反反调试：app 检测 data/local/tmp 目录绕过手段

最近在逆向某app时遇到一个非常恶心的反调试手段，只要是maps和fd中存在/data/local/tmp/，甚至只有tmp的字段，app就给kill掉。

因为这个目录对于安卓逆向工作来说，是一个比较敏感的目录。

hluda-server和frida-server都会在/data/local/tmp/目录下生成一个包含frida所需要的so库等文件。所以当app一旦发现了加载了/data/local/tmp下的任何东西，直接就挂掉。 

查找了好些文章，最后思路借鉴Android逆向——过frida检测+so层算法逆向这篇文章实现了，本文大部分内容也是借鉴这篇文章。

直接hook open函数，将原程序的maps文件中一切带有tmp的行都过滤掉，剩余的内容输出到另一个文件中，最后修改open的返回值，指向新生成的文件。

function main() {
    const openPtr = Module.getExportByName('libc.so', 'open');
    const open = new NativeFunction(openPtr, 'int', ['pointer', 'int']);
    var readPtr = Module.findExportByName("libc.so", "read");
    var read = new NativeFunction(readPtr, 'int', ['int', 'pointer', "int"]);
    var fakePath = "/data/data/******/maps";
    var file = new File(fakePath, "w");
    var buffer = Memory.alloc(512);
    Interceptor.replace(openPtr, new NativeCallback(function (pathnameptr, flag) {
        var pathname = Memory.readUtf8String(pathnameptr);
        var realFd = open(pathnameptr, flag);
        if (pathname.indexOf("maps") != 0) {
            while (parseInt(read(realFd, buffer, 512)) !== 0) {
                var oneLine = Memory.readCString(buffer);
                if (oneLine.indexOf("tmp") === -1) {
                    file.write(oneLine);
                }
            }
            var filename = Memory.allocUtf8String(fakePath);
            return open(filename, flag);
        }
        var fd = open(pathnameptr, flag);
        return fd;
    }, 'int', ['pointer', 'int']));
}
setImmediate(main)