在 Android 手机上安装一个应用时，只有手机CPU架构支持的ABI架构对应的.so文件会被安装。如果支持多个ABI架构，会按照优先级进行安装。

CPU大都是向前兼容的，但是会按优先级来选择ABI。如x86架构的CPU会优先选择x86目录下的.so包，当不存在时，才会选择armeabi-v7a目录下的.so包，如果仍然不存在，最后才会选择armeabi目录下的.so文件。
注：x86设备运行armeabi下的so库时会损失性能。

打开 GitHub 之后你会发现，这里有很多个不同的版本，应该下载哪一个呢？

可以看到末尾处都有个 系统 和 CPU架构 的标识，我们直接看 Android 的。

这里标了Android的一共有四个，怎么判断自己的手机/模拟器属于哪一种CPU架构的呢？

查CPU架构的方法很多，这里介绍一个比较方便快捷的——使用一个名叫 Device Info HW 的 APP。

Device Info HW 下载地址：https://www.cr173.com/soft/845060.html

                下载的文件名的格式是： frida-server-(version)-(platform)-(cpu).xz 
                例如：手机是 nexus6p, cpu 为 arm64
                需要下载的是： frida-server-11.0.13-android-x86_64.xz；
                注意， frida-server 的版本一定要跟 frida CLI 的版本一致。

        　　执行以下命令
                adb devices
                adb push path/to/frida-server /data/local/tmp
                adb shell
                su
                cd /data/local/tmp
                chmod a+x ./frida-server         或者   chmod 777 ./frida-server
                ./frida-server                            或者   ./frida-server &

frida tools

Frida 提供的工具，frida-trace，frida-ps，frida，frida-discover，这些工具都位于 python 的 Scripts 路径下，

frida 的工具共有 6 个：

（1）frida 命令是一个交互式解释器（REPL），用于实现 Hook 代码的动态注入，他的交互形式跟 IPython 很类似。         

          命令帮助：

示例：

将一个脚本注入到 Android 目标进程：frida -U -l myhook.js com.xxx.xxxx

参数解释：

• -U 指定对 USB 设备操作
• -l   指定加载一个 Javascript 脚本
• 最后指定一个进程名，如果想指定进程 pid，用 -p 选项。正在运行的进程可以用 frida-ps -U 命令查看

frida 运行过程中，执行 %resume 重新注入，执行 %reload 来重新加载脚本；执行 exit 结束脚本注入

（2） frida-ps: 用于列出进程的一个命令行工具，当我们需要跟远程系统进行交互的时候，这个是非常有用的。

（备注：这里的 com.android.chrome 就是通过 frida-ps 命令查询到的远程客户端进程。）

另外还有四个分别是： frida-trace，frida-discover， frida-ls-devices， frida-kill

由于不是经常用到，这边就不一一详细介绍了， 感兴趣的可以去 frida 的官网查看他们的详细介绍和用法。

常用 Java API

官网也有文档说明：https://www.frida.re/docs/javascript-api，

　　由于 frida 的注入脚本是 Java，因此在开始 frida 初探之前，有必要对 Java 注入相关的 API 做一个简单介绍， 后面我们都将通过 js 脚本来操作设备上的 Java 代码。

　　当我们使用 Java.use() 获取 Java类之后，我们就可以通过 class.method.implementations = function() {} 的形式 hook 某类的某方法，不管是实例方法还是静态方法都可以。

　　另外，由于 js 代码注入时可能会出现超时的错误， 为了防止这个问题，我们通常还需要在最外面包装一层setImmediate(function(){}) 的代码，如下所示：

初探 Frida：Hello World 程序

apk 下载地址：https://github.com/OWASP/owasp-mstg/tree/master/Crackmes/Android

github 下载网速有点感人。链接: https://pan.baidu.com/s/1zYd4PmMQNlGqhzEUtXee6w 提取码: 6y8e

CTF之安卓逆向 uncrackme level1：https://blog.csdn.net/nini_boom/article/details/104565943/

Frida Hook app简单教程：https://blog.csdn.net/PLA12147111/article/details/100525588

1. 注入模式
2. 嵌入模式
3. 预加载模式

注入模式

• 大部分情况下，我们都是附加到一个已经运行到进程，或者是在程序启动到时候进行劫持，然后再在目标进程中运行我们的代码逻辑。这种方式就是Frida最常用的使用方式，因此我们的文档也把大部分的篇幅集中在这种方式上。
• 注入模式的大致实现思路是这样的，带有GumJS的Frida核心引擎被打包成一个动态连接库，然后把这个动态连接库注入到目标进程中，同时提供了一个双向通信通道，这样你的控制端就可以和注入的模块进行通信了，在不需要的时候，还可以在目标进程中把这个注入的模块给卸载掉。
• 除了上述功能，Frida还提供了枚举已经安装的App列表，运行的进程列表已经已经连接的设备列表，这里所说的设备列表通常就是frida-server 所在的设备。frida-server 是一个守护进程，通过TCP和Frida核心引擎通信，默认的监听端口是27042。

嵌入模式

• 在实际使用的过程中，你会发现在没有 root 过的iOS Android设备上你是没有办法对进程进行注入的，也就是说第一种注入模式失效了，这个时候嵌入模式就派上用场了。Frida提供了一个动态连接库组件 frida-gadget， 你可以把这个动态库集成到你程序里面来使用Frida的动态执行功能。一旦你集成了gadget，你就可以和你的程序使用Frida进行交互，并且使用 frida-trace 这样的功能，同时也支持从文件自动加载Js文件执行JS逻辑。
• 关于 Gadget 更多功能，请参考原文链接（https://www.frida.re/docs/modes）

预加载模式

• 大家应该熟悉 LD_PRELOAD，或者 DYLDINSERTLIBRARIES吧， 如果有 JS_PRELOAD 这种东西是不是更爽了呢！事实上对于我们上面讨论的 Gadget 是支持这种模式的， 这才是Gadget 的强大之处，通过这种模式你就可以达到自动加载Js文件并执行的目的了。
• 译者注：这种模式我没测试，我猜测主要目的是说可以执行那些在程序入口点执行之前就需要执行的JS逻辑，而注入模式是在入口点跑过之后才能执行JS逻辑的，这个是最大的区别吧，大家最好再看下原文，避免被我误导）

　　通过上面的介绍，现在终于可以来真格的了。而这里所说的 Hello World 程序，和我们日常看编程书籍所说的有所不同，我们上网找了一个 OWASP Uncrackable Crackme Level 1 的 APP，并对其 "防Root检测" 功能进行了Hook。

将 UnCrackable-Level1.apk 安装到安卓设备（ 可以直接拖进模拟器安装 ）：adb install UnCrackable-Level1.apk

打开运行，存在 root 检测，由于我的模拟器是已经 root，所以点击 OK，程序它就自己退出了。

***********  注意：这里使用的是 "雷电模拟器4"，3版本运行 frida-server-12.11.17-android-x86 报错  ***********

方法 1（ 使用 jadx-gui 或者 jeb 打开并自动反编译 apk ）：

使用 jadx-gui  或者 jeb 打开 apk ，自动反编译，然后查看 java 源码。这里使用 jadx-gui 打开 apk 并自动反编译。。。

关键函数：

在 MainActivity 类中可以看到，函数 a 打开了一个对话框，并设置了一个 onClickListener监听，当按 ok 按钮时，onClick 事件函数就会被触发。onClick事件函数只是简单的使用 system.exit ( 0 ) 来退出 app 。

因此只需要不调用 system.exit ( 0 ) 阻止 App退出即可。所以需要 hook 住 onClick 方法。。。。。

frida_hook_java.py 代码：

        hook 匿名内部类：
        https://stackoverflow.com/questions/60236107/how-to-hook-into-onclick-method-inside-a-method-using-frida

import sys
import fridajs_code = '''
Java.perform(function(){console.log("[*] START...")var mClass = Java.use("sg.vantagepoint.uncrackable1.MainActivity$1")mClass.onClick.implementation=function() {console.log("[*] Clicked ")}
});
'''def on_message(msg, data):  # js中执行 send 函数后要回调的函数if msg['type'] == 'send':print(f'[*] {msg["payload"]}')else:print(msg)if __name__ == '__main__':# get_remote_device 获取远程设备　(get_usb_device)　　attach 附加进程process = frida.get_remote_device().attach('owasp.mstg.uncrackable1')script = process.create_script(js_code)script.on('message', on_message)  # 绑定一个事件script.load()sys.stdin.read()pass

说明：on_message 的用途是接收 Javascript 代码中调用 send 函数传出的日志，可以不用管它，或者可以使用 console.log 打日志，效果也是差不多的。然后就是 jscode 这个变量，这个变量其实建议使用一个单独的 .js 文件代替，因为这样的话可以使用各种编辑器、IDE的JavaScript代码格式化、智能提示等功能，写起来会舒服很多。如果你要替换掉的话，改成读 JS 代码文件之后 read 出内容字符串赋值给 jscode 就行了。这里直接使用一个变量保存 js ，没有使用 单独的 js 文件保存 js 代码。。。

import sys
import fridadef read_file_all(file_path):with open(file_path, 'r', encoding='utf-8') as f:text = f.read()return textdef on_message(message, data):if message['type'] == 'error':print("[!] " + message['stack'])elif message['type'] == 'send':print(message['payload'])if data is not None:print("[data] " + format_bytes(data))else:print(message)def format_bytes(byte_array):string = '['for b in byte_array:string = string + str(b) + ','return string[:len(string) - 1] + "]"if __name__ == '__main__':    device = frida.get_usb_device()process = device.attach("com.xxxx.xxxx")js_code = read_file_all("hookMD5.js")script = process.create_script(js_code)script.on('message', on_message)script.load()sys.stdin.read()

打开两个 cmd 窗口，一个执行 frida-server 对应的版本，一个执行 端口转发，如图：

然后在模拟器中打开 apk，再执行上面的 python 代码，可以看到，点击 OK 后 apk 不会退出，hook 成功

方法 2（ dex2jar classes.dex -o classes.jar ）：

将 APK 文件扩展名修改为.zip，然后找到 classes.dex 文件将其编译为 classes.jar 文件。

dex2jar classes.dex -o classes.jar

编译完后，使用 JD-GUI 打开 classes.jar 文件，查找关键字，这里的关键字是 “Root detected”。

a 方法中关键代码，可以看到 new 了一个 b ，然后把 b 类的实例转换成 OnClickListener。 

js 代码

现在让我们运行此 App 程序，它依然弹出了 Root检测的对话框。

现在让我们来运行 frida 注入程序，然后点击 OK 按钮，神奇的事情发生了，App 并没有退出，我们正常的进入了App界面。

frida注入界面：

frida 注入后的 App 界面

　　至此，我们以一个实例展示了frida框架的强大和神奇之处，这个Hook功能虽然简单，但是同样体现了整个的Hook过程，所谓麻雀虽小，但五脏俱全。

示例 2：crackme 自毁程序密码

Frida Hook和Xposed Hook 再搞Crackme ：https://www.52pojie.cn/thread-1315865-1-1.html

阿里 crackme 的新解法 --- frida：https://www.52pojie.cn/thread-608505-1-1.html

一个简单 CrackMe 的逆向总结：https://blog.csdn.net/u012551350/article/details/98871295

crackme.apk：链接: https://pan.baidu.com/s/15Fwl0_MeZAr9ejGA9vh9sw    提取码: 6666

安装完 crackme.apk 之后，打开 app ，随意输入，然后点击 按钮

使用 jadx-gui 打开 apk，查看 AndroidManifest.xml

找到 com.yaotong.crackme.MainActivity，然后进入 MainActivity 查看源码

只要 securityCheck 函数 返回 true 即可。。。

使用 frida 开始 hook

import frida  # 导入frida模块
import sys  # 导入sys模块# 从此处开始定义用来Hook的javascript代码
js_code = """  Java.perform(function() {// 获取当前安卓设备的安卓版本var v = Java.androidVersion;send('version:' + v);//获取该应用加载的类var class_names = Java.enumerateLoadedClassesSync();        for (var i = 0; i < class_names.length; i++){send('class name:' + class_names[i])}var MainActivity = Java.use('com.yaotong.crackme.MainActivity'); //获得MainActivity类var java_string = Java.use('java.lang.String');MainActivity.securityCheck.implementation = function(java_string){             send('I am here');      // 发送信息，用于回调python中的函数return true;            //劫持返回值，修改为我们想要返回的字符串}});
"""def on_message_1(msg, data):if msg['type'] == 'send':print(f'[*] {msg["payload"]}')else:print(msg)def on_message(msg, data):  # js中执行send函数后要回调的函数print(msg)# 得到设备并劫持进程 com.example.testfrida
# (刚开始用get_usb_device函数用来获取设备，但是一直报错找不到设备，改用get_remote_device函数即可解决这个问题)
process = frida.get_remote_device().attach('com.yaotong.crackme')
script = process.create_script(js_code)  # 创建js脚本
script.on('message', on_message)  # 加载回调函数，也就是js中执行send函数规定要执行的python函数
script.load()  # 加载脚本
sys.stdin.read()

上传 frida-server ，添加权限 chmod 777 frida-server-xxxx-android-x86，最后运行 frida-server。

在打开一个 cmd 窗口，执行端口转发： adb forward tcp:27042 tcp:27042

效果：任意输入，点击按钮都可以通过。

frida 远程连接手机 --- frida局域网连接 远程注入

frida 远程连接手机 frida局域网连接 远程注入：https://www.jianshu.com/p/ed5ff5e9b952

大家使用frida 进行hook的时候大部分时候是用usb数据线去连接。
可是总是有一些比较坑爹的时候 比如设备根本不能连接数据线 比如一些iot设备 或者 数据线连接时断时续比较感人，这个时候就可以用到frida 远程连接了

大家好，我是王铁头 一个乙方安全公司搬砖的菜鸡，持续更新移动安全，iot安全，编译原理相关原创视频文章
视频演示：https://space.bilibili.com/430241559

主要使用场景：

1. usb无法使用
2. usb连接不稳定
3. usb同时hook多个设备

使用依赖

1. pc和远程设备要安装frida环境
2. 处在同一局域网环境下 （非局域网我自己没测试 测试了我再来改）
3. frida_server要以root权限执行

frida远程连接的两种方式

1. 命令行远程连接：

1) 远程设备端启动 frida_server。这里端口可以加参数去修改 如果不加参数默认是 27042

//这里的 6666端口可以自定义  不加的话是 27042
frida:/data/local/tmp # ./fs_1413_a64 -l 0.0.0.0:6666

2) pc 端执行 frida -H 主机IP:端口

这里演示一下 查看进程 和 注入脚本的命令。查看进程

//查看进程的命令
frida-ps -H 192.168.2.102:6666

frida 远程连接手机

注入脚本

//注入脚本的命令
frida -H 192.168.2.102:6666 -f com.wangtietou.test_activity -l C:\\Users\\wangtietou\\Desktop\\hook_activity.js --no-pause

这里的脚本很简单 就是在主界面加载的时候 打印一行日志
====> on create
脚本代码：

var str_name_class = "com.wangtietou.test_activity.MainActivity";Java.perform(function()
{var obj = Java.use(str_name_class);obj.onCreate.implementation = function (arg){console.log('====> on create');return this.onCreate(arg);}
});

执行结果：

2. python 脚本远程连接

这里除了命令行直接执行js脚本 大家还经常使用 Python脚本使用frida
这里的脚本是hook Test类的 t1方法 当调用t1方法的时候 会打印一行日志：
====> t1

1) usb 连接时候的 python 脚本的注入代码

import frida
import sysrdev = frida.get_usb_device()
session = rdev.attach("com.wangtietou.test_activity")  #要hook的程序包名scr = """
var str_name_class = "com.wangtietou.test_activity.Test";Java.perform(function()
{var obj = Java.use(str_name_class);obj.t1.implementation = function (){console.log('====> t1');return this.t1();}
});
"""script = session.create_script(scr)
def on_message(message ,data):print (message)
script.on("message" , on_message)
script.load()
sys.stdin.read()

2) 无线连接时候的 python 脚本的注入代码

import frida
import sysstr_host = '192.168.2.102:6666'
manager = frida.get_device_manager()
remote_device = manager.add_remote_device(str_host)
session = remote_device.attach("com.wangtietou.test_activity")scr = """
var str_name_class = "com.wangtietou.test_activity.Test";Java.perform(function()
{var obj = Java.use(str_name_class);obj.t1.implementation = function (){console.log('====> t1');return this.t1();}
});
"""script = session.create_script(scr)
def on_message(message ,data):print (message)
script.on("message" , on_message)
script.load()
sys.stdin.read()

这两个脚本大部分代码都是相同的 不同点在于连接设备的代码部分

连接 usb 的设备代码

rdev = frida.get_usb_device()
session = rdev.attach("com.wangtietou.test_activity") 

连接远程设备的代码

str_host = '192.168.2.102:6666'
manager = frida.get_device_manager()
remote_device = manager.add_remote_device(str_host)
session = remote_device.attach("com.wangtietou.test_activity")

这里执行注入的 python 脚本，先启动设备端的 frida_server

执行远程注入脚本：

成功执行。持续更新移动安全，iot安全，编译原理相关原创视频文章。。。视频演示：[https://space.bilibili.com/430241559]

三、Java 层 Hook 操作案例分析

下面主要从以下几个方面来介绍：

• 第一、如何修改Java层的函数参数和返回值
• 第二、如何打印Java层的方法堆栈信息
• 第三、如何拦截native层的函数参数和返回值

对于 Java 层会注重介绍，因为我们用过 Xposed 工具之后都知道，比如参数是自定义类型怎么Hook等。

因为 Frida 大致原理是手机端安装一个 server 程序，然后把手机端的端口转到 PC端，PC端写 python 脚本进行通信，而 python 脚本中需要 hook 的代码采用 javascript 语言。

所以这么看来我们首先需要安装 PC端的 python 环境，安装 frida 直接运行命令：pip install frida 

安装完成之后，我们再去官网下载对应版本的手机端程序 frida-server：https://github.com/frida/frida/releases 

注意：frida-server 版本 和 PC端安装的 frida 版本必须一致，不然运行报错的。其实这里看到真的实现hook功能的是手机端的frida-server，这个也是开源的大家可以研究他的原理。我们也看到这个工具和 IDA 是不是很类似，也是把手机端的端口转发到PC端进行通信而已。

有了 frida-server 之后就好办了，直接 push 到手机目录下，然后修改一下文件的属性即可：

adb push C:\frida-server /data/local/tmpchmod 777 /data/local/tmp/frida-server# 然后直接运行这个程序：
/data/local/tmp# ./frida-server# 然后 端口转发
adb forward tcp:27042 tcp:27042
adb forward tcp:27043 tcp:27043

接下来就开始 在PC端开始编写 hook 程序进行操作了：

这里代码也非常简单，因为安装好了 frida 模块，直接导入模块，然后调用 api 获取设备的 session 然后 hook 程序包名，接着就可以执行 js 脚本代码进行 hook 操作，然后打印消息：

这里用了 python 的 print 函数打印，其实如果想要打印可以在上面的 js 脚本中使用 console.log 也是可以的，看自己的习惯了。

可以看到脚本的大致流程就是：最外面用 python 引用 frida 库进行和设备通信，然后编写 js 脚本执行 hook 操作。

所以这里最主要的还是 js 脚本也就是需要理解 js 语法了。

下面就开始分部拆解操作，看看如何涵盖我们平常使用的 hook 案例。

Utils 类：

CoinMoney 类：

第一个案例：hook类的构造方法

        我们有时候想 hook 一个类的构造方法，在 Xposed 中直接用 findConstructor 方法就可以了，因为构造方法可能有多种重载形式，所以需要用参数作为区分。这里 hook 案例的 CoinMoney 类 的 构造方法：

        首先脚本中使用 Java.use 方法通过类名获取类类型，构造方法是固定写法：$init；这个要记住，然后因为需要重载所以用overload(......)形式即可，参数和参数之间用逗号隔开即可。后面就是拦截之后的操作了，这里方法参数可以自定义变量名，因为js是弱语言，不对类型做强检查，当然这里还有其他获取参数的方法后面会介绍。

        这里使用 send 来发送打印消息即可，当然也可以用 console.log 形式打印日志，代码编写完了，下面就开始运行看效果，运行也很简单，直接 python frida.py：

在这之前一定要先打开 hook 的应用，不然会报错提示找不到这个程序进程：

这时候在运行看到了就成功了，我们把构造方法的参数打印出来了，那么这里 hook 就成功了。所以可以看到这个操作是不是比Xposed 工具更方便呢。但是他也有弊端后面会总结的。

第二、hook类的普通方法（ 静态、私有、公开 ）

这里的普通方法包括了 静态方法，私有方法 、公开方法 等，这个操作和上面的构造方法其实很类似

代码如下：

这个就是把构造方法的固定写法 $init 改成了需要 hook  的方法名即可。如果方法有重载形式还是用 overload 进行区分即可，比如这里我们 hook 了 Uitls.getPwd(String pwd) 方法：

然后这里我们看到可以用一个隐含的变量 arguments 获取参数，这个是保存了方法的参数信息是系统自带的。所以我们有两种方式获取方法的参数信息。运行看一下效果：

看到打印消息，hook成功了。所以这里就把 hook 方法获取参数的案例都介绍完了。

总结一下很简单：

• 构造方法使用固定写法 $init。
• 其他方法全部用 方法名 即可。
• 如果方法有重载形式需要用 overload 形式操作参数用逗号分隔。
• 获取参数可以自定义参数名或者用系统隐含的 arguments 变量获取。
• 当然，上面的所有操作之前，都需要用 Java.use 通过类名获取类型。

第三、修改方法的参数和返回值

我们在使用 Xposed 进行 hook 的时候最常用的可能就是修改参数和返回值来实现插件和外挂功能了，在Frida中其实也可以做到但是和 Xposed不一样，我们从上面的代码可以看到，没有像 Xposed 的 before 方法和 after 方法，而 Frida 直接是你可以在function 中调用原来的方法这样来进行参数修改，比如这里我要修改上面的方法参数和返回值：

因为 Frida 中没有 before 和 after 方法，但是可以直接调用原来的方法其实 Xposed 中也可以可以直接调用原来的方法的，但是不怎么常用，只要可以调用原来的方法，那么参数和返回值就可以随意修改了，这里我们把参数改成 jiangwei212，返回值后面追加 yyyy ，看打印的日志：

其实这么做比 before 和 after 形式更为方便，而且可以在原始方法调用前做一些事情和后面做一些事情。

第四、构造和修改自定义类型对象和属性

我们在 Xposed 写外挂的时候也会遇到这种比较常见的问题，就是方法的参数不是基本类型是自定义类型，然后也想修改他的属性值或者调用他的一个方法我们会使用反射来进行操作，而在返回值的时候，想构造一个自定义类型的对象也是直接用反射实例化一个对象进行操作的。其实在这里因为js中也是支持反射操作的，所以就很简单了：

这里构造一个对象其实很简单直接固定写法 $new 即可，然后有了对象也可以直接调用其对应的方法即可，然后就是如何修改一个对象类型的字段值呢？这个就要用反射了：

这里我们拦截了 getCoinMoney 方法，参数是 CoinMoney 类型，我们想修改他的money字段值，这时候我们直接调用他的方法没什么问题，但是如果直接调用字段值或者修改就会出现失败了，所以只能通过反射去修改字段值，不过要先获取这个对象对应的class类型，用Java.cast接口就可以，然后获取反射字段直接修改即可，这里要注意不管字段是private还是public的写法都是一样的，都是这段代码大家要注意把这段代码记住即可。我们看看hook之后的结果：

如果没有用反射去操作直接获取字段值打印就是object了。

第五、打印方法的堆栈信息

我们在破解过程中有时候通过抛出异常来打印堆栈信息跟踪代码效率会更高，Xposed 中操作很方便直接 Java 代码用 Log.xxx 方法打印堆栈信息即可，但是在 Frida 中有点麻烦了，因为他是js代码不好操作，第一次想到的办法就是自己写一个打印堆栈信息的类然后弄成一个dex之后，把这个dex注入到程序中，因为Frida支持把一个dex文件注入到原始程序中运行的，注入之后在需要打印堆栈信息的方法中调用这个dex中的那个方法就可以了。具体怎么注入本文不多介绍了。当时觉得这种方案太麻烦了，那么还有其他方案吗？其实还是有的，因为我们既然可以构造一个对象那么为什么不直接构造一个 Exception 对象呢？其实操作很简单，首先我们用 Java.use 方法获取类型变量：var Exception = Java.use("java.lang.Exception"); 然后是js中支持 throw 语法的，直接在需要打印堆栈信息的方法中调用即可：

不过这个是真得抛出异常了，没有捕获住，所以程序崩溃，我们在开发 Android 应用的时候如果程序崩溃了最快的查看异常信息的方法就是用日志过滤方式：adb logcat -s AndroidRuntime

这样我们就把堆栈信息打印出来了，其实这里可以看到这个是真的一个崩溃异常了，因为没有 catch 所以直接用系统崩溃日志就可以查看了。这种方式最简单粗暴了。对于跟踪代码非常有用的。

到这里我们就把所有可能遇到的情形Java层hook操作都介绍完了，主要包括以下几种常见情形：

• 第一、Hook类的构造方法和普通方法，注意构造方法是固定写法$init即可，获取参数可以通过自定义参数名也可以直接用系统隐含的arguments变量获取即可。
• 第二、修改方法的参数和返回值，直接调用原始方法传入需要修改的参数值和直接修改返回值即可。
• 第三、构造对象使用固定写法$new即可。
• 第四、如果需要修改对象的字段值需要用反射去进行操作。
• 第五、堆栈信息打印直接调用Java的Exception类即可，通过adb logcat -s AndroidRuntime来过滤日志信息查看崩溃堆栈信息。

总结：记得用 Java.use 方法获取类的类型，如果遇到重载的方法用 overload 实现即可。

示例代码：

# -*- coding: UTF-8 -*-import sys
import fridajs_code = """
if (Java.available) {Java.perform(function () {var MainActivity = Java.use("com.lanshifu.demo_module.ui.activity.DemoMainActivity");MainActivity.testCrash.overload("int").implementation = function (chinese, math) {console.log("[javascript] testCrash method be called.");send("hook  testCrash method success>>>");return this.testCrash(12345678);}//声明一个Java类var MyClass = Java.use("com.lanshifu.demo_module.ui.activity.DemoHookTestActivity$MyClass");//hook 无参构造MyClass.$init.overload().implementation = function () {//调用原来构造this.$init();send("hook 无参构造 ");}//hook 有参构造，入参是 int[]MyClass.$init.overload('[I').implementation = function (param) {send("hook  有参构造 init(int[] i) method ");}//hook 多个参数构造，入参是 int，intMyClass.$init.overload("int", "int").implementation = function (param1, param2) {send("hook  success  ");send(param1);send(param2);//修改返回值return 100;}//void函数MyClass.method1.overload().implementation = function () {send("hook  method1  ");this.method1();}//有入参的函数MyClass.method2.overload("int", "int").implementation = function (param1, param2) {send("hook  method2  ");//实例化一个类并调用它的method3方法var ClassName = Java.use("com.lanshifu.demo_module.ui.activity.DemoHookTestActivity$MyClass");var instance = ClassName.$new();instance.method3(1, 2, 3);this.method2(100, 100)}//MyClass.method3.overload("int", "int", "int").implementation = function (param1, param2, param3) {send("hook  method3  ");this.method3(100, 100, 100)}});
}
"""def on_message(message, data):if message['type'] == 'send':print("[*] {0}".format(message['payload']))else:print(message)pass# 查找 USB设备并附加到目标进程
session = frida.get_usb_device().attach('com.lanshifu.demo_module')
script = session.create_script(js_code)  # 在目标进程里创建脚本
script.on('message', on_message)         # 注册消息回调
print('[*] Start attach')
script.load()     # 加载创建好的javascript脚本
sys.stdin.read()  # 读取系统输入

四. Native层 Hook 操作案例分析

        下面继续来看 Frida 更强大的地方就是 hook native 代码，说的强大不是因为功能，而是便捷程度，我们之前 hook native 可能用Cydia 比较多，但是都知道 Cydia 和 Xposed 一样都有兼容问题，环境安装配置太麻烦了，而 Frida 还是只需要几行 js 代码即可搞定，

        这里 hook native 还是用两个案例介绍：一个是hook导出的函数，一个是hook未导出的函数，通过获取参数和修改返回值来演示，这里我们不自己写 native 代码了，直接用之前破解快手的数据请求的 so文件，他有一个函数在底层获取字符串信息，还有一个是最近正在研究的资讯类app的加密算法so，我们修改他的函数返回值。