Frida API进阶(1)

柔光的暖阳◎ 2022-12-02 04:25 174阅读 0赞

在[前面的文章][Link 1]中介绍了Frida基本API的使用，在这篇文章中介绍一些更加强大的API。同时简单介绍下HOOK 系统函数的利器frida-trace。

内存，内存还是内存。

### Java对象 ###

#### Java对象 ####

Java是极其重要的API。无论想对so层亦或java层进行拦截，通常都须编Java.perform。

*  Java.available: 该函数一般用来判断当前进程是否加载了JavaVM，Dalvik或ART虚拟机
 *  Java.androidVersion: 显示Android系统版本号
 *  Java.enumerateLoadedClasses(callbacks): 枚举当前加载的所有类信息，它有一个回调函数分别是onMatch、onComplete函数。这是一个异步的方法，有一个同步的API是Java.enumerateLoadedClassesSync。
 *  Java.enumerateClassLoaders(callbacks): 枚举Java VM中存在的类加载器，其有一个回调函数，分别是onMatch: function (loader)与onComplete: function ()。这是一个异步的方法，有一个同步的API是Java.enumerateClassLoadersSync()。
 *  Java.array(type, elements): 根据指定的元素类型创建一个Java数组。

还有一些API可参考官方文档，Java.isMainThread()、Java.registerClass(spec)、Java.deoptimizeEverything()、Java.enumerateMethods(query)等，具体用法可参考官方文档。在12.8.20版本上没有Java.enumerateMethods(query)这个API。

#### 示例代码 ####

部分运行结果如下:

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center]

#### Java.vm ####

Java.vm对象十分常用，比如想要拿到JNI层的JNIEnv对象，可以使用getEnv()。

部分运行结果:  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 1]

### Intercepter对象 ###

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 2]该对象功能十分强大，函数原型是Interceptor.attach(target, callbacks):参数target是需要拦截的位置的函数地址，也就是填某个so层函数的地址即可对其拦截，target是一个NativePointer参数，用来指定你想要拦截的函数的地址，NativePointer是一个指针。需要注意的是对于Thumb函数需要对函数地址+1，callbacks则是它的回调函数，分别是以下两个回调函数：

*  onEnter: function (args): callback function given one argument args that can be used to read or write arguments as an array of NativePointer objects.
 *  onLeave: function (retval): callback function given one argument retval that is a NativePointer-derived object containing the raw return value. You may call **retval.replace(1337)** to replace the return value with the integer 1337, or **retval.replace(ptr(“0x1234”))** to replace with a pointer. Note that this object is recycled across onLeave calls, so do not store and use it outside your callback. Make a deep copy if you need to store the contained value, e.g.: ptr(retval.toString()).

很多时候，我们需要hook系统函数read，查看文件描述符，缓存等信息。

运行结果如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 3]关于this比较重要的属性在表格中列了出来：

<table> 
 <thead> 
  <tr> 
   <th>属性</th> 
   <th>含义</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>returnAddress</td> 
   <td>返回地址，类型是NativePointer</td> 
  </tr> 
  <tr> 
   <td>context</td> 
   <td>上下文：具有键pc和sp的对象，它们是分别为ia32/x64/arm指定EIP/RIP/PC和ESP/RSP/SP的NativePointer对象。其他处理器特定的键也可用，例如eax、rax、r0、x0等。也可以通过分配给这些键来更新寄存器值</td> 
  </tr> 
  <tr> 
   <td>errno</td> 
   <td>当前errno值</td> 
  </tr> 
  <tr> 
   <td>lastError</td> 
   <td>当前操作系统错误值</td> 
  </tr> 
  <tr> 
   <td>threadId</td> 
   <td>操作系统线程ID</td> 
  </tr> 
  <tr> 
   <td>depth</td> 
   <td>相对于其他调用的调用深度</td> 
  </tr> 
 </tbody> 
</table>

#### Interceptor.replace ####

相当于替换掉原本的函数，用替换时的实现替换目标处的函数。如果想要完全或部分替换现有函数的实现，则通常使用此函数。  
示例代码如下，替换open函数，打印出打开文件的文件描述符和文件路径。

var openPtr = Module.getExportByName('libc.so', 'open');
    var open = new NativeFunction(openPtr, 'int', ['pointer', 'int']);
    Interceptor.replace(openPtr, new NativeCallback(function (pathPtr, flags) { 
      var path = pathPtr.readUtf8String();
      log('Opening "' + path + '"');
      var fd = open(pathPtr, flags);
      log('Got fd: ' + fd);
      return fd;
    }, 'int', ['pointer', 'int']));

运行结果如下：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 4]

### Frida-trace ###

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 5]官网首页就给出了frida-trace的用法，可见其功能强大。这里以windows记事本为例，将记事本打开的文件路径打印出来。  
Frida-trace是一个动态跟踪函数调用的工具，其强大之处在于能够hook系统函数。

在Windwos下打开函数使用的是CreateFileW函数，  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 6]可以看出在Kernel32.dll中导出的。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 7]  
使用frida-trace -i CreateFileW notepad.exe开启跟踪，修改相应的文件如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 8]  
使用readUtf16String是因为Windwos使用Unicode字符编码。通过记事本打开Warcraft目录下的ij115.dll。结果如下，打开路径被成功打印出来。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 9]

### 写在最后 ###

Frida hook系统API是如此的简单，不得不说，Frida is so great！

### 公众号 ###

更多Frida内容，欢迎关注我的微信公众号。

![在这里插入图片描述][20200830133703622.jpg_pic_center]

[Link 1]: https://mp.weixin.qq.com/s?__biz=MzI1NjEyMzgxMw==&mid=2247484323&idx=1&sn=87fcf8e651b069fcb145677cb772d34d&chksm=ea2a3569dd5dbc7f60fefd430012f230915aee38179de4f8096eed6f87a0bd8b4099bcfda1a6&token=5286273&lang=zh_CN#rd
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center]: /images/20221123/dbedad8e3eba42ea9f565541e5c98780.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221123/8b0ebc65d41744ff9338211a0199764d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20221123/76d897a220c241da8605550d9c34fdad.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 3]: /images/20221123/5490f6252729427b822e075fc99695c1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 4]: /images/20221123/02b85b8b58c047d9a3c084d05767ee52.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 5]: /images/20221123/392bca6542084ab0b90ac11880f79a82.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 6]: /images/20221123/8527889858db4035910c4cc569f17b94.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 7]: /images/20221123/cc05189ce4aa472bbce350eecf42c505.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 8]: /images/20221123/c70cc9a8f43b49c9b389743a586b5a21.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 9]: /images/20221123/81fe31de65e94d07ac4893f8bbaa2272.png
[20200830133703622.jpg_pic_center]: /images/20221123/c21f3b5553734172aa6254cd0e08b3aa.png