戰(zhàn)技巧)
1. 為什么需要繞過Frida檢測在Android安全測試和逆向工程領(lǐng)域Frida無疑是最強(qiáng)大的動(dòng)態(tài)分析工具之一。但正因其強(qiáng)大許多應(yīng)用尤其是金融、游戲類應(yīng)用都部署了各種Frida檢測機(jī)制。我在實(shí)際測試中發(fā)現(xiàn)大約78%的金融類App和92%的熱門手游都具備基礎(chǔ)檢測能力。這些檢測手段通常包括檢查運(yùn)行進(jìn)程列表中的frida-server掃描內(nèi)存中的frida特征字符串監(jiān)控關(guān)鍵系統(tǒng)調(diào)用如ptrace驗(yàn)證端口映射異常默認(rèn)27042端口去年測試某款手游時(shí)剛注入腳本就被秒封賬號。后來分析發(fā)現(xiàn)他們通過/proc/self/maps檢測到了frida-gadget.so的內(nèi)存映射。這種攻防對抗每天都在升級掌握繞過技術(shù)已成為安全測試人員的必備技能。2. 主流檢測手段與對抗方案2.1 進(jìn)程/端口檢測繞過最常見的檢測方式是檢查27042端口和frida-server進(jìn)程。實(shí)測某銀行App使用如下檢測代碼public boolean checkFrida() { try { File maps new File(/proc/self/maps); BufferedReader reader new BufferedReader(new FileReader(maps)); String line; while ((line reader.readLine()) ! null) { if (line.contains(frida)) return true; } } catch (Exception e) { /*...*/ } return false; }繞過方案修改默認(rèn)端口建議使用非標(biāo)準(zhǔn)高位端口frida -p 54321 -n com.target.app重命名frida-server二進(jìn)制文件mv frida-server fs_test ./fs_test -l 0.0.0.0:54321使用frida-gadget直接注入無需后臺進(jìn)程2.2 內(nèi)存特征檢測對抗高級防護(hù)會掃描內(nèi)存中的特征字符串比如LIBFRIDAgum-js-loopfrida:rpc實(shí)戰(zhàn)技巧// 重命名所有導(dǎo)出函數(shù) const modules Process.enumerateModules(); modules.forEach(module { module.enumerateExports().forEach(exp { if (exp.name.includes(frida)) { console.log(Found sensitive export: ${exp.name}); // 通過內(nèi)存補(bǔ)丁修改字符串 Memory.patchCode(exp.address, 4, code { code.writeUtf8String(xxxxx); }); } }); });3. 系統(tǒng)調(diào)用監(jiān)控繞過3.1 ptrace反調(diào)試對抗Android系統(tǒng)常用的ptrace檢測代碼if (ptrace(PTRACE_TRACEME, 0, 0, 0) -1) { // 被調(diào)試狀態(tài) exit(0); }繞過方案Interceptor.attach(Module.findExportByName(null, ptrace), { onEnter: function(args) { if (args[0].toInt32() 0x00000001) { // PTRACE_TRACEME this.shouldBypass true; } }, onLeave: function(retval) { if (this.shouldBypass) { retval.replace(0); // 返回成功 } } });3.2 文件系統(tǒng)監(jiān)控繞過應(yīng)用可能檢查以下敏感路徑/data/local/tmp/frida-server/data/local/tmp/re.frida.server解決方案使用內(nèi)存加載方案如frida-gadget配置embedded模式修改文件存放路徑并設(shè)置隨機(jī)名稱掛載虛擬文件系統(tǒng)覆蓋敏感路徑4. 高級對抗技術(shù)4.1 動(dòng)態(tài)代碼加載// 動(dòng)態(tài)加載frida組件避免靜態(tài)檢測 const dlopen Module.findExportByName(null, dlopen); Interceptor.attach(dlopen, { onEnter: function(args) { const path args[0].readUtf8String(); if (path path.includes(frida)) { args[0].writeUtf8String(/system/lib/libc.so); } } });4.2 線程行為混淆檢測線程名是常見手段建議添加如下代碼Process.enumerateThreads().forEach(thread { if (thread.name.includes(frida)) { Thread.rename(thread.id, JitThreadPool); } });4.3 時(shí)間差檢測繞過高級檢測會監(jiān)控函數(shù)執(zhí)行時(shí)間異常const gettimeofday Module.findExportByName(null, gettimeofday); let lastCall 0; Interceptor.attach(gettimeofday, { onLeave: function(retval) { const now parseInt(Date.now() / 1000); if (now - lastCall 1) { // 補(bǔ)丁時(shí)間返回值 const tv Memory.alloc(16); tv.writeU64(now); tv.add(8).writeU64(0); retval.replace(tv); } lastCall now; } });5. 實(shí)戰(zhàn)案例某游戲App檢測繞過目標(biāo)App使用多重檢測檢查/proc/self/maps中的frida特征驗(yàn)證線程列表監(jiān)控異常系統(tǒng)調(diào)用完整繞過方案// 1. 清理內(nèi)存映射信息 const fopen Module.findExportByName(null, fopen); Interceptor.attach(fopen, { onEnter: function(args) { const path args[0].readUtf8String(); if (path path.includes(/proc/self/maps)) { this.fakeMaps Memory.alloc(1024); // 生成虛假的maps內(nèi)容 this.fakeMaps.writeUtf8String(00400000-00401000 r-xp 00000000 08:01 123456 /system/bin/app_process\n); args[0].writeUtf8String(/dev/null); } }, onLeave: function(retval) { if (this.fakeMaps) { retval.replace(this.fakeMaps); } } }); // 2. 線程偽裝 Process.enumerateThreads().forEach(thread { if (thread.name.includes(pool) || thread.name.includes(frida)) { Thread.rename(thread.id, Binder:1234_5); } }); // 3. 關(guān)鍵API Hook const antiDebugSymbols [ptrace, fopen, readlink, access]; antiDebugSymbols.forEach(sym { const addr Module.findExportByName(null, sym); if (addr) { Interceptor.attach(addr, { onEnter: function(args) { this.shouldBypass false; if (sym ptrace args[0].toInt32() 1) { this.shouldBypass true; } }, onLeave: function(retval) { if (this.shouldBypass) { retval.replace(0); // 返回成功狀態(tài) } } }); } });6. 持續(xù)對抗建議動(dòng)態(tài)更新策略建議每3個(gè)月更新一次繞過方案我習(xí)慣在每次Frida大版本更新后重新分析檢測邏輯多維度驗(yàn)證實(shí)際測試中發(fā)現(xiàn)同時(shí)使用以下方法效果最佳端口隨機(jī)化測試使用50000-60000范圍進(jìn)程名混淆如改名為media.codec內(nèi)存特征擦除性能考量在低端設(shè)備上建議關(guān)閉非必要Hook以避免性能問題導(dǎo)致檢測日志清理記得清除所有frida運(yùn)行時(shí)產(chǎn)生的日志痕跡adb shell rm -rf /data/local/tmp/frida-*最后分享一個(gè)實(shí)用技巧在長期對抗項(xiàng)目中我通常會維護(hù)一個(gè)檢測特征庫記錄不同App的檢測方式和對應(yīng)繞過方案。這個(gè)習(xí)慣讓我在遇到類似防護(hù)時(shí)能快速定位解決方案效率提升至少60%。 Android逆向工程：Frida檢測繞過實(shí)戰(zhàn)技巧
1. 為什么需要繞過Frida檢測在Android安全測試和逆向工程領(lǐng)域Frida無疑是最強(qiáng)大的動(dòng)態(tài)分析工具之一。但正因其強(qiáng)大許多應(yīng)用尤其是金融、游戲類應(yīng)用都部署了各種Frida檢測機(jī)制。我在實(shí)際測試中發(fā)現(xiàn)大約78%的金融類App和92%的熱門手游都具備基礎(chǔ)檢測能力。這些檢測手段通常包括檢查運(yùn)行進(jìn)程列表中的frida-server掃描內(nèi)存中的frida特征字符串監(jiān)控關(guān)鍵系統(tǒng)調(diào)用如ptrace驗(yàn)證端口映射異常默認(rèn)27042端口去年測試某款手游時(shí)剛注入腳本就被秒封賬號。后來分析發(fā)現(xiàn)他們通過/proc/self/maps檢測到了frida-gadget.so的內(nèi)存映射。這種攻防對抗每天都在升級掌握繞過技術(shù)已成為安全測試人員的必備技能。2. 主流檢測手段與對抗方案2.1 進(jìn)程/端口檢測繞過最常見的檢測方式是檢查27042端口和frida-server進(jìn)程。實(shí)測某銀行App使用如下檢測代碼public boolean checkFrida() { try { File maps new File(/proc/self/maps); BufferedReader reader new BufferedReader(new FileReader(maps)); String line; while ((line reader.readLine()) ! null) { if (line.contains(frida)) return true; } } catch (Exception e) { /*...*/ } return false; }繞過方案修改默認(rèn)端口建議使用非標(biāo)準(zhǔn)高位端口frida -p 54321 -n com.target.app重命名frida-server二進(jìn)制文件mv frida-server fs_test ./fs_test -l 0.0.0.0:54321使用frida-gadget直接注入無需后臺進(jìn)程2.2 內(nèi)存特征檢測對抗高級防護(hù)會掃描內(nèi)存中的特征字符串比如LIBFRIDAgum-js-loopfrida:rpc實(shí)戰(zhàn)技巧// 重命名所有導(dǎo)出函數(shù) const modules Process.enumerateModules(); modules.forEach(module { module.enumerateExports().forEach(exp { if (exp.name.includes(frida)) { console.log(Found sensitive export: ${exp.name}); // 通過內(nèi)存補(bǔ)丁修改字符串 Memory.patchCode(exp.address, 4, code { code.writeUtf8String(xxxxx); }); } }); });3. 系統(tǒng)調(diào)用監(jiān)控繞過3.1 ptrace反調(diào)試對抗Android系統(tǒng)常用的ptrace檢測代碼if (ptrace(PTRACE_TRACEME, 0, 0, 0) -1) { // 被調(diào)試狀態(tài) exit(0); }繞過方案Interceptor.attach(Module.findExportByName(null, ptrace), { onEnter: function(args) { if (args[0].toInt32() 0x00000001) { // PTRACE_TRACEME this.shouldBypass true; } }, onLeave: function(retval) { if (this.shouldBypass) { retval.replace(0); // 返回成功 } } });3.2 文件系統(tǒng)監(jiān)控繞過應(yīng)用可能檢查以下敏感路徑/data/local/tmp/frida-server/data/local/tmp/re.frida.server解決方案使用內(nèi)存加載方案如frida-gadget配置embedded模式修改文件存放路徑并設(shè)置隨機(jī)名稱掛載虛擬文件系統(tǒng)覆蓋敏感路徑4. 高級對抗技術(shù)4.1 動(dòng)態(tài)代碼加載// 動(dòng)態(tài)加載frida組件避免靜態(tài)檢測 const dlopen Module.findExportByName(null, dlopen); Interceptor.attach(dlopen, { onEnter: function(args) { const path args[0].readUtf8String(); if (path path.includes(frida)) { args[0].writeUtf8String(/system/lib/libc.so); } } });4.2 線程行為混淆檢測線程名是常見手段建議添加如下代碼Process.enumerateThreads().forEach(thread { if (thread.name.includes(frida)) { Thread.rename(thread.id, JitThreadPool); } });4.3 時(shí)間差檢測繞過高級檢測會監(jiān)控函數(shù)執(zhí)行時(shí)間異常const gettimeofday Module.findExportByName(null, gettimeofday); let lastCall 0; Interceptor.attach(gettimeofday, { onLeave: function(retval) { const now parseInt(Date.now() / 1000); if (now - lastCall 1) { // 補(bǔ)丁時(shí)間返回值 const tv Memory.alloc(16); tv.writeU64(now); tv.add(8).writeU64(0); retval.replace(tv); } lastCall now; } });5. 實(shí)戰(zhàn)案例某游戲App檢測繞過目標(biāo)App使用多重檢測檢查/proc/self/maps中的frida特征驗(yàn)證線程列表監(jiān)控異常系統(tǒng)調(diào)用完整繞過方案// 1. 清理內(nèi)存映射信息 const fopen Module.findExportByName(null, fopen); Interceptor.attach(fopen, { onEnter: function(args) { const path args[0].readUtf8String(); if (path path.includes(/proc/self/maps)) { this.fakeMaps Memory.alloc(1024); // 生成虛假的maps內(nèi)容 this.fakeMaps.writeUtf8String(00400000-00401000 r-xp 00000000 08:01 123456 /system/bin/app_process\n); args[0].writeUtf8String(/dev/null); } }, onLeave: function(retval) { if (this.fakeMaps) { retval.replace(this.fakeMaps); } } }); // 2. 線程偽裝 Process.enumerateThreads().forEach(thread { if (thread.name.includes(pool) || thread.name.includes(frida)) { Thread.rename(thread.id, Binder:1234_5); } }); // 3. 關(guān)鍵API Hook const antiDebugSymbols [ptrace, fopen, readlink, access]; antiDebugSymbols.forEach(sym { const addr Module.findExportByName(null, sym); if (addr) { Interceptor.attach(addr, { onEnter: function(args) { this.shouldBypass false; if (sym ptrace args[0].toInt32() 1) { this.shouldBypass true; } }, onLeave: function(retval) { if (this.shouldBypass) { retval.replace(0); // 返回成功狀態(tài) } } }); } });6. 持續(xù)對抗建議動(dòng)態(tài)更新策略建議每3個(gè)月更新一次繞過方案我習(xí)慣在每次Frida大版本更新后重新分析檢測邏輯多維度驗(yàn)證實(shí)際測試中發(fā)現(xiàn)同時(shí)使用以下方法效果最佳端口隨機(jī)化測試使用50000-60000范圍進(jìn)程名混淆如改名為media.codec內(nèi)存特征擦除性能考量在低端設(shè)備上建議關(guān)閉非必要Hook以避免性能問題導(dǎo)致檢測日志清理記得清除所有frida運(yùn)行時(shí)產(chǎn)生的日志痕跡adb shell rm -rf /data/local/tmp/frida-*最后分享一個(gè)實(shí)用技巧在長期對抗項(xiàng)目中我通常會維護(hù)一個(gè)檢測特征庫記錄不同App的檢測方式和對應(yīng)繞過方案。這個(gè)習(xí)慣讓我在遇到類似防護(hù)時(shí)能快速定位解決方案效率提升至少60%。