Frida基础练习 - Lepustimidus

练习apk来自看雪

apk传送

演员列表#

1
frida 16.1.7
2
frida-server 16.1.7
3

4
frida_train_7.apk

正片#

登录口：#

打开apk：
搜索关键字定位到对应代码：用户输入的username和password分别对应string、string2，然后将username传入LoginActivity.a()方法进行计算之后和password进行判断是否相等，如果相等，就进入FridaActivity1.class页面 a方法中就是将输入的username进行加密计算，然后返回username的加密结果这里我的思路是直接hookLoginActivity.a()方法，让返回值等于用户输入的密码即可
编写脚本：

1
Java.perform(function(){
2

3
    // 登录口hook
4
    var LoginActivity = Java.use("com.example.androiddemo.Activity.LoginActivity")
5

6
    // 因为LoginActivity类中有两个重载a方法，所以需要通过overload确定具体是那个
7
    LoginActivity.a.overload('java.lang.String', 'java.lang.String').implementation = function(str, str2) {
8
        var result = this.a(str, str2);
9
        result = "admin";
10
        console.log("str:", str);
11
        console.log("str2:", str2);
12
        console.log("result:", result);
13
        return result;
14
    }
15
});

alt text 成功来到第1关

第1关：#

进入FridaActivity1.class：将用户输入的密码和字符串”R4jSLLLLLLLLLLOrLE7/5B+Z6fsl65yj6BgC6YWz66gO6g2t65Pk6a+P65NK44NNROl0wNOLLLL=“进行对比，如果一样，就进入下一关FridaActivity2.class a方法中对密码进行加密并返回加密后的结果这里我的思路是hook a方法，然后返回值直接等于字符串”R4jSLLLLLLLLLLOrLE7/5B+Z6fsl65yj6BgC6YWz66gO6g2t65Pk6a+P65NK44NNROl0wNOLLLL=“即可
编写脚本：

1
Java.perform(function(){
2

3
    // 登录口hook
4
    var LoginActivity = Java.use("com.example.androiddemo.Activity.LoginActivity")
5

6
    // 因为LoginActivity类中有两个重载a方法，所以需要通过overload确定具体是那个
7
    LoginActivity.a.overload('java.lang.String', 'java.lang.String').implementation = function(str, str2) {
8
        var result = this.a(str, str2);
9
        result = "admin";
10
        console.log("str:", str);
11
        console.log("str2:", str2);
12
        console.log("result:", result);
13
        return result;
14
    }
15

16

17
    // 第1关hook
18
    var FridaActivity1 = Java.use("com.example.androiddemo.Activity.FridaActivity1");
19
    FridaActivity1.a.implementation = function(bArr) {
20
        var result = this.a(bArr);
21
        result = "R4jSLLLLLLLLLLOrLE7/5B+Z6fsl65yj6BgC6YWz66gO6g2t65Pk6a+P65NK44NNROl0wNOLLLL=";
22
        console.log("bArr:", bArr);
23
        console.log("result:", result);
24

25
        return result;
26
    }
27
});

在上一个脚本的基础上添加本关hook代码之后保存一下即可，然后点击“当前第1关，点击进入下一关”： alt text 成功来到第2关

第2关：#

进入FridaActivity2.class：这里是通过if语句判断static_bool_var和bool_var变量的值是否是true，如果是，就进入下一关：FridaActivity3.class 而这两个变量初始值都是false，但是可以通过setStatic_bool_var()和setBool_var()两个方法将他们的值改为true 所以这里我的思路是编写hook脚本，主动调用这两个方法实现赋值操作
编写脚本：

1
Java.perform(function(){
2

3
    // 登录口hook
4
    var LoginActivity = Java.use("com.example.androiddemo.Activity.LoginActivity")
5

6
    // 因为LoginActivity类中有两个重载a方法，所以需要通过overload确定具体是那个
7
    LoginActivity.a.overload('java.lang.String', 'java.lang.String').implementation = function(str, str2) {
8
        var result = this.a(str, str2);
9
        result = "admin";
10
        console.log("str:", str);
11
        console.log("str2:", str2);
12
        console.log("result:", result);
13
        return result;
14
    }
15

16

17
    // 第1关hook
18
    var FridaActivity1 = Java.use("com.example.androiddemo.Activity.FridaActivity1");
19
    FridaActivity1.a.implementation = function(bArr) {
20
        var result = this.a(bArr);
21
        result = "R4jSLLLLLLLLLLOrLE7/5B+Z6fsl65yj6BgC6YWz66gO6g2t65Pk6a+P65NK44NNROl0wNOLLLL=";
22
        console.log("bArr:", bArr);
23
        console.log("result:", result);
24

25
        return result;
26
    }
27
});
28

29
// 第2关hook
30
function two() {
31
    Java.perform(function() {
32
        var FridaActivity2 = Java.use("com.example.androiddemo.Activity.FridaActivity2");
33

34
        // 因为setStatic_bool_var()是静态的，可以直接通过类去调用，但是setBool_var()不是静态的，所以我们如果要想调用这个方法首先要找到该类的实例化对象，在frida语法中通过Java.choose()方法搜索当前进程中已加载的指定类的所有实例的API，然后通过回调函数对setBool_var()方法进行调用
35
        FridaActivity2.setStatic_bool_var();
36
        Java.choose("com.example.androiddemo.Activity.FridaActivity2", {
37
            // 每当搜索到一个目标类的实例时，就会调用一次onMatch，通过onMatch调用实例方法、访问实例变量
38
            onMatch: function(instance) {
39
                instance.setBool_var();
40
            },
41
            // 执行完毕onMatch中的方法之后会执行onComplete中的方法，可以什么也不写
42
            onComplete: function() {
43

44
            }
45
        })
46
    });
47
}

终端输入two()进行主动调用 alt text 成功来到第3关

第3关：#

进入FridaActivity3.class：和上一关差不多，只不过这一关是通过hook直接修改变量的值
编写脚本：

1
Java.perform(function(){
2

3
    // 登录口hook
4
    var LoginActivity = Java.use("com.example.androiddemo.Activity.LoginActivity")
5

6
    // 因为LoginActivity类中有两个重载a方法，所以需要通过overload确定具体是那个
7
    LoginActivity.a.overload('java.lang.String', 'java.lang.String').implementation = function(str, str2) {
8
        var result = this.a(str, str2);
9
        result = "admin";
10
        console.log("str:", str);
11
        console.log("str2:", str2);
12
        console.log("result:", result);
13
        return result;
14
    }
15

16

17
    // 第1关hook
18
    var FridaActivity1 = Java.use("com.example.androiddemo.Activity.FridaActivity1");
19
    FridaActivity1.a.implementation = function(bArr) {
20
        var result = this.a(bArr);
21
        result = "R4jSLLLLLLLLLLOrLE7/5B+Z6fsl65yj6BgC6YWz66gO6g2t65Pk6a+P65NK44NNROl0wNOLLLL=";
22
        console.log("bArr:", bArr);
23
        console.log("result:", result);
24

25
        return result;
26
    }
27
});
28

29
// 第2关hook
30
function two() {
31
    Java.perform(function() {
32
        var FridaActivity2 = Java.use("com.example.androiddemo.Activity.FridaActivity2");
33

34
        // 因为setStatic_bool_var()是静态的，可以直接通过类去调用，但是setBool_var()不是静态的，所以我们如果要想调用这个方法首先要找到该类的实例化对象，在frida语法中通过Java.choose()方法搜索当前进程中已加载的指定类的所有实例的API，然后通过回调函数对setBool_var()方法进行调用
35
        FridaActivity2.setStatic_bool_var();
36
        Java.choose("com.example.androiddemo.Activity.FridaActivity2", {
37
            // 每当搜索到一个目标类的实例时，就会调用一次onMatch，通过onMatch调用实例方法、访问实例变量
38
            onMatch: function(instance) {
39
                instance.setBool_var();
40
            },
41
            // 执行完毕onMatch中的方法之后会执行onComplete中的方法，可以什么也不写
42
            onComplete: function() {
43

44
            }
45
        })
46
    });
47
}
48

49
// 第3关hook
50
function three() {
51
    Java.perform(function() {
52
        var FridaActivity3 = Java.use("com.example.androiddemo.Activity.FridaActivity3");
53

54
        // frida中通过xxx.value的方式获取呼叫哦修改变量的值
55
        FridaActivity3.static_bool_var.value = true;
56
        Java.choose("com.example.androiddemo.Activity.FridaActivity3", {
57
            onMatch: function(instance) {
58
                instance.bool_var.value = true;
59
                instance._same_name_bool_var.value = true;
60
            },
61
            onComplete: function() {
62

63
            }
64
        })
65
    });
66
}

alt text 成功来到第4关

第4关：#

进入FridaActivity4.class： if语句判断check1~6这6个方法，如果都是true则进入下一关，而且6个方法初始返回值都是false 所以我的思路是分别hook这6个方法，改变他们的返回值为true即可
编写脚本：

1
Java.perform(function(){
2

3
    // 登录口hook
4
    var LoginActivity = Java.use("com.example.androiddemo.Activity.LoginActivity")
5

6
    // 因为LoginActivity类中有两个重载a方法，所以需要通过overload确定具体是那个
7
    LoginActivity.a.overload('java.lang.String', 'java.lang.String').implementation = function(str, str2) {
8
        var result = this.a(str, str2);
9
        result = "admin";
10
        console.log("str:", str);
11
        console.log("str2:", str2);
12
        console.log("result:", result);
13
        return result;
14
    }
15

16

17
    // 第1关hook
18
    var FridaActivity1 = Java.use("com.example.androiddemo.Activity.FridaActivity1");
19
    FridaActivity1.a.implementation = function(bArr) {
20
        var result = this.a(bArr);
21
        result = "R4jSLLLLLLLLLLOrLE7/5B+Z6fsl65yj6BgC6YWz66gO6g2t65Pk6a+P65NK44NNROl0wNOLLLL=";
22
        console.log("bArr:", bArr);
23
        console.log("result:", result);
24

25
        return result;
26
    }
27

28
    // 第4关hook
29
    var FridaActivity4 = Java.use("com.example.androiddemo.Activity.FridaActivity4$InnerClasses");
30
    FridaActivity4.check1.implementation = function() {
31
        return true;
32
    }
33

34
    FridaActivity4.check2.implementation = function() {
35
        return true;
36
    }
37

38
    FridaActivity4.check3.implementation = function() {
39
        return true;
40
    }
41

42
    FridaActivity4.check4.implementation = function() {
43
        return true;
44
    }
45

46
    FridaActivity4.check5.implementation = function() {
47
        return true;
48
    }
49

50
    FridaActivity4.check6.implementation = function() {
51
        return true;
52
    }
53
});
54

55
// 第2关hook
56
function two() {
57
    Java.perform(function() {
58
        var FridaActivity2 = Java.use("com.example.androiddemo.Activity.FridaActivity2");
59

60
        // 因为setStatic_bool_var()是静态的，可以直接通过类去调用，但是setBool_var()不是静态的，所以我们如果要想调用这个方法首先要找到该类的实例化对象，在frida语法中通过Java.choose()方法搜索当前进程中已加载的指定类的所有实例的API，然后通过回调函数对setBool_var()方法进行调用
61
        FridaActivity2.setStatic_bool_var();
62
        Java.choose("com.example.androiddemo.Activity.FridaActivity2", {
63
            // 每当搜索到一个目标类的实例时，就会调用一次onMatch，通过onMatch调用实例方法、访问实例变量
64
            onMatch: function(instance) {
65
                instance.setBool_var();
66
            },
67
            // 执行完毕onMatch中的方法之后会执行onComplete中的方法，可以什么也不写
68
            onComplete: function() {
69

70
            }
71
        })
72
    });
73
}
74

75
// 第3关hook
76
function three() {
77
    Java.perform(function() {
78
        var FridaActivity3 = Java.use("com.example.androiddemo.Activity.FridaActivity3");
79

80
        // frida中通过xxx.value的方式获取呼叫哦修改变量的值
81
        FridaActivity3.static_bool_var.value = true;
82
        Java.choose("com.example.androiddemo.Activity.FridaActivity3", {
83
            onMatch: function(instance) {
84
                instance.bool_var.value = true;
85
                instance._same_name_bool_var.value = true;
86
            },
87
            onComplete: function() {
88

89
            }
90
        })
91
    });
92
}

alt text 成功来到第5关

第5关：#

进入FridaActivity5.class：可以看到这里由于jadx反编译出现了错误，导致出现了不完整的Java代码，但是不影响解出这一关如果getDynamicDexCheck().check()的返回值为true，那么就进入下一关
跳转到getDynamicDexCheck()：因为DynamicDexCheck初始值是null，所以一定会执行loaddex()方法，执行之后返回DynamicDexCheck的值
跳转到loaddex()：通过filesDir获取到应用的本地路径，把DynamicPlugin.dex复制到应用里面，再用DexClassLoader加载这个 DynamicPlugin.dex文件，然后拿到里面的DynamicCheck类实例再结合getDynamicDexCheck()分析可知getDynamicDexCheck()最终返回的值就是DynamicCheck类实例，所以getDynamicDexCheck().check()调用的也就是DynamicCheck类实例的方法check() 所以这里我的思路是hook动态加载的DynamicCheck类的check()方法
编写脚本：

1
Java.perform(function(){
2

3
    // 登录口hook
4
    var LoginActivity = Java.use("com.example.androiddemo.Activity.LoginActivity")
5

6
    // 因为LoginActivity类中有两个重载a方法，所以需要通过overload确定具体是那个
7
    LoginActivity.a.overload('java.lang.String', 'java.lang.String').implementation = function(str, str2) {
8
        var result = this.a(str, str2);
9
        result = "admin";
10
        console.log("str:", str);
11
        console.log("str2:", str2);
12
        console.log("result:", result);
13
        return result;
14
    }
15

16

17
    // 第1关hook
18
    var FridaActivity1 = Java.use("com.example.androiddemo.Activity.FridaActivity1");
19
    FridaActivity1.a.implementation = function(bArr) {
20
        var result = this.a(bArr);
21
        result = "R4jSLLLLLLLLLLOrLE7/5B+Z6fsl65yj6BgC6YWz66gO6g2t65Pk6a+P65NK44NNROl0wNOLLLL=";
22
        console.log("bArr:", bArr);
23
        console.log("result:", result);
24

25
        return result;
26
    }
27

28
    // 第4关hook
29
    var FridaActivity4 = Java.use("com.example.androiddemo.Activity.FridaActivity4$InnerClasses");
30
    FridaActivity4.check1.implementation = function() {
31
        return true;
32
    }
33

34
    FridaActivity4.check2.implementation = function() {
35
        return true;
36
    }
37

38
    FridaActivity4.check3.implementation = function() {
39
        return true;
40
    }
41

42
    FridaActivity4.check4.implementation = function() {
43
        return true;
44
    }
45

46
    FridaActivity4.check5.implementation = function() {
47
        return true;
48
    }
49

50
    FridaActivity4.check6.implementation = function() {
51
        return true;
52
    }
53
});
54

55
// 第2关hook
56
function two() {
57
    Java.perform(function() {
58
        var FridaActivity2 = Java.use("com.example.androiddemo.Activity.FridaActivity2");
59

60
        // 因为setStatic_bool_var()是静态的，可以直接通过类去调用，但是setBool_var()不是静态的，所以我们如果要想调用这个方法首先要找到该类的实例化对象，在frida语法中通过Java.choose()方法搜索当前进程中已加载的指定类的所有实例的API，然后通过回调函数对setBool_var()方法进行调用
61
        FridaActivity2.setStatic_bool_var();
62
        Java.choose("com.example.androiddemo.Activity.FridaActivity2", {
63
            // 每当搜索到一个目标类的实例时，就会调用一次onMatch，通过onMatch调用实例方法、访问实例变量
64
            onMatch: function(instance) {
65
                instance.setBool_var();
66
            },
67
            // 执行完毕onMatch中的方法之后会执行onComplete中的方法，可以什么也不写
68
            onComplete: function() {
69

70
            }
71
        })
72
    });
73
}
74

75
// 第3关hook
76
function three() {
77
    Java.perform(function() {
78
        var FridaActivity3 = Java.use("com.example.androiddemo.Activity.FridaActivity3");
79

80
        // frida中通过xxx.value的方式获取呼叫哦修改变量的值
81
        FridaActivity3.static_bool_var.value = true;
82
        Java.choose("com.example.androiddemo.Activity.FridaActivity3", {
83
            onMatch: function(instance) {
84
                instance.bool_var.value = true;
85
                instance._same_name_bool_var.value = true;
86
            },
87
            onComplete: function() {
88

89
            }
90
        })
91
    });
92
}
93

94
// 第5关hook
95
function five() {
96
    Java.perform(function () {
97
        var FridaActivity5 = Java.use("com.example.androiddemo.Activity.FridaActivity5");
98
        Java.choose("com.example.androiddemo.Activity.FridaActivity5", {
99
            onMatch: function (instance) {
100
                // 打印动态加载的DynamicCheck的类名
101
                console.log(instance.getDynamicDexCheck().$className);
102
            }, onComplete: function () {
103
            }
104
        });
105

106
        // 遍历所有类加载器
107
        Java.enumerateClassLoaders({
108
            onMatch: function (loader) {
109
                try {
110
                    // 打印出加载DynamicPlugin.dex的加载器
111
                    console.log(loader);
112
                    // 切换当前类加载器，为了可以使Java.use能找到动态类DynamicCheck
113
                    Java.classFactory.loader = loader;
114
                } catch (error) {
115
                }
116
            }, onComplete: function () {
117
            }
118
        });
119

120
        // 获取动态加载的DynamicCheck类hook check()
121
        var DynamicCheck = Java.use("com.example.androiddemo.Dynamic.DynamicCheck");
122
        console.log(DynamicCheck);
123
        DynamicCheck.check.implementation = function () {
124
            return true;
125
        }
126
    });
127
}

alt text 成功来到第6关

第6关：#

进入FridaActivity6.class：

1
package com.example.androiddemo.Activity.Frida6;
2
/* loaded from: classes.dex */
3
public class Frida6Class0 {
4
    public static boolean check() {
5
        return false;
6
    }
7
}
8

9

10
package com.example.androiddemo.Activity.Frida6;
11
/* loaded from: classes.dex */
12
public class Frida6Class1 {
13
    public static boolean check() {
14
        return false;
15
    }
16
}
17

18

19
package com.example.androiddemo.Activity.Frida6;
20
/* loaded from: classes.dex */
21
public class Frida6Class2 {
22
    public static boolean check() {
23
        return false;
24
    }
25
}

这里就很简单，分别hook这三个方法即可

编写脚本：

1
Java.perform(function(){
2

3
    // 登录口hook
4
    var LoginActivity = Java.use("com.example.androiddemo.Activity.LoginActivity")
5

6
    // 因为LoginActivity类中有两个重载a方法，所以需要通过overload确定具体是那个
7
    LoginActivity.a.overload('java.lang.String', 'java.lang.String').implementation = function(str, str2) {
8
        var result = this.a(str, str2);
9
        result = "admin";
10
        console.log("str:", str);
11
        console.log("str2:", str2);
12
        console.log("result:", result);
13
        return result;
14
    }
15

16

17
    // 第1关hook
18
    var FridaActivity1 = Java.use("com.example.androiddemo.Activity.FridaActivity1");
19
    FridaActivity1.a.implementation = function(bArr) {
20
        var result = this.a(bArr);
21
        result = "R4jSLLLLLLLLLLOrLE7/5B+Z6fsl65yj6BgC6YWz66gO6g2t65Pk6a+P65NK44NNROl0wNOLLLL=";
22
        console.log("bArr:", bArr);
23
        console.log("result:", result);
24

25
        return result;
26
    }
27

28
    // 第4关hook
29
    var FridaActivity4 = Java.use("com.example.androiddemo.Activity.FridaActivity4$InnerClasses");
30
    FridaActivity4.check1.implementation = function() {
31
        return true;
32
    }
33

34
    FridaActivity4.check2.implementation = function() {
35
        return true;
36
    }
37

38
    FridaActivity4.check3.implementation = function() {
39
        return true;
40
    }
41

42
    FridaActivity4.check4.implementation = function() {
43
        return true;
44
    }
45

46
    FridaActivity4.check5.implementation = function() {
47
        return true;
48
    }
49

50
    FridaActivity4.check6.implementation = function() {
51
        return true;
52
    }
53
});
54

55
// 第2关hook
56
function two() {
57
    Java.perform(function() {
58
        var FridaActivity2 = Java.use("com.example.androiddemo.Activity.FridaActivity2");
59

60
        // 因为setStatic_bool_var()是静态的，可以直接通过类去调用，但是setBool_var()不是静态的，所以我们如果要想调用这个方法首先要找到该类的实例化对象，在frida语法中通过Java.choose()方法搜索当前进程中已加载的指定类的所有实例的API，然后通过回调函数对setBool_var()方法进行调用
61
        FridaActivity2.setStatic_bool_var();
62
        Java.choose("com.example.androiddemo.Activity.FridaActivity2", {
63
            // 每当搜索到一个目标类的实例时，就会调用一次onMatch，通过onMatch调用实例方法、访问实例变量
64
            onMatch: function(instance) {
65
                instance.setBool_var();
66
            },
67
            // 执行完毕onMatch中的方法之后会执行onComplete中的方法，可以什么也不写
68
            onComplete: function() {
69

70
            }
71
        })
72
    });
73
}
74

75
// 第3关hook
76
function three() {
77
    Java.perform(function() {
78
        var FridaActivity3 = Java.use("com.example.androiddemo.Activity.FridaActivity3");
79

80
        // frida中通过xxx.value的方式获取呼叫哦修改变量的值
81
        FridaActivity3.static_bool_var.value = true;
82
        Java.choose("com.example.androiddemo.Activity.FridaActivity3", {
83
            onMatch: function(instance) {
84
                instance.bool_var.value = true;
85
                instance._same_name_bool_var.value = true;
86
            },
87
            onComplete: function() {
88

89
            }
90
        })
91
    });
92
}
93

94
// 第5关hook
95
function five() {
96
    Java.perform(function () {
97
        var FridaActivity5 = Java.use("com.example.androiddemo.Activity.FridaActivity5");
98
        Java.choose("com.example.androiddemo.Activity.FridaActivity5", {
99
            onMatch: function (instance) {
100
                // 打印动态加载的DynamicCheck的类名
101
                console.log(instance.getDynamicDexCheck().$className);
102
            }, onComplete: function () {
103
            }
104
        });
105

106
        // 遍历所有类加载器
107
        Java.enumerateClassLoaders({
108
            onMatch: function (loader) {
109
                try {
110
                    // 打印出加载DynamicPlugin.dex的加载器
111
                    console.log(loader);
112
                    // 切换当前类加载器，为了可以使Java.use能找到动态类DynamicCheck
113
                    Java.classFactory.loader = loader;
114
                } catch (error) {
115
                }
116
            }, onComplete: function () {
117
            }
118
        });
119

120
        // 获取动态加载的DynamicCheck类hook check()
121
        var DynamicCheck = Java.use("com.example.androiddemo.Dynamic.DynamicCheck");
122
        console.log(DynamicCheck);
123
        DynamicCheck.check.implementation = function () {
124
            return true;
125
        }
126
    });
127
}
128

129
function six() {
130
    Java.perform(function() {
131
        var Frida6Class0 = Java.use("com.example.androiddemo.Activity.Frida6.Frida6Class0");
132
        var Frida6Class1 = Java.use("com.example.androiddemo.Activity.Frida6.Frida6Class1");
133
        var Frida6Class2 = Java.use("com.example.androiddemo.Activity.Frida6.Frida6Class2");
134

135
        Frida6Class0.check.implementation = function() {
136
            return true;
137
        }
138

139
        Frida6Class1.check.implementation = function() {
140
            return true;
141
        }
142

143
        Frida6Class2.check.implementation = function() {
144
            return true;
145
        }
146

147
    });
148
}

alt text 至此7关全部通过！