FridaHook（二）——Native层函数

By ruanruan，2022.04.19

0x00 前言

下面是学习用Frida hook Native层的导出函数和未导出函数的记录。

demo下载链接：https://pan.baidu.com/s/1ZCIeJXzeTpQ8uJ9Ew5nnGQ
提取码：z94i

0x01 Hook导出函数

1、apk相关信息

关键代码：

在这里插入图片描述

用IDA分析，查找函数

在这里插入图片描述

点击按钮，实现1+2=3的功能

在这里插入图片描述

2、js代码

修改输出值3为指定值。

Java.perform(function(){ //下面这一句代码是指定要Hook的so文件名和要Hook的函数名，函数名即IDA导出表中显示的函数名var nativePointer = Module.findExportByName("libfridaso.so", "Java_com_example_fridaso_FridaSoDefine_FridaSo"); send("native: " + nativePointer); Interceptor.attach(nativePointer, { onEnter: function(args){ //进入该函数前要执行的代码，第三个参数才是传入的参数send(args[0]); send(args[1]); send(args[2].toInt32()); send(args[3].toInt32()); //send(args[4].toInt32()); }, onLeave: function(retval){ send(retval.toInt32()); retval.replace(10000);//将输出值替换为10000send(retval.toInt32());} });
});

retval对象只在 onLeave函数作用域范围内有效。

3、frida hook

一般顺序为：

手机运行frida

在这里插入图片描述

转发端口

adb forward tcp:27043 tcp:2703

手机运行app

查看pid，执行hook脚本

frida-ps -U

在这里插入图片描述

frida -U -l fridaso.js 22467

点击按钮。

命令行和app都能看到被篡改的结果为10000，而不是3。

在这里插入图片描述

也可以先点击按钮，再执行hook脚本。

4、踩坑

遇到的问题：

（1）python代码不能根据包名指定进程

在这里插入图片描述

（2）不能通过pid查找进程

在这里插入图片描述

（3）找不到基地址

在这里插入图片描述

解决：

后两个问题在确定js脚本没有问题，更换模拟器为测试机后，可以成功hook

第一个问题在之后需注意，使用python脚本进行hook时不能指定pid，在调用进程时按照包名查找不一定成功，最好还是用js脚本指定相应pid进行hook。

0x02 Hook未导出函数

1、apk相关信息

页面功能：

点击按钮显示3

在这里插入图片描述

MainActivity：

在这里插入图片描述

进一步查看

在这里插入图片描述

在Ghidra查看该函数

在这里插入图片描述

2、查看函数地址

（1）通过IDA查看地址

在这里插入图片描述

脚本1.1：

Java.perform(function(){ var soAddr = Module.findBaseAddress("libfridaso.so"); send('soAddr: ' + soAddr); var MD5FinalAddr = soAddr.add(0x0770+1); //1768为函数偏移量 send('MD5FinalAddr: ' + MD5FinalAddr); Interceptor.attach(MD5FinalAddr, { onEnter: function(args){send(args[0]); send(args[1]);}, onLeave: function(retval){ send(retval); } }); 
});

（2）通过Ghidra查看地址（X86_64）

在这里插入图片描述

脚本1.2：

Java.perform(function(){ var soAddr = Module.findBaseAddress("libfridaso.so"); send('soAddr: ' + soAddr); var MD5FinalAddr = soAddr.add(0x05cf+1); //1768为函数偏移量 send('MD5FinalAddr: ' + MD5FinalAddr); Interceptor.attach(MD5FinalAddr, { onEnter: function(args){send(args[0]); send(args[1]); send(args[2].toInt32()); send(args[3].toInt32()); }, onLeave: function(retval){ send("result: "+retval.toInt32()); } }); 
});

（3）最终版

通过已导出的hook方法获得地址值

得到偏移地址为0x7966b8d5dc
通过Ghidra查看地址（arm64）

Java.perform(function(){ var soAddr = Module.findBaseAddress("libfridaso.so"); send('soAddr: ' + soAddr); var MD5FinalAddr = soAddr.add(0x05db+1); //1768为函数偏移量 send('MD5FinalAddr: ' + MD5FinalAddr); Interceptor.attach(MD5FinalAddr, { onEnter: function(args){send("111");send(args[0]); send(args[1]); send(args[2].toInt32()); send(args[3].toInt32()); }, onLeave: function(retval){ send("result: "+retval.toInt32()); } }); 
});

hook结果：

在这里插入图片描述

3、修改返回值

找到正确的偏移地址，再修改返回值就很简单了

（1）hook.js

Java.perform(function(){ var soAddr = Module.findBaseAddress("libfridaso.so"); send('soAddr: ' + soAddr); var MD5FinalAddr = soAddr.add(0x05db+1); //1768为函数偏移量 send('MD5FinalAddr: ' + MD5FinalAddr); Interceptor.attach(MD5FinalAddr, { onEnter: function(args){send(args[0]); send(args[1]); send(args[2].toInt32()); send(args[3].toInt32()); }, onLeave: function(retval){ send("result1: "+retval.toInt32()); retval.replace(2022);send("result2: "+retval.toInt32());} }); 
});

在这里插入图片描述