2. 程式人生 > >在未root的裝置上使用frida

在未root的裝置上使用frida

阿新 • • 發佈：2018-11-13

轉自：https://bbs.pediy.com/thread-229970.htm

在這篇教程中我們可以學會怎麼在未root裝置上使用Frida gadget。
指令碼和工具在這裡：materials
作者Romain Thomas - @rh0main

 

最近幾年，Frida已經成為這一行業進行hook的首選工具。它使用起來快速，靈活，且支援跨平臺。

大部分時候在root過後的裝置上使用Frida並沒有什麼限制，但某些場景中有些app可能會檢測執行環境。

@ikoz在他的博文Using Frida on Android without root中提到了一種修改Dalvik位元組碼的方法，以實現在未root裝置上使用Frida。在這篇教程中我們提出了一種不需要修改Dalvik位元組碼的新方法。（即classes.dex

）

Frida Gadget

在預設模式下，Frida需要在目的應用程式中注入一個代理以訪問目標進行的記憶體空間。

在Android和Linux中這種注入使用到了ptrace。它通過附加或啟動一個程式，然後注入對應的代理程式。在代理程式被注入後，它通過管道和伺服器進行通訊。

有些注入需要許可權。比如，我們不能使用普通使用者呼叫ptrace。為了解除這個限制，Frida提供了另一種模式，叫作“embedded”。在這一模式中，使用者需要注入frida-gadget庫。

這種注入需要：

  • 環境變數：LD_PRELOAD，DYLD_INSERT_LIBRARIES...
  • 使用dlopen
  • 在開源的目標中，使用linker連結frida-gadget.

  • ...

    要獲取關於Frida gadget的更多資訊，可以看官方文件：frida-gadget

Frida和LIEF

有一種不那麼出名但非常古老的注入技術是通過修改ELF格式。Mayhem 在Phrack詳細解釋了這一技術的原理，而LIEF（譯者注：LIEF，本文作者實現的一個庫）提供了一種使用者友好的API來實現。

 

簡而言之，可執行檔案格式包含了連結在可執行檔案上的庫。我們可以使用ldd或readelf(Unix)列出這些庫，或者是使用elf_reader.py(Linux, Windows, OSX):

1

2

3

4

5

6

7

$ python ./elf_reader.py -d /bin/ls

 

== Dynamic entries ==

 

|Tag    | Value | Info        |

|NEEDED | 0x1   | libcap.so.2 |

|NEEDED | 0x80  | libc.so.6   |

在這裡/bin/ls有兩個依賴：

  • libcap.so.2
  • libc.so.6

當可執行檔案載入的時候，載入器會遍歷這些庫，並把它們對映到程序到的記憶體空間中去，並在載入之後呼叫它的構造方法。

 

這一想法的原理是新增frida-agent.so作為APK的native庫的依賴。

 

新增這個依賴的程式碼非常簡單，像下面這樣：

1

2

3

4

5

import lief

 

libnative = lief.parse("libnative.so")

libnative.add_library("libgadget.so") # Injection!

libnative.write("libgadget.so")

Telegram

為了解釋這個程序，我們會注入frida gadget到Telegram這個應用中。Telegram是個好玩的目標，因為：

  • 它只包含一個native庫，這樣庫就會早點被載入。
  • 它表明了LIEF修改LEF檔案的可靠性
  • 這是個真實的app

關於環境，軟體是Telegram的4.8.4-12207版本(2018.2.18)，系統是在Android 6.0.1上，架構是Samsung Galaxy S6的AArch64架構。

注入LIEF

正如上面解釋的，注入過程只需要在libtmessages.28.so上呼叫lief.ELF.Binary.add_library()。

 

在注入之前，libtmessages.28.so與下列庫相連結：

1

2

3

4

5

6

7

8

9

10

11

$ readelf -d ./libtmessages.28.so|grep NEEDED

  0x0000000000000001 (NEEDED) Shared library: [libjnigraphics.so]

  0x0000000000000001 (NEEDED) Shared library: [liblog.so]

  0x0000000000000001 (NEEDED) Shared library: [libz.so]

  0x0000000000000001 (NEEDED) Shared library: [libOpenSLES.so]

  0x0000000000000001 (NEEDED) Shared library: [libEGL.so]

  0x0000000000000001 (NEEDED) Shared library: [libGLESv2.so]

  0x0000000000000001 (NEEDED) Shared library: [libdl.so]

  0x0000000000000001 (NEEDED) Shared library: [libstdc++.so]

  0x0000000000000001 (NEEDED) Shared library: [libm.so]

  0x0000000000000001 (NEEDED) Shared library: [libc.so]

在執行了telegram.add_library("libgadget.so")這條語句後，在第一個位置上，我們有了一條新的依賴。

1

2

3

4

5

6

7

8

9

10

11

12

$ readelf -d ./libtmessages.28.so|grep NEEDED

  0x0000000000000001 (NEEDED) Shared library: [libgadget.so]

  0x0000000000000001 (NEEDED) Shared library: [libjnigraphics.so]

  0x0000000000000001 (NEEDED) Shared library: [liblog.so]

  0x0000000000000001 (NEEDED) Shared library: [libz.so]

  0x0000000000000001 (NEEDED) Shared library: [libOpenSLES.so]

  0x0000000000000001 (NEEDED) Shared library: [libEGL.so]

  0x0000000000000001 (NEEDED) Shared library: [libGLESv2.so]

  0x0000000000000001 (NEEDED) Shared library: [libdl.so]

  0x0000000000000001 (NEEDED) Shared library: [libstdc++.so]

  0x0000000000000001 (NEEDED) Shared library: [libm.so]

  0x0000000000000001 (NEEDED) Shared library: [libc.so]

配置Frida Gadget

根據文件我們可以知道，Frida Gadgets可以使用配置檔案作為引數來進行互動。

  • Listing：互動和frida-server一樣
  • Script：使用配置檔案中指定的JS指令碼進行互動
  • ScriptDirectory：和Script一樣，但可以指定多個應用和多個指令碼
    Listing互動方式需要android.permission.INTERNET許可權。我們可以通過修改manifest檔案新增這個許可權。不過，如果我們使用的是Script這種互動方式就不需要這一許可權。

Frida payload會定位到/data/local/tmp/myscript.js檔案，gadget配置檔案的配置如下：

1

2

3

4

5

6

7

{

  "interaction": {

    "type": "script",

    "path": "/data/local/tmp/myscript.js",

    "on_change": "reload"

  }

}

使用配置配置檔案必須遵循兩個條件：

  1. 檔案必須和gadget庫同名（例如：libgadget.so 和 libgadget.conf）
  2. 配置檔案必須和gadget庫位於同一目錄中

第二個要求也就意味著在裝置中安裝之後，gadget庫會會在/data/app/org.telegram.messenger-1/lib目錄中尋找配置檔案。

在安裝app之後，當滿足下述條件時，Android包管理器會從APK的lib/目錄中複製檔案：

  • 名字具有lib字首
  • 名字具有.so字尾
  • 名字是gdbserver

Frida 實現這些要求的原始碼如下。因此我們只需要給libgadget.conf新增.so字尾就行了。

1

2

3

4

5

6

7

8

9

10

#if ANDROID

  if (!FileUtils.test (config_path, FileTest.EXISTS)) {

    var ext_index = config_path.last_index_of_char ('.');

      if (ext_index != -1) {

        config_path = config_path[0:ext_index] + ".config.so";

      } else {

        config_path = config_path + ".config.so";

      }

  }

#endif

lib/gadget/gadget.vala

最終，新的Telegram的.apk的lib目錄結構如下：

1

2

3

4

5

6

$ tree lib

.

└── arm64-v8a

    ├── libgadget.config.so

    ├── libgadget.so

    └── libtmessages.28.so

libtmessages.28.so連結到了libgadget.so

執行

在滿足下述要求後：

  1. 對libtmessages.28.so的注入完成
  2. gadget庫及其配置檔案放在/lib/ABI目錄下
  3. 應用程式重新簽名

安裝new.apk這個重新打包的APK，並把myscript.js放在/data/local/tmp目錄下：

1

2

3

$ adb shell install new.apk

$ adb push myscript.js /data/local/tmp

$ adb shell chmod 777 /data/local/tmp/myscript.js

這篇教程中用到的Frida指令碼myscript.js只實現了一個對Android log函式呼叫的功能：

1

2

3

4

5

6

7

8

'use strict';

 

console.log("Waiting for Java..");

 

Java.perform(function () {

  var Log = Java.use("android.util.Log");

  Log.v("frida-lief", "Have fun!");

});

myscript.js

最後，我們就可以執行telegram程式並檢視它的Android日誌了。

1

2

3

4

$ adb logcat -s "frida-lief:V"

--------- beginning of system

--------- beginning of main

03-24 17:23:51.908 10243 10243 V frida-lief: Have Fun!

總結

在這篇教程中我們看到了靜態插樁和動態插樁的結合方法。

 

下面是這一技術的優/缺點

 

優點：

  • 不需要root
  • 不依賴frida-server
  • 可用於繞過anti-frida
  • 不需要修改AndroidManifest.xml和DEX檔案

缺點：

  • 需要向APK裡新增檔案
  • 需要程式有至少一個native庫
  • 注入進去的庫的載入順序不能控制

API

  • lief.ELF.Binary.add_library()

原文連結：https://lief.quarkslab.com/doc/latest/tutorials/09_frida_lief.html
編譯：看雪翻譯小組 夢野間
校對：看雪翻譯小組 lumou

相關推薦

在未root的裝置上使用frida

轉自：https://bbs.pediy.com/thread-229970.htm 在這篇教程中我們可以學會怎麼在未root裝置上使用Frida gadget。 指令碼和工具在這裡：materials 作者Romain Thomas - @rh0main   最

如何在未越獄的iOS 裝置上安裝 ipa

如果你是 iOS 開發者， 給客戶開發的app， 在釋出到appstore 前，需經過客戶的測試。 如果客戶的iOS裝置不是越獄的，你只好通過 ad-hoc 模式，將生產的 ad-hoc profile 和 ipa 檔案發給客戶。  （如何生成這兩個檔案，不在此贅述）。 

移動裝置上的多位數字識別

本文的主要內容來自一篇paper，題目為：MDig: Multi-digit Recognition using Convolutional Nerual Network on Mobile，文章內容並非對這篇paper的逐句翻譯，如果您在閱讀過程中有什麼覺得不對、或者某些地方講的不清楚，請參考原文:

使用weinre遠端除錯移動裝置上的網頁

weinre簡介 weinre 是一款類似於firebug 和Web Inspector的網頁除錯工具， 它的不同之處在於可以用於進行遠端除錯，比如除錯手機上面的網頁。 weinre的安裝 weinre是用node編寫的，可以用npm來進行安裝(前提是您的機器上

我們無法在此裝置上啟用windows，因為無法連線到你的組織的啟用伺服器。請確保已連線到你的組織伺服器，然後重試。如果仍存在啟用問題，請聯絡組織的支援人員，錯誤程式碼:ox80070078

一般Windows都會有一個試用期，試用期到了還沒有啟用系統的話就會提示的。 在win10右下角，出現“啟用windows 轉到“設定”以啟用windows“字樣，看起來就像水印一樣出現在螢幕最頂層的右下角。 百度上已經有一些比較常見的處理方法，在這裡我就不在多做介紹了！我們主要介紹用win

從群輝儲存裝置上傳圖片到阿里雲OSS方案

一，需求 1，大量圖片需要做異地災備，大約有上百萬張圖片，而且還會往上增加，每張圖片大小在5M-10M左右； 2，環境說明：伺服器是群輝儲存，作業系統功能受限制，跟centos系統使用有諸多不同； 二，實施方案 1，設定crontab任務 #backup data to Al

css 手機裝置上的畫素適配

原文連結：github文章地址  曾幾何時為了相容IE低版本瀏覽器而頭痛，以為到Mobile時代可以跟這些麻煩說拜拜。可沒想到到了移動時代，為了處理各終端的適配而亂了手腳。對於混跡各社群的偶，時常發現大家拿手機淘寶的H5頁面做討論——手淘的H5頁面是如何實現多終端的適配？ 那麼趁此

程式中建立一個子程序，然後父子程序各自獨自執行，父程序在標準輸入裝置上讀入小寫字母，寫入管道。子程序從管道讀取字元並轉化為大寫字母。讀到x結束

程式中建立一個子程序，然後父子程序各自獨自執行，父程序在標準輸入裝置上讀入小寫字母，寫入管道。子程序從管道讀取字元並轉化為大寫字母。讀到x結束。（非字母字元就輸出本身） 相關的系統函式：fork（），read（），write（），pipe（）； 筆者在telnet上寫這些程式碼，由於

漫談在華為裝置上配置PPPoE

本文目錄 一、前言 二、PPPoE配置的主要思路 （一）PPPoE客戶端的配置 （二）PPPoE伺服器端的配置 三、配置檢視 四、與本文相關的知識點與書籍 一、前言 在網上，與PPPoE配置相關的文章浩如煙海；與之相關的書籍更是汗牛充棟。但是，更多的文章看了讓人感到一頭霧水、

在安卓6.0（及以上）裝置上無法獲取無線網絡卡MAC地址的解決方案

在安卓6.0以下的裝置上，通過WifiManager.getConnectionInfo().getMacAddress()即可獲取WLAN實體地址， 而在6.0及以上，以此方式獲取到的MAC地址為固定值02:00:00:00:00:00，而非真實值 解決方案 WlanMacAddressGetter.

5步解決移動裝置上的300ms點選延遲

大多數基於觸控的瀏覽器裝置，在點選時都會有個 300ms 的事件觸發等待時間，做過 web app 開發的同學應該都遇到過這個情況，通過下面的5步可以輕鬆搞定這個延遲。 1、不要太糾結於此 是否能接受這 300ms 的時間延遲，往往取決於你的應用和目標受眾，比如：如果是個內容為主，並且選單較少的

關於專案本地執行未亂碼，上傳伺服器專案亂碼

如果是直接用其他編輯器（如visualCode、sublime等）寫的前端頁面。可能匯入myeclipse時，未在jsp頭部加上jsp頭部。 <%@ page language="java" import="java.util.*" pageEncoding="utf8"%> <

129 會員同一賬號,限制只在同一臺電腦裝置上單點登入,新登入後原登入會自動退出

比如a賬號在a電腦或a瀏覽器上登入後,如果a賬號又在b電腦登入,則a電腦上會自動檢測並退出登入.  思路是點選登入後,把session或時間值儲存在資料庫或txt文字中,並同時儲存在每個使用者的瀏覽器中,如果賬號在另一處登入,則更新資料庫或txt中的sessionid值. 

在嵌入式裝置上使用tcpdump抓包

 在實際應用中開發中，嵌入式裝置使用網路通訊時，經常不好分析資料，通常只能使用串列埠列印和依耐伺服器端使用抓包工具獲取網路資料，使開發工作有不同程度的受到阻礙，這裡簡單的介紹一下如何使用tcpdump工具在嵌入式裝置上抓包。 移植： 下載資源tcpdump，libpcap，可到官網上：

moquette改造筆記(五)：裝置連線頻繁上下線或者相互頂替出現的裝置上下線狀態錯亂問題

發現問題 在moquette使用中發現在裝置頻繁上下線和兩個裝置ClientId一樣相互頂替連線的情況下，InterceptHandler的onConnect和onConnectionLost的方法呼叫沒有先後順序，如果在這兩個方法裡面來記錄裝置上下線狀態，會造成狀

fastclick 導致Ant Design框架的Upload元件在ios裝置上點選異常

問題描述 引入Ant Design的上傳元件，在PC端和Android端點選上傳正常，而在IOS端單擊沒反應，雙擊能彈出上傳元件視窗。 產生原因 直接原因是專案中引入了fastclick，而fastclick有點小bug，導致IOS端點擊出現異常。具體原因請看cao

處理粘性的4種新方法：在移動裝置上懸停效果

CSS的古老之處：懸停偽類構成了許多CSS效果的支柱，當滑鼠滾過頁面上的元素時觸發。在當今不斷變化的環境中，觸控式螢幕輸入與滑鼠共享中心舞臺，這給網站管理員帶來了一些難題。基於觸控的裝置努力不被冷落，這種普遍的CSS功能確實可以響應懸停，但是對於它們來說唯一可行的方式是“點選

網路釣魚：在移動裝置上太容易了

  想象一個沒有移動裝置的世界。我們只需要回想幾十年就能想出一個形象; 但在2018年，世界幾乎是不可想象的。儘管從工作場所到家庭各地的移動裝置已經飽和，但它們仍然容易受到缺乏安全性的影響。網路犯罪分子很快就會利用這種缺乏關懷的方式。網站和應用程式已針對移動裝置進行了優化，但移動

為什麼硬碟明明還有空間，linux卻說硬碟空間不足？inode；mkdir: 無法建立目錄"shen1": 裝置上沒有空間

現象：df -h顯示硬碟還有14G空間，但是touch file/mkdir directory都失敗，提示硬碟沒有空間 　　 　　原因：df -ia檢視下inode的使用情況，發現已經爆了，（下圖顯示使用88%，還沒有用完） 　　 　　那麼，inode究竟是什麼？為

如何處理相容性及在多個裝置上進行除錯

桌面端瀏覽器除錯方法 通常只需要在Google、Firefox、Opera、Safari、IE五大主流瀏覽器進行測試。 移動端瀏覽器除錯方法 移動端瀏覽器除錯的最好方法是真機測試，因為很多手機生產廠家會根據原生的安卓系統開發自己的作業系統，在沒有真機測試的情況下會出現很多意想不到的相容性