从三道题目入门frida

偶然从看雪看到了一篇入门frida的题目，正好苦于没练手的东西，直接上手一波

1.第一题jadx打开，也没有壳和混淆，整体非常清晰，判断的逻辑也很简单

发现其实就是两个输入框，一个用户名一个密码，先拼接起来然后传入VVVVV.VVVV()方法中去校验，跟进去看一手

其实代码逻辑还是挺清晰的，手逆也不难，但是这里主要还是用hook来做，这里破解是非常容易的，直接hook VVVV()方法的返回值直接返回为true

，这样不管输入什么都只会通过，但是这边的话，我们还是选择要得到flag，所以选择在frida中进行爆破，求解，因为在方法中也可以调用原方法，而且

字符串的位数只有5位，爆破还是挺容易的，不过要注意的地方就是js的字符串和java的不太一样，所以我们需要通过hook java.lang.String类，然后

去实现java的字符串对象，进而调用原方法

function main()

{

    Java.perform(function(){

        var string_class=Java.use("java.lang.String");

        Java.use("com.kanxue.pediy1.VVVVV").VVVV.implementation=function(t,y)

        {

            for(var i=0;i<=9;i++)

            {

                for(var j=0;j<=9;j++)

                {

                    for(var k=0;k<=9;k++)

                    {

                        for(var w=0;w<=9;w++){

                            for(var x=0;x<=9;x++)

                            {

                                var res=string_class.$new(i.toString()+j.toString()+k.toString()+w.toString()+x.toString());

                                if(this.VVVV(t,res))

                                {

                                    console.log("right answer:",res);

                                    return true;

                                }else

                                {

                                    console.log("wrong answer:",res);

                                }

                            }

                        }

                    }

                }

            }

        }

    })

}

setImmediate(main);

frida -U --no-pause -f 包名 -l 注入的js。启动就等着结果出来就好了

第二题走起：

第二题有点热修复的意思，就是调用文件夹中dex中类的方法，

其实就是自定义了个classloader，只要hook就完事了，然后和第一题校验逻辑是一样的，爆破就好了

function main()

{

    Java.perform(function(){

        console.log("YenKoc");

        Java.enumerateClassLoaders({

            onMatch:function(loader){

                try{

                    if(loader.findClass("com.kanxue.pediy1.VVVVV"))

                    //if(loader.toString().indexOf('dalvik.system.DexClassLoader')>-1)

                    {

                        console.log("find right classloader");

                        console.log(loader);

                        Java.classFactory.loader=loader;

                        hookVVVV();

                        return;

                    }

                }catch(error)

                {

                    console.log("find error"+error);

                }

            },

            onComplete:function(){

                console.log("end1");

            }

        })

    })

}

function hookVVVV(){

    Java.perform(function(){

        console.log('loader',Java.classFactory.loader);

            for (var i = 0; i <= 9; i++) {

                for (var j = 0; j <= 9; j++) {

                    for (var k = 0; k <= 9; k++) {

                        for (var t = 0; t <= 9; t++) {

                            for (var y = 0; y <= 9; y++) {

                                    var newInput = Java.use('java.lang.String').$new(i.toString()

                                    + j.toString()

                                    + k.toString()

                                    + t.toString()

                                    + y.toString())

                                    //console.log(newInput)

                                    console.log("tmp:",newInput);

                                    var result = Java.use('com.kanxue.pediy1.VVVVV').VVVV(newInput)

                                    if(result == true){

                                        console.log('flag is ',newInput)

                                        return;

                                    }

                                }

                            }

                        }

                    }

                }  

    })

}

setImmediate(main);

//setTimeout(main,2000);

有几点坑的地方，第一个就是这个apk是测试用的apk，所以直接adb install是装不了的，我百度了下，修改androidmainfest.xml文件

把android:testOnly = "true"这个东西删了，二次重打包下，结果还是不行，我丢，然后我又重新adb install -t apk名字，可以安装了

这是安装测试apk的命令，然后就是这题frida -U --no-pause 包名 -l hook注入的js名字，不要在包名加-f了，加-f是spawn，开始就自启动

这样会导致找不到classloader的，所以我们要attach上去，之后才能找到。

第三题：

和第二题相比就是加了检测frida的方法，init（）是native方法，我们用ida打开发现是动态注册，先去找一手jni_onload因为动态注册肯定

先调用这个方法的，

动态注册的话，其实本质就是换了个名字，之前静态注册的话，特征太明显了，java_包名_类名_native方法，所以出现了

动态注册，利用jninativeMethod这个结构体来存储native方法和本地函数的关联

//JNINativeMethod结构体

typedef struct {

    const char* name;       //Java中native方法的名字

    const char* signature;  //Java中native方法的描述符

    void*       fnPtr;      //对应JNI函数的指针

} JNINativeMethod;

/**

 * @param clazz java类名，通过 FindClass 获取

 * @param methods JNINativeMethod 结构体指针

 * @param nMethods 方法个数

 */

jint RegisterNatives(jclass clazz, const JNINativeMethod* methods, jint nMethods)

//JNI_OnLoad

JNIEXPORT jint JNICALL JNI_OnLoad(JavaVM* vm, void* reserved);

这个就说的很清晰了。就不多bb了，

说明真正的native方法对应的本地函数是init，我们跟进去一下

发现就是新建了一个线程，检测frida是否占用了端口

这里处理方式

1.第一种是重打包，直接不调用init（）这个方法了，这个androidkiller的话，很简单的，就不多bb了

2.直接hook native 方法

function hook_pthread_create(){

    var pt_create_func = Module.findExportByName(null,'pthread_create');

    var detect_frida_loop_addr = null;

    console.log('pt_create_func:',pt_create_func);

   Interceptor.attach(pt_create_func,{

       onEnter:function(){

           if(detect_frida_loop_addr == null)

           {

                var base_addr = Module.getBaseAddress('libnative-lib.so');

                if(base_addr != null){

                    detect_frida_loop_addr = base_addr.add(0xe9c)

                    console.log('this.context.x2: ', detect_frida_loop_addr , this.context.x2);

                    if(this.context.x2.compare(detect_frida_loop_addr) == 0) {

                        hook_anti_frida_replace(this.context.x2);

                    }

                }

           }

       },

       onLeave : function(retval){

           // console.log('retval',retval);

       }

   })

}

function hook_anti_frida_replace(addr){

    console.log('replace anti_addr :',addr);

    Interceptor.replace(addr,new NativeCallback(function(a1){

        console.log('replace success');

        return;

    },'pointer',[]));

}

这里hook native的手法，我还不太熟悉，直接搬肉丝表哥的代码的233，晚上研究一手

3.还有就是修改硬编码so，直接就是patch，爆破那种思路，各位大佬也是有手就行

巴特西

从三道题目入门frida

最新文章

热门文章