re-frida-script-author

Frida 脚本生成

何时使用 / 何时不用

• 用：需要新脚本时——拦截（加密/网络/文件）、绕过（检测/固定）、追踪（JNI/方法调用）
• 用：现成模板没有的变体——按 [[frida-scripts]] 模板改写出目标专用脚本
• 不用：执行现成脚本 → 转 [[re-frida]]（本技能只产出脚本，运行与进程管理在 re-frida）
• 不用：反检测对抗面整体分析 → [[anti-dynamic-workflow]]
• 不用：纯静态可解的问题——先走 [[re-apk]] / [[re-ghidra]] 静态路径，动态是最后手段
• 不用：目标不可达（无设备/无 root/无越狱、加固拦注入）——先解决环境（[[re-frida]] 工具准备），不硬写脚本

工具准备

frida-tools（脚本编写与运行验证）

• Linux: pip install frida-tools（或 apt install frida-tools / pacman -S frida）
• macOS: pip install frida-tools / brew install frida
• Windows: pip install frida-tools / choco install frida
• 验证: frida --version、frida-ps -U（连设备后）
• 注意: frida（运行时）与 frida-tools（CLI）版本需配套；跨大版本升级（16 → 17）有 API 移除，写法差异见 [[gotchas]] 版本组

python3（配合脚本调试）

• 各平台同 [[re-python]] 工具准备

反编译辅助（侦察用）

• jadx（[[re-apk]]）静态出类/方法清单；Ghidra/IDA（[[re-ghidra]] / [[re-ida]]）native 侧符号与调用点定位
• 验证: 能按包名列出目标类与方法签名

目标设备/模拟器

• Android 真机/模拟器 + frida-server（版本与主机 frida 一致，安装见 [[re-frida]] 工具准备）；桌面目标直接本机
• iOS 越狱环境 frida-server 见 [[re-ios-jb]]

操作步骤

按「探 → 选 → 改 → 验」四步，先探后写，不猜。每步产物（特征清单/脚本/验证输出）记录路径 + sha256（见 [[re-triage]]），供报告引用。

1. 目标侦察：

   • 静态：目标包名/类名/关键 API（[[re-apk]] jadx 输出）、加固商特征（[[re-mobile-pack]]）、Flutter/RN 混合结构（[[re-hybrid-app]]）
   • 动态基线：原样跑一次抓崩溃与日志（崩溃特征 → 保护机制对照，见 [[anti-dynamic-workflow]]）
   • 产出：目标特征清单——检测点/目标 API 全限定名/输入输出形态/方法 overload 数
   • 不确定的类名/方法名先小脚本枚举（Java.enumerateLoadedClasses / Java.use(...).overloads），不猜名字
   • 侦察结论记入 [[analysis-contract]] 契约字段（包名/类名/API 清单），供脚本与报告复用

2. 模板选择：按特征清单对照 [[frida-scripts]] 模板表：

目标特征	模板
HTTPS 抓包被 TLS 加密（BoringSSL）	TLS 密钥日志（SSLKEYLOGFILE）
证书固定挡抓包	SSL 固定绕过（TrustManager/CertificatePinner）
加密算法/密钥要提取	加密拦截（Cipher/SecretKeySpec 全 overload）
加固/运行时解密	DEX dump（类加载点）/ SO dump
双向 TLS 客户端证书	keystore p12 导出
JNI 动态注册要还原	RegisterNatives + 汇聚点双 hook
反调试/检测拦截	检测绕过表（root/属性/文件/命令）

• 特征不匹配任何模板 → 组合改写（多个模板拼装）而非从零写
• 选完模板先读模板内已知边界注释（[[frida-scripts]]），避免重复踩坑

1. 改写：
   • 替换占位符：包名/类名/方法名（精确匹配，Java 全限定名）
   • overload 精确匹配：先 overloads 枚举再逐个定义或按参数类型选（见坑 1）
   • 结构规范：Java 操作包在 Java.perform；保存 original 引用、带原 this 调用；Interceptor.attach 的 onEnter/onLeave 里 this.context 读寄存器、this.returnValue 改返回值
   • 输出统一 JSON（可打印 ASCII + hex 双格式）经 send() 传出；每个 hook 主体 try/catch，错误发消息不静默
   • 同一类多 hook 合并进一个 .implementation（缓存静默覆盖，见坑 2）
   • 骨架参考（Java + native 双面最小结构，按目标裁剪）：

     Java.perform(function () {
       var Cls = Java.use("com.target.Cls");
       Cls.method.overload("java.lang.String").implementation = function (s) {
         try { send({ type: "call", arg: s ? s.toString() : null }); }
         catch (e) { send({ type: "error", msg: String(e) }); }
         return this.method(s);          // 调原实现（保留原 this）
       };
     });
     Interceptor.attach(
       Process.getModuleByName("libtarget.so").getExportByName("func"),
       { onEnter: function (args) { send({ type: "native", arg0: args[0].toInt32() }); } }
     );
     

   • native 侧：导出符号优先（Process.getModuleByName(...).getExportByName；旧写法 Module.getExportByName 见 [[gotchas]] 版本组）；非导出函数用调用点 hook 或内存特征定位