frida反调试

最新推荐文章于 2024-07-11 14:24:50 发布

分享家

最新推荐文章于 2024-07-11 14:24:50 发布

阅读量5.6k

点赞数

文章标签： android

本文链接：https://blog.csdn.net/xuzhao3426707/article/details/129728844

版权

这篇博客探讨了如何利用frida进行反调试技术，包括检测文件名、端口、D-Bus、映射文件和进程状态。通过hook系统库函数、检查maps和status文件，以及针对openat的syscall检测，防止调试器的注入。文中还提到了frida-inject、ptrace注入和编译ROM注入等替代注入方式，并提供了部分源代码示例。

摘要由CSDN通过智能技术生成

frida反调试

常见frida检测

1、检测文件名（改名）、端口名27042（改端口）、双进程保护（spawn启动）

2、检测D-Bus

D-Bus是一种进程间通信(IPC)和远程过程调用(RPC)机制,最初是为Linux开发的,目的是用一个统一的协议替代现有的和竞争的IPC解决方案。

function main() {
const openPtr = Module.getExportByName(‘libc.so’, ‘open’);
const open = new NativeFunction(openPtr, ‘int’, [‘pointer’, ‘int’]);
var readPtr = Module.findExportByName(“libc.so”, “read”);
var read = new NativeFunction(readPtr, ‘int’, [‘int’, ‘pointer’, “int”]);
var fakePath = “/data/data/com.app/maps”;
var file = new File(fakePath, “w”);
var buffer = Memory.alloc(512);
Interceptor.replace(openPtr, new NativeCallback(function (pathnameptr, flag) {
var pathname = Memory.readUtf8String(pathnameptr);
var realFd = open(pathnameptr, flag);
if (pathname.indexOf(“maps”) >= 0) {
w