Frida检测

港控/mmm° 2023-10-03 15:46 17阅读 0赞

检查 Frida 的痕迹

一种简易方法是检测 Frida 的运行痕迹，也适用于同类工具的检测，比如包文件、二进制文件、库文件、进程、临时文件等等。本例中针对的对象是 fridaserver，它通过 TCP 对外与 frida 通信，此时可以用 Java 遍历运行的进程列表从而检查 fridaserver 是否在运行。

<table style="margin-left:.6pt;width:430.55pt;"> 
 <tbody> 
 <tr> 
 <td style="background-color:#1b2426;width:12pt;"> 2 3 4 5 6 7 8 9 10 11 12 13 14 15 </td> 
 <td style="background-color:#1b2426;"> public&nbsp;boolean&nbsp;checkRunningProcesses()&nbsp;{ &nbsp;&nbsp;boolean&nbsp;returnValue&nbsp;=&nbsp;false; &nbsp;&nbsp;//&nbsp;Get&nbsp;currently&nbsp;running&nbsp;application&nbsp;processes &nbsp;&nbsp;List&lt;RunningServiceInfo&gt;&nbsp;list&nbsp;=&nbsp;manager.getRunningServices(300); &nbsp;&nbsp;if(list&nbsp;!=&nbsp;null){ &nbsp;&nbsp;&nbsp;&nbsp;String&nbsp;tempName; &nbsp;&nbsp;&nbsp;&nbsp;for(int&nbsp;i=0;i&lt;list.size();++i){ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;tempName&nbsp;=&nbsp;list.get(i).process; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if(tempName.contains("fridaserver"))&nbsp;{ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;returnValue&nbsp;=&nbsp;true; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;} &nbsp;&nbsp;&nbsp;&nbsp;} &nbsp;&nbsp;} &nbsp;&nbsp;return&nbsp;returnValue; } </td> 
 </tr> 
 </tbody> 
</table>

若 Frida 运行在默认配置时此法有效，若是遇到个笨拙的脚本小子，在第一步就能绊倒他。绕过也是相当简单，只需重命名 fridaserver，我们得找个更好的方法。

fridaserver 默认的 TCP 端口是 27047，可以检查这个端口是否开放。

![watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5YiY5LyY56eAXw_size_20_color_FFFFFF_t_70_g_se_x_16][]

同样，这也得要求 fridaserver 是默认配置运行，命令行指定参数就可以改变它的监听端口，绕过也太不麻烦了。

adb forward tcp:1234 tcp:1234  
frida -H 127.0.0.1:1234

不过我们可以用' nmap -sV' 找到开放端口来改善这个方法。因为 fridaserver 使用 D-Bus 协议通信，我们为每个开放的端口发送 D-Bus 的认证消息，哪个端口回复了哪个就是 fridaserver。

<table style="margin-left:.6pt;width:430.55pt;"> 
 <tbody> 
 <tr> 
 <td style="background-color:#1b2426;width:12pt;"> 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 </td> 
 <td style="background-color:#1b2426;"> /* &nbsp;*&nbsp;Mini-portscan&nbsp;to&nbsp;detect&nbsp;frida-server&nbsp;on&nbsp;any&nbsp;local&nbsp;port. &nbsp;*/ for(i&nbsp;=&nbsp;0&nbsp;;&nbsp;i&nbsp;&lt;=&nbsp;65535&nbsp;;&nbsp;i++)&nbsp;{ &nbsp;&nbsp;&nbsp;&nbsp;sock&nbsp;=&nbsp;socket(AF_INET&nbsp;,&nbsp;SOCK_STREAM&nbsp;,&nbsp;0); &nbsp;&nbsp;&nbsp;&nbsp;sa.sin_port&nbsp;=&nbsp;htons(i); &nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(connect(sock&nbsp;,&nbsp;(struct&nbsp;sockaddr*)&amp;sa&nbsp;,&nbsp;sizeof&nbsp;sa)&nbsp;!=&nbsp;-1)&nbsp;{ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;__android_log_print(ANDROID_LOG_VERBOSE,&nbsp;APPNAME,&nbsp;&nbsp;"FRIDA&nbsp;DETECTION&nbsp;[1]:&nbsp;Open&nbsp;Port:&nbsp;%d",&nbsp;i); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;memset(res,&nbsp;0&nbsp;,&nbsp;7); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//&nbsp;send&nbsp;a&nbsp;D-Bus&nbsp;AUTH&nbsp;message.&nbsp;Expected&nbsp;answer&nbsp;is&nbsp;“REJECT" &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;send(sock,&nbsp;"\x00",&nbsp;1,&nbsp;NULL); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;send(sock,&nbsp;"AUTH\r\n",&nbsp;6,&nbsp;NULL); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;usleep(100); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(ret&nbsp;=&nbsp;recv(sock,&nbsp;res,&nbsp;6,&nbsp;MSG_DONTWAIT)&nbsp;!=&nbsp;-1)&nbsp;{ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(strcmp(res,&nbsp;"REJECT")&nbsp;==&nbsp;0)&nbsp;{ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;/*&nbsp;Frida&nbsp;server&nbsp;detected.&nbsp;Do&nbsp;something…&nbsp;*/ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;} &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;} &nbsp;&nbsp;&nbsp;&nbsp;} &nbsp;&nbsp;&nbsp;&nbsp;close(sock); } </td> 
 </tr> 
 </tbody> 
</table>

我们现在好像有了个非常好用的方法了呢。Frida 的各个模式都是用来注入的，我们可以利用的点就是 frida 运行时映射到内存的库。最直接的是挨个检查加载的库。

char line[512];
    
    FILE* fp;
    
    fp = fopen("/proc/self/maps", "r");
    
    if (fp) {
    
        while (fgets(line, 512, fp)) {
    
            if (strstr(line, "frida")) {
    
                /* Evil library is loaded. Do something… */
    
            }
    
        }
    
        fclose(fp);
    
        } else {
    
           /* Error opening /proc/self/maps. If this happens, something is off. */
    
        }

这段代码检测名字含有“frida”的库，表明上有用，实际上：

\- **还记得为什么检测名字是“fridaserver”的方法为什么不可靠吧？这里也是一样，稍微改一下 frida 就能重命名代理库名。**

\- **这段代码依赖的是标准库的\`fopen()\`和\`strstr()\`函数，可笑的是，我们竟想用能被 frida 轻而易举就 hook 的函数来检测 frida ！**

问题1可以用经典的病毒扫描法解决，在内存中扫描 frida 的库特征 “gadgets”。我选择字符串 “LIBFRIDA”，它在所有 frida-gadget 和 frida-agent 的版本中都有出现。下面的代码扫描了在 \`/proc/sel/maps\` 里找到的所有的可执行段

static char keyword[] = "LIBFRIDA";
    
    num_found = 0;
    
    int scan_executable_segments(char * map) {
    
        char buf[512];
    
        unsigned long start, end;
    
        sscanf(map, "%lx-%lx %s", &start, &end, buf);
    
        if (buf[2] == 'x') {
    
            return (find_mem_string(start, end, (char*)keyword, 8) == 1);
    
        } else {
    
            return 0;
    
        }
    
    }
    
    void scan() {
    
        if ((fd = my_openat(AT_FDCWD, "/proc/self/maps", O_RDONLY, 0)) >= 0) {
    
        while ((read_one_line(fd, map, MAX_LINE)) > 0) {
    
            if (scan_executable_segments(map) == 1) {
    
                num_found++;
    
            }
    
        }
    
        if (num_found > 1) {
    
            /* Frida Detected */
    
        }
    
    }

注意 \`my\_openat()\` 等函数，它们并非平常的 libc 库函数，是自定义实现的，但是功能和 libc 中的一样，设置了系统调用的参数，执行了软中断。因为直接调用公共 API 并不可靠，这样不容易被 hook。

到这里总算是有效的方法了，只用 frida 的话也不容易绕过，加了混淆更难。即使这样，依然有很多办法可以绕过，直接能想到的就是打补丁、hook 系统调用。

[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5YiY5LyY56eAXw_size_20_color_FFFFFF_t_70_g_se_x_16]: https://img-blog.csdnimg.cn/20210902095455417.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBA5YiY5LyY56eAXw==,size_20,color_FFFFFF,t_70,g_se,x_16