安卓逆向|菜鸟的FRIDA学习笔记:如何让TracerPid恒为0?

男娘i 2022-12-19 03:46 244阅读 0赞

本文内容及代码来源于网络，如有侵权请告知删除，谢谢！

周末在肉丝姐群里白嫖了个frida脚本，据说可以让TracerPid恒为0，代码如下:

var anti_fgets = function () {
        var fgetsPtr = Module.findExportByName("libc.so", "fgets");
        var fgets = new NativeFunction(fgetsPtr, 'pointer', ['pointer', 'int', 'pointer']);
        Interceptor.replace(fgetsPtr, new NativeCallback(function (buffer, size, fp) {
            var retval = fgets(buffer, size, fp);
            var bufstr = Memory.readUtf8String(buffer);
            if (bufstr.indexOf("TracerPid:") > -1) {
                console.log(bufstr); //此代码由我添加，打印TracerPid的值
                Memory.writeUtf8String(buffer, "TracerPid:\t0");
            }
            return retval;
        }, 'pointer', ['pointer', 'int', 'pointer']));
    };

这段代码的出处在这里:

https://developer.aliyun.com/article/690210

可以拿个简单的app来测试是否真的可以。样本app在这里:

https://www.52pojie.cn/thread-749955-1-1.html

这个样本开了个线程检测了TracerPid的值，如果不为0，则表示正在被调试，直接退出，而在JNI\_OnLoad函数里面检测了服务名称和端口号。如果我们用spawn方式启动的话，就躲过了服务名称和端口号的检测。这样就只剩下TracerPid的检测了，实在是一个验证的好样本。

一、使用frida脚本通过spawn的方式启动该app:

![format_png][]

二、打开一个cmder窗口，打印TracerPid的值:

![format_png 1][]

可以看到，不管是frida脚本还是打印的日志，这个时候的TracerPid是一直为0的。

三、用IDA去进行附加改变TracerPid的值，当然要开启IDA的服务以及打开IDA并进行附加了:

![format_png 2][]

如图所示，双击即可进行附加。

四、附加后直接按下F9，让程序继续跑起来。这个时候来看看两个窗口的TracerPid的值:

![format_png 3][]

可以看到，两个窗口的TracerPid的值是不一样的，因为第一个窗口输出的是进入 fgets 方法时的值，还未被替换，而下面的窗口显示的是替换后的值，所有，**这个脚本是可以让 TracerPid 恒为0的**。

五：如果关闭frida脚本，会发现程序直接退出了，IDA也进入了这个画面:

![format_png 4][]

我们再来看TracerPid的值:

![format_png 5][]

它的值是12757，与之前frida脚本打印的值是一样的，但是只打印了一次，因为app直接退出了。这也进一步验证了代码的有效性。

[format_png]: /images/20221120/d6a8c411a5a94a5daf0dab1b21b22a7b.png
[format_png 1]: /images/20221120/81baaa034b824d7994401094dd76a857.png
[format_png 2]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMk9Uc2dpYVB6cElSNzRaaWI5Rnp5YzBsZ2ZmVEoycWFMaGtQaGlhYllvN2dqVkozSW53cWE1djJWYzE1ZDZ4TDNDRG9xMzFvbUswT0lOQS82NDA?x-oss-process=image/format,png
[format_png 3]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMk9Uc2dpYVB6cElSNzRaaWI5Rnp5YzBsU2w1N2ljNmR5NmJMamRFd01wak1PQk5NVGNuSWhydm5EUTl1SjFnc21Yc2FqTlFETFZIcHVSQS82NDA?x-oss-process=image/format,png
[format_png 4]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMk9Uc2dpYVB6cElSNzRaaWI5Rnp5YzBsZlJscUZ1SmljaWJXcVlUWnUxQ2hBaGVpY1lvUFczZncwemljaWJTanljZ21QSzJCN2lhQjRyd0ZpYTdTUS82NDA?x-oss-process=image/format,png
[format_png 5]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMk9Uc2dpYVB6cElSNzRaaWI5Rnp5YzBsTXYyVFRpYkQ1cVdPalFoQkVkTEpDOEFTQkZDcmFBdTlFZ2x3UjRCb2VWa0FBcHhpY2ljTm05TGliQS82NDA?x-oss-process=image/format,png