Frida06 - 一个简单的综合案例
案例 apk
https://github.com/aprz512/Android-Crack/blob/master/practice/p14/frida_example_1.1.apk
案例分析
首先使用jadx打开apk，看看大致的信息：
有两个值得注意的地方。
安装app，看看是什么样子：
登录
这里我们打开对应界面的反编译代码：
发现，登录失败是走到了中间的 else if 逻辑里面，我们需要想办法让逻辑走到最后的 else 里面才行。
LoginActivity.a 方法返回了一个字符串，obj2 是第二个输入框的字符串。
所以这里是使用了第一个输入框的字符串做了一些变化，然后与第二个输入框的字符串比较。
那么我们可以直接 hook a方法，让它固定返回 bbb，我们在第二个输入框里面输入 bbb 就可以了，代码如下：
function login() {
Java.perform(function () {
const loginActivityClass = Java.use('com.example.androiddemo.Activity.LoginActivity');
loginActivityClass.a.overload('java.lang.String', 'java.lang.String').implementation = function(s1, s2) {
console.log("s1 = ", s1);
console.log("s2 = ", s2);
return Java.use('java.lang.String').$new('bbb');
}
});
}
第一关
看反编译代码：
继承了一个类：
就封装了一个点击逻辑，没啥别的。
核心逻辑在 FridaActivity1 的 onCheck 方法里面，我们得让 a(b("请输入密码:")) 这个玩意的结果返回后面那一长串字符即可。
代码如下：
function frida1() {
Java.perform(function () {
Java.use("com.example.androiddemo.Activity.FridaActivity1").a.implementation = function (bArr) {
return Java.use('java.lang.String').$new("R4jSLLLLLLLLLLOrLE7/5B+Z6fsl65yj6BgC6YWz66gO6g2t65Pk6a+P65NK44NNROl0wNOLLLL=");
}
})
}
第二关
需要我们改变两个变量的值即可，代码如下：
function frida2() {
Java.perform(function () {
const fridaAct2Handler = Java.use("com.example.androiddemo.Activity.FridaActivity2")
fridaAct2Handler.static_bool_var.value = true;
Java.choose('com.example.androiddemo.Activity.FridaActivity2', {
onMatch(instance) {
instance.bool_var.value = true;
}, onComplete() { }
})
})
}
第三关
依然是改变3个变量的值。嗯？！！看来上一关用了非正规的解法，上一关考研的是方法的调用，那这一关就不贴代码了，和上一贯差不过。
第四关
需要我们hook所有内部类的方法。
一般情况下，可能会直接写 6 个 hook函数，但是其实可以使用反射加循环来完成。
代码如下：
function frida4() {
Java.perform(function () {
var className = 'com.example.androiddemo.Activity.FridaActivity4$InnerClasses'
var innerClassHandler = Java.use(className);
var innerClass = innerClassHandler.class;
var allMethods = innerClass.getDeclaredMethods();
for (var i = 0; i < allMethods.length; i++) {
var method = allMethods[i];
var fullMethodName = method.toString();
var tempName = fullMethodName.substr(fullMethodName.indexOf(className) + className.length + 1);
var methodName = tempName.substr(0, tempName.indexOf("("));
innerClassHandler[methodName].implementation = function () { return true };
}
})
}
第五关
去插件里面加载了一个类，我们需要 hook 这个类的方法。
frida api 文档里面特别说明了，使用 Java.use 来 load 类的时候，可以指定 loader：
Uses the app’s class loader by default, but you may customize this by assigning a different loader instance to
Java.classFactory.loader.
我们先找下有哪些 loader，然后尝试用 loader 来找这个类：
function frida5() {
Java.perform(function () {
Java.enumerateClassLoaders({
onMatch: function (loader) {
try {
if (loader.findClass("com.example.androiddemo.Dynamic.DynamicCheck")) {
console.log("Successfully found loader")
Java.classFactory.loader = loader;
}
} catch (error) {
console.log("find error:" + error)
}
}, onComplete: function () { }
})
var DynamicCheck = Java.use("com.example.androiddemo.Dynamic.DynamicCheck");
console.log(DynamicCheck);
DynamicCheck.check.implementation = function () { return true };
})
}
第六关
需要 hook 3个类的 check 方法，同样的，我们写个统一的代码，使用类枚举：
function frida6() {
Java.perform(function () {
// 注意这里有优化，因为Frida6Class0 固定返回了 false，所以导致 Frida6Class1 没有被加载，所以还是一个个的写比较好
Java.enumerateLoadedClasses({
onMatch: function (name, handle) {
// console.log("found class = " + name);
if (name.indexOf("com.example.androiddemo.Activity.Frida6") >= 0) {
console.log("found class = " + name);
Java.use(name).check.implementation = function () { return true }
}
}, onComplete: function () { }
})
})
}