如何让Frida实现Hook注入？

lsekfe

Frida 通过 C 语言将 QuickJS 注入到目标进程中，获取完整的内存操作权限，达到在程序运行时实时地插入额外代码和数据的目的。官方将调用代码封装为 python 库，当然你也可以直接通过其他的语言调用 Frida 中的 C 语言代码进行操作。
　　Frida安装和启动
　　电脑端 Frida 安装
　　Frida 支持 python2 和 python3 版本，演示所使用的版本为 python3.8

1. <font size="3">pip install frida-tools</font>

复制代码

　如果在安装中卡住，需要在 Frida 的 pypi 页面下载对应系统的 egg 文件，对应页面地址为：https://pypi.org/project/frida/#files ，并将该文件放置到个人文件夹路径下，例如 C:\Users\当前用户名 ，再重新使用命令安装。
　　安装完毕后可以通过命令frida --version 来查看安装的版本，确认是否安装成功。
　　手机端 Frida-server 安装
　　本次示例使用 Android App 作为目标程序，所以需要电脑端安装 SDK 环境，以便能够连接手机进行调试操作，还需在手机端准备一个 Frida-server，下载地址为：https://github.com/frida/frida/releases，下载匹配手机 CPU 架构和本地 Frida 版本的包。
　　下载之后解压文件，使用adb push 命令将文件推送到手机端，建议放置在/data/local/tmp 文件夹中，并修改该文件的权限为 755，以便之后进行启动。
　　确认环境运行正常
　　通过 Frida 提供的一些小工具，对 Frida 的安装运行环境做简单的确认。
　　首先准备一个 Android 模拟器或者真机，将上一步中提到的 Frida-server 推送到手机端中，在本示例中将放置在手机的/data/local/tmp 文件夹内，并将文件命名为frida-server 。
　　通过adb 　如果在安装中卡住，需要在 Frida 的 pypi 页面下载对应系统的 egg 文件，对应页面地址为：https://pypi.org/project/frida/#files ，并将该文件放置到个人文件夹路径下，例如 C:\Users\当前用户名 ，再重新使用命令安装。　　安装完毕后可以通过命令frida --version 来查看安装的版本，确认是否安装成功。
　　手机端 Frida-server 安装
　　本次示例使用 Android App 作为目标程序，所以需要电脑端安装 SDK 环境，以便能够连接手机进行调试操作，还需在手机端准备一个 Frida-server，下载地址为：https://github.com/frida/frida/releases，下载匹配手机 CPU 架构和本地 Frida 版本的包。
　　下载之后解压文件，使用adb push 命令将文件推送到手机端，建议放置在/data/local/tmp 文件夹中，并修改该文件的权限为 755，以便之后进行启动。
　　确认环境运行正常
　　通过 Frida 提供的一些小工具，对 Frida 的安装运行环境做简单的确认。
　　首先准备一个 Android 模拟器或者真机，将上一步中提到的 Frida-server 推送到手机端中，在本示例中将放置在手机的/data/local/tmp 文件夹内，并将文件命名为frida-server 。
　　通过adb shell 命令连接手机，运行/data/local/tmp/frida-server & ，将 Frida-server 放在系统后台自动运行。
　　在本地电脑终端中运行frida-ps -U ，结果如下展示手机中的进程信息，说明环境已经准备完毕。 命令连接手机，运行/data/local/tmp/frida-server & ，将 Frida-server 放在系统后台自动运行。
　　在本地电脑终端中运行frida-ps -U ，结果如下展示手机中的进程信息，说明环境已经准备完毕。

1. <font size="3"> PID  Name
   
2. 
   
3. -----  --------------------------------------------------
   
4. 
   
5. 1313  adbd
   
6. 
   
7. 12621  android.process.acore
   
8. 
   
9. 18037  android.process.media
   
10. 
    
11. 14455  com.android.defcontainer
    
12. 
    
13. 11656  com.android.deskclock
    
14. 
    
15. ...</font>

复制代码

示例
　　目标应用介绍
　　因为 Hook 需要通过分析源码中的逻辑来实现，所以先展示一下目标应用的源码部分，方便分析其中的逻辑，找到 Hook 时要修改的方法和变量。
　　代码是简单的猜黑白游戏，通过按下黑或白按钮，与电脑结果进行对比，结果相同加 1 分，结果不同分数清零，当满 100 分时打出胜利提示语。具体代码如下：

1. <font size="3">package com.example.target_frida;
   
2. 
   
3. import androidx.appcompat.app.AppCompatActivity;
   
4. 
   
5. import android.annotation.SuppressLint;
   
6. 
   
7. import android.os.Bundle;
   
8. 
   
9. import android.view.View;
   
10. 
    
11. import android.widget.Button;
    
12. 
    
13. import android.widget.TextView;
    
14. 
    
15. public class MainActivity extends AppCompatActivity implements View.OnClickListener {
    
16. 
    
17. 
    
18. 
    
19. 
    
20.     TextView winCountView;
    
21. 
    
22.     TextView battleInfoTextView;
    
23. 
    
24.     int winCount = 0;
    
25. 
    
26.     @SuppressLint("SetTextI18n")
    
27. 
    
28.     @Override
    
29. 
    
30.     public void onClick(View view) {
    
31. 
    
32.         if (winCount > 100) {
    
33. 
    
34.             return;
    
35. 
    
36.         }
    
37. 
    
38.         if (view.getId() == R.id.tvButtonBlack) {
    
39. 
    
40.             if (!getCPUResult()) {
    
41. 
    
42.                 winCount++;
    
43. 
    
44.                 winCountView.setText(winCount + "");
    
45. 
    
46.                 battleInfoTextView.setText("Right!");
    
47. 
    
48.             } else {
    
49. 
    
50.                 winCount = 0;
    
51. 
    
52.                 winCountView.setText(winCount + "");
    
53. 
    
54.                 battleInfoTextView.setText("Wrong! Clean All!");
    
55. 
    
56.             }
    
57. 
    
58.         } else if (view.getId() == R.id.tvButtonWhite) {
    
59. 
    
60.             if (getCPUResult()) {
    
61. 
    
62.                 winCount++;
    
63. 
    
64.                 winCountView.setText(winCount + "");
    
65. 
    
66.                 battleInfoTextView.setText("Right!");
    
67. 
    
68.             } else {
    
69. 
    
70.                 winCount = 0;
    
71. 
    
72.                 winCountView.setText(winCount + "");
    
73. 
    
74.                 battleInfoTextView.setText("Wrong! Clean All!");
    
75. 
    
76.             }
    
77. 
    
78.         }
    
79. 
    
80.         if (winCount >= 100) {
    
81. 
    
82.             battleInfoTextView.setText("Win 100 times!!!");
    
83. 
    
84.         }
    
85. 
    
86.     }
    
87. 
    
88.     @SuppressLint("SetTextI18n")
    
89. 
    
90.     @Override
    
91. 
    
92.     protected void onCreate(Bundle savedInstanceState) {
    
93. 
    
94.         super.onCreate(savedInstanceState);
    
95. 
    
96.         setContentView(R.layout.activity_main);
    
97. 
    
98.         winCountView = findViewById(R.id.winCount);
    
99. 
    
100.         winCountView.setText(winCount + "");
     
101. 
     
102.         battleInfoTextView = findViewById(R.id.battleInfo);
     
103. 
     
104.         battleInfoTextView.setText("猜黑白！！！");
     
105. 
     
106.         Button buttonBlack = (Button) findViewById(R.id.tvButtonBlack);
     
107. 
     
108.         Button buttonWhite = (Button) findViewById(R.id.tvButtonWhite);
     
109. 
     
110.         buttonBlack.setOnClickListener(this);
     
111. 
     
112.         buttonWhite.setOnClickListener(this);
     
113. 
     
114.     }
     
115. 
     
116.     public boolean getCPUResult() {
     
117. 
     
118.         //true为白，false为黑
     
119. 
     
120.         return Math.random() > 0.5;
     
121. 
     
122.     }
     
123. 
     
124. }</font>

复制代码

Hook 需求分析
　　由于正常情况下，连赢 100 次的概率几乎为零，如果想要达到胜利条件，Hook 就是一个比较好的方式。
　　首先分析一下源码，想要达到连赢 100 次的情况，可以有两种解决办法：一种是通过修改用来记录连赢次数的变量winCount ，将连赢记录改成 99，这样只需要再赢一次就可以获得胜利；还有一种是通过修改getCPUResult 方法的返回值，让其固定返回一种可能性，这样只需要选择对应的颜色就可以连续获胜。接下来通过实现第一个方案，看看使用 Frida 如何达到想要的效果。
　　第一种实现：修改结果变量中保存的值
　　首先展示修改代码，然后再进行逐步讲解：

1. <font size="3">import time
   
2. 
   
3. import frida, sys
   
4. 
   
5. date_str = time.strftime('%m-%d %H:%M:%S')
   
6. 
   
7. def on_message(message, data):
   
8. 
   
9.     if message['type'] == 'send':
   
10. 
    
11.         print(f"[{date_str}] {message['payload']}")
    
12. 
    
13.     else:
    
14. 
    
15.         print(f"[{date_str}] {message}")
    
16. 
    
17. def run_all():
    
18. 
    
19.   # Java.perform方法：当 js 附加到目标的进程中时被执行，运行其中定义的函数
    
20. 
    
21.   # Java.choose方法：通过完整类名，获取它的实例，从而对实例中的数据进行修改
    
22. 
    
23.   # 通过 key:value 结构定义了两个函数：
    
24. 
    
25.   # onMatch 对应的函数在命中一个实例的时候被调用，传入函数中的参数 instance 就是被命中的实例
    
26. 
    
27.   # onComplete 函数会在所有实例遍历完毕之后被调用，可以做一些后续处理操作
    
28. 
    
29.     jscode = """
    
30. 
    
31.     Java.perform(function () {
    
32. 
    
33.       Java.choose("com.example.target_frida.MainActivity",{
    
34. 
    
35.         onMatch:function(instance){
    
36. 
    
37.             console.log("winCount value is "+instance.winCount.value);
    
38. 
    
39.             instance.winCount.value=99;
    
40. 
    
41.             console.log("winCount value is "+instance.winCount.value);
    
42. 
    
43.         },
    
44. 
    
45.         onComplete:function(){
    
46. 
    
47.             console.log("Complete!!!")
    
48. 
    
49.         }
    
50. 
    
51.       });
    
52. 
    
53.     });
    
54. 
    
55.     """
    
56. 
    
57.     # attach目标App进程
    
58. 
    
59.     target_app = 'com.example.target_frida'
    
60. 
    
61.     process = frida.get_usb_device().attach(target_app)
    
62. 
    
63.     # 将JS代码注入进程，并附加监听方法，用来获取返回的日志信息
    
64. 
    
65.     script = process.create_script(jscode)
    
66. 
    
67.     script.on('message', on_message)
    
68. 
    
69.     # 打印起始日志
    
70. 
    
71.     print(f'[{date_str}] Start Frida on {target_app}')
    
72. 
    
73.     # 加载注入的JS代码逻辑
    
74. 
    
75.     script.load()
    
76. 
    
77.     # 使用系统输入语句阻止函数运行完毕自动退出
    
78. 
    
79.     sys.stdin.read()
    
80. 
    
81. if __name__ == '__main__':
    
82. 
    
83.     run_all()</font>

复制代码

代码中的 python 语句已经添加了注释，Hook 的核心逻辑，JS 语句作为字符串保存在 jscode 变量中。
　　梳理一下整个 JS 语句的流程：通过Java.choose 函数获取com.example.target_frida.MainActivity 类的实例。在获取到实例时，首先使用console.log 语句将当前实例中的 winCount 变量值（使用 winCount.value）打印到日志中，之后直接通过赋值语句把变量值改为 99，再次输出日志确认修改无误，修改逻辑就完成了。
　　在手机端启动 Frida-server 和被测 App，电脑端运行脚本，可以看到在命令行中输出如下内容：

1. <font size="3">[04-15 18:19:57] Start Frida on com.example.target_frida
   
2. 
   
3. winCount value is 0
   
4. 
   
5. winCount value is 99
   
6. 
   
7. Complete!!!</font>

复制代码

这时在 App 中选择一个颜色点击，只要选中正确的颜色，就可以成功达到预期的 100 次连胜目标，如果没能选中正确的颜色导致清零，可以再重复运行脚本修改一次数值，在这种情况下要达到预期的场景就很容易。
　　总结
　　第二个方案以及其他更多的可能性，就留给读者自行探索，在这里送上 Frida 官方 JavaScript API 链接：https://frida.re/docs/javascript-api/ ，可以通过这个链接找到你所需要的 JS 函数。
　　通过示例可以看到 Frida 实现 Hook 功能的强大能力，它可以定位到类的实例，并且对实例中的数据进行直接的修改，达到场景构建的目的。