Android逆向之旅—Hook神器Frida使用详解

一、前言

在逆向过程中有一个Hook神器是必不可少的工具，之前已经介绍了Xposed和Substrate了，在不同场景下面这两个框架工具具备各自的用途，当然Xposed现在也是我最常用的框架工具，不了解的同学可以看这两篇文章：Android中Hook神器Xposed工具介绍 和 Android中Hook神器SubstrateCydia工具介绍 这两篇文章非常重要一个是Hook Java层的时候最常用的Xposed和Hook Native层的SubstrateCydia，可以看我之前的文章比如写微信插件等都采用了Xposed工具，因为个人觉得Xposed用起来比较爽，写代码比较方便。而对于SubstrateCydia工具可以Hook Native层的，本文会介绍一下如何使用。那么有了这两个神器为啥还要介绍Frida工具呢？而且这个工具网上已经有介绍了，为什么还有介绍了，因为这个Frida工具对于逆向者操作破解来说非常方便，所谓方便是他的安装环境和配置要求都非常简单兼容性也非常好，因为最近在弄一个协议解密，无奈手机上安装Cydia之后不兼容导致死机所以就转向用了这个工具实现了hook，所以觉得这个工具非常好用就单独介绍一下。

 

二、环境安装配置

因为网上的确有介绍了，而且官网也有文档说明：https://www.frida.re/docs/javascript-api，但是最重要的是片段化就是东一处西一处，没有归纳性的总结，而且很多常用的功能都没介绍，所以本文就把常用的hook工具详细介绍一下，主要从以下几个方面来介绍：

第一、如何修改Java层的函数参数和返回值

第二、如何打印Java层的方法堆栈信息

第三、如何拦截native层的函数参数和返回值

对于Java层会注重介绍，因为我们用过Xposed工具之后都知道，比如参数是自定义类型怎么Hook等。不多说了直接用一个案例作为样本进行操作，为了能够覆盖所有的操作可能性案例需要写的复杂点：

参数和返回值有基本类型，也有自定义类型，接下来我们就开始我们的Frida之旅吧。

这个网上都已经有教程了，因为Frida大致原理是手机端安装一个server程序，然后把手机端的端口转到PC端，PC端写python脚本进行通信，而python脚本中需要hook的代码采用javascript语言。所以这么看来我们首先需要安装PC端的python环境，这个没难度直接安装python即可，然后开始安装frida了，直接运行命令：pip install frida 

前提是你需要配置好python环境变量，不然提示pip命令找不到。安装完成之后，我们再去官网下载对应版本的手机端程序frida-server：https://github.com/frida/frida/releases 注意这里一定要把frida-server版本和上面PC端安装的frida版本一致，不然运行报错的。其实这里看到真的实现hook功能的是手机端的frida-server，这个也是开源的大家可以研究他的原理。我们也看到这个工具和IDA是不是很类似，也是把手机端的端口转发到PC端进行通信而已。有了frida-server之后就好办了，直接push到手机目录下，然后修改一下文件的属性即可：

adb push /data/local/tmp frida-server

root# chmod 777 /data/local/tmp/frida-server

然后直接运行这个程序：

/data/local/tmp# ./frida-server

然后把端口转发到PC端：

adb forward tcp:27042 tcp:27042

adb forward tcp:27043 tcp:27043

到这里我们就把通信的手机端工作做完了，是不是感觉和Xposed相比非常方便，兼容性非常好，不需要安装Xposed等工具考虑系统手机等适配问题了。接下来就开始在PC端开始编写hook程序进行操作了：

这里代码也非常简单，因为安装好了frida模块，直接导入模块，然后调用api获取设备的session然后hook程序包名，接着就可以执行js脚本代码进行hook操作，然后打印消息：

这里用了python的print函数打印，其实如果想要打印可以在上面的js脚本中使用console.log也是可以的，看自己的习惯了。所以这里我们看到脚本的大致流程就是最外面用python引用frida库进行和设备通信，然后编写js脚本执行hook操作。所以这里最主要的还是js脚本也就是需要理解js语法了。不过这个没啥难度的。好了以上的准备条件都弄完了，下面就开始分部拆解操作看看如何涵盖我们平常使用的hook案例。

 

三、Java层Hook操作案例分析

第一个案例：hook类的构造方法

我们有时候想hook一个类的构造方法，在Xposed中直接用findConstructor方法就可以了，因为构造方法可能有多种重载形式，所以需要用参数作为区分，这里我们hook我们案例的CoinMo