Android Anti-Instrumentation & SSL Pinning Bypass (Frida/Objection)

Tip

Lerne & übe AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Lerne & übe GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Lerne & übe Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE) Durchsuche den vollständigen HackTricks Training-Katalog nach den Assessment-Tracks (ARTA/GRTA/AzRTA) und Linux Hacking Expert (LHE).

Support HackTricks

Diese Seite bietet einen praktischen Workflow, um die dynamische Analyse gegen Android-Apps wiederherzustellen, die Instrumentation erkennen/root‑blockieren oder TLS pinning erzwingen. Der Fokus liegt auf schneller Triage, gängigen Erkennungen und kopierbaren Hooks/Taktiken, um diese nach Möglichkeit ohne Repacking zu umgehen.

Detection Surface (what apps check)

  • Root checks: su binary, Magisk paths, getprop values, common root packages
  • Frida/debugger checks (Java): Debug.isDebuggerConnected(), ActivityManager.getRunningAppProcesses(), getRunningServices(), scanning /proc, classpath, loaded libs
  • Native anti‑debug: ptrace(), syscalls, anti‑attach, breakpoints, inline hooks
  • Early init checks: Application.onCreate() or process start hooks that crash if instrumentation is present
  • TLS pinning: custom TrustManager/HostnameVerifier, OkHttp CertificatePinner, Conscrypt pinning, native pins

Bypassing Anti-Frida Detection / Stealth Frida Servers

phantom-frida baut Frida aus dem Source neu und wendet ~90 Patches an, sodass übliche Frida-Fingerprints verschwinden, während das native Frida-Protokoll kompatibel bleibt (frida-tools kann weiterhin verbinden). Ziel: Apps, die /proc (cmdline, maps, task comm, fd readlink), D-Bus Service-Namen, Default-Ports oder exportierte Symbole durchsuchen.

Phasen:

  • Source patches: globales Umbenennen von frida-Bezeichnern (server/agent/helper) und neu gebuildetes helper DEX mit umbenanntem Java-Package.
  • Targeted build/runtime patches: meson-Tweaks, memfd-Label geändert zu jit-cache, SELinux-Labels (z. B. frida_file) umbenannt, libc-Hooks auf exit/signal deaktiviert, um Hook-Detektoren zu vermeiden.
  • Post-build rename: exportiertes Symbol frida_agent_main wird nach dem ersten Compile umbenannt (Vala emittiert es), was einen zweiten inkrementellen Build erfordert.
  • Binary hex patches: Thread-Namen (gmain, gdbus, pool-spawner) ersetzt; optionaler Sweep entfernt verbleibende frida/Frida-Strings.

Erfasste Erkennungsvektoren:

  • Base (1–8): process name frida-server, mapped libfrida-agent.so, thread names, memfd label, exported frida_agent_main, SELinux labels, libc hook side-effects, und D-Bus service re.frida.server werden umbenannt/neutralisiert.
  • Extended (9–16): change listening port (--port), rename D-Bus interfaces/internal C symbols/GType names, temp paths like .frida/frida-, sweep binary strings, rename build-time defines und asset paths (libdir/frida). D-Bus-Interface-Namen, die Teil des Wire-Protokolls sind, bleiben im Base-Modus unverändert, um stock-Clients nicht zu brechen.

Build/usage (Android arm64 example):

python3 build.py --version 17.7.2 --name myserver --port 27142 --extended --verify
adb push output/myserver-server-17.7.2-android-arm64 /data/local/tmp/myserver-server
adb shell chmod 755 /data/local/tmp/myserver-server
adb shell /data/local/tmp/myserver-server -D &
adb forward tcp:27142 tcp:27142
frida -H 127.0.0.1:27142 -f com.example.app

Flags: --skip-build (patch only), --skip-clone, --arch, --ndk-path, --temp-fixes; WSL-Helfer: wsl -d Ubuntu bash build-wsl.sh.

Schritt 1 — Schneller Erfolg: root mit Magisk DenyList verbergen

  • Zygisk in Magisk aktivieren
  • DenyList aktivieren, das Zielpaket hinzufügen
  • Neustart durchführen und erneut testen

Viele Apps suchen nur nach offensichtlichen Indikatoren (su/Magisk-Pfade/getprop). DenyList neutralisiert oft naive Prüfungen.

References:

  • Magisk (Zygisk & DenyList): https://github.com/topjohnwu/Magisk

Play Integrity / Zygisk-Erkennungen (post‑SafetyNet)

Neuere Banking-/ID‑Apps koppeln Laufzeit‑Prüfungen an Google Play Integrity (SafetyNet‑Ersatz) und können auch abstürzen, wenn Zygisk selbst vorhanden ist. Kurze Triage‑Tipps:

  • Zygisk vorübergehend deaktivieren (toggle off + reboot) und erneut versuchen; einige Apps stürzen ab, sobald Zygote injection geladen wird.
  • Wenn Attestation den Login blockiert, Google Play Services mit PlayIntegrityFix/Fork + TrickyStore patchen oder ReZygisk/Zygisk‑Next nur beim Testen verwenden. Behalten Sie das Ziel in DenyList und vermeiden Sie LSPosed‑Module, die props leak.
  • Für Einmalläufe KernelSU/APatch verwenden (keine Zygote injection), um unter den Zygisk‑Heuristiken zu bleiben, und dann Frida anhängen.

Schritt 2 — 30‑Sekunden Frida Codeshare‑Tests

Vor tiefgehendem Analysieren gängige Drop‑in‑Skripte ausprobieren:

  • anti-root-bypass.js
  • anti-frida-detection.js
  • hide_frida_gum.js

Beispiel:

frida -U -f com.example.app -l anti-frida-detection.js

Diese ersetzen typischerweise Java root/debug checks, process/service scans und native ptrace(). Nützlich bei leicht geschützten Apps; gehärtete Ziele benötigen möglicherweise maßgeschneiderte hooks.

  • Codeshare: https://codeshare.frida.re/

Automatisieren mit Medusa (Frida framework)

Medusa bietet über 90 fertige Module für SSL unpinning, root/emulator detection bypass, HTTP comms logging, crypto key interception und mehr.

git clone https://github.com/Ch0pin/medusa
cd medusa
pip install -r requirements.txt
python medusa.py

# Example interactive workflow
show categories
use http_communications/multiple_unpinner
use root_detection/universal_root_detection_bypass
run com.target.app

Tipp: Medusa ist großartig für schnelle Erfolge, bevor du eigene hooks schreibst. Du kannst auch modules gezielt auswählen und mit deinen eigenen scripts kombinieren.

Automatisieren mit Auto-Frida (spawn-mode + consolidated hooks)

Auto-Frida ist ein Frida-Automationstool, das sich auf wiederholbare Setups sowie auto-detection von Schutzmechanismen und die consolidated bypass script generation konzentriert. Es ist nützlich, wenn Apps sehr früh Checks ausführen oder wenn mehrere bypass modules sonst dieselben APIs double-hooken würden.

Key automation ideas:

  • Spawn-mode analysis to install hooks before Application.onCreate() so early SSL pinning, root, emulator, or anti-Frida checks are caught.
  • Protection detection + auto-bypass: detection results drive the generation of a single consolidated script that hooks each Java method/native symbol once, reducing crashes from overlapping hooks.
  • Frida server lifecycle checks: validate server health (process + port 27042 + frida-ps handshake) before downloading/restarting to keep runs stable.

Schnellstart:

git clone https://github.com/ommirkute/Auto-Frida.git
cd Auto-Frida
pip install -r requirements.txt
python auto_frida.py

Hinweise

  • Auto-Frida kann frida/frida-tools automatisch installieren, falls diese fehlen, und unterstützt die Auswahl mehrerer Geräte.
  • Generierte Skripte können sofort ausgeführt oder nach der Analyse mit deinen benutzerdefinierten Hooks zusammengeführt werden.

Schritt 3 — Init‑Time-Detektoren umgehen, indem man später anbindet

Viele Detektionen laufen nur während process spawn/onCreate(). Spawn‑time injection (-f) oder gadgets werden erwischt; das Anhängen, nachdem die UI geladen ist, kann daran vorbeischlüpfen.

# Launch the app normally (launcher/adb), wait for UI, then attach
frida -U -n com.example.app
# Or with Objection to attach to running process
aobjection --gadget com.example.app explore  # if using gadget

Wenn das funktioniert, halte die Sitzung stabil und fahre mit Mapping- und Stub-Prüfungen fort.

Schritt 4 — Erkennungslogik mit Jadx und string hunting kartieren

Statische Triage-Schlüsselwörter in Jadx:

  • “frida”, “gum”, “root”, “magisk”, “ptrace”, “su”, “getprop”, “debugger”

Typische Java-Muster:

public boolean isFridaDetected() {
return getRunningServices().contains("frida");
}

Gängige APIs zum Review/Hook:

  • android.os.Debug.isDebuggerConnected
  • android.app.ActivityManager.getRunningAppProcesses / getRunningServices
  • java.lang.System.loadLibrary / System.load (native bridge)
  • java.lang.Runtime.exec / ProcessBuilder (probing commands)
  • android.os.SystemProperties.get (root/emulator heuristics)

Schritt 5 — Runtime stubbing mit Frida (Java)

Überschreibe benutzerdefinierte Guards, damit sie sichere Werte zurückgeben, ohne repacking:

Java.perform(() => {
const Checks = Java.use('com.example.security.Checks');
Checks.isFridaDetected.implementation = function () { return false; };

// Neutralize debugger checks
const Debug = Java.use('android.os.Debug');
Debug.isDebuggerConnected.implementation = function () { return false; };

// Example: kill ActivityManager scans
const AM = Java.use('android.app.ActivityManager');
AM.getRunningAppProcesses.implementation = function () { return java.util.Collections.emptyList(); };
});

Frühzeitige Abstürze untersuchen? Dump classes kurz bevor es abstürzt, um wahrscheinliche Detection-Namespaces zu finden:

Java.perform(() => {
Java.enumerateLoadedClasses({
onMatch: n => console.log(n),
onComplete: () => console.log('Done')
});
});

Kurzes root detection stub-Beispiel (an die target package/class names anpassen):

Java.perform(() => {
try {
const RootChecker = Java.use('com.target.security.RootCheck');
RootChecker.isDeviceRooted.implementation = function () { return false; };
} catch (e) {}
});

Protokolliere und neutralisiere verdächtige Methoden, um den Ausführungsfluss zu bestätigen:

Java.perform(() => {
const Det = Java.use('com.example.security.DetectionManager');
Det.checkFrida.implementation = function () {
console.log('checkFrida() called');
return false;
};
});

Bypass emulator/VM detection (Java stubs)

Häufige Heuristiken: Build.FINGERPRINT/MODEL/MANUFACTURER/HARDWARE, die generic/goldfish/ranchu/sdk enthalten; QEMU-Artefakte wie /dev/qemu_pipe, /dev/socket/qemud; Standard-MAC 02:00:00:00:00:00; 10.0.2.x NAT; fehlende telephony/sensors.

Schnelles Spoofing der Build-Felder:

Java.perform(function(){
var Build = Java.use('android.os.Build');
Build.MODEL.value = 'Pixel 7 Pro';
Build.MANUFACTURER.value = 'Google';
Build.BRAND.value = 'google';
Build.FINGERPRINT.value = 'google/panther/panther:14/UP1A.231105.003/1234567:user/release-keys';
});

Ergänze Platzhalter für Dateiexistenzprüfungen und Identifikatoren (TelephonyManager.getDeviceId/SubscriberId, WifiInfo.getMacAddress, SensorManager.getSensorList), um realistische Werte zurückzugeben.

SSL pinning bypass quick hook (Java)

Neutralisiere benutzerdefinierte TrustManagers und erzwinge permissive SSL-Kontexte:

Java.perform(function(){
var X509TrustManager = Java.use('javax.net.ssl.X509TrustManager');
var SSLContext = Java.use('javax.net.ssl.SSLContext');

// No-op validations
X509TrustManager.checkClientTrusted.implementation = function(){ };
X509TrustManager.checkServerTrusted.implementation = function(){ };

// Force permissive TrustManagers
var TrustManagers = [ X509TrustManager.$new() ];
var SSLContextInit = SSLContext.init.overload('[Ljavax.net.ssl.KeyManager;','[Ljavax.net.ssl.TrustManager;','java.security.SecureRandom');
SSLContextInit.implementation = function(km, tm, sr){
return SSLContextInit.call(this, km, TrustManagers, sr);
};
});

Hinweise

  • Für OkHttp erweitern: hook okhttp3.CertificatePinner und HostnameVerifier bei Bedarf, oder verwende ein universelles unpinning script von CodeShare.
  • Beispiel ausführen: frida -U -f com.target.app -l ssl-bypass.js --no-pause

OkHttp4 / gRPC / Cronet pinning (2024+)

Moderne Stacks führen pinning innerhalb neuerer APIs durch (OkHttp4+, gRPC over Cronet/BoringSSL). Füge diese hooks hinzu, wenn der grundlegende SSLContext hook nicht greift:

Java.perform(() => {
try {
const Pinner = Java.use('okhttp3.CertificatePinner');
Pinner.check.overload('java.lang.String', 'java.util.List').implementation = function(){};
Pinner.check$okhttp.implementation = function(){};
} catch (e) {}

try {
const CronetB = Java.use('org.chromium.net.CronetEngine$Builder');
CronetB.enablePublicKeyPinningBypassForLocalTrustAnchors.overload('boolean').implementation = function(){ return this; };
CronetB.setPublicKeyPins.overload('java.lang.String', 'java.util.Set', 'boolean').implementation = function(){ return this; };
} catch (e) {}
});

Wenn TLS immer noch fehlschlägt, auf native Ebene wechseln und die von Cronet/gRPC verwendeten BoringSSL-Überprüfungs-Einstiegspunkte patchen:

const customVerify = Module.findExportByName(null, 'SSL_CTX_set_custom_verify');
if (customVerify) {
Interceptor.attach(customVerify, {
onEnter(args){
// arg0 = SSL_CTX*, arg1 = mode, arg2 = callback
args[1] = ptr(0); // SSL_VERIFY_NONE
args[2] = NULL;  // disable callback
}
});
}

Schritt 6 — Der JNI/native-Spur folgen, wenn Java-Hooks fehlschlagen

Verfolge JNI-Einstiegspunkte, um native Loader und die Initialisierung der Erkennung zu lokalisieren:

frida-trace -n com.example.app -i "JNI_OnLoad"

Schnelle native Triage gebündelter .so-Dateien:

# List exported symbols & JNI
nm -D libfoo.so | head
objdump -T libfoo.so | grep Java_
strings -n 6 libfoo.so | egrep -i 'frida|ptrace|gum|magisk|su|root'

Interaktives/native reversing:

  • Ghidra: https://ghidra-sre.org/
  • r2frida: https://github.com/nowsecure/r2frida

Beispiel: ptrace neutralisieren, um einfaches anti‑debug in libc zu umgehen:

const ptrace = Module.findExportByName(null, 'ptrace');
if (ptrace) {
Interceptor.replace(ptrace, new NativeCallback(function () {
return -1; // pretend failure
}, 'int', ['int', 'int', 'pointer', 'pointer']));
}

Siehe auch: Reversing Native Libraries

Schritt 7 — Objection patching (embed gadget / strip basics)

Wenn du repacking den runtime hooks vorziehst, versuche:

objection patchapk --source app.apk

Hinweise:

  • Erfordert apktool; stelle sicher, dass du eine aktuelle Version aus dem offiziellen Guide verwendest, um Build-Probleme zu vermeiden: https://apktool.org/docs/install
  • Gadget injection ermöglicht instrumentation ohne root, kann aber dennoch von stärkeren init‑time checks erkannt werden.

Optional: Füge LSPosed modules und Shamiko für stronger root hiding in Zygisk environments hinzu und pflege die DenyList, um child processes abzudecken.

Für einen vollständigen Workflow, einschließlich script-mode Gadget configuration und dem Bundling deines Frida 17+ agent in die APK, siehe:

Frida Tutorial — Self-contained agent + Gadget embedding

Referenzen:

  • Objection: https://github.com/sensepost/objection

Schritt 8 — Fallback: TLS pinning patchen für Netzwerk‑Sichtbarkeit

Wenn instrumentation blockiert ist, kannst du den Traffic trotzdem untersuchen, indem du pinning statisch entfernst:

apk-mitm app.apk
# Then install the patched APK and proxy via Burp/mitmproxy
  • Tool: https://github.com/shroudedcode/apk-mitm
  • Für network config CA‑trust Tricks (und Android 7+ user CA trust), siehe:

Make APK Accept CA Certificate

Install Burp Certificate

LSPosed/Xposed Hooking-Missbrauch (Telephony/SMS)

Auf gerooteten Geräten können LSPosed/Xposed-Module Java-Telephony/SMS-APIs zur Laufzeit hooken, das APK auf der Festplatte unverändert lassen und dabei vollständig kontrollieren, was die App sieht. Dies wird häufig missbraucht, um SIM‑Binding-Flows zu umgehen, die lokalen Telephony-APIs oder den lokalen SMS-Provider-Status vertrauen.

Wichtige Primitive

  • Unterdrücke ausgehende Verifizierungs-SMS während du das Token exfiltrierst, indem du SmsManager.sendTextMessage in beforeHookedMethod kurzschließt.
  • Vortäuschen von MSISDN/Leitungsnummer indem du TelephonyManager.getLine1Number() und SubscriptionInfo.getNumber() dazu zwingst, einen vom Angreifer kontrollierten Wert zurückzugeben.
  • Fälschen eines „Gesendet“-Eintrags im SMS-Provider, sodass Apps, die die lokale SMS-Historie prüfen, einen erfolgreichen Versand sehen, selbst wenn der Carrier ihn nie erhalten hat.

Beispiel: SMS-Versand blockieren und Inhalt erfassen

XposedHelpers.findAndHookMethod(
"android.telephony.SmsManager",
lpparam.classLoader,
"sendTextMessage",
String.class, String.class, String.class, PendingIntent.class, PendingIntent.class,
new XC_MethodHook() {
protected void beforeHookedMethod(MethodHookParam param) {
String body = (String) param.args[2];
// exfiltrate body to operator channel
param.setResult(null); // suppress real SMS send
}
}
);

Beispiel: Telefonnummer des Geräts fälschen

XposedHelpers.findAndHookMethod(
"android.telephony.TelephonyManager",
lpparam.classLoader,
"getLine1Number",
new XC_MethodHook() {
protected void afterHookedMethod(MethodHookParam param) {
param.setResult(spoofedMsisdn);
}
}
);

XposedHelpers.findAndHookMethod(
"android.telephony.SubscriptionInfo",
lpparam.classLoader,
"getNumber",
new XC_MethodHook() {
protected void afterHookedMethod(MethodHookParam param) {
param.setResult(spoofedMsisdn);
}
}
);

Beispiel: eine gefälschte “Sent”-SMS-Aufzeichnung einfügen

ContentValues v = new ContentValues();
v.put("address", dest);
v.put("body", body);
v.put("type", 2);   // sent
v.put("status", 0); // success
context.getContentResolver().insert(Uri.parse("content://sms/sent"), v);

Nützliche Befehlsübersicht

# List processes and attach
frida-ps -Uai
frida -U -n com.example.app

# Spawn with a script (may trigger detectors)
frida -U -f com.example.app -l anti-frida-detection.js

# Trace native init
frida-trace -n com.example.app -i "JNI_OnLoad"

# Objection runtime
objection --gadget com.example.app explore

# Static TLS pinning removal
apk-mitm app.apk

Universal proxy forcing + TLS unpinning (HTTP Toolkit Frida hooks)

Moderne Apps ignorieren oft system proxies und erzwingen mehrere Pinning-Ebenen (Java + native), wodurch das Mitschneiden von Traffic selbst mit installierten user/system CAs schmerzhaft wird. Ein praktischer Ansatz ist, universelles TLS unpinning mit proxy forcing über fertige Frida hooks zu kombinieren und den gesamten Verkehr durch mitmproxy/Burp zu leiten.

Ablauf

  • Starte mitmproxy auf deinem Host (oder Burp). Stelle sicher, dass das Gerät die Host-IP/-Port erreichen kann.
  • Lade HTTP Toolkit’s konsolidierte Frida hooks, um sowohl TLS unpinning als auch proxy forcing über gängige Stacks (OkHttp/OkHttp3, HttpsURLConnection, Conscrypt, WebView, etc.) zu erreichen. Das umgeht CertificatePinner/TrustManager-Checks und überschreibt Proxy-Selectoren, sodass der Traffic immer über deinen Proxy geleitet wird, selbst wenn die App Proxies explizit deaktiviert.
  • Starte die Ziel-App mit Frida und dem Hook-Skript und erfasse die Requests in mitmproxy.

Beispiel

# Device connected via ADB or over network (-U)
# See the repo for the exact script names & options
frida -U -f com.vendor.app \
-l ./android-unpinning-with-proxy.js \
--no-pause

# mitmproxy listening locally
mitmproxy -p 8080

Hinweise

  • Wenn möglich, mit einem systemweiten Proxy über adb shell settings put global http_proxy <host>:<port> kombinieren. Die Frida hooks erzwingen die Proxy-Nutzung selbst dann, wenn Apps die globalen Einstellungen umgehen.
  • Diese Technik eignet sich besonders, wenn Sie mobile-to-IoT Onboarding-Flows MITM müssen, bei denen pinning/proxy avoidance häufig vorkommen.
  • Hooks: https://github.com/httptoolkit/frida-interception-and-unpinning

Referenzen

Tip

Lerne & übe AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Lerne & übe GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Lerne & übe Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE) Durchsuche den vollständigen HackTricks Training-Katalog nach den Assessment-Tracks (ARTA/GRTA/AzRTA) und Linux Hacking Expert (LHE).

Support HackTricks