frida需要Java基础吗_frida入门总结

一、Frida概述

Frida是一款轻量级HOOK框架,可用于多平台上,例如android、windows、ios等。

frida分为两部分,服务端运行在目标机上,通过注入进程的方式来实现劫持应用函数,另一部分运行在系统机器上。

frida上层接口支持js、python、c等。

Frida官方github地址为:frida官方github地址

PS:虽然百度一下会发现frida教程有不少,但是涉及到native层的教程基本很少,然后对每一句Hook代码解释一下的更是少之又少,所以我还是厚着脸皮从自己的角度写了这一篇!!!

二、Frida安装

1 、安装python3.7并配置好环境变量(官方推荐python3以上版本至少为3.7),python安装包官方下载地址:https://www.python.org/downloads/。

2 、安装frida模块,命令为pip install frida(配置了多个python版本环境的可以使用命令python -m pip install frida防止用pip install frida命令报错)。

3、安装frida-tools模块,命令同上,pip install frida-tools或者python -m pip install frida-tools。

4、下载运行在目标机上的frida-sever端,官方下载地址:https://github.com/frida/frida/releases,下载时要选择对应的版本下载,例如我的机器为arm32为架构,就选择frida-server-12.8.14-android-arm.xz下载。(可以在adb使用命令cat /proc/cpuinfo查询)

5、将第四步下载好的文件解压,然后通过命令adb push 你的电脑是存放位置 /data/local/tmp将文件传输到手机中,然后通过adb shell进入手机端,给文件赋权777,并于root权限启动。

6、做完以上几步后,新开一个命令行输入命令frida-ps -U查看手机进程,如果出现以下结果,则frida安装成功。

三、Frida Hook Java层

1、编写一个小demo用来hook,该demo关键部分代码如下:

2、现在我们将该apk安装好,运行看一下未Hook前的显示字符串!!!

3、现在来编写Hook的Python脚本,脚本代码如下:

import frida #导入frida模块

import sys #导入sys模块

jscode = """ #从此处开始定义用来Hook的javascript代码

Java.perform(function(){

var MainActivity = Java.use('com.example.testfrida.MainActivity'); //获得MainActivity类

MainActivity.testFrida.implementation = function(){ //Hook testFrida函数,用js自己实现

send('Statr! Hook!'); //发送信息,用于回调python中的函数

return 'Change String!' //劫持返回值,修改为我们想要返回的字符串

}

});

"""

def on_message(message,data): #js中执行send函数后要回调的函数

print(message)

process = frida.get_remote_device().attach('com.example.testfrida') #得到设备并劫持进程com.example.testfrida(该开始用get_usb_device函数用来获取设备,但是一直报错找不到设备,改用get_remote_device函数即可解决这个问题)

script = process.create_script(jscode) #创建js脚本

script.on('message',on_message) #加载回调函数,也就是js中执行send函数规定要执行的python函数

script.load() #加载脚本

sys.stdin.read()

4、现在python脚本编写完毕,我们来执行该脚本,首先手机端执行frida,然后通过命令adb forward tcp:27043 tcp:27043和adb forward tcp:27042 tcp:27042来转发这两个端口,接着在手机上运行该应用程序,在命令行中执行脚本,最后点击应用的按钮,即可看到字符串已经被替换成我们要替换的了!!!

四、Frida Hook Native层

4.1、Hook native层返回值为int类型的demo

1、还是先写一个小demo,下面贴一下关键代码(很简单c语言代码就不再解释了,至于native层函数怎么编写,由于本篇主要不是讲怎么编写so函数,就不过多叙述了,实在不会的可以看一下我的一篇博客,我觉得写得还是挺详细的,博客编写native层函数链接:https://www.cnblogs.com/aWxvdmVseXc0/p/11564809.html)和未Hook前截图:

代码:

/* DO NOT EDIT THIS FILE - it is machine generated */

#include

/* Header for class com_example_fridaso_FridaSoDefine */

#ifndef _Included_com_example_fridaso_FridaSoDefine

#define _Included_com_example_fridaso_FridaSoDefine

#ifdef __cplusplus

extern "C" {

#endif

/*

* Class: com_example_fridaso_FridaSoDefine

* Method: FridaSo

* Signature: (II)I

*/

JNIEXPORT jint JNICALL Java_com_example_fridaso_FridaSoDefine_FridaSo(JNIEnv *env, jclass obj, jint a, jint b)

{

int c;

c = a + b;

return c;

}

#ifdef __cplusplus

}

#endif

#endif

2、接下来我们来写python hook脚本,我们需要hook native层这个函数,达到返回值修改为0的效果。写到这里需要说明一下关于so文件当中的函数,分为导出函数和未导出函数两种,导出函数打开IDA后能够在导出表中找到的函数就是导出函数,未导出函数则在导出表中寻找不到,一般来说静态编写的native函数都能在导出表中寻找到,而动态加载的则无法在导出表中发现!!!

代码如下:(跟上面hook java层重复的代码不在注释详讲了!!!)

import frida

import sys

jscode = """

Java.perform(function(){

//下面这一句代码是指定要Hook的so文件名和要Hook的函数名,函数名就是上面IDA导出表中显示的那个函数名

Interceptor.attach(Module.findExportByName("libfridaso.so","Java_com_example_fridaso_FridaSoDefine_FridaSo"),{

//onEnter: function(args)顾名思义就是进入该函数前要执行的代码,其中args是传入的参数,一般so层函数第一个参数都是JniEnv,第二个参数是jclass,从第三个参数开始才是我们java层传入的参数

onEnter: function(args) {

send("Hook start");

send("args[2]=" + args[2]); //打印我们java层第一个传入的参数

send("args[3]=" + args[3]); //打印我们java层传入的第二个参数

},

onLeave: function(retval){ //onLeave: function(retval)是该函数执行结束要执行的代码,其中retval参数即是返回值

send("return:"+retval); //打印返回值

retval.replace(0); //替换返回值为0

}

});

});

"""

def printMessage(message,data):

if message['type'] == 'send':

print('[*] {0}'.format(message['payload']))

else:

print(message)

process = frida.get_remote_device().attach('com.example.fridaso')

script = process.create_script(jscode)

script.on('message',printMessage)

script.load()

sys.stdin.read()

3、最后在手机端执行frida-server,转发端口,开启应用,执行脚本,点击按钮,即可看到返回值已经被修改成了0,效果图如下:

4.2、Hook native层返回值为String类型的demo

1、上面已经写了怎么Hook修改native层函数返回值为int类型的情况,使用replace()函数直接修改即可,但是返回情况为字符串则不一样,在c语言中,返回值为字符串其实是返回了一个char *(字符串指针),所以简单的替换是无法取效果的,具体怎么修改返回值,接着看下面,下面还是贴上demo的关键代码和未Hook前截图:

代码如下:

/* DO NOT EDIT THIS FILE - it is machine generated */

#include

/* Header for class com_example_fridasostring_fridaSoString */

/* DO NOT EDIT THIS FILE - it is machine generated */

#include

/* Header for class com_example_fridasostring_fridaSoString */

#ifndef _Included_com_example_fridasostring_fridaSoString

#define _Included_com_example_fridasostring_fridaSoString

#ifdef __cplusplus

extern "C" {

#endif

/*

* Class: com_example_fridasostring_fridaSoString

* Method: FridaSo

* Signature: (Ljava/lang/String;)Ljava/lang/String;

*/

JNIEXPORT jstring JNICALL Java_com_example_fridasostring_fridaSoString_FridaSo(JNIEnv *env, jclass obj, jstring str)

{

return str;

}

#ifdef __cplusplus

}

#endif

#endif

未Hook前运行截图:

2、接下来是python Hook脚本(只解释与上面有差异的代码),Hook的函数具体函数名还是使用IDA去寻找

python代码:

import frida

import sys

jscode = """

Java.perform(function(){

Interceptor.attach(Module.findExportByName("libfridaso.so","Java_com_example_fridasostring_fridaSoString_FridaSo"),{

onEnter: function(args) {

send("Hook start");

send("args[2]=" + args[2]);

},

onLeave: function(retval){

send("return:"+retval);

var env = Java.vm.getEnv(); //获取env对象,也就是native函数的第一个参数

var jstrings = env.newStringUtf("tamper"); //因为返回的是字符串指针,使用我们需要构造一个newStringUtf对象,用来代替这个指针

retval.replace(jstrings); //替换返回值

}

});

});

"""

def printMessage(message,data):

if message['type'] == 'send':

print('[*] {0}'.format(message['payload']))

else:

print(message)

process = frida.get_remote_device().attach('com.example.fridasostring')

script = process.create_script(jscode)

script.on('message',printMessage)

script.load()

sys.stdin.read()

3、运行脚本后,点击按钮,我们可以看到字符串已经被替换成了tamper,如下所示:

4、关于为导出函数的Hook,大体上差不多,差别在于需要通过ida找到偏移值计算地址,而不是像导出函数这么方便罢了,但原理都是差不多的,就不在细说了!!!

五、相关附件

  • 0
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值