Android高级 Frida的Hook之旅Java

1 安装python环境

mac 自带不需要安装

2 安装pip

easy_install pip

3 安装frida 安装frida-tools

pip install frida
pip install frida-tools
//检测是否安装成功
frida-ps
//能看到系统进程，表示安装成功

4 下载frida-server

官网下载:https://github.com/frida/frida/releases 对应的版本，
注意：Frida-server的版本必须跟你宿主机的Frida版本一致,比如我宿主机Frida的版本是12.2.28，

getprop ro.product.cpu.abi
armeabi-v7a

Android手机是arm的，那么应该下载：rida-server-12.2.28-android-arm.xz 文件。

5 推送frida-server到root过的手机

#下载后解压文件，并将文件重命名为: frida-server，然后推送到手机
adb push frida-server /data/local/tmp/
#修改权限并运行frida-server
adb shell
su
cd /data/local/tmp/
chmod 777 frida-server
./frida-server
#如果要启动frida-server作为后台进程、可以使用这个命令./frida-server &

6 开一个终端，使用frida-ps -U命令检查Frida是否正常运行，如果正常运行则会列出Android设备上当前正在运行的进程

Java Api

在Hook开始之前，有必要对Java注入相关的api做一个简单介绍， frida的注入脚本是JavaScript， 因此我们后面都是通过js脚本来操作设备上的Java代码的。

image.png

当我们获取到Java类之后，我们直通过接 <wrapper>.<method>.implementations = function() {}的方式来hook wrapper类的method方法，不管是实例方法还是静态方法都可以。

由于js代码注入时可能会出现超时的错误， 为了防止这个问题，我们通常还需要在最外面包装一层setImmediate(function(){})的代码。

下面就是js的一个模板代码：

image.png

三、 frida Hook实战

接下来我将通过制作一个类似微信抢红包的插件来演示frida的具体使用，由于本文的主旨是教大家如何使用强大的frida框架， 所以侧重描述的是frida的使用， 而不会说明如何逆向微信。

1

信息持久化到本地的拦截

微信的每一条信息都会保存到本地数据库，这个保存的方法就是 com.tencent.wcdb.database.SQLiteDatabase 类的 insert()方法：

image.png

我们先看看每条信息保存的内容是什么：

图10

我们将手机连接到电脑， 然后通过frida将脚本注入到微信中：

image.png

用微信发送任意消息，我们可以看到控制台打印内容如下：

图12

arg1就是要插入数据的表名， arg2是表的主键， arg3是要插入表的数据的字段名称跟值的集合。这样， 我们就可以轻松拿到每条消息的内容和发送者等相关信息。

这里我们需要注意的是arg3里面以下几个值：

图13

当我们接收到一条红包消息的时候，我们可以看到红包信息的具体内容如下:

图14

图15

那我们要怎样通过这些信息来抢到红包呢?

2

抢红包流程分析

我们先来看一下，当我们点击打开红包之时发生了什么呢? 下面是反编译得到的打开红包按钮的点击事件：

图16

这行代码其实就是发送抢红包的请求, ad 就是一个网络请求类, 那么需要构成这个请求又需要哪些参数呢?

我们单独看看 ad 类的创建：

图17

其中第1,2,3,4,9个参数都是来自luckyMoneyReceiveUI.kRG, 第8个参数是固定的 “v1.0″

接下来我们来打印一下第5,6,7个参数是什么：

image.png

图18

重新加载这段js代码, 然后我们打开一个红包, 我们可以看到控制台打印如下信息：

图19

第5,6个参数其实是自己的头像跟昵称信息,第7个是发送者的信息，而第4个参数跟上面红包内容里面的nativeurl的值是一样的。

那luckyMoneyReceiveUI.kRG 中的msgType,bxk,kLZ,ceR,kRC这些要怎么得到呢?

luckyMoneyReceiveUI.kRG 这个字段的类型是: com.tencent.mm.plugin.luckymoney.b.ag，ag类跟之前提到的ad类一样, 都是一个请求类, 他们都是继承同一个类。其中, msgType是固定的 1，bxk,kLZ,ceR 是在ag的构造方法里面就被初始化的：

图20

而kRC则是在里面的a方法里面被赋值的：

图21

……

图22

这个a方法是请求类发起请求之后的一个回调，而在 LuckyMoneyReceiveUI的 OnCreate 方法里面我们可以看到 com.tencent.mm.plugin.luckymoney.b.ag 是怎么被构造出来的：

图23

第一个参数是nativeurl中的channelid;

第二个参数是nativeurl中的sendid;

第三个参数是nativeurl本身;

第四个参数可以用0;

第五个参数是也是固定的 “v1.0″

经过上面的分析之后, 我们的思路就清晰了, 在收到红包信息后我们解析出红包信息里面nativeurl, channelid, sendid, 根据这些参数发送一个com.tencent.mm.plugin.luckymoney.b.ag的请求, 之后得到timingIdentifier, 最后根据得到的timingIdentifier 再发送一个com.tencent.mm.plugin.luckymoney.b.ad的请求就可以抢到红包了。

3

模拟请求

到这里我们也就剩最后一个问题了, 那就是怎么把请求发送出去？这个我们同样可以看看微信, 我们跟踪到红包界面的请求都是通过下面的方法发送的：

image.png

上面的g.Eh().dpP得到的是一个专门发送请求的Network, 得到这个Network之后我们就可以调用他的a方法把这个请求发送出去。需要注意的是frida不支持直接通过.dpP的方式拿到属性, 不过没关系, 我们可以通过反射的方式来获取：

image.png

得到Network之后我们就开始发送请求了：

第一步是收到红包信息之后要解析出ContentValues里面的信息,并根据解析出的内容发送ag请求。

image.png

我们单独把红包信息的content的解析拿出来：

image.png

图27

nativeurl的具体内容如下：

image.png

图28

通过上面的解析之后我们就可以得到如下的info：

image.png

图29

第二步是Hook ag请求的a方法, 在里面我们可以拿到timingIdentifier的值：

image.png

注意:当一个类里面有重载的方法的时候, 我们需要用.overload(paramtype…)来表示我们hook的是哪个重载方法。

最后我们还需要改造一下之前Hook的SQL的insert方法, 我们需要过滤出表名为message,类型为436207665的消息：

image.png

接下来就可以开始体验我们的抢红包插件了!

image.png

最后请看效果：

image.png

转载自:https://www.freebuf.com/company-information/180480.html