Frida hook_RegisterNatives方法

我会带着你远行 2023-10-03 15:41 1阅读 0赞

hook RegisterNative函数  
命令：  
frida -U --no-pause -f cn.xiaochuankeji.tieba -l C:\\Users\\Administrator\\Desktop\\demo.js  
frida -U  
\--no-pause 直接启动  
\-f 重新启动app 然后attach  
cn.xiaochuankeji.tieba 包名  
\-l 指定js脚本  
C:\\Users\\Administrator\\Desktop\\demo.js js脚本路径  
打印示例：  
\[RegisterNatives\] java\_class: com.izuiyou.network.NetCrypto  
name: registerDID sig: (\[B)Z fnPtr: 0x99fb432d module\_name: libnet\_crypto.so  
module\_base: 0x99fa2000 offset: 0x1232d  
  
.init\_array so被加载进来首先执行的地方  
JNI\_OnLoad init\_array节区函数执行完后执行  
.fini\_array so最后执行的函数  
  
app可以动态调试 用frida脚本去hook 打印出函数地址 == 在libart.so中 RegisterNatives函数下断获取想要的信息  
  
Java层分析某个协议 -> 校验字段 -> 加载so 调用native函数生成 -> IDA分析对应so 找到RegisterNative的第三参数地址  
情况1： 动态注册函数的name sig被加密 函数地址可以正常得到  
用frida hook RegisterNative函数 打印出name sig address  
情况2： JNI\_OnLoad函数被处理了(混淆 指令) -> RegisterNative 找不到  
IDA快捷键 ctrl+s 跳到 .data区域 看看有没有动态注册函数地址  
情况3： 动态注册偏移处 三个字段都被处理 能看到的之后很多函数体  
用frida脚本去hook 打印出函数地址  
  
一般不会在反调试函数中做一些重要的运算  
某一个函数中有反调试并且函数体积不是很大 -> 尝试把整个函数的调用掉给NOP掉

function hook_RegisterNatives() {
        var symbols = Module.enumerateSymbolsSync("libart.so");
        var addrRegisterNatives = null;
        for (var i = 0; i < symbols.length; i++) {
            var symbol = symbols[i];
            
            //_ZN3art3JNI15RegisterNativesEP7_JNIEnvP7_jclassPK15JNINativeMethodi
            if (symbol.name.indexOf("art") >= 0 &&
                    symbol.name.indexOf("JNI") >= 0 && 
                    symbol.name.indexOf("RegisterNatives") >= 0 && 
                    symbol.name.indexOf("CheckJNI") < 0) {
                addrRegisterNatives = symbol.address;
                console.log("RegisterNatives is at ", symbol.address, symbol.name);
            }
        }
    
        if (addrRegisterNatives != null) {
            Interceptor.attach(addrRegisterNatives, {
                onEnter: function (args) {
                    console.log("[RegisterNatives] method_count:", args[3]);
                    var env = args[0];
                    var java_class = args[1];
                    var class_name = Java.vm.tryGetEnv().getClassName(java_class);
                    //console.log(class_name);
    
                    var methods_ptr = ptr(args[2]);
    
                    var method_count = parseInt(args[3]);
                    for (var i = 0; i < method_count; i++) {
                        var name_ptr = Memory.readPointer(methods_ptr.add(i * Process.pointerSize * 3));
                        var sig_ptr = Memory.readPointer(methods_ptr.add(i * Process.pointerSize * 3 + Process.pointerSize));
                        var fnPtr_ptr = Memory.readPointer(methods_ptr.add(i * Process.pointerSize * 3 + Process.pointerSize * 2));
    
                        var name = Memory.readCString(name_ptr);
                        var sig = Memory.readCString(sig_ptr);
                        var find_module = Process.findModuleByAddress(fnPtr_ptr);
                        console.log("[RegisterNatives] java_class:", class_name, "name:", name, "sig:", sig, "fnPtr:", fnPtr_ptr, "module_name:", find_module.name, "module_base:", find_module.base, "offset:", ptr(fnPtr_ptr).sub(find_module.base));
    
                    }
                }
            });
        }
    }
    
    setImmediate(hook_RegisterNatives);

发表评论取消回复

表情：

评论列表（有 0 条评论，1人围观）

还没有评论，来说两句吧...

相关阅读

相关 Frida检测

检查 Frida 的痕迹一种简易方法是检测 Frida 的运行痕迹，也适用于同类工具的检测，比如包文件、二进制文件、库文件、进程、临时文件等等。本例中针对的对象是 frid

港控/mmm°/ 2023年10月03日 15:46/ 0 赞/ 41 阅读

相关 Frida hook_RegisterNatives方法

hook RegisterNative函数命令： frida -U --no-pause -f cn.xiaochuankeji.tieba -l C:\\Users

我会带着你远行/ 2023年10月03日 15:41/ 0 赞/ 2 阅读

相关 Frida模板Hook

JAVA层HOOK: -- coding: utf-8 -- """ Spyder Editor This is a tempor

超、凢脫俗/ 2023年10月03日 14:32/ 0 赞/ 1 阅读

相关 Frida-OC操作

frida操作oc及hook示例： // 主动调用 // var nsstr = ObjC.classes.NSString; // var ocst

今天药忘吃喽~/ 2023年09月26日 18:18/ 0 赞/ 192 阅读

相关 frida 使用

[https://www.jianshu.com/p/7be526b77bd2][https_www.jianshu.com_p_7be526b77bd2] [https:/

r囧r小猫/ 2023年06月11日 05:25/ 0 赞/ 2 阅读

相关 Frida官方文档

文章目录欢迎 Frida到底是什么我为什么需要这个为什么要使用Python API，但要

客官°小女子只卖身不卖艺/ 2023年05月28日 14:17/ 0 赞/ 67 阅读

相关 Frida Android hook

From：[https://eternalsakura13.com/2020/07/04/frida/][https_eternalsakura13.com_2020_07_0

Dear 丶/ 2023年02月28日 01:37/ 0 赞/ 107 阅读

相关 frida框架配置

1. frida框架简介 Frida是一款基于Python + JavaScript 的Hook框架，本质是一种[动态插桩技术][Link 1]，可以用于Androi

╰+攻爆jí腚メ/ 2023年01月10日 09:56/ 0 赞/ 188 阅读

相关 Frida工作原理

在调试和验证Frida的Stalker功能的时候，需要频繁暂停程序查看效果。因此这里是首先介绍下Linux下的暂停。在用Linux的时候，都比较熟悉下面这几中暂停方式。

╰半夏微凉°/ 2023年01月06日 04:27/ 0 赞/ 168 阅读

相关 frida补充篇

![在这里插入图片描述][4c5de3ec3cbe4c839a5cd6ea09036c7e.gif_pic_center] 整个9月份几乎一点状态都没有，基本上文章都没有更

我会带着你远行/ 2022年12月29日 02:24/ 0 赞/ 187 阅读