菜鸟学飞之frida整合怪

1、阅读书籍

2、论坛

3、培训

4、开源项目

5、个人博客

6、练手和实战

整合工具开发，我觉得是一种比较高效的学习方式。将别人优秀的项目魔改，并且进行一定的拼合，整理成一个成套的工具。在整理的过程中，必然要熟悉对方的代码，并且对部分代码进行调整。在这个过程中，就能快速汲取到他人的经验。这种行为。就是所谓的整合怪/缝合怪了。

1、js脚本的hook和管理（对批量多个脚本同时hook，可以自定义脚本进行管理，可以保存加载。必须是在附加前进行操作。）

• 整合r0capture
• 整合jnitrace
• 整合ZenTracer
• java层的加解密相关自吐
• ssl证书导出
• ssl pining（整合DroidSSLUnpinning）
• 模糊匹配函数进行批量hook（整合ZenTracer）
• 模糊匹配so函数批量hook（参数统一方式打印，所以输出只能做参考）
• native的sub函数批量hook（参数统一方式打印，所以输出只能做参考）
• stalker的trace
• 脱壳相关（整合frida_dump、FRIDA-DEXDump、fart）
• 自定义脚本添加 （todo 待开发）
• patch汇编代码 （todo 待开发）

2、常用功能的调用（常见的内存漫游操作进行功能化，以后再根据实战需求增加新功能。必须是在附加后进行操作。）

• fart主动调用
• DUMPDex主动调用
• dump打印指定地址
• dump指定模块
• wallBreak整合

3、初始化信息

附加进程成功后，将一些常用的信息在界面展示。目前只处理了module列表和class列表，以后再根据需求增加新的信息。

github：https://github.com/dqzg12300/fridaUiTools

github：https://github.com/hluwa/ZenTracer

功能：

界面化的批量hook多个类，可以通过拉黑过滤掉一些调用率特别高的类。

实现原理：

在js脚本中使用占位符{MATCHREGEX}和{BLACKREGEX}在后续替换，来传递参数需要批量trace的类名以及黑名单。遍历所有类匹配出符合要求的类名。并且不在黑名单中，则进行批量hook。批量hook时会将函数所有重载都hook上。最后是三种输出方式，正常的log输出、函数进入时的参数输出、函数结束时的返回值输出。

核心代码（简略）：

改造并整合：

优化界面显示，优化类名的输入环节。每次附加进程后，都将所有类名都保存下来，这里就可以选择之前缓存下来的所有类数据。然后根据输入智能过滤，可以快捷方便的找到自己想要hook的类。快捷添加操作，将经常要hook的类放在里面，就可以迅速的hook了。

相关贴图：

github：https://github.com/r0ysue/r0capture

功能：

安卓应用抓包的通杀脚本，并且可以过证书校验解绑定ssl pining，可以导出客户端ssl证书，可以导出pcap文件。

实现原理：

核心代码（简略）：

我去掉了pcap的保存，直接调用脚本，把输出方式统一起来（去掉所有js的console.log打印，统一格式send到py进行输出）。其他功能都保持原有的。

github：https://github.com/Areizen/JNI-Frida-Hook

功能：

实现原理：

核心代码（简略）：

改造并整合：

他只针对了spawn的附加情况进行hook。我调整了下，判断是哪种附加，再进行不同方式的调用，最后统一下输出的方式。

github：https://github.com/WooyunDota/DroidSSLUnpinning

功能：

主要是处理防抓包的双向验证的，客户端验证服务端的证书。这个项目可以解掉证书绑定，让中间人抓包正常运行。效果和JustTrustMe差不多。他厉害的地方在于支持各种库的解绑定，市面上大多数的绑定方式他都有处理到。下面列一下大佬的支持的库：

1.SSLcontext

2.okhttp

3.webview

4.XUtils

5.httpclientandroidlib

6.JSSE

7.network\_security\_config (android 7.0+)

8.Apache Http client (support partly)

9.OpenSSLSocketImpl

10.TrustKit

11.Cronet

实现原理：

其实实现不难，但是关键是你要熟悉各种库的正向解绑定，知道是哪个函数来绑定的，然后将绑定函数给替换掉，直接改成空函数。所以像他这种支持这么多的，就比较厉害了。

核心代码（简略）：

github：https://github.com/bmax121/sktrace

功能：

这个项目主要是用stalker来实现trace汇编代码，打印每一句汇编指令执行后寄存器的变化。一般用于辅助分析算法还原。但是由于frida的stalker本身对arm32的支持不太好，所以这个项目目前还不支持arm32。目前还未支持spawn附加，对于c的打印方式还未完善，没有打印出寄存器的具体数值。

实现原理：

首先CModule声明了一段c的代码，然后transform设置使用c的函数。我想，他可能是为了方便打印数据。工作流程比较简单，就是设置了目标模块，设置了符号或地址（一般是函数开始的地址，会一直执行到这个函数完，所以不用设置终止位置）。

他设置了两种打印方式stalkerTraceRangeC和stalkerTraceRange。用c的打印方式结果展示的比较好，但是缺少寄存器数值变化。另一种则是直接发送到py，让py部分来处理结果，但是我看他py部分也是没有解析输出。自己动手改良了一下。

核心代码（简略）：

改造并整合：

优化py结果打印，增加spawn支持。

github：https://github.com/lasting-yang/frida_hook_libart

功能：（ps：yang大神的三件套，向大佬学习，给大佬递茶。）

实现原理：

核心代码（简略）：

改造并整合：

github：https://github.com/lasting-yang/frida_dump

功能：

实现原理：

改造并整合：

测试了下libart.so不需要spawn判断，都可以获取到，所以去掉spawn判断部分。然后在dex保存的时候，碰到了权限问题。不知道是不是和安卓10有关，总之修改成py来负责创建目录，赋值权限，增加功能从手机直接把脱壳好的文件下载到项目内。dump_dex_class的dump_dex抽成功能单独调用。

github：https://github.com/hluwa/FRIDA-DEXDump

功能：

也是脱壳，不过和上面的方式不一样，是在内存中检索dex的特征的，再dump出来进行脱壳。同时支持objection。

实现原理：

改造并整合：统一下日志输出

github：https://github.com/hanbinglengyue/FART

功能：

也是脱壳用的。基于主动调用的脱壳，可以过掉大多数函数抽取壳。这是fart的frida版本，免去了编译rom。

实现原理：

1、FART：ART环境下基于主动调用的自动化脱壳方案

2、FART正餐前甜点：ART下几个通用简单高效的dump内存中dex方法

3、拨云见日：安卓APP脱壳的本质以及如何快速发现ART下的脱壳点

改造并整理：

将fart主动调用和dumpclass主动调用设置到rpc中。在功能里面来调用触发，增加将libart.so快捷push到手机并chmod权限的功能，另外测试发现LoadMethod地址的获取处，在安卓10无法获取到函数地址，修改成支持安卓10的。代码如下：

github：https://github.com/hluwa/Wallbreaker

功能：

主要是内存漫游，搜索内存中的java类和对象，并且可以打印类的结构体，以及对象的数据。

实现原理：

改造并整理：

结果输出方式调整。rpc.exports修改初始化方式，以免覆盖到其他js的rpc函数。将需要使用的所有脚本添加后，最后默认追加这个脚本。由于我默认做了类列表和过滤功能，所以classsearch可能有点鸡肋。

相关贴图：