a test Toast"),1).show()
  24.                
  25.                 },
  26.                 add:[{
  27.                     returnType:'java.lang.String',
  28.                     argumentTypes:['java.lang.String','java.lang.String'],
  29.                     implementation:function(str1,str2){
  30.                         return str1+"+++"+str2
  31.                     }
  32.                 },
  33.                 {
  34.                     returnType:'java.lang.String',
  35.                     argumentTypes:['java.lang.String'],
  36.                     implementation:function(str1){
  37.                         return str1+"==="
  38.                     }
  39.                 }
  40.                 ]
  41.             }
  42.         })
  43.         //这里的实现主线程调用方法很多，这里举例一种
  44.         //1.随便在MainActivity找一个View，View.post(Runnable)
  45.         cls_main.bt1.value.post(cls_run.$new())
  46.         //2.Activity的方法runOnUiThread()
  47.         cls_main.runOnUiThread(cls_run.$new())
  48.         //3.new Handler(getMainLooper()).post()
  49.         Java.use("android.os.Handler").$new(cls_main.getMainLooper()).post(cls_run.$new())
  50.         //4.Java.scheduleOnMainThread(function(){}) 不推荐，不好用总是出问题
  51.         Java.scheduleOnMainThread(function(){
  52.             console.log(Java.isMainThread())
  53.         })
  54.     })
  55. }
复制代码


12、批量断点定位调用
  1. function add_native_break_points(){
  2.    
  3. // 结合Il2CppDumper使用，用于批量快速下断点，跟踪native函数调用
  4. // frida -U -f <PackageName> -l C:\Users\lzy\utils\bpoints.js --no-pause

  6. const soName = "libil2cpp.so"

  8. const arrayAddr =
  9.     ['0x71541c', '0x715b38', '0x715be4', '0x715c61']

  11. const arrayName =
  12.     ['GameManager$Awake', 'GameManager$GetParam', 'GameManager$SaveParam', 'GameManager$ActivatePrivacyButton']

  14. function breakPoints(){

  16.     const soAddr = Module.findBaseAddress(soName);
  17.     console.error('\nsoAddr:' + soAddr + "\n");

  19.     Java.perform(function(){
  20.         arrayAddr
  21.             .map(function(temp){return soAddr.add(temp)})
  22.             .forEach(function(value,index,array){
  23.                 console.log("-------------------------");
  24.                 console.log('currentAddr:' + value);
  25.                 try{
  26.                     funcTmp(value,index,arrayName);
  27.                 }catch(e){
  28.                     //Thumb指令集地址要加一
  29.                     funcTmp(value.add(1),soAddr,index,arrayName);
  30.                 }
  31.             console.log("\t\t---->"+index,value+" is prepared ");
  32.         })
  33.         console.log("\n")
  34.     })

  36.     function funcTmp(currentAddr,index,arrayName){
  37.         Interceptor.attach(currentAddr, {
  38.             onEnter: function(args){
  39.                 console.log("called : "+arrayName[index]+"  ----- addr : " + currentAddr.sub(soAddr) +"\n");
  40.                 this.temp = currentAddr.sub(soAddr);
  41.                 if(this.temp === 0xef3080) {
  42.                     console.log('CCCryptorCreate called from:\n' +
  43.                         Thread.backtrace(this.context, Backtracer.ACCURATE)
  44.                             .map(DebugSymbol.fromAddress).join('\n') + '\n');
  45.                 }
  46.             },
  47.             onLeave: function(retval){

  49.             }
  50.         });
  51.     }
  52. }

  54. function hook_dlopen() {
  55.     // const dlopen = Module.findExportByName(null, "dlopen");
  56.     const dlopen = Module.findExportByName(null, "android_dlopen_ext");

  58.     if (dlopen != null) {
  59.         Interceptor.attach(dlopen, {
  60.             onEnter: function (args) {
  61.                 var l_soName = args[0].readCString()
  62.                 console.log(l_soName)
  63.                 if (l_soName.indexOf(soName) != -1) {
  64.                     this.hook = true
  65.                 }
  66.             },
  67.             onLeave: function (retval) {
  68.                 if (this.hook) {
  69.                     console.warn("\nLoaded "+soName + " add break points")
  70.                     breakPoints()
  71.                 }
  72.             }
  73.         })
  74.     }
  75. }

  77. setImmediate(hook_dlopen())
  78. }
复制代码


13、TracerPid fgets 反调试
  1. var anti_fgets = function () {
  2.         show_log("anti_fgets");
  3.         var fgetsPtr = Module.findExportByName("libc.so", "fgets");
  4.         var fgets = new NativeFunction(fgetsPtr, 'pointer', ['pointer', 'int', 'pointer']);
  5.         Interceptor.replace(fgetsPtr, new NativeCallback(function (buffer, size, fp) {
  6.             var retval = fgets(buffer, size, fp);
  7.             var bufstr = Memory.readUtf8String(buffer);
  8.             if (bufstr.indexOf("TracerPid:") > -1) {
  9.                 Memory.writeUtf8String(buffer, "TracerPid:\t0");
  10.                 // dmLogout("tracerpid replaced: " + Memory.readUtf8String(buffer));
  11.             }
  12.             return retval;
  13.         }, 'pointer', ['pointer', 'int', 'pointer']));
  14.     };
复制代码


14、日志打印
  1. function log(str){
  2.     var threadid = Process.getCurrentThreadId()
  3.     var date = new Date()
  4.     var month = date.getMonth() + 1
  5.     var strDate = date.getDate()
  6.     var hour = date.getHours()
  7.     var Minutes = date.getMinutes()
  8.     var Seconds = date.getSeconds()
  9.     if (month >= 1 && month <= 9) {
  10.         month = "0" + month
  11.     }
  12.     if (strDate >= 0 && strDate <= 9) {
  13.         strDate = "0" + strDate
  14.     }
  15.     if (hour >= 0 && hour <= 9) {
  16.         hour = "0" + hour
  17.     }
  18.     if (Minutes >= 0 && Minutes <= 9) {
  19.         Minutes = "0" + Minutes
  20.     }
  21.     if (Seconds >= 0 && Seconds <= 9) {
  22.         Second = "0" + Seconds
  23.     }
  24.     var currentDate = date.getFullYear() + "-" + month + "-" + strDate
  25.             + " " + hour + ":" + Minutes + ":" + Seconds
  26.     var log = "["+threadid+"][" + currentDate + "] --- " + str
  27.     console.log('\x1b[3' + '6;01' + 'm', log, '\x1b[39;49;00m')
  28. }
复制代码


15、内存dump so(脱壳upx壳)

  2. function dump_so(so_name) {
  3.     Java.perform(function () {
  4.         var currentApplication = Java.use("android.app.ActivityThread").currentApplication();
  5.         var dir = currentApplication.getApplicationContext().getFilesDir().getPath();
  6.         var libso = Process.getModuleByName(so_name);
  7.         console.error("------------------------------");
  8.         console.warn("[name]:", libso.name);
  9.         console.warn("[base]:", libso.base);
  10.         console.warn("[size]:", libso.size);
  11.         console.warn("[path]:", libso.path);
  12.         console.error("------------------------------");
  13.         var file_path = dir + "/" + libso.name + "_" + libso.base + "_" + ptr(libso.size) + ".so";
  14.         var file_handle = new File(file_path, "wb");
  15.         if (file_handle && file_handle != null) {
  16.             Memory.protect(ptr(libso.base), libso.size, 'rwx');
  17.             var libso_buffer = ptr(libso.base).readByteArray(libso.size);
  18.             file_handle.write(libso_buffer);
  19.             file_handle.flush();
  20.             file_handle.close();
  21.             console.log("[dump]:", file_path);
  22.         }
  23.     });
  24. }
复制代码


16、动态加载dex
  1. function loadDex(){
  2.     //这里只是提一下可以使用Frida提供的Api加载dex，你也可以解包再打包，但是显然这个方便得多
  3.     //手动去加载一些工具类（Gson，AndroidUtilCode，自己写的工具类等等）
  4.     Java.openClassFile("/data/local/tmp/helper.dex").load()
  5.     var gson = Java.use("com.google.gson.Gson").$new()
  6.     ...
  7. }
复制代码


17、计划任务
  1. function ScheduledTask(){
  2.     //用在Spawn启动的时候
  3.     setImmediate(function(){
  4.         console.log("立即执行，只执行一次")
  5.     })
  6.     setTimeout(function(){
  7.         console.log("一秒后执行，只执行一次")
  8.     },1000)
  9.     //Frida Api
  10.     setInterval(function(){
  11.         console.log("每隔一秒执行一次")
  12.     },1000)
  13.     // Java Api
  14.     Java.perform(function(){
  15.         Java.registerClass({
  16.             name:"com.lzy.frida.tsk",
  17.             superClass:Java.use("java.util.TimerTask"),
  18.             methods:{
  19.                 run:function(){
  20.                     console.log("等待两秒后每隔一秒调用一次")
  21.                 }
  22.             }
  23.         })
  24.         Java.use("java.util.Timer").$new().schedule(Java.use("com.lzy.frida.tsk").$new(),2000,1000)
  25.     })
  26. }
复制代码


18、JNI函数Trace Demo
  1. function TraceJni(){
  2.     Java.perform(function(){

  4.         var pSize = Process.pointerSize
  5.         var env = Java.vm.getEnv()

  7.         //JNI函数相对env偏移位置参考：
  8.         //https://docs.oracle.com/javase/8/docs/technotes/guides/jni/spec/functions.html#NewStringUTF
  9.         var GetStaticMethodID = 113,findclass = 6,RegisterNatives = 215;
  10.    
  11.         function getNativeAddress(idx) {
  12.             return env.handle.readPointer().add(idx * pSize).readPointer()
  13.         }

  15.         Interceptor.attach(getNativeAddress(findclass),{
  16.             onEnter:function(args){
  17.                 console.error("-------------findClass-------------")
  18.                 console.warn("env\t--->\t"+args[0])
  19.                 console.warn("class\t--->\t"+args[1].readCString())
  20.             },
  21.             onLeave:function(retval){}
  22.         })

  24.         Interceptor.attach(getNativeAddress(GetStaticMethodID),{
  25.             onEnter:function(args){
  26.                 console.error("\n-------------GetStaticMethodID-------------")
  27.                 console.warn(args[0])
  28.                 console.warn(args[1])
  29.                 console.warn(args[2].readCString())
  30.             },
  31.             onLeave:function(retval){}
  32.         })

  34.         //RegisterNative结构体参照：
  35.         //https://android.googlesource.com/platform/libnativehelper/+/master/include_jni/jni.h#129
  36.         Interceptor.attach(getNativeAddress(RegisterNatives), {
  37.             onEnter: function(args) {
  38.                 console.log(parseInt(args[3]))
  39.                 for (var i = 0,nMethods = parseInt(args[3]); i < nMethods; i++) {
  40.                     var structSize = pSize * 3; // = sizeof(JNINativeMethod)
  41.                     var methodsPtr = ptr(args[2]);
  42.                     var signature = methodsPtr.add(i * structSize + pSize).readPointer();
  43.                     var fnPtr = methodsPtr.add(i * structSize + (pSize * 2)).readPointer(); // void* fnPtr
  44.                     var jClass = jclassAddress2NameMap[args[0]].split('/');
  45.                     var methodName = methodsPtr.add(i * structSize).readPointer().readCString();
  46.                     console.log('\x1b[3' + '6;01' + 'm', JSON.stringify({
  47.                         module: DebugSymbol.fromAddress(fnPtr)['moduleName'],
  48.                         // https://www.frida.re/docs/javascript-api/#debugsymbol
  49.                         package: jClass.slice(0, -1).join('.'),
  50.                         class: jClass[jClass.length - 1],
  51.                         method: methodName,
  52.                         // methodsPtr.readPointer().readCString(), // char* name
  53.                         signature: signature.readCString(),
  54.                         // char* signature TODO Java bytecode signature parser { Z: 'boolean', B: 'byte', C: 'char', S: 'short', I: 'int', J: 'long', F: 'float', D: 'double', L: 'fully-qualified-class;', '[': 'array' } https://github.com/skylot/jadx/blob/master/jadx-core/src/main/java/jadx/core/dex/nodes/parser/SignatureParser.java
  55.                         address: fnPtr
  56.                     }), '\x1b[39;49;00m');
  57.                 }
  58.             }
  59.         });
  60.     })
  61. }
复制代码


19、Native Log日志Hook
  1. #int __android_log_print(int prio, const char* tag, const char* fmt, ...)
  2. function hookLog() {
  3.     Interceptor.attach(Module.findExportByName("liblog.so","__android_log_print"), {
  4.         onEnter: function (args) {
  5.             // var level = ""
  6.             // var level_i = parseInt(args[0])
  7.             // if(level_i == 0){
  8.             //     level = "ANDROID_LOG_UNKNOWN"
  9.             // }else if(level_i == 1){
  10.             //     level = "ANDROID_LOG_DEFAULT"
  11.             // }else if(level_i == 2){
  12.             //     level = "ANDROID_LOG_VERBOSE"
  13.             // }else if(level_i == 3){
  14.             //     level = "ANDROID_LOG_DEBUG"
  15.             // }else if(level_i == 4){
  16.             //     level = "ANDROID_LOG_INFO"
  17.             // }else if(level_i == 5){
  18.             //     level = "ANDROID_LOG_WARN"
  19.             // }else if(level_i == 6){
  20.             //     level = "ANDROID_LOG_ERROR"
  21.             // }else if(level_i == 7){
  22.             //     level = "ANDROID_LOG_FATAL"
  23.             // }else if(level_i == 8){
  24.             //     level = "ANDROID_LOG_SILENT"
  25.             // }
  26.             // if(level_i==5){
  27.             //     console.warn(level+"\t"+args[1].readCString()+"\t"+args[2].readCString())
  28.             // }else if(level_i > 5){
  29.             //     console.error(level+"\t"+args[1].readCString()+"\t"+args[2].readCString())
  30.             // }else{
  31.             //     console.log(level+"\t"+args[1].readCString()+"\t"+args[2].readCString())
  32.             // }
  33.             console.log(args[1].readCString()+"\t"+args[2].readCString())
  34.         }
  35.     });
  36. }
复制代码


20、Native函数断点/调用/替换
  1. //主动调用native函数
  2.     var soAddr = Module.findBaseAddress("libil2cpp.so");
  3.     new NativeFunction(soAddr.add(0x4c33b0),"void",['pointer'])(Java.vm.tryGetEnv())

  5. //替换native函数
  6. //支持的类型：void,pointer,int,uint,long,ulong,char,uchar,float,double,int8,uint8,int16,uint16,int32,uint32,int64,uint64,bool
  7.     Interceptor.replace(new NativeFunction(soAddr.add(0x58F0F4),'void', ['pointer']), new NativeCallback(function (arg) {
  8.         console.log("called from:\n"+
  9.                 Thread.backtrace(this.context,Backtracer.FUZZY)
  10.                 .map(DebugSymbol.fromAddress).join("\n"));
  11.     }, 'void', ['pointer']));

  13. //拦截native函数
  14.     Interceptor.attach(soAddr.add(0xb7a93c),{
  15.         onEnter:function(arg){
  16.             console.log("called 0xb7a93c")
  17.         },
  18.         onLeave:function(retval){
  19.             console.warn(retval)
  20.         }
  21.     })
复制代码


21、获取参数类型
  1. function getParamType(obj) {
  2.     return obj == null ? String(obj) : Object.prototype.toString.call(obj).replace(/\[object\s+(\w+)\]/i, "$1") || "object";
  3. }
复制代码


22、hook 所有重载函数
  1. function hookAllOverloads(targetClass, targetMethod) {
  2.     Java.perform(function () {
  3.          var targetClassMethod = targetClass + '.' + targetMethod;
  4.          var hook = Java.use(targetClass);
  5.          var overloadCount = hook[targetMethod].overloads.length;
  6.          for (var i = 0; i < overloadCount; i++) {
  7.                 hook[targetMethod].overloads[i].implementation = function() {
  8.                      var retval = this[targetMethod].apply(this, arguments);
  9.                      //这里可以打印结果和参数
  10.                      return retval;
  11.                  }
  12.               }
  13.    });
  14. }
复制代码


frida

相关帖子
回复

使用道具 举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

QQ|Archiver|手机版|小黑屋|易游网-易游模拟器 Copyright @2015-2021 ( 浙ICP备15028007号-1 )

GMT+8, 2024-11-27 09:38 , Processed in 0.031002 second(s), 10 queries , Gzip On, MemCache On.

Powered by Discuz! X3.4 Licensed

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表