re-frida

Frida 动态插桩

何时使用 / 何时不用

• 用：需要 hook 函数（拦截 / 改参 / 改返回值）、枚举模块与类、绕过证书校验 / root 检测、观察运行时调用链
• 用：移动端（Android / iOS）与桌面端（Linux / macOS / Windows）统一的插桩需求
• 不用：只需静态分析（Android 走 [[re-apk]]，格式走 [[re-format-elf]] / [[re-format-macho]] 系列）
• 不用：需要系统调用级跟踪（走 [[re-tracing]]）
• 不用：需要完整调试器体验（断点 / 单步 / 内存，走 [[re-gdb]] / [[re-lldb]] / [[re-x64dbg]]）

工具准备

动态分析按 [[platform-tips]] 最高原则：移动端在受控设备 / 模拟器快照内执行，桌面端插桩前确认沙箱环境。所有工具先验证再使用。

frida-tools —— 主机侧命令行工具

• 跨平台（Linux / macOS / Windows）: pip install frida-tools（Python 3.8+；建议 venv: python3 -m venv venv && venv/bin/pip install frida-tools）
• 验证: frida --version（输出 frida 版本号）；frida-ps -U / frida-trace -h 可用

frida-server —— 移动端插桩代理

• 下载：GitHub release https://github.com/frida/frida/releases，选 frida-server-<版本>-android-<架构>（arm64 选 -arm64，32 位选 -arm，模拟器 x86_64 选 -x86_64）
• 版本必须与主机 frida 完全一致（对照 frida --version），架构与设备匹配，否则连接报协议错误（见坑 1）
• Android 推送与启动：

  adb push frida-server-xxx /data/local/tmp/frida-server
  adb shell "chmod 755 /data/local/tmp/frida-server"
  adb shell "su -c /data/local/tmp/frida-server" &   # 或 adb root 后直接运行
  

• iOS 越狱设备：Sileo / Cydia 添加源 https://build.frida.re 安装 frida deb，或 ssh root@<设备IP> 后安装
• 验证: 主机 frida-ps -U 能列出设备进程（-U = USB 设备，-R = 远程 ip:port）

objection —— 免写 JS 的快速插桩

• 跨平台: pip install objection
• 验证: objection --version
• 用法: objection -g <应用> explore，内置 android hooking / ios hooking 子命令（如 android hooking list activities、ios sslpinning disable）

操作步骤

按顺序执行，每步记下结果。

1. spawn vs attach 选择：

   frida -U -f com.target.app              # spawn：从零启动应用，能抓启动早期逻辑（解密 / 初始化）
   frida -U com.target.app                 # attach：附加到已运行进程（不重启）
   frida-trace -U -f com.target.app -i "Java!*"   # 启动即跟踪 Java 方法调用
   

   规则：抓启动逻辑 / 绕过早期检测用 spawn；只是观察现状用 attach。attach 晚于启动，可能错过已执行完的早期逻辑（见坑 2）。

2. JS hook 编写（拦截 / 改参 / 返回值）：

   // hook.js —— 拦截、改参数、改返回值（Android Java 层）
   Java.perform(function () {
     var cls = Java.use("com.example.Target");
     cls.doLogin.implementation = function (user, pass) {
       console.log("doLogin(" + user + ", " + pass + ")");
       return this.doLogin("hacked", "pass123");   // 改参
     };
     cls.isLicensed.implementation = function () {
       return true;                                // 改返回值
     };
   });
   

   frida -U -f com.target.app -l hook.js
   

   原生函数用 Interceptor.attach(Module.findExportByName("libfoo.so", "func"), { onEnter: ..., onLeave: ... }) 拦截（onEnter 改参数、onLeave 改返回值）。桌面端同样本：frida -p <pid> -l hook.js。