Frida Hook初次实战

做攻防世界的CTF题，看到有大佬搞Frida的操作，按照大佬做到试了一下

ill-intentions（Native hook）

攻防世界——ill-intentions

frida,frida-server,objection该安装的都安装好

adb连接上机子

由于没有修改apk包，触发按钮的Intent显示不了，用objection手动开启

1
objection -g com.example.hellojni explore
2
android intent launch_activity com.example.application.IsThisTheRealOne

效果如下

挂上大佬hook Native的脚本

1
//出自https://blog.csdn.net/Palmer9/article/details/122464683
2
//别问脚本什么意思，frida脚本还不太会写
3
function main() {
4
    function getjstring(jstr) {
5
        return Java.vm.getEnv().getStringUtfChars(jstr, null).readCString();
6
    }
7
    Java.perform(function () {
8
        var so_addr = Module.findBaseAddress("libhello-jni.so");
9
        var perhapsThis_addr = Module.findExportByName("libhello-jni.so", "Java_com_example_application_IsThisTheRealOne_perhapsThis");
10
        console.log("perhapsThis_addr", perhapsThis_addr);
11
        Interceptor.attach(perhapsThis_addr, {
12
            onEnter: function (args) {
13
                console.log("perhapsThis_args:[1]", getjstring(args[2]), "\n    [2]", getjstring(args[3]), "\n    [3]", getjstring(args[4]), "\n");
14
            },
15
            onLeave: function (retval) {
16
                console.log("perhapsThis_result:", getjstring(retval));
17
            },
18
        });
19

20
        Interceptor.attach(Module.findExportByName("libhello-jni.so", "Java_com_example_application_ThisIsTheRealOne_orThat"), {
21
            onEnter: function (args) {
22
                console.log("orThat_args:[1]", getjstring(args[2]), "\n    [2]", getjstring(args[3]), "\n    [3]", getjstring(args[4]), "\n");
23
            },
24
            onLeave: function (retval) {
25
                console.log("orThat_result:", getjstring(retval));
26
            },
27
        });
28

29
        Interceptor.attach(Module.findExportByName("libhello-jni.so", "Java_com_example_application_DefinitelyNotThisOne_definitelyNotThis"), {
30
            onEnter: function (args) {
31
                console.log("definitelyNotThis_args:[1]", getjstring(args[2]), "\n    [2]", getjstring(args[3]), "\n");
32
            },
33
            onLeave: function (retval) {
34
                console.log("definitelyNotThis_result:", getjstring(retval));
35
            },
36
        });
37
    });
38
}
39
setImmediate(main);

出flag

ill-intentions（java hook）

GDA

看雪大佬出品的GDA 好用！

还是因为没有修改apk包，触发按钮的Intent显示不了，再次用objection手动开启，找到相对应的进程注入

鼠标点击，即可完成操作

按下中间那个BroadcastIntent，就能hook出flag

Obejction直接注入

发现GDA那个纯属走弯路，直接Objection注入不就好了

1
objection -g com.example.hellojni explore
2
>>CLI中输入
3
android intent launch_activity com.example.application.IsThisTheRealOne
4
android hooking watch class_method android.content.Intent.putExtra --dump-return --dump-args --dump-backtra
5
ce

遇到一个问题，就是不知道Intent属于什么类，这个是看了GDA里的脚本后才知道的（android.content.Intent），如果想要直接注入的话，需要andriod的开发经验

bilibili-1024-技术对抗赛第6题(2021年)

参考了 https://www.bilibili.com/read/cv13720199/

大佬的脚本少写启动命令，当时折腾一个早上没解决出来

1
function hook_native() {
2
    Java.perform(function(){
3
        var str0;
4
        var arg1;
5
        Interceptor.attach(Module.findExportByName("libc.so", "__system_property_get"), {
6
            onEnter: function (args) {
7
                str0 = Memory.readCString(args[0]);
8
                arg1 = args[1];
9
                if(str0.indexOf('ro.product.cpu.abi')!=-1||str0.indexOf('ro.build.version.release')!=-1){
10
                console.log('arg0 '+str0)
11
                }
12
            },
13

14
            onLeave: function (retval) {
15
                if(str0.indexOf('ro.product.cpu.abi')!=-1){
16
                    var before = Memory.readCString(arg1);
17
                    Memory.writeUtf8String(arg1, "x86");
18
                    var after = Memory.readCString(arg1);
19
                    console.log('retval:','before',before,'after',after)
20
                }else if(str0.indexOf('ro.build.version.release')!=-1){
21
                    var before = Memory.readCString(arg1);
22
                    Memory.writeUtf8String(arg1, "9");
23
                    var after = Memory.readCString(arg1);
24
                    console.log('retval:','before',before,'after',after)
25
                }
26
            }
27
        });
28
    });
29
}
30
setImmediate(hook_native);

方便是真的方便，大佬诚不欺我

结语

Objection好用，降低Frida使用门槛，java层面的hook可以解决很多问题，Native hook老实写frida就行了