使用Frida框架进行Java函数的Hook：基于Frida框架的native函数Hook实现(1)

0x01 前言

关于android的hook以前一直用的xposed来hook java层的函数&＃xff0c;对于so层则利用adbi&＃xff0c;但是不知道为什么adbi给我的体验并不是很好&＃xff0c;刚好前段时间了解到frida框架支持android、ios、linux、windows、macos&＃xff0c;而且在android设备上可以同时hook java、native十分方便&＃xff0c;最重要的一点是不需要重启手机&＃xff0c;于是就研究了一下

0x02 搭建环境

操作系统&＃xff1a;windwos7

移动设备&＃xff1a;Nexus 4 (4.4.4)

首先你需要一个android手机&＃xff0c;建议使用google系&＃xff0c;这样会省去很多麻烦&＃xff0c;而且root的话也十分的方便&＃xff0c;只需要去SuperSU下载卡刷包或者apk刷个root进去便可。说回来&＃xff0c;frida是python的一个模块&＃xff0c;所以使用frida的话还需要一些python的基础&＃xff0c;一举两得..顺便入了Python的门&＃xff0c;发现python是真他娘的好用 : D

安装frida模块

一定要确保你的windows有安装python(2、3的版本我都安装了)&＃xff0c;在cmd运行下面命令安装frida模块&＃xff1a;pip install frida

如果你同时有两个python版本&＃xff0c;你可以使用pip2或者pip3来代替pip

下载frida-server导入手机并运行

点击下载frida-server-10.6.28-android-arm.xz&＃xff0c;下载解压后用如下命令把frida-server-10.6.28-android-arm推送到手机上adb push frida-server-10.6.28-android-arm /data/local/tmp/frida-server

更改权限并运行adb shell

su

cd /data/local/tmp

chmod 777 frida-server

./frida-server

测试frida能否成功交互

新开一个cmd&＃xff0c;并转发端口(好像不转发也是可以的&＃xff0c;我后来用的话都没有转发端口)adb forward tcp:27042 tcp:27042

adb forward tcp:27043 tcp:27043

好了&＃xff0c;现在我们测试一下frida是否能成功交互&＃xff0c;在cmd中输入如下命令&＃xff1a;frida-ps -U

测试交互

此时可以看到frida可以成功交互了。

0x03 研究frida

利用命令行工具hook libc.so的open()函数

首先我们知道frida是python的一个模块&＃xff0c;那么这样我们当然可以通过写python脚本import frida来实现对frida的利用&＃xff0c;此外frida同时会提供几个命令行工具(工具存放在python/Scripts目录下面&＃xff0c;所以你可以添加到系统环境变量方便使用)&＃xff0c;例如frida&＃xff0c;可以通过frida -help

查看使用帮助&＃xff1a;

frida -help

此外还有frida-ps&＃xff0c;还有frida-trace、与frida-dicover&＃xff0c;官网上的资料也少&＃xff0c;我大概看了看好像也没啥好用的...

继续说回frida这个命令行工具&＃xff0c;在上图的帮助信息中我们看到&＃xff1a;

"-U" 参数代表我们连接的是远程USB server&＃xff0c;同理你也可以使用其他参数来连接&＃xff0c;

"-f "参数则表示在手机端启动一个你指定的android程序&＃xff0c;那个FILE则表示应用的包名&＃xff0c;通常"-f"这个参数配合"--no-pause"参数来使用&＃xff0c;因为可能不让进程恢复的话可能会有奇怪的问题&＃xff0c;

"-p" 与"-n"命令分别表示attach到进程的名字或者pid&＃xff0c;

"-l"参数则是代表需要注入的Javascript脚本&＃xff0c;而这个Javascript的脚本就是我们所写的hook代码&＃xff0c;完成函数的hook&＃xff0c;内存的dump等一系列功能&＃xff0c;所以顺便又可以学一手node.js岂不美滋滋....

当我们使用frida这个命令行工具成功attach到目标进程的时候&＃xff0c;frida会给我们返回一个Frida CLI&＃xff0c;说明白点就是一个交互窗口&＃xff0c;下面我们就能看到。

好了&＃xff0c;下面我们就利用frida命令行工具来hook一下chrome浏览器中libc.so的open函数frida -U -f com.android.chrome --no-pause

此次我用的是"-f"参数&＃xff0c;也就表示&＃xff0c;我需要重新启动这个chrome浏览器&＃xff0c;并且attach上去&＃xff0c;当然如果你仅仅只想attach到正在运行的应用程序的某一个进程&＃xff0c;你可以用"-p"参数&＃xff0c;那么你肯定好奇了&＃xff0c;你不是说要hook open函数吗&＃xff1f;&＃xff1f; 你的代码呢&＃xff1f;&＃xff1f;逗大家玩呢&＃xff1f;&＃xff1f; 哈哈&＃xff0c;很好你发现了问题&＃xff0c;如果我们只是这样启动程序肯定是不会hook open函数的&＃xff0c;还记得我刚才说的Javascript代码吗&＃xff1f; 我们hook的代码可都在那个里面&＃xff0c;你可以在刚才的命令中加"-l"参数指定你的js hook代码&＃xff0c;load到目标进程。

Frida CLI

很好&＃xff0c;目前我们就有这样一个交互窗口了&＃xff0c;我们刚才忘了使用"-l"参数&＃xff0c;不过不要紧&＃xff0c;我们可以在交互窗口中用"%load"命令来指定需要加载的js代码(如果你需要在程序启动的时候就hook程序的某个函数&＃xff0c;那么我不希望你忘掉用"-l"参数 &＃xff1a;D )&＃xff0c;js代码&＃xff1a;Interceptor.attach(Module.findExportByName("libc.so" , "open"), {

onEnter: function(args) {

log("open() called!")

},

onLeave:function(retval){

}

});

有一点要补充下&＃xff0c;我看到国外有位大佬说要在js代码外面包裹个setImmediate();好像会避免一些超时的问题&＃xff0c;不过我目前还没发现有什么问题&＃xff0c;你喜欢的话可以加上&＃xff1a;DsetImmediate(function(){

Interceptor.attach(Module.findExportByName("libc.so" , "open"), {

onEnter: function(args){

log("open() called!")

},

onLeave:function(retval){

}

});

});

将代码load进去&＃xff01;

frida CLI load js脚本 并 hook open函数

顺手点几下屏幕&＃xff0c;发现这个open函数已经hook到了&＃xff0c;当然这个只是CLI的很小一部分功能&＃xff0c;它支持命令补全&＃xff0c;具体详细的用法或命令可以去看官网的Javascript API

利用python frida模块hook libc.so的open()函数

前面说的是frida提供的命令行工具&＃xff0c;那么下面我们就要自己写python代码来利用frida模块了&＃xff0c;我们还是hook chrome的open函数(open函数&＃xff1a;我招你惹你了&＃xff1f; : / )&＃xff0c;python代码如下&＃xff1a;# hook chrome进程的libc.so中的函数open

import frida

import sys

device &＃61; frida.get_usb_device()

pid &＃61; device.spawn(["com.android.chrome"])

session &＃61; device.attach(pid)

device.resume(pid)

scr &＃61; """

Interceptor.attach(Module.findExportByName("libc.so" , "open"), {

onEnter: function(args) {

send("open called!");

},

onLeave:function(retval){

}

});

"""

def on_message(message ,data):

print(message[&＃39;payload&＃39;])

script &＃61; session.create_script(scr)

script.on("message" , on_message)

script.load()

sys.stdin.read()

效果如下&＃xff1a;

python hook open函数

ok&＃xff0c;是不是很干脆&＃xff1f; 我们来看一下代码:device &＃61; frida.get_usb_device() 表示连接usb设备&＃xff0c;我们在ipython看一下这个device是个啥&＃xff1a;

device

好像是一个类对象吧&＃xff0c;我最近才接触python&＃xff0c;很多不是很懂... 继续tab一下看看device都有什么属性&＃xff1a;

device属性

在tab过后我们发现有如上这么多属性&＃xff0c;而上面我们代码中用到的spawn()方法&＃xff0c;它的参数是python列表[“com.android.chrome”]&＃xff0c;然后返回值传递给pid 这样我们便可以启动chrome这个应用&＃xff1a;

可以看到返回值是int类型的&＃xff0c;目前我们发现程序还并没有启动&＃xff0c;main thread还处于阻塞状态&＃xff0c;而我们通过

device.resume(pid)便可以让应用恢复运行&＃xff0c;不过在此之前&＃xff0c;我们需要通过device.attach(pid)方法获取session对象来附加到目标进程中&＃xff0c;我们看一下session都有什么属性&＃xff1a;

这些属性大家可以自己尝试下&＃xff0c;我们通过script &＃61; session.create_script(scr)来创建js脚本&＃xff0c;scr就是我们需要load到目标进程中的js代码&＃xff0c;创建脚本后返回给script

script可以看到script是frida.core.Script的一个对象&＃xff0c;大家有能力的话可以去阅读一下源码&＃xff0c;script包含的属性如下&＃xff1a;

script属性

在执行script.on("message" , on_message)与script.load()后我们就成功把js代码注入到com.android.chrome进程中了&＃xff0c;如果进程调用open函数&＃xff0c;就会通过js代码中的send函数发回message&＃xff0c;我们这回直接打印message&＃xff1a;

message

可以看到send传回的message在python中是字典类型&＃xff0c;其中&＃39;payload&＃39;字段就是我们send所写的内容“open called!”

看回js代码Interceptor.attach(Module.findExportByName("libc.so" , "open"), {

onEnter: function(args) {

send("open called!");

},

onLeave:function(retval){

}

});

在进程调用open函数后send只是去打印"open called!"&＃xff0c;那我不光想打印open函数有没有调用&＃xff0c;我还想看看它的值是什么&＃xff0c;能做到吗&＃xff1f;

当然可以 &＃xff1a;D&＃xff0c;这个args其实就包括我们想要的东西&＃xff0c;onEnter 表示在函数调用之前执行的代码&＃xff0c;onLeave 表示在函数执行后需要执行的代码&＃xff0c;所以这个retval也就包括了返回值&＃xff0c;关于我们用的Interceptor API&＃xff0c;frida官方的Javascript API 文档是这么写的&＃xff1a;

Interceptor

Interceptor.attach()第一个参数是一个NativePointer指针&＃xff0c;在之前我们用的Module.findExportByName("libc.so" , "open")的返回值&＃xff0c;关于Moudle同样在文档中可以找到&＃xff0c;第二个参数则就是我们的js代码块&＃xff0c;我们所要的打印参数与返回值也就是在这里完成。

Module.findExportByName

我们完善一下代码&＃xff0c;关于libc.so的open函数参数是这样定义的&＃xff0c;int open( const char * pathname, int flags);

那我们就尝试打印出来pathname&＃xff0c;并把结果写入到文件中&＃xff0c;毕竟总是输出到cmd会看的很乱也不好找&＃xff0c;修改后的代码如下&＃xff1a;# hook chrome进程的libc.so中的函数open

import frida

import sys

import io

device &＃61; frida.get_usb_device()

session &＃61; device.attach(int(sys.argv[1]))

scr &＃61; """

setImmediate(function() {

Interceptor.attach(Module.findExportByName("libc.so" , "open"), {

onEnter: function(args) {

send("open called! args[0]:",Memory.readByteArray(args[0],256));

},

onLeave:function(retval){

}

});

});

"""

def on_message(message ,data):

file_object&＃61;open("d:\\log.txt",&＃39;ab&＃43;&＃39;)

file_object.write(message[&＃39;payload&＃39;].encode())

file_object.write(data.split(b&＃39;\x00&＃39;)[0])

file_object.write(&＃39;\n&＃39;.encode())

file_object.close()

script &＃61; session.create_script(scr)

script.on("message" , on_message)

script.load()

sys.stdin.read()

log如下&＃xff1a;open called! args[0]:/data/data/com.android.chrome/shared_prefs/com.android.chrome_preferences.xml

open called! args[0]:/data/data/com.android.chrome/cache/Cache/3e0cddc5ac3f04af_0

open called! args[0]:/data/data/com.android.chrome/cache/.com.google.Chrome.XETk74

open called! args[0]:/data/data/com.android.chrome/cache/.com.google.Chrome.XETk74

open called! args[0]:/data/data/com.android.chrome/shared_prefs/com.android.chrome_preferences.xml

open called! args[0]:/dev/ashmem

open called! args[0]:/data/data/com.android.chrome/app_tabs/0/tab_state0

open called! args[0]:/data/data/com.android.chrome/cache/Cache/c94e1f14f3976339_0

open called! args[0]:/data/data/com.android.chrome/cache/Cache/3fc24daa4a4425e7_0

open called! args[0]:/dev/ashmem

open called! args[0]:/dev/ashmem

open called! args[0]:/dev/ashmem

open called! args[0]:/dev/ashmem

open called! args[0]:/dev/ashmem

open called! args[0]:/dev/ashmem

open called! args[0]:/data/data/com.android.chrome/cache/.com.google.Chrome.E0rQGy

open called! args[0]:/data/data/com.android.chrome/cache/.com.google.Chrome.E0rQGy

open called! args[0]:/dev/ashmem

open called! args[0]:/dev/ashmem

open called! args[0]:/dev/ashmem

open called! args[0]:/dev/ashmem

open called! args[0]:/dev/ashmem

open called! args[0]:/dev/ashmem

open called! args[0]:/dev/ashmem

open called! args[0]:/dev/ashmem

open called! args[0]:/data/data/com.android.chrome/app_textures/32

open called! args[0]:/data/data/com.android.chrome/cache/Cache/e1c32483ea7ba39f_0

open called! args[0]:/dev/ashmem

细心的同学可能会发现&＃xff0c;我这次没有用spawn()函数来启动chrome应用&＃xff0c;因为如果你想hook的动作如果不是在程序开始就进行的话&＃xff0c;而是可控的动作&＃xff0c;那么你直接attach到其相应的进程上就好了&＃xff0c;这样可以避免我从程序一开始就大量hook open函数&＃xff0c;此次我们启动的方式为python open.py 27032 其中第一个参数就是pid 指定我们需要hook的进程&＃xff0c;我选择的是chrome的主进程的进程号&＃xff0c;我们继续往下看。send("open called! args[0]:",Memory.readByteArray(args[0],256));

可以看到args[0]表示open的第一个参数&＃xff0c;由于我并不知道第一个参数的长度有多长&＃xff0c;所以我用Memory.readByteArray(args[0],256)来读取256个字节(文件名一般不会长过256个字节吧&＃xff1f; &＃xff1a;D)&＃xff0c;然后传递给send(message[, data])的第二个参数data&＃xff0c;关于send(message[, data])的介绍也在官网的JS API中&＃xff0c;如下截图&＃xff1a;

可见第二个参数是需要ArrayBuffer类型的&＃xff0c;而Memory.readByteArray(args[0],256)的返回值刚好是ArrayBuffer类型的&＃xff0c;所以直接传值就可以&＃xff0c;那么有的同学会问&＃xff0c;如果不是ArrayBuffer类型的怎么办&＃xff0c;比如说文档中的hexdump(target[, options])函数&＃xff0c;它的返回值不是ArrayBuffer类型的&＃xff0c;那么我们就需要利用下面的函数来转换&＃xff1a;function str2ab(str){

var buf &＃61; new ArrayBuffer(str.length); // 1 bytes for each char

var bufView &＃61; new Uint8Array(buf);

for (var i&＃61;0, strLen&＃61;str.length; i

bufView[i] &＃61; str.charCodeAt(i);

}

return buf;

}

将上面这段代码放入hook代码中&＃xff0c;然后调用它便可以解决问题。好了&＃xff0c;数据通过send(message[, data])传递给python的on_message(message,data)函数,其中第一个参数我们前面已经介绍过了&＃xff0c;他是一个python字典类型&＃xff0c;其中的message[&＃39;payload&＃39;]存放的就是send(message[, data])的第一个参数内容&＃xff0c;on_message(message,data)第二个参数data则是send(message[, data])的第二个参数&＃xff0c;不过是以bytes的类型传递给python data参数。所以我们写入文件的话&＃xff0c;如果文件打开方式为"ab&＃43;"那么直接可以写进去&＃xff0c;否则如果是"a&＃43;"来打开文件的话&＃xff0c;那么需要data.decode()转换为str类型来写入&＃xff0c;那细心的同学可能问了&＃xff0c;你为啥写的data.split(b&＃39;\x00&＃39;)[0]&＃xff0c;首先我打开方式是"ab&＃43;"&＃xff0c;所以不需要转换类型&＃xff0c;其次由于我之前不知道args[0]有多长&＃xff0c;所以我读取了256个字节&＃xff0c;那这256个字节肯定不是我全想要的&＃xff0c;我们知道文件名中肯定不能存在0x00字节&＃xff0c;而且C语言中字符串是要以0x00&＃39;\0&＃39;作为截断的&＃xff0c;所以我用split(b&＃39;\x00&＃39;)[0]分割字符串并且取列表中的第一项输出到文件。

到此我们的open函数就算是hook完了(open函数 :D )&＃xff0c;下一期我们再hook一下别的东西&＃xff0c;敬请期待哦。

0x04 参考文章与相关资源&＃xff1a;