前言

Frida是个轻量级别的hook框架,是Python API，但JavaScript调试逻辑,它既可以hook java层也可以hook native层

Frida的核心是用C编写的，并将Google的V8引擎注入到目标进程中，在这些进程中，JS可以完全访问内存，挂钩函数甚至调用进程内的本机函数来执行。

使用Python和JS可以使用无风险的API进行快速开发。Frida可以帮助您轻松捕获JS中的错误并为您提供异常而不是崩溃。

环境

Android4.4.4
Nexus5手机(ARM)
frida12.11.18
python3.6

安装

首先使用pip安装frida和frida-tools模块

pip install frida
pip install frida-tools

我这里使用PyCharm安装

image.png

getprop ro.product.cpu.abi

image.png

所以我们下载这个版本

image.png

下载后解压重命名为frida-server 并push到手机上。
进入root权限，给其权限并运行,手机会重启

image.png

image.png

然后把端口转发到PC端：

adb forward tcp:27042 tcp:27042

adb forward tcp:27043 tcp:27043

到这里我们就把通信的手机端工作做完了

java层Hook

我们要做事情
1.hook类的普通方法
2.hook类的构造方法
3.构造和修改自定义类型对象和属性

先写一个目标app

image.png

package com.shark.fridatarget;

public class SharkUtils {
    public static String getPwd(String info) {
        return info + "shark";
    }

    public static String getPwd() {
        return "shark";
    }

    public static Student getStu() {
        return new Student("fujie", 100);
    }

    public static int getStuScore(Student student) {
        return student.getScore();
    }
}

Student.java

package com.shark.fridatarget;

public class Student {

    public String getName() {
        return name;
    }

    public void setName(String name) {
        this.name = name;
    }

    public int getScore() {
        return score;
    }

    public void setScore(int score) {
        this.score = score;
    }

    public String name;
    public int score;

    public Student(String name, int score) {
        this.name = name;
        this.score = score;
    }


}

MainActivity.java

package com.shark.fridatarget;

import androidx.appcompat.app.AppCompatActivity;

import android.os.Bundle;
import android.widget.TextView;

public class MainActivity extends AppCompatActivity {

    TextView textView;
    TextView textView2;
    TextView textView3;
    @Override
    protected void onCreate(Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        setContentView(R.layout.activity_main);

        textView = findViewById(R.id.test);
        Student student = SharkUtils.getStu();
        textView.setText("姓名:" + student.getName() + "------分数:" + student.getScore());

        textView2 = findViewById(R.id.test2);
        textView2.setText("password:"+SharkUtils.getPwd("123456"));

        textView3 = findViewById(R.id.test3);
        textView3.setText("getStuScore:"+SharkUtils.getStuScore(student));

    }
}

app就是调用SharkUtils的方法，然后将返回的信息输出到控件上
运行如下

image.png

现在就来编写Hook代码

import frida  # 导入frida模块
import sys  # 导入sys模块

jscode = """  //从此处开始定义用来Hook的javascript代码
    Java.perform(function(){  
        var student = Java.use('com.shark.fridatarget.Student'); //获得Student类
        var sharkUtils = Java.use('com.shark.fridatarget.SharkUtils'); //获得SharkUtils类
        var clazz = Java.use('java.lang.Class'); //获得Class类
         //Hook普通方法
        sharkUtils.getPwd.overload("java.lang.String").implementation = function(info){ 
            //方式一获取参数
            send("getPwd1:"+info);
            //方式二获取参数
            send("getPwd2:"+arguments[0]);
            return this.getPwd("shark"); //劫持返回值，修改为我们想要返回的字符串
        }
        
        //Hook Student的构造函数$init，用js自己实现
        student.$init.overload("java.lang.String","int").implementation = function(name,score){ 
            send('Statr! Hook!'); //发送信息，用于回调python中的函数
            return this.$init("shark",99); //调用原来的初始化方法
        }
       
       //构造和修改自定义类型对象和属性
       sharkUtils.getStuScore.overload("com.shark.fridatarget.Student").implementation = function(student){ 
            send('student:'+student); 
            
            //使用方法得到属性
            var score = student.getScore();
            send('student score:'+score); 
            //直接得到属性
            var score2 = student.score;
            send('student score2:'+score); 

             //构造一个新的student对象
            var new_stu = student.$new("shark chilli",55);

            //将com.shark.fridatarget.Student转化java.lang.Class
            var scorc_field = Java.cast(student.getClass(),clazz).getDeclaredField("score");
            //这里就是普通的反射了
            scorc_field.setAccessible(true);
            send('reflect scorc_field:'+scorc_field.get(student)); 
            scorc_field.setInt(student,999);
            return student.getScore(); 
        }
    });
"""

def on_message(message, data):  # js中执行send函数后要回调的函数
    print(message)

# 得到设备并劫持进程com.shark.fridatarget（
 # 该开始用get_usb_device函数用来获取设备，但是一直报错找不到设备，改用get_remote_device函数即可解决这个问题）
process = frida.get_remote_device().attach('com.shark.fridatarget')

script = process.create_script(jscode)  # 创建js脚本
script.on('message', on_message)  # 加载回调函数，也就是js中执行send函数规定要执行的python函数
script.load()  # 加载脚本
sys.stdin.read()

image.png

这段代码就是hook的整体逻辑使用get_remote_device来获取到设备，然后调用attach附加到app上，所以这里必须要在手机上打开这个应用。否则会找不到。然后创建js脚本，加载回调函数就是我们自己定义的on_message函数，这样js中调用send就调用了我们的on_message函数了。下面就是加载脚本了。

 Java.perform(function(){ 
  ...
 });

我们的hook逻辑都写在上面的js代码中

image.png

image.png

image.png

image.png

构造和修改自定义类型对象和属性，想new一个类的实例使用的是$new。其他的代码和java中的反射大同小异。注意一下的是要使用反射操作这个student实例前需要使用cast转化成java.lang.Class

运行

image.png

引用

Frida hook入门
Android逆向之旅—Hook神器家族的Frida工具使用详解
frida入门总结