frida常用检测点及其原理

于 2024-03-07 22:55:38 发布
阅读量1k 收藏 18
点赞数 10
分类专栏： 安卓逆向分析 文章标签： 开发语言 python 爬虫
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_38819889/article/details/136548239
版权

文章转载于：https://bbs.kanxue.com/thread-278145.htm

frida常见反调试

查看哪个so在检测frida

function hook_dlopen() {
    Interceptor.attach(Module.findExportByName(null, "android_dlopen_ext"),
        {
            onEnter: function (args) {
                var pathptr = args[0];
                if (pathptr !== undefined && pathptr != null) {
                    var path = ptr(pathptr).readCString();
                    console.log("load " + path);
                }
            }
        }
    );
}

so的加载流程，那么就会知道linker会先对so进行加载与链接，然后调用so的.init_proc函数，接着调用.init_array中的函数，最后才是JNI_OnLoad函数，所以我需要先确定检测点大概在哪个函数中。

管他检测啥、直接一把梭

function replace_str() {
    var pt_strstr = Module.findExportByName("libc.so", 'strstr');
    var pt_strcmp = Module.findExportByName("libc.so", 'strcmp');
 
    Interceptor.attach(pt_strstr, {
        onEnter: function (args) {
            var str1 = args[0].readCString();
            var str2 = args[1].readCString();
            if (
                str2.indexOf("REJECT") !== -1 ||
                str2.indexOf("tmp") !== -1 ||
                str2.indexOf("frida") !== -1 ||
                str2.indexOf("gum-js-loop") !== -1 ||
                str2.indexOf("gmain") !== -1 ||
                str2.indexOf("linjector") !== -1
            ) {
                console.log("strstr-->", str1, str2);
                this.hook = true;
            }
        }, onLeave: function (retval) {
            if (this.hook) {
                retval.replace(0);
            }
        }
    });
 
    Interceptor.attach(pt_strcmp, {
        onEnter: function (args) {
            var str1 = args[0].readCString();
            var str2 = args[1].readCString();
            if (
                str2.indexOf("REJECT") !== -1 ||
                str2.indexOf("tmp") !== -1 ||
                str2.indexOf("frida") !== -1 ||
                str2.indexOf("gum-js-loop") !== -1 ||
                str2.indexOf("gmain") !== -1 ||
                str2.indexOf("linjector") !== -1
            ) {
                //console.log("strcmp-->", str1, str2);
                this.hook = true;
            }
        }, onLeave: function (retval) {
            if (this.hook) {
                retval.replace(0);
            }
        }
    })
 
}
 
replace_str();

测试xhs 、bilibili都可以过

1、检测文件名（改名）、端口名27042（改端口）、双进程保护（spawn启动）

2、检测D-Bus

  • 检测的原因是因为安卓系统中，D-Bus通信并不常见，而且不同于在传统Linux系统中广泛使用，安卓系统使用Binder机制来实现进程间通信（IPC），而不是使用D-Bus
  • D-Bus是一种进程间通信(IPC)和远程过程调用(RPC)机制,最初是为Linux开发的,目的是用一个统一的协议替代现有的和竞争的IPC解决方案。

遍历连接手机所有端口发送D-bus消息，如果返回"REJECT"这个特征则认为存在frida-server。

内存中存在frida rpc字符串，认为有frida-server


/*
 * Mini-portscan to detect frida-server on any local port.
 */
for(i = 0 ; i <= 65535 ; i++) {
    sock = socket(AF_INET , SOCK_STREAM , 0);
    sa.sin_port = htons(i);
    if (connect(sock , (struct sockaddr*)&sa , sizeof sa) != -1) {
        __android_log_print(ANDROID_LOG_VERBOSE, APPNAME,  "FRIDA DETECTION [1]: Open Port: %d", i);
        memset(res, 0 , 7);
        // send a D-Bus AUTH message. Expected answer is “REJECT"
        send(sock, "\x00", 1, NULL);
        send(sock, "AUTH\r\n", 6, NULL);
        usleep(100);
        if (ret = recv(sock, res, 6, MSG_DONTWAIT) != -1) {
            if (strcmp(res, "REJECT") == 0) {
               /* Frida server detected. Do something… */
            }
        }
    }
    close(sock);
}
  • 检测D-Bus可以通过hook系统库函数，比如strstr、strcmp等等
function replace_str() {
    var pt_strstr = Module.findExportByName("libc.so", 'strstr');
    var pt_strcmp = Module.findExportByName("libc.so", 'strcmp');
 
    Interceptor.attach(pt_strstr, {
        onEnter: function (args) {
            var str1 = args[0].readCString();
            var str2 = args[1].readCString();
            if (str2.indexOf("REJECT") !== -1) {
                //console.log("strcmp-->", str1, str2);
                this.hook = true;
            }
        }, onLeave: function (retval) {
            if (this.hook) {
                retval.replace(0);
            }
        }
    });
 
    Interceptor.attach(pt_strcmp, {
        onEnter: function (args) {
            var str1 = args[0].readCString();
            var str2 = args[1].readCString();
            if (str2.indexOf("REJECT") !== -1) {
                //console.log("strcmp-->", str1, str2);
                this.hook = true;
            }
        }, onLeave: function (retval) {
            if (this.hook) {
                retval.replace(0);
            }
        }
    })
 
}
 
replace_str();

3、检测/proc/pid/maps依赖文件

  • maps文件中存储的是APP运行时加载的依赖
  • 当启动frida后，在maps文件中就会存在 frida-agent-64.so、frida-agent-32.so 文件。
char line[512];
FILE* fp;
fp = fopen("/proc/self/maps", "r");
if (fp) {
    while (fgets(line, 512, fp)) {
        if (strstr(line, "frida")) {
            /* Evil library is loaded. Do something… */
        }
    }
    fclose(fp);
    } else {
       /* Error opening /proc/self/maps. If this happens, something is off. */
    }
}
  • 绕过
function replace_str_maps() {
    var pt_strstr = Module.findExportByName("libc.so", 'strstr');
    var pt_strcmp = Module.findExportByName("libc.so", 'strcmp');
 
    Interceptor.attach(pt_strstr, {
        onEnter: function (args) {
            var str1 = args[0].readCString();
            var str2 = args[1].readCString();
            if (str2.indexOf("REJECT") !== -1  || str2.indexOf("frida") !== -1) {
                this.hook = true;
            }
        }, onLeave: function (retval) {
            if (this.hook) {
                retval.replace(0);
            }
        }
    });
 
    Interceptor.attach(pt_strcmp, {
        onEnter: function (args) {
            var str1 = args[0].readCString();
            var str2 = args[1].readCString();
            if (str2.indexOf("REJECT") !== -1  || str2.indexOf("frida") !== -1) {
                this.hook = true;
            }
        }, onLeave: function (retval) {
            if (this.hook) {
                retval.replace(0);
            }
        }
    })
 
}
 
replace_str();

4、检测/proc/pid/tast下线程、fd目录下打开文件

  • 在 /proc/pid/task 目录下，可以通过查看不同的线程子目录，来获取进程中每个线程的运行时信息。这些信息包括线程的状态、线程的寄存器内容、线程占用的CPU时间、线程的堆栈信息等。通过这些信息，可以实时观察和监控进程中每个线程的运行状态，帮助进行调试、性能优化和问题排查等工作。

  • /proc/pid/fd 目录的作用在于提供了一种方便的方式来查看进程的文件描述符信息，这对于调试和监控进程非常有用。通过查看文件描述符信息，可以了解进程打开了哪些文件、网络连接等，帮助开发者和系统管理员进行问题排查和分析工作。

  • 打开frida调试后这个task目录下会多出几个线程，检测点在查看这些多出来的线程是否和frida调试相关。

  • 在某些app中就会去读取 /proc/stask/线程ID/status 文件，如果是运行frida产生的，则进行反调试。例如：gmain/gdbus/gum-js-loop/pool-frida等

1.gmain：Frida 使用 Glib 库，其中的主事件循环被称为 GMainLoop。在 Frida 中，gmain 表示
GMainLoop 的线程。
2.gdbus：GDBus 是 Glib 提供的一个用于 D-Bus 通信的库。在 Frida 中，gdbus
表示 GDBus 相关的线程。 gum-js-loop：Gum 是 Frida 的运行时引擎，用于执行注入的 JavaScript
代码。
3.gum-js-loop 表示 Gum 引擎执行 JavaScript 代码的线程。
4.pool-frida：Frida中的某些功能可能会使用线程池来处理任务，pool-frida 表示 Frida 中的线程池。
5. linjector 是一种用于 Android设备的开源工具，它允许用户在运行时向 Android 应用程序注入动态链接库（DLL）文件。通过注入 DLL文件，用户可以修改应用程序的行为、调试应用程序、监视函数调用等，这在逆向工程、安全研究和动态分析中是非常有用的。

  • 绕过
function replace_str() {
    var pt_strstr = Module.findExportByName("libc.so", 'strstr');
    var pt_strcmp = Module.findExportByName("libc.so", 'strcmp');
 
    Interceptor.attach(pt_strstr, {
        onEnter: function (args) {
            var str1 = args[0].readCString();
 
            var str2 = args[1].readCString();
            if (str2.indexOf("tmp") !== -1 ||
                str2.indexOf("frida") !== -1 ||
                str2.indexOf("gum-js-loop") !== -1 ||
                str2.indexOf("gmain") !== -1 ||
                str2.indexOf("gdbus") !== -1 ||
                str2.indexOf("pool-frida") !== -1||
                str2.indexOf("linjector") !== -1) {
                //console.log("strcmp-->", str1, str2);
                this.hook = true;
            }
        }, onLeave: function (retval) {
            if (this.hook) {
                retval.replace(0);
            }
        }
    });
 
    Interceptor.attach(pt_strcmp, {
        onEnter: function (args) {
            var str1 = args[0].readCString();
            var str2 = args[1].readCString();
            if (str2.indexOf("tmp") !== -1 ||
                str2.indexOf("frida") !== -1 ||
                str2.indexOf("gum-js-loop") !== -1 ||
                str2.indexOf("gmain") !== -1 ||
                str2.indexOf("gdbus") !== -1 ||
                str2.indexOf("pool-frida") !== -1||
                str2.indexOf("linjector") !== -1) {
                //console.log("strcmp-->", str1, str2);
                this.hook = true;
            }
        }, onLeave: function (retval) {
            if (this.hook) {
                retval.replace(0);
            }
        }
    })
 
}
 
replace_str();

5、frida-server启动

当frida-server启动时，在 /data/local/tmp/目录下会生成一个文件夹并且会生成一下带有frida的特征。

  • 重新编译去特征
  • hook

6、直接调用openat的syscall的检测在text节表中搜索frida-gadget.so / frida-agent.so字符串，避免了hook libc来anti-anti的方法

注入方式改为

  • 1、frida-inject
  • 2、ptrace注入 配置文件的形式注入
  • 3、编译rom注入

7、从inlinehook角度检测frida

  • https://bbs.kanxue.com/thread-269862.htm 未学习
  • https://zhuanlan.zhihu.com/p/557713016

8、hook_open函数可以查看是哪里检测了so文件

function hook_open(){
    var pth = Module.findExportByName(null,"open");
    Interceptor.attach(ptr(pth),{
        onEnter:function(args){
            this.filename = args[0];
            console.log("",this.filename.readCString())
            if (this.filename.readCString().indexOf(".so") != -1){
                args[0] = ptr(0)
            }
        },onLeave:function(retval){
            return retval;
        }
    })
}
setImmediate(hook_open)

替换一个正常的

埃菲尔没有塔尖
关注
  • 10
    点赞
  • 踩
  • 18
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
FridaArsenal::water_pistol:Frida常用工具集合
05-24
FridaArsenal :water_pistol:Frida常用工具集合 1. hook_RegisterNatives.js 打印注册函数 frida -U --no-pause -f package_name -l hook_RegisterNatives.js 2. auto_print.js 标准算法自吐 frida -U --no-pause -f package_name -l auto_print.js 3. RPC rpc示例代码 python rpc.py 4. OkHttpLogger-Frida 拦截okhttp的脚本
Frida原理视频讲解
09-16
Frida作者在2015年关于该工具原理的讲解视频。 Frida是个轻量级so级别的hook框架，它可以帮助逆向人员对指定的进程的so模块进行分析。
frida：克隆此仓库以构建Frida
02-24
弗里达 适用于开发人员，逆向工程人员和安全研究人员的动态仪表工具包。 在了解更多。 两种安装方式 1.从预构建的二进制文件安装 这是推荐的入门方法。 您需要做的是： pip install frida-tools # CLI tools pip install frida # Python bindings npm install frida # Node.js bindings 您还可以从GitHub上Frida的页面下载适用于各种操作系统的预构建二进制文件。 2.构建自己的二进制文件 依存关系 要运行Frida CLI工具，即frida ， frida-ls-devices ， frida-ps ， frida-kill ， frida-trace和frida-discover ，您需要Python以及一些软件包： pip3 install colorama
过frida检测
05-24
hluda版frida 抹掉frida特征 过检测必备 过frida检测
frida-js:一些适用于frida的js脚本
05-13
frida的一些有用的hook脚本和文档 参考 说明： 排名不分先后
android frida检测绕过
PwnGuo的博客
06-08 7109
Frida检测是一种常见的安卓逆向技术，常用于防止应用程序被反向工程。如果您遇到了Frida检测，您可以尝试以下方法来绕过它：使用Magisk Hide模块：Magisk是一个强大的安卓root工具，它附带了一个Magisk Hide模块，可以帮助您隐藏root权限。这可以帮助您绕过Frida检测。使用Xposed框架：Xposed框架可以帮助您实现一些高级的安卓逆向技术，包括绕过Frida检测。您可以使用Xposed模块来隐藏您的应用程序信息。
Android逆向——过frida检测+so层算法逆向
weixin_43889136的博客
11-07 1万+
过frida检测 so层des算法分析 so层md5算法分析
常见Frida检测方法+一个小Demo
qq_44885775的博客
04-16 2445
常见Frida检测方法+一个小Demo
frida检测 笔记
碎片的博客
08-22 1190
怎么过frida检测？？？
种特征检测 Frida
键盘的起始页
08-20 1028
Frida 在逆向工程狮中很受欢迎，你基本可以在运行时访问到你能想到的任何东西，内存地址、native 函数、Java 实例对象等。在 OWASP 的移动测试指南里就提到了 Frida。但是啊，每出来个好用的注入工具，都会有反注入、反反注入、反反反注入、反...注入。这篇文章要介绍的是 Android APP 检测 Frida 的方法。 检查 Frida 的痕迹 一种简易方法是检测 Frida 的运行痕迹，也适用于同类工具的检测，比如包文件、二进制文件、库文件、进程、临时文件等等。本例中针对的对象是 f
frida检测和应对
最新发布
signature=的博客
12-05 756
检测Frida的SSL Pinning绕过：Frida可以用来绕过应用程序的SSL Pinning机制，使得对网络通信的拦截和劫持变得可能。例如，可以检测Frida使用的提升权限的API调用、Frida运行时注入的代码等。检测Frida的远程调用：Frida可以通过网络进行远程调用，因此可以用于攻击应用程序的远程接口。这些机制可以通过验证函数的哈希值或签名来确保函数的完整性。应对方法：应用程序可以使用更强大的SSL Pinning机制，如使用自定义的根证书和证书链验证工具，以防止Frida的绕过行为。
安卓逆向环境检测--frida
weixin_44348983的博客
06-26 1642
安卓、逆向、检测
安卓逆向 - Frida反调试绕过
weixin_42840266的博客
09-03 4331
1、使用Frida的魔改版本 Hluda来隐藏Frida特征，其介绍：跟随 FRIDA 上游自动修补程序，并为 Android 构建反检测版本的 frida-server。使用方式跟官方Frida没有区别。Frida是非常优秀的一款 Hook框架，人红是非多，市面上很多app都有相应的检测方案。针对以上的检测方式，我们可以尝试改文件名，改端口，spawn启动，隐藏frida特征等方式来绕过检测。6、检测/proc/pid/task/tip/status。5、检测/proc/pid/maps映射文件。
Frida常见检测方法
triplexlove的博客
04-28 1556
Frida检测相关文章：[翻译]多种特征检测 Frida-外文翻译-看雪论坛-安全社区|安全招聘|bbs.pediy.com ptrace占坑 ptrace(0, 0 ,0 ,0); 开启一个子进程附加父进程 守护进程 子进程附加父进程 目的是不让别人附加 普通的多进程 进程名检测，遍历运行的进程列表，检测frida-server是否运行 端口检测，检测frida-server默认端口27042是否开放 D-Bus协议通信 Frida使用D-Bus协议通信，可以遍历/proc/net/t
安卓逆向之frida过检测必备攻略
云霄IT的博客
04-24 2177
frida过检测大全
Frida使用NativeFunction主动调用so中的函数
someby的博客
05-24 2302
function printJavaStack(name) { Java.perform(function () { var Exception = Java.use("java.lang.Exception"); var ins = Exception.$new("Exception"); var straces = ins.getStackTrace(); if (straces != undefined && s.
patch某哩frida检测
陌刀逆向工程
09-22 537
patch某哩frida检测
Frida检测
热门推荐
Codeooo 博客
09-02 1万+
检查 Frida 的痕迹 一种简易方法是检测 Frida 的运行痕迹，也适用于同类工具的检测，比如包文件、二进制文件、库文件、进程、临时文件等等。本例中针对的对象是 fridaserver，它通过 TCP 对外与 frida 通信，此时可以用 Java 遍历运行的进程列表从而检查 fridaserver 是否在运行。 2 3 4 5 6 7 8 9 10 11 12 13 14 15
frida的原理是什么？
07-23
Frida 是一款用于动态分析和修改应用程序的开源工具。它使用了注入式的方式，可以在运行中的应用程序中插入自定义的代码，从而实现对应用程序的监控和修改。Frida 的原理主要包括以下几个步骤： 1. 应用程序注入：Frida 通过在目标应用程序的进程中注入自己的代码来实现与应用程序的交互。这个注入过程可以通过多种方式实现，比如使用动态链接库注入、使用 ptrace 进行注入等。 2. 与应用程序通信：Frida 通过建立与目标应用程序的通信通道，使得自己的代码能够与应用程序进行交互。这个通信通道可以通过进程间通信（IPC）机制来实现，比如使用管道、Socket 等方式。 3. 动态分析和修改：一旦 Frida 成功注入到目标应用程序中并建立了通信通道，它就可以对应用程序进行动态分析和修改。Frida 提供了一套 JavaScript API，可以编写脚本来监控、修改和操作目标应用程序的内存、文件系统、网络等资源。 总的来说，Frida 的原理是通过注入自己的代码到目标应用程序中，并与应用程序建立通信通道，从而实现对应用程序的动态分析和修改。这使得开发人员可以在运行中的应用程序中进行调试、逆向工程和安全研究等操作。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值