前言
Frida的native一般用于系统库的拦截hook，这些库的函数都是导出的所以方便hook。jni的类型hook这里官方没有说明，网上也没啥资料。我这里也稍微概述一下.
代码
Hook 系统函数
下面是打开一个文件的操作
extern "C" JNIEXPORT void JNICALL Java_com_shark_fridanative_MainActivity_testOpen
(JNIEnv *, jobject) {
FILE *fp;
char *s = (char*)malloc(30* sizeof(char));
fp = fopen("/data/local/tmp/test.txt", "r");
if (fp == NULL){
LOGI("File open error");
return;
}
fgets(s, 24, fp);
LOGI("open file content is %s", s);
free(s);
fclose(fp);
return;
}
因为fopen最后调用的还是libc.so的open函数。
我们使用下面的代码hook open函数
Java.perform(function () {
Interceptor.attach(Module.findExportByName("libc.so", "open"), {
onEnter: function (args) {
send("open called! args[0]:", Memory.readByteArray(args[0], 24));
},
onLeave: function (retval) {
}
});
});
Interceptor.attach是对指定地址的函数进行拦截操作，它的第一个参数就是拦截的地址，我们可以使用Module.findExportByName获取指定so库的函数地址。
第二个参数是两个回调函数onEnter是函数进入的时候执行onLeave是离开的时候执行。args是一个参数数组.
open的函数声明如下
int open(const char*pathname,intflags);
所以我们想打印这哥文件的文件名称，就需要对char*进行操作。这里frida提供了Memory进行内存字节的操作。使用readByteArray重第一个参数读取指定数量的字节数据。最后打印出来，其结果如下
message: {'type': 'send', 'payload': 'open called! args[0]:'} data: b'/data/local/tmp/test.txt'
Hook JNI函数
定义一个函数
extern "C" JNIEXPORT jint JNICALL Java_com_shark_fridanative_MainActivity_test
(JNIEnv *env, jobject job, jint arg2, jstring arg3) {
LOGI("arg2 is %d", arg2);
const char *charstr = env->GetStringUTFChars(arg3, 0);
LOGI("arg3 is %s", charstr);
env->ReleaseStringUTFChars(arg3, charstr);
return 520;
}
可以看到，我这里就传递了两个参数一个int一个String然后在函数中打印
我们Hook的代码如下
Interceptor.attach(Module.findExportByName("libnative-lib.so", "Java_com_shark_fridanative_MainActivity_test"), {
onEnter: function (args) {
var String_java = Java.use('java.lang.String');
var args_3 = Java.cast(args[3], String_java);
//打印int
console.log("args[2] int value : " + args[2].toInt32());
//修改int
args[2] = ptr(88);
console.log("args[3] String value:", args_3);
},
onLeave: function (retval) {
//修改返回值
retval.replace(999);
}
});
这里区别不大，在onLeave中我使用了replace改变了返回值
在onEnter中jint的值可以直接打印出16进制的数据，也可以使用toInt32打印10进制的数据。
jstring直接打印的话他会显示一个地址，这个地址你使用hexdump函数去打印出来，也是看不到字符串的，因为他不是一个char*。我们需要使用Java.cast将它转化成一个java.lang.String
运行结果如下
args[2] int value : 5
args[3] String value: fujie
注意
这里我没有使用代码注入，而是使用了frida-cli进行注入
frida -U com.shark.fridanative -l frida_native.js
如果你使用的是window的话可能会对js脚本进行检测，由于里面的部分代码需要frida的运行环境所以会报错。你可以修改脚本的后缀名称从而绕过检测。
尾言
由于真实的项目基本都使用动态注册还不导出函数，所以直接hook jni的函数还是比较少的，与其hook这还不如hook java层的调用。所以网上的资料基本都是第一种hook系统函数居多。系统函数的常见类型基本就是内存的操作了这里具体可以去看文档。