0x02 操作笔记

1. 注入OR生成新进程

• 注入进程: frida -U com.xxx.xxx (注入到运行中的进程)
• 生成进程: frida -U -f com.xxx.xxx (注入到Zygote,生成新进程)
• 使用--no-pause命令,配合-f命令使用,不暂停在app启动时,如果没有使用no pause命令，需要进入CLI后用%resume恢复执行
• 注入JS: frida -U com.xxx.xxx -l xxx.js
• 在新进程中注入: frida -U -f com.xxx.xxx -l xxx.js --no-pause
• F参数省去输入包名: frida -U -F -l xxx.js --no-pause, -F会直接注入当前APP

2. Hook Java

1. Hook代码必须包装在Java.perform(function(){...})中
2. 使用setImmediate(function() {...}包装Java.perform，可以让已注入的代码实时更新（修改js代码，无需重启即可立即生效）
3. 如果目标function没有重载方法，可以直接implementation Hook目标函数，如果目标function有多个重载方法，需要在implementation前使用overload(xx)。 注: Hook重载方法时，可以先不写overload，让注入报错，然后直接复制系统提示的重载方法，就省去自己写方法签名。
4. $init表示构造方法，比如Hook testClz类的构造方法testClz.$init.implementation;
5. Java.choose(className, callbacks) Hook没有被调用的方法、字段，示列如下:

Java.choose("com.xx.MainActivity" , {
  //每次扫描到一个实例对象，就调用一次，即，该类有多少个实例，该回调就会被触发多少次
  onMatch : function(instance){
    console.log("Found instance: "+instance);
    console.log("Result of secret func: " + instance.secret());
  },
  //当所有的对象都扫描完毕之后进行回调
  onComplete:function(){}
});

6. function callSecretFun() {...}定义导出函数，使app内的方法可以在py里面直接调用;

function callSecretFun() { //定义导出函数
    Java.perform(function () { //找到隐藏函数并且调用
        Java.choose("com.xx.MainActivity", {
            onMatch: function (instance) {
                console.log("Found instance: " + instance);
                console.log("Result of secret func: " + instance.secret());
            },
            onComplete: function () { }
        });
    });
}
rpc.exports = {
    callsecretfunction: callSecretFun //把callSecretFun函数导出为callsecretfunction符号，导出名不可以有大写字母或者下划线
};

py里面直接调用script.exports.callsecretfunction()

常用命令

• frida-ls-devices 列出电脑连接的设备
• frida -D devices id  连接指定设备id的设备（电脑usb连接多台设备时）

回调对象

如下示例,长下面这个样子:

{
  "onMatch":function(arg1, ...){ ... },
  "onComplete":function(){ ... },
}

ByteString.of是用来把byte[]数组转成hex字符串的函数, Android系统自带ByteString类：

var ByteString = Java.use("com.android.okhttp.okio.ByteString");
ByteString.of(result).hex()

打印[object]

Java.openClassFile("/data/local/tmp/r0gson.dex").load();
const gson = Java.use('com.r0ysue.gson.Gson');
console.log(gson.$new().toJson(xxx));

3.JS code

xxx.js   定位并打印对应参数

console.log("Script loaded successfully 1");
Java.perform(function x() {
  //  hook initEx 并打印
  var test1 = Java.use('com.xxx')//定位到要hook的类名
  test1.initEx.implementation = function (arg1,arg2) {//equals就是我们要hook的函数,参数个数要对应上。
  console.log("initEx param1 : " + arg1);
  console.log("initEx param2 : " + arg2);//打印出来真实的参数
  var ret = this.equals(arg1);
  return ret;//返回值  返回值最好和hook的函数逻辑一致，不然会导致程序无法继续运行。如果只是单纯要打印就无所谓
  }

  // hook 打印资源类容
  var test1 = Java.use('com.xxx')//定位到要hook的类名
  // 有的函数涉及到重载， 如果不知道怎么写，可以先不用overload，从frida的报错信息补充完整即可。
  test1.a.overload('android.content.Context').implementation = function (arg1,arg2,arg3,arg4,arg5,arg6) {
    console.log("initExRaw param1 : " + arg1.getResources().getString(0x7f0f140b));  // 原混淆代码为 R.getString("name"), 可以直接用资源文件里面的二进制值
    console.log("initExRaw param1 : " + arg1.getResources());
    console.log("initExRaw param2 : " + arg2);//打印出来真实的解锁码
  }

});
console.log("Script loaded successfully 2");