非ROOT环境下使用Frida及调试

末蓝、 2022-12-21 02:26 269阅读 0赞

### 设备 ###

Android版本: 9  
MIUI版本: 11.0.5稳定版  
手机型号: Redmi Note 8  
CPU信息:![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center]

### 关于ROOT ###

ARMV8的引入以及Google对安全的重视，使得Android获取ROOT权限很难。那个仅仅依靠一个apk就能实现手机ROOT的时代基本上一去不返了。apk提权基于的是Android系统的漏洞，目前Android已经很完善了，寻找漏洞非常困难。

目前获取ROOT基本都是通过刷安装包来实现。当然了Android模拟器可以很轻松获取ROOT权限。但是很多APP都对模拟器有检测，并且模拟器的架构基本上基于的是x86，与arm有很大的区别。

市面上大多数的手机都是非ROOT的，不能为了使用一次Frida就去刷机吧。

刷机有风险，智能变板砖。笔者曾刷小米6的手机，结果很不幸。

### 非ROOT环境下使用Frida ###

本文使用的apk是领跑娱乐.apk。有需要的可以私心我。一个赌博类的app，不要作非法的事情噢。

(1)解包: `java -jar apktool_2.4.1.jar d game.apk`  
(2)修改AndroidManifext文件。添加 `android:debuggable="true"`。  
(3)下载相应的gadget放到lib/ABI目录下。通过file命令可以查看动态库的具体信息。  
![在这里插入图片描述][20201113183728689.png_pic_center]  
由于是32位，这里选择android-arm.so.xz版本。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 1]下载完成后，复制到对应的目录下面，如下图:  
![在这里插入图片描述][20201113184251925.png_pic_center](4)修改smali代码，加载libfrida-gadget.so，通常是在Application的onCreate方法或者启动Activity的onCreate方法。

笔者选择在启动Activity的onCreate方法中添加。

.method public constructor <init>()V
        .locals 1
    
        invoke-direct {p0}, Lcom/fish/main/BaseGameActivity;-><init>()V
    
        const/4 v0, 0x0
    
        iput-boolean v0, p0, Lcom/fish/main/MainGameActivity;->p:Z
    
        # System.loadLibrary("frida-gadget")
        const-string v0, "frida-gadget"
        invoke-static {v0}, Ljava/lang/System;->loadLibrary(Ljava/lang/String;)V
        
        return-void
    .end method

(5)打包 `java -jar apktool_2.4.1.jar b game`  
(6)重新签名 `jarsigner -verbose -keystore burning.keystore -signedjar game_signed.apk game.apk burning`  
(7)安装 `adb install -r game_signed.apk`  
(8)启动程序，这里通常会黑屏，等待连接，具体可参见第9步  
(9)查看进程信息，可以看出注入成功了。  
![在这里插入图片描述][20201113185616519.png_pic_center]通过logcat可以看到如下的信息，说明frida-server已经开启了监听。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 2](10)运行`frida -U Gadget -l 1.js`。脚本能够正常运行，于是可以愉快的HOOK了。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 3]

### 权限 ###

如果本来就有这个权限，那就不需要添加了。

<uses-permission android:name="android.permission.INTERNET" />

### 调试 ###

> > (2)修改AndroidManifext文件。添加 `android:debuggable="true"`。

加上这句话之后，就可以通过jeb进行调试了。关于JEB调试，后面会专门讲解。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 4]

### 写在最后 ###

这种方式有一个明显的缺点，那就是需要修改smali源代码，而很多apk是不允许修改smali源码的(dex文件)，当然这个可以通过Frida给HOOK掉。

有什么办法不改smali？有的，通过动态连接库的依赖加载来实现，这个会在Frida高级篇进行介绍。

### 公众号 ###

关于Frida更多内容，欢迎关注我的微信公众号:无情剑客。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 5]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center]: /images/20221120/d1526645a5e8402ba0bfe6fa656999f2.png
[20201113183728689.png_pic_center]: /images/20221120/1dd612c8b24042f18fbf57e1089d03e6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221120/9a8706d4aaf7466b981f3caa34f614a1.png
[20201113184251925.png_pic_center]: /images/20221120/bd0bfa85b1bd4cf7a808af46f70c9b4e.png
[20201113185616519.png_pic_center]: /images/20221120/586b58a65f024943b9171acff68a927a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20221120/c7e8d224d973418f9a63b7c8cc95ea09.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 3]: /images/20221120/8f9084572e764b59bc8495056f831d25.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 4]: /images/20221120/bac8c89249dc46dab140b64dbd09fa93.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 5]: /images/20221120/b96b091a8f744a2b9348476d29973d02.png