Frida简单记录

Frida初探

什么是Frida

Frida的官方网站上是这么说的：

It’s Greasemonkey for native apps, or, put in more technical terms, it’s a dynamic code instrumentation toolkit. It lets you inject snippets of JavaScript or your own library into native apps on Windows, macOS, GNU/Linux, iOS, Android, and QNX. Frida also provides you with some simple tools built on top of the Frida API. These can be used as-is, tweaked to your needs, or serve as examples of how to use the API。

我用百度Google了一下(^▽)：

它是本地应用程序的Greasemonkey，或者，用更专业的术语来说，它是一个动态代码检测工具包。它允许您将JavaScript片段或您自己的库注入到Windows、macOS、GNU/Linux、iOS、Android和QNX上的原生应用程序中。Frida还为您提供了一些构建在fridaapi之上的简单工具。它们可以按原样使用，根据您的需要进行调整，或者作为如何使用API的示例。

Frida的核心是用C语言编写的，它将Google的V8引擎注入到目标进程中，在目标进程中，JS可以完全访问内存、Hook函数甚至调用进程内部的本机函数。在你的应用程序和运行在目标进程中的JS之间有一个双向的通信通道。使用Python和JS可以快速开发无风险的API。Frida可以帮助您轻松地捕捉JS中的错误，并为您提供异常而不是崩溃。如果不想用Python编写你可以直接从C语言中使用Frida，在这个C核心之上有多种语言绑定，例如。Node.js、Python、Swift、.NET、Qml等。

如果仅从Android系统来看，Frida和Xposed其实作用非常类似。但是从整体来看，Frida可以在Windows、macOS、GNU/Linux、iOS、Android上使用，覆盖了市面上99.999%的操作系统，适用面更广。

本文仅从Android角度来记录一下Frida的使用。

与Xpose的对比

Frida更高效

之前我们也说了，Frida在Android上和Xposed非常相似，可以说是各有千秋。Frida胜在方便，不需要重启手机，在面对非加固APP的时候，修改脚本可以自动生效，在面对加固APP的时候可能需要重启应用才能生效，相对于Xposed需要重启手机才可以生效的情况来说非常高效，非常适合安全工作人员调试使用，这也是目前我在拿到一个新项目时最先使用的方法。

Xposed的缺点在于调试不是很方便，但是优势在于可以脱离电脑直接使用，编写完脚本后安装至手机即可生效，可以脱离电脑单独运行。Frida通常来讲必须配合电脑使用，这也是为什么说Frida适合安全工作人员调试使用。

Xposed更兼容

除了以上两点区别外，还有一些语言上的差异，Xposed的开发语言是java，先天就和Android浑然一体，在处理变量和参数时相对于Frida更简单一点，比如某个方法的参数是一个对象，如果使用Xposed可以直接使用这个对象调用对应方法，但是Frida使用的JS就需要一些额外的操作才能调用对应的方法。另外就是Frida在某些手机上的兼容性不是很好，Xposed毕竟这么多年很多大佬在做各类手机的定制版。

目前我工作过程中一般是两个都在用，先用Frida调试，如果后面需要做一些持续性的东西就再用Xposed写一遍，省掉调试的时间。

安装

1. 从Github下载frida服务端

2. 本地计算机安装frida

   1. 安装python3

   2. 安装frida:pip install frida

3. 将服务端推送到手机 adb push frida-server /data/local/tmp

4. 添加权限 chmod 777 /data/local/tmp/frida-server

5. 运行 ./frida-server

6. 端口转发(可选) adb forward tcp:27042 tcp:27042 adb forward tcp:27043 tcp:27043

7. 验证是否成功 执行frida-ps -U，如果列出了手机进程，则说明启动成功了

使用

Hook

Frida最初级的Hook用法就是Hook方法修改其参数或返回值

基本写法

JS

Frida的JS脚本基础写法如下，在这个框架中添加处理数据的其他代码，比如修改参数、修改返回值、调用方法等

setImmediate(function() {                
 Java.perform(function(){
 console.log("[*] Starting script --console");
 // Java.use(类名)
 var utils = Java.use("com.cupdata.framework.crypto.CryptoImpl");
 var clazz = Java.use("java.lang.Class");
 // 如果方法有重载就加上overload否则可以不加
 utils.encryptRequest.overload("java.lang.String").implementation = function(a,b){
 // 实际处理代码
 send("message") //发送数据给Python代码

 //从Python接收数据
 recv(function (received_json_object) {
 console.log("[JS-RECV] json="+received_json_object);
 data_to_recv = received_json_object.my_data;
 console.log("[JS-RECV] data="+data_to_recv);
 }).wait();
 };
 }); 
}); 

Python

import frida
import sys
import time

packageName = "com.srcb.qymbank"
logPath = "H:/OneDriver/OneDrive/金融产品认证项目/20--上海农商银行/村镇银行-企业版/测试记录/"
logName = logPath + packageName + ".log"
scriptPath = "202006-4-上海农商-村镇企业-未加固.js"


# 连接USB设备
device = frida.get_usb_device(1000)
# 创建一个新的进程
pid = device.spawn([packageName])
# 如果要附加到一个已存在的进程则可以直接执行
# session = device.attach(包名)
# 附加到新的进程
session = device.attach(pid)
time.sleep(2)
# 启动
device.resume(pid)
# JS脚本
with open(scriptPath, "r", encoding="utf-8") as f:
 src = f.read()

# js脚本通过send(message[,data])方法把第一个参数发到message，第二个参数发到data
# data参数需要是ArrayBuffer类型，如果不是这个类型可以用str2ArrayBuffer()方法转换
def on_message(message, data):
 # print("message=%s" %message)
 print(message['payload'])
 with open(logName,"a",encoding="utf-8") as f:
 f.write(message['payload'])
 script.post(jsonObj)  # send JSON object
 # print("data=%s" %data)



script = session.create_script(src)
script.on("message", on_message)# 注册数据处理方法
time.sleep(1) #在这里最好是sleep一下，不然经常会出现APP无响应的情况
script.load()
sys.stdin.read()#基本等同于input，不过read()方法的结束是cntrl+d

参考文档

1. 一篇文章带你领悟Frida的精髓（基于安卓8.1）

2. Frida官方网站