objection 使用
支持 ios和android
安装objection
- 条件: 安装
frida
, 安装方法请自行查阅百度 objection
安装
pip install objection
启动 objection
objection -g 包名 explore
- objection 命令
选项 | 含义 |
---|---|
-N | 指定ip地址远程连接手机。 |
-h | 指定主机 默认127.0.0.1 |
-p | 指定端口 默认27042 |
常用命令
memory list modules
查看当前程序调用的所有so
memory list modules --json test.json
查看到其所有so 并保存位json (终端所在目录)
frida-ps -U |grep xxx
筛选过滤memory search
内存搜索
android hooking list activities
打印所有 activities (页面)
android intent launch_activity com.android.settings.DisplaySettings
强行启动指定activities 可以强行启懂页面android hooking list classes
打印所有classes
android hooking search classes ***
筛选指定类android hooking list class_methods sun.util.locale.LanguageTag
打印方法体android hooking watch class_method com.xxx.xxx --dump-args --dump-return
快速hook(来看是否代码走到这里)
获取基本信息
- 帮助 获取命令解释信息
提取内存信息
- 查看库的导出函数
# memory list exports libart.so --json /root/libart.json
Writing exports as json to /root/libart.json...
Wrote exports to: /root/libart.json
- 提取内存
memory dump all from_base
- 搜索整个内存
memory search --string --offsets-only
-
内存搜索与执行
寻找函数内存位置 ,并复制找到内存地址
- 调用实例方法,直接调用实例方法。
# android heap execute 0x2526 getPreferenceScreenResId
Handle 0x2526 is to class com.android.settings.DisplaySettings
Executing method: getPreferenceScreenResId()
2132082764
- 在实例上 执行js代码
也可以在找到的实例上直接编写js脚本,输入android heap evaluate 0x2526命令后,会进入一个迷你编辑器环境,输入console.log("evaluate result:"+clazz.getPreferenceScreenResId())这串脚本,
按ESC退出编辑器,然后按回车,即会开始执行这串脚本,输出结果。
- 启动activity或service
直接启动activity
android intent launch_activity 强制启动界面,可配合android hooking list activities 获取界面
直接启动service
android hooking list services 查看当前开启的服务
android intent launch_service com.服务 开启服务
内存漫游
- 列出内存所有的类
android hooking list classes (打印所有 classes)
- 搜索类
android hooking search classes display
- 搜索所有的方法
android hooking search methods display
- 列出类的所有方法
android hooking list class_methods com.xxx.xxx
使用
- hook指定方法请求参数,返回值,堆栈打印
android hooking watch class_method com.a.sample.loopcrypto.Decode.check --dump-args --dump-backtrace --dump-return
- Hook java 匿名类
android hooking watch class_method com.a.sample.loopcrypto.Decode.check$c --dump-args --dump-backtrace --dump-return
有时候我们会遇到内部类或者匿名内部类的Hook,不用担心,假设类为com.test.a,内部类为b,完整路径即为com.test.a$b,如果为匿名内部类,可以查看其smali代码,往往命名为com.test.a$1这种形式。
- 附加模式hook
在某些app hook时, 需要在启动时hook,为了避免错过hook时机,采用附加模式,在objection 启动时就注入app
objection -g packageName explore --startup-command "android hooking watch com.xxx.xxx"
- 查看当前hook工作列表
jobs list
- 设置返回值(只支持bool类型)
android hooking set return_value com.xxx.xxx.methodName false
抓包
- 屏蔽SSL 校验, 使得ssl pinning失效
android sslpinning disable
持续更新Android安全、web安全等原创文章,需要学习资料,技术交流可以关注我一起学习