Android Anti-Instrumentation & SSL Pinning Bypass (Frida/Objection)

Tip

Ucz się i ćwicz AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się i ćwicz GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Ucz się i ćwicz Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE) Przeglądaj pełny katalog HackTricks Training dla ścieżek assessment (ARTA/GRTA/AzRTA) oraz Linux Hacking Expert (LHE).

Wsparcie HackTricks

Ta strona przedstawia praktyczny workflow umożliwiający przywrócenie dynamic analysis przeciw aplikacjom Android, które wykrywają/blokują instrumentation na zrootowanym urządzeniu lub wymuszają TLS pinning. Skupia się na szybkim triage, typowych wykryciach oraz gotowych do wklejenia hookach/taktykach pozwalających je obejść bez repackowania, jeśli to możliwe.

Detection Surface (what apps check)

  • Root checks: su binary, Magisk paths, getprop values, common root packages
  • Frida/debugger checks (Java): Debug.isDebuggerConnected(), ActivityManager.getRunningAppProcesses(), getRunningServices(), scanning /proc, classpath, loaded libs
  • Native anti‑debug: ptrace(), syscalls, anti‑attach, breakpoints, inline hooks
  • Early init checks: Application.onCreate() or process start hooks that crash if instrumentation is present
  • TLS pinning: custom TrustManager/HostnameVerifier, OkHttp CertificatePinner, Conscrypt pinning, native pins

Bypassing Anti-Frida Detection / Stealth Frida Servers

phantom-frida przebudowuje Frida ze źródła i stosuje ~90 łatek tak, aby typowe fingerprinty Frida zniknęły, zachowując jednocześnie kompatybilność ze stockowym protokołem Frida (frida-tools nadal może się łączyć). Cel: aplikacje, które grep’ują /proc (cmdline, maps, task comm, fd readlink), nazwy serwisów D-Bus, domyślne porty lub eksportowane symbole.

Fazy:

  • Source patches: globalna zmiana nazw identyfikatorów frida (server/agent/helper) i przebudowany helper DEX z przemianowaną paczką Java.
  • Targeted build/runtime patches: modyfikacje meson, zmiana etykiety memfd na jit-cache, przemianowanie etykiet SELinux (np. frida_file), wyłączenie libc hooków na exit/signal aby uniknąć wykrywania hooków.
  • Post-build rename: eksportowany symbol frida_agent_main przemianowany po pierwszej kompilacji (Vala go emituje), co wymaga drugiej inkrementalnej kompilacji.
  • Binary hex patches: nazwy wątków (gmain, gdbus, pool-spawner) zastąpione; opcjonalne przeszukanie usuwa pozostałe ciągi frida/Frida.

Wektory wykrywania objęte zmianami:

  • Base (1–8): proces frida-server, mapowany libfrida-agent.so, nazwy wątków, etykieta memfd, eksportowany frida_agent_main, etykiety SELinux, skutki uboczne hooków libc oraz serwis D-Bus re.frida.server są przemianowane/znormalizowane.
  • Extended (9–16): zmiana portu nasłuchu (--port), przemianowanie interfejsów D-Bus/wewnętrznych symboli C/nazw GType, ścieżek tymczasowych jak .frida/frida-, przeszukanie binarki w celu usunięcia stringów, przemianowanie definicji build-time i ścieżek assetów (libdir/frida). Nazwy interfejsów D-Bus będących częścią wire protocol pozostają niezmienione w trybie base, aby nie łamać stockowych klientów.

Build/usage (Android arm64 example):

python3 build.py --version 17.7.2 --name myserver --port 27142 --extended --verify
adb push output/myserver-server-17.7.2-android-arm64 /data/local/tmp/myserver-server
adb shell chmod 755 /data/local/tmp/myserver-server
adb shell /data/local/tmp/myserver-server -D &
adb forward tcp:27142 tcp:27142
frida -H 127.0.0.1:27142 -f com.example.app

Flagi: --skip-build (patch only), --skip-clone, --arch, --ndk-path, --temp-fixes; Pomocnik WSL: wsl -d Ubuntu bash build-wsl.sh.

Krok 1 — Szybki sukces: ukryj root z Magisk DenyList

  • Włącz Zygisk w Magisk
  • Włącz DenyList, dodaj docelowy pakiet
  • Zrestartuj i przetestuj ponownie

Wiele aplikacji sprawdza tylko oczywiste wskaźniki (su/Magisk paths/getprop). DenyList często neutralizuje naiwne sprawdzenia.

Referencje:

  • Magisk (Zygisk & DenyList): https://github.com/topjohnwu/Magisk

Play Integrity / Zygisk — wykrycia (post‑SafetyNet)

Nowsze aplikacje bankowe/ID wiążą sprawdzenia w czasie wykonywania z Google Play Integrity (następca SafetyNet) i mogą też się zawiesić, jeśli sam Zygisk jest obecny. Szybkie wskazówki triage:

  • Tymczasowo wyłącz Zygisk (przełącznik off + zrestartuj) i spróbuj ponownie; niektóre aplikacje zawieszają się, gdy tylko Zygote injection się załaduje.
  • Jeśli attestation blokuje logowanie, zapatchuj Google Play Services z PlayIntegrityFix/Fork + TrickyStore lub użyj ReZygisk/Zygisk‑Next tylko podczas testów. Trzymaj cel w DenyList i unikaj modułów LSPosed, które leak props.
  • Do jednorazowych uruchomień użyj KernelSU/APatch (bez Zygote injection), żeby pozostać poniżej heurystyk Zygisk, a następnie podłącz Frida.

Krok 2 — 30‑sekundowe testy Frida Codeshare

Wypróbuj popularne skrypty drop‑in przed głębszą analizą:

  • anti-root-bypass.js
  • anti-frida-detection.js
  • hide_frida_gum.js

Przykład:

frida -U -f com.example.app -l anti-frida-detection.js

Zwykle tworzą stuby dla Java root/debug checks, process/service scans oraz natywnego ptrace(). Przydatne w słabo chronionych aplikacjach; hardened targets mogą wymagać dostosowanych hooks.

  • Codeshare: https://codeshare.frida.re/

Automatyzacja z Medusa (Frida framework)

Medusa udostępnia ponad 90 gotowych modułów dla SSL unpinning, root/emulator detection bypass, HTTP comms logging, crypto key interception i więcej.

git clone https://github.com/Ch0pin/medusa
cd medusa
pip install -r requirements.txt
python medusa.py

# Example interactive workflow
show categories
use http_communications/multiple_unpinner
use root_detection/universal_root_detection_bypass
run com.target.app

Tip: Medusa is great for quick wins before writing custom hooks. You can also cherry-pick modules and combine them with your own scripts.

Automate with Auto-Frida (spawn-mode + consolidated hooks)

Auto-Frida is a Frida automation toolkit that focuses on repeatable setup plus auto-detection of protections and consolidated bypass script generation. It is useful when apps run checks very early or when multiple bypass modules would otherwise double-hook the same APIs.

Key automation ideas:

  • Spawn-mode analysis to install hooks before Application.onCreate() so early SSL pinning, root, emulator, or anti-Frida checks are caught.
  • Protection detection + auto-bypass: detection results drive the generation of a single consolidated script that hooks each Java method/native symbol once, reducing crashes from overlapping hooks.
  • Frida server lifecycle checks: validate server health (process + port 27042 + frida-ps handshake) before downloading/restarting to keep runs stable.

Quick start:

git clone https://github.com/ommirkute/Auto-Frida.git
cd Auto-Frida
pip install -r requirements.txt
python auto_frida.py

Notatki

  • Auto-Frida może automatycznie zainstalować frida/frida-tools, jeśli ich brakuje, i obsługuje wybór wielu urządzeń.
  • Wygenerowane skrypty można uruchomić od razu lub scalić z własnymi hooks po analizie.

Krok 3 — Obejdź detektory inicjalizacji, dołączając później

Wiele wykryć działa tylko podczas process spawn/onCreate(). Spawn‑time injection (-f) lub gadgets zostają wykryte; dołączenie po załadowaniu UI może je ominąć.

# Launch the app normally (launcher/adb), wait for UI, then attach
frida -U -n com.example.app
# Or with Objection to attach to running process
aobjection --gadget com.example.app explore  # if using gadget

Jeśli to zadziała, utrzymaj sesję stabilną i przejdź do mapowania i sprawdzeń stubów.

Krok 4 — Mapuj logikę wykrywania za pomocą Jadx i wyszukiwania ciągów

Statyczne słowa kluczowe do triage w Jadx:

  • “frida”, “gum”, “root”, “magisk”, “ptrace”, “su”, “getprop”, “debugger”

Typowe wzorce Java:

public boolean isFridaDetected() {
return getRunningServices().contains("frida");
}

Typowe API do przeglądu/hook:

  • android.os.Debug.isDebuggerConnected
  • android.app.ActivityManager.getRunningAppProcesses / getRunningServices
  • java.lang.System.loadLibrary / System.load (most natywny)
  • java.lang.Runtime.exec / ProcessBuilder (sondowanie poleceń)
  • android.os.SystemProperties.get (heurystyki root/emulatora)

Krok 5 — Runtime stubbing with Frida (Java)

Zastąp niestandardowe zabezpieczenia, aby zwracały bezpieczne wartości bez przepakowywania:

Java.perform(() => {
const Checks = Java.use('com.example.security.Checks');
Checks.isFridaDetected.implementation = function () { return false; };

// Neutralize debugger checks
const Debug = Java.use('android.os.Debug');
Debug.isDebuggerConnected.implementation = function () { return false; };

// Example: kill ActivityManager scans
const AM = Java.use('android.app.ActivityManager');
AM.getRunningAppProcesses.implementation = function () { return java.util.Collections.emptyList(); };
});

Rozpoznajesz wczesne awarie? Zrzucaj klasy tuż przed awarią, by znaleźć prawdopodobne przestrzenie nazw odpowiedzialne za detekcję:

Java.perform(() => {
Java.enumerateLoadedClasses({
onMatch: n => console.log(n),
onComplete: () => console.log('Done')
});
});

Szybki przykład stubu wykrywania root (dostosuj do docelowych nazw pakietów/klas):

Java.perform(() => {
try {
const RootChecker = Java.use('com.target.security.RootCheck');
RootChecker.isDeviceRooted.implementation = function () { return false; };
} catch (e) {}
});

Zaloguj i zneutralizuj podejrzane metody, aby potwierdzić przebieg wykonania:

Java.perform(() => {
const Det = Java.use('com.example.security.DetectionManager');
Det.checkFrida.implementation = function () {
console.log('checkFrida() called');
return false;
};
});

Bypass emulator/VM detection (Java stubs)

Typowe heurystyki: Build.FINGERPRINT/MODEL/MANUFACTURER/HARDWARE zawierające generic/goldfish/ranchu/sdk; artefakty QEMU takie jak /dev/qemu_pipe, /dev/socket/qemud; domyślny MAC 02:00:00:00:00:00; 10.0.2.x NAT; brak funkcji telefonii/czujników.

Szybkie sfałszowanie pól Build:

Java.perform(function(){
var Build = Java.use('android.os.Build');
Build.MODEL.value = 'Pixel 7 Pro';
Build.MANUFACTURER.value = 'Google';
Build.BRAND.value = 'google';
Build.FINGERPRINT.value = 'google/panther/panther:14/UP1A.231105.003/1234567:user/release-keys';
});

Uzupełnij o stuby dla sprawdzeń istnienia plików i identyfikatorów (TelephonyManager.getDeviceId/SubscriberId, WifiInfo.getMacAddress, SensorManager.getSensorList), tak aby zwracały realistyczne wartości.

SSL pinning bypass quick hook (Java)

Zneutralizuj niestandardowe TrustManagers i wymuś permisywne SSL contexts:

Java.perform(function(){
var X509TrustManager = Java.use('javax.net.ssl.X509TrustManager');
var SSLContext = Java.use('javax.net.ssl.SSLContext');

// No-op validations
X509TrustManager.checkClientTrusted.implementation = function(){ };
X509TrustManager.checkServerTrusted.implementation = function(){ };

// Force permissive TrustManagers
var TrustManagers = [ X509TrustManager.$new() ];
var SSLContextInit = SSLContext.init.overload('[Ljavax.net.ssl.KeyManager;','[Ljavax.net.ssl.TrustManager;','java.security.SecureRandom');
SSLContextInit.implementation = function(km, tm, sr){
return SSLContextInit.call(this, km, TrustManagers, sr);
};
});

Notatki

  • Rozszerz dla OkHttp: hook okhttp3.CertificatePinner i HostnameVerifier w razie potrzeby, lub użyj uniwersalnego skryptu unpinning z CodeShare.
  • Przykład uruchomienia: frida -U -f com.target.app -l ssl-bypass.js --no-pause

OkHttp4 / gRPC / Cronet pinning (2024+)

Nowoczesne stosy stosują pinning wewnątrz nowszych API (OkHttp4+, gRPC over Cronet/BoringSSL). Dodaj te hooks, gdy podstawowy hook SSLContext powoduje zawieszenie:

Java.perform(() => {
try {
const Pinner = Java.use('okhttp3.CertificatePinner');
Pinner.check.overload('java.lang.String', 'java.util.List').implementation = function(){};
Pinner.check$okhttp.implementation = function(){};
} catch (e) {}

try {
const CronetB = Java.use('org.chromium.net.CronetEngine$Builder');
CronetB.enablePublicKeyPinningBypassForLocalTrustAnchors.overload('boolean').implementation = function(){ return this; };
CronetB.setPublicKeyPins.overload('java.lang.String', 'java.util.Set', 'boolean').implementation = function(){ return this; };
} catch (e) {}
});

Jeśli TLS nadal zawodzi, przejdź do warstwy natywnej i załataj punkty wejścia weryfikacji BoringSSL używane przez Cronet/gRPC:

const customVerify = Module.findExportByName(null, 'SSL_CTX_set_custom_verify');
if (customVerify) {
Interceptor.attach(customVerify, {
onEnter(args){
// arg0 = SSL_CTX*, arg1 = mode, arg2 = callback
args[1] = ptr(0); // SSL_VERIFY_NONE
args[2] = NULL;  // disable callback
}
});
}

Krok 6 — Podążaj za śladem JNI/native, gdy Java hooks zawiodą

Śledź punkty wejścia JNI, aby zlokalizować native loaders i detection init:

frida-trace -n com.example.app -i "JNI_OnLoad"

Szybka natywna triage dołączonych plików .so:

# List exported symbols & JNI
nm -D libfoo.so | head
objdump -T libfoo.so | grep Java_
strings -n 6 libfoo.so | egrep -i 'frida|ptrace|gum|magisk|su|root'

Interaktywne/natywne reversing:

  • Ghidra: https://ghidra-sre.org/
  • r2frida: https://github.com/nowsecure/r2frida

Przykład: zneutralizować ptrace, aby obejść prosty anti‑debug w libc:

const ptrace = Module.findExportByName(null, 'ptrace');
if (ptrace) {
Interceptor.replace(ptrace, new NativeCallback(function () {
return -1; // pretend failure
}, 'int', ['int', 'int', 'pointer', 'pointer']));
}

Zobacz także: Reversing Native Libraries

Krok 7 — Objection patching (embed gadget / strip basics)

Jeśli wolisz repacking zamiast runtime hooks, spróbuj:

objection patchapk --source app.apk

Notatki:

  • Wymaga apktool; upewnij się, że korzystasz z aktualnej wersji zgodnie z oficjalnym przewodnikiem, aby uniknąć problemów z buildem: https://apktool.org/docs/install
  • Wstrzyknięcie Gadget umożliwia instrumentation bez root, ale może zostać wykryte przez silniejsze init‑time checks.

Opcjonalnie dodaj moduły LSPosed i Shamiko dla silniejszego ukrywania root w środowiskach Zygisk oraz dopracuj DenyList, aby objąć child processes.

Dla kompletnego workflow obejmującego konfigurację Gadget w trybie skryptowym i bundling Frida 17+ agent do APK, zobacz:

Frida Tutorial — Self-contained agent + Gadget embedding

Referencje:

  • Objection: https://github.com/sensepost/objection

Krok 8 — Plan awaryjny: Załatka TLS pinning dla widoczności sieci

Jeśli instrumentation jest zablokowane, nadal możesz analizować ruch, usuwając pinning statycznie:

apk-mitm app.apk
# Then install the patched APK and proxy via Burp/mitmproxy
  • Narzędzie: https://github.com/shroudedcode/apk-mitm
  • Dla trików związanych z network config CA‑trust (i Android 7+ user CA trust), zobacz:

Make APK Accept CA Certificate

Install Burp Certificate

Nadużycie LSPosed/Xposed Hooking (Telephony/SMS)

Na urządzeniach z rootem, moduły LSPosed/Xposed mogą hookować Java telephony/SMS APIs w czasie wykonywania, zachowując APK niezmodyfikowane na dysku, a jednocześnie w pełni kontrolując to, co aplikacja widzi. Jest to często wykorzystywane do obejścia przepływów SIM‑binding, które ufają lokalnym telephony APIs lub stanowi lokalnego dostawcy SMS.

Kluczowe prymitywy

  • Suppress outgoing verification SMS while exfiltrating the token by short‑circuiting SmsManager.sendTextMessage in beforeHookedMethod.
  • Spoof MSISDN/line number by forcing TelephonyManager.getLine1Number() and SubscriptionInfo.getNumber() to return an attacker‑controlled value.
  • Plant a fake “Sent” record in the SMS provider so apps that check local SMS history see a successful send even if the carrier never received it.

Example: block SMS dispatch and capture content

XposedHelpers.findAndHookMethod(
"android.telephony.SmsManager",
lpparam.classLoader,
"sendTextMessage",
String.class, String.class, String.class, PendingIntent.class, PendingIntent.class,
new XC_MethodHook() {
protected void beforeHookedMethod(MethodHookParam param) {
String body = (String) param.args[2];
// exfiltrate body to operator channel
param.setResult(null); // suppress real SMS send
}
}
);

Przykład: spoof numer telefonu urządzenia

XposedHelpers.findAndHookMethod(
"android.telephony.TelephonyManager",
lpparam.classLoader,
"getLine1Number",
new XC_MethodHook() {
protected void afterHookedMethod(MethodHookParam param) {
param.setResult(spoofedMsisdn);
}
}
);

XposedHelpers.findAndHookMethod(
"android.telephony.SubscriptionInfo",
lpparam.classLoader,
"getNumber",
new XC_MethodHook() {
protected void afterHookedMethod(MethodHookParam param) {
param.setResult(spoofedMsisdn);
}
}
);

Przykład: inject a fake “Sent” SMS record

ContentValues v = new ContentValues();
v.put("address", dest);
v.put("body", body);
v.put("type", 2);   // sent
v.put("status", 0); // success
context.getContentResolver().insert(Uri.parse("content://sms/sent"), v);

Przydatna ściągawka poleceń

# List processes and attach
frida-ps -Uai
frida -U -n com.example.app

# Spawn with a script (may trigger detectors)
frida -U -f com.example.app -l anti-frida-detection.js

# Trace native init
frida-trace -n com.example.app -i "JNI_OnLoad"

# Objection runtime
objection --gadget com.example.app explore

# Static TLS pinning removal
apk-mitm app.apk

Uniwersalne wymuszanie proxy + TLS unpinning (HTTP Toolkit Frida hooks)

Nowoczesne aplikacje często ignorują system proxies i wymuszają wielowarstwowe pinning (Java + native), co utrudnia przechwytywanie ruchu nawet przy zainstalowanych user/system CAs. Praktycznym podejściem jest połączenie uniwersalnego TLS unpinning z proxy forcing przy użyciu gotowych Frida hooks i przekierowanie wszystkiego przez mitmproxy/Burp.

Przebieg

  • Uruchom mitmproxy na hoście (lub Burp). Upewnij się, że urządzenie może osiągnąć IP/port hosta.
  • Wczytaj skonolidowane Frida hooks HTTP Toolkit, aby zarówno unpin TLS, jak i wymusić użycie proxy w popularnych stosach (OkHttp/OkHttp3, HttpsURLConnection, Conscrypt, WebView, etc.). To omija sprawdzenia CertificatePinner/TrustManager i nadpisuje proxy selectors, więc ruch jest zawsze wysyłany przez twój proxy nawet jeśli aplikacja jawnie wyłącza proxies.
  • Uruchom docelową aplikację z Frida i skryptem hook, i przechwyć żądania w mitmproxy.

Przykład

# Device connected via ADB or over network (-U)
# See the repo for the exact script names & options
frida -U -f com.vendor.app \
-l ./android-unpinning-with-proxy.js \
--no-pause

# mitmproxy listening locally
mitmproxy -p 8080

Uwagi

  • Połącz z systemowym proxy za pomocą adb shell settings put global http_proxy <host>:<port> gdy to możliwe. Frida hooks będą wymuszać użycie proxy nawet gdy aplikacje omijają ustawienia globalne.
  • Ta technika jest idealna, gdy trzeba wykonać MITM w przepływach onboardingu mobile-to-IoT, gdzie omijanie pinning/proxy jest powszechne.
  • Hooks: https://github.com/httptoolkit/frida-interception-and-unpinning

References

Tip

Ucz się i ćwicz AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się i ćwicz GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Ucz się i ćwicz Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE) Przeglądaj pełny katalog HackTricks Training dla ścieżek assessment (ARTA/GRTA/AzRTA) oraz Linux Hacking Expert (LHE).

Wsparcie HackTricks