Bypass de Anti-Instrumentation e SSL Pinning no Android (Frida/Objection)

Tip

Aprenda e pratique AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Aprenda e pratique Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE) Navegue pelo catálogo completo do HackTricks Training para as trilhas de assessment (ARTA/GRTA/AzRTA) e Linux Hacking Expert (LHE).

Support HackTricks

Esta página fornece um fluxo de trabalho prático para recuperar análise dinâmica contra apps Android que detectam/bloqueiam instrumentação por root ou aplicam TLS pinning. Foca em triagem rápida, detecções comuns e hooks/táticas copiáveis para contorná‑las sem repacking quando possível.

Superfície de Detecção (o que os apps verificam)

  • Root checks: su binary, Magisk paths, getprop values, pacotes root comuns
  • Frida/debugger checks (Java): Debug.isDebuggerConnected(), ActivityManager.getRunningAppProcesses(), getRunningServices(), scanning /proc, classpath, loaded libs
  • Native anti‑debug: ptrace(), syscalls, anti‑attach, breakpoints, inline hooks
  • Early init checks: Application.onCreate() ou hooks de início de processo que crasham se instrumentação estiver presente
  • TLS pinning: custom TrustManager/HostnameVerifier, OkHttp CertificatePinner, Conscrypt pinning, native pins

Bypass de Anti‑Frida Detection / Stealth Frida Servers

phantom-frida rebuilds Frida from source and applies ~90 patches so common Frida fingerprints disappear while the stock Frida protocol remains compatible (frida-tools can still connect). Target: apps that grep /proc (cmdline, maps, task comm, fd readlink), D-Bus service names, default ports, or exported symbols.

Fases:

  • Source patches: rename global de identificadores frida (server/agent/helper) e rebuild do helper DEX com um pacote Java renomeado.
  • Targeted build/runtime patches: ajustes meson, memfd label alterado para jit-cache, SELinux labels (ex.: frida_file) renomeados, hooks libc em exit/signal desabilitados para evitar detectores de hook.
  • Post-build rename: símbolo exportado frida_agent_main renomeado após a primeira compilação (Vala o emite), exigindo uma segunda build incremental.
  • Binary hex patches: nomes de thread (gmain, gdbus, pool-spawner) substituídos; sweep opcional remove strings residuais frida/Frida.

Vetores de detecção cobertos:

  • Base (1–8): process name frida-server, mapped libfrida-agent.so, thread names, memfd label, exported frida_agent_main, SELinux labels, efeitos colaterais de hooks libc, e D-Bus service re.frida.server são renomeados/neutralizados.
  • Extended (9–16): mudar listening port (--port), renomear D-Bus interfaces/símbolos C internos/GType names, paths temporários como .frida/frida-, varredura de strings binárias, renomear defines de build e asset paths (libdir/frida). Nomes de interface D-Bus que fazem parte do protocolo de wire permanecem inalterados no modo base para evitar quebrar clientes stock.

Compilação/uso (exemplo Android arm64):

python3 build.py --version 17.7.2 --name myserver --port 27142 --extended --verify
adb push output/myserver-server-17.7.2-android-arm64 /data/local/tmp/myserver-server
adb shell chmod 755 /data/local/tmp/myserver-server
adb shell /data/local/tmp/myserver-server -D &
adb forward tcp:27142 tcp:27142
frida -H 127.0.0.1:27142 -f com.example.app

Flags: --skip-build (patch only), --skip-clone, --arch, --ndk-path, --temp-fixes; Auxiliar WSL: wsl -d Ubuntu bash build-wsl.sh.

Step 1 — Quick win: hide root with Magisk DenyList

  • Ative Zygisk no Magisk
  • Ative DenyList, adicione o pacote alvo
  • Reinicie e teste novamente

Muitos apps procuram apenas indicadores óbvios (su/Magisk paths/getprop). DenyList frequentemente neutraliza checagens ingênuas.

Referências:

  • Magisk (Zygisk & DenyList): https://github.com/topjohnwu/Magisk

Play Integrity / Zygisk detections (post‑SafetyNet)

Apps bancários/ID mais recentes vinculam checagens em tempo de execução ao Google Play Integrity (substituto do SafetyNet) e também podem travar se o próprio Zygisk estiver presente. Dicas rápidas de triagem:

  • Desative temporariamente o Zygisk (toggle off + reboot) e tente novamente; alguns apps travam assim que a injeção Zygote é carregada.
  • Se a attestation bloquear o login, faça patch no Google Play Services com PlayIntegrityFix/Fork + TrickyStore ou use ReZygisk/Zygisk‑Next apenas durante os testes. Mantenha o alvo na DenyList e evite módulos LSPosed que vazem props.
  • Para execuções pontuais, use KernelSU/APatch (no Zygote injection) para ficar abaixo das heurísticas do Zygisk, então anexe o Frida.

Step 2 — 30‑second Frida Codeshare tests

Teste scripts comuns drop‑in antes de se aprofundar:

  • anti-root-bypass.js
  • anti-frida-detection.js
  • hide_frida_gum.js

Exemplo:

frida -U -f com.example.app -l anti-frida-detection.js

Normalmente, estes stub Java root/debug checks, process/service scans e ptrace() nativo. Úteis em apps pouco protegidos; hardened targets podem precisar de tailored hooks.

  • Codeshare: https://codeshare.frida.re/

Automatize com Medusa (Frida framework)

Medusa fornece 90+ módulos prontos para SSL unpinning, root/emulator detection bypass, HTTP comms logging, crypto key interception e mais.

git clone https://github.com/Ch0pin/medusa
cd medusa
pip install -r requirements.txt
python medusa.py

# Example interactive workflow
show categories
use http_communications/multiple_unpinner
use root_detection/universal_root_detection_bypass
run com.target.app

Dica: Medusa é ótimo para ganhos rápidos antes de escrever hooks personalizados. Você também pode selecionar módulos específicos e combiná-los com seus próprios scripts.

Automatizar com Auto-Frida (spawn-mode + consolidated hooks)

Auto-Frida é um toolkit de automação do Frida que se concentra em configuração repetível, além de auto-detecção de proteções e geração consolidada de scripts de bypass. É útil quando apps executam verificações muito cedo ou quando múltiplos módulos de bypass, de outra forma, acabariam double-hook nas mesmas APIs.

Principais ideias de automação:

  • Spawn-mode analysis para instalar hooks antes de Application.onCreate() para que verificações iniciais de SSL pinning, root, emulator ou anti-Frida sejam detectadas.
  • Protection detection + auto-bypass: os resultados da detecção conduzem a geração de um único script consolidado que aplica um hook a cada método Java/símbolo nativo uma vez, reduzindo crashes por hooks sobrepostos.
  • Frida server lifecycle checks: validar a saúde do servidor (processo + porta 27042 + frida-ps handshake) antes de baixar/reiniciar para manter as execuções estáveis.

Início rápido:

git clone https://github.com/ommirkute/Auto-Frida.git
cd Auto-Frida
pip install -r requirements.txt
python auto_frida.py

Notas

  • Auto-Frida pode instalar automaticamente frida/frida-tools se estiverem ausentes e suporta seleção de múltiplos dispositivos.
  • Scripts gerados podem ser executados imediatamente ou mesclados com seus custom hooks após a análise.

Etapa 3 — Bypass detectores em tempo de inicialização anexando tardiamente

Muitas detecções só são executadas durante o process spawn/onCreate(). Spawn‑time injection (-f) ou gadgets são pegos; anexar-se após a UI carregar pode passar despercebido.

# Launch the app normally (launcher/adb), wait for UI, then attach
frida -U -n com.example.app
# Or with Objection to attach to running process
aobjection --gadget com.example.app explore  # if using gadget

Se isso funcionar, mantenha a sessão estável e prossiga para mapear e verificar stub checks.

Step 4 — Mapear a lógica de detecção via Jadx e busca por strings

Palavras-chave de triagem estática no Jadx:

  • “frida”, “gum”, “root”, “magisk”, “ptrace”, “su”, “getprop”, “debugger”

Padrões Java típicos:

public boolean isFridaDetected() {
return getRunningServices().contains("frida");
}

APIs comuns para revisar/hook:

  • android.os.Debug.isDebuggerConnected
  • android.app.ActivityManager.getRunningAppProcesses / getRunningServices
  • java.lang.System.loadLibrary / System.load (ponte nativa)
  • java.lang.Runtime.exec / ProcessBuilder (comandos de sondagem)
  • android.os.SystemProperties.get (heurísticas de root/emulador)

Passo 5 — Stubagem em tempo de execução com Frida (Java)

Substitua verificações personalizadas para retornar valores seguros sem repacking:

Java.perform(() => {
const Checks = Java.use('com.example.security.Checks');
Checks.isFridaDetected.implementation = function () { return false; };

// Neutralize debugger checks
const Debug = Java.use('android.os.Debug');
Debug.isDebuggerConnected.implementation = function () { return false; };

// Example: kill ActivityManager scans
const AM = Java.use('android.app.ActivityManager');
AM.getRunningAppProcesses.implementation = function () { return java.util.Collections.emptyList(); };
});

Triaging early crashes? Dump classes pouco antes de morrer para identificar namespaces de detecção prováveis:

Java.perform(() => {
Java.enumerateLoadedClasses({
onMatch: n => console.log(n),
onComplete: () => console.log('Done')
});
});

Exemplo rápido de stub de detecção de root (adapte para os nomes de package/class alvo):

Java.perform(() => {
try {
const RootChecker = Java.use('com.target.security.RootCheck');
RootChecker.isDeviceRooted.implementation = function () { return false; };
} catch (e) {}
});

Registre e neutralize métodos suspeitos para confirmar o fluxo de execução:

Java.perform(() => {
const Det = Java.use('com.example.security.DetectionManager');
Det.checkFrida.implementation = function () {
console.log('checkFrida() called');
return false;
};
});

Bypass emulator/VM detection (Java stubs)

Heurísticas comuns: Build.FINGERPRINT/MODEL/MANUFACTURER/HARDWARE contendo generic/goldfish/ranchu/sdk; QEMU artefatos como /dev/qemu_pipe, /dev/socket/qemud; MAC padrão 02:00:00:00:00:00; NAT 10.0.2.x; ausência de telephony/sensors.

Spoof rápido dos campos Build:

Java.perform(function(){
var Build = Java.use('android.os.Build');
Build.MODEL.value = 'Pixel 7 Pro';
Build.MANUFACTURER.value = 'Google';
Build.BRAND.value = 'google';
Build.FINGERPRINT.value = 'google/panther/panther:14/UP1A.231105.003/1234567:user/release-keys';
});

Inclua stubs para verificações de existência de arquivos e identificadores (TelephonyManager.getDeviceId/SubscriberId, WifiInfo.getMacAddress, SensorManager.getSensorList) para retornar valores realistas.

SSL pinning bypass quick hook (Java)

Neutralizar TrustManagers personalizados e forçar SSL contexts permissivos:

Java.perform(function(){
var X509TrustManager = Java.use('javax.net.ssl.X509TrustManager');
var SSLContext = Java.use('javax.net.ssl.SSLContext');

// No-op validations
X509TrustManager.checkClientTrusted.implementation = function(){ };
X509TrustManager.checkServerTrusted.implementation = function(){ };

// Force permissive TrustManagers
var TrustManagers = [ X509TrustManager.$new() ];
var SSLContextInit = SSLContext.init.overload('[Ljavax.net.ssl.KeyManager;','[Ljavax.net.ssl.TrustManager;','java.security.SecureRandom');
SSLContextInit.implementation = function(km, tm, sr){
return SSLContextInit.call(this, km, TrustManagers, sr);
};
});

Notas

  • Estenda para OkHttp: hook okhttp3.CertificatePinner and HostnameVerifier as needed, or use a universal unpinning script from CodeShare.
  • Exemplo de execução: frida -U -f com.target.app -l ssl-bypass.js --no-pause

OkHttp4 / gRPC / Cronet pinning (2024+)

Stacks modernos pin dentro de APIs mais novas (OkHttp4+, gRPC over Cronet/BoringSSL). Adicione esses hooks quando o hook básico SSLContext travar:

Java.perform(() => {
try {
const Pinner = Java.use('okhttp3.CertificatePinner');
Pinner.check.overload('java.lang.String', 'java.util.List').implementation = function(){};
Pinner.check$okhttp.implementation = function(){};
} catch (e) {}

try {
const CronetB = Java.use('org.chromium.net.CronetEngine$Builder');
CronetB.enablePublicKeyPinningBypassForLocalTrustAnchors.overload('boolean').implementation = function(){ return this; };
CronetB.setPublicKeyPins.overload('java.lang.String', 'java.util.Set', 'boolean').implementation = function(){ return this; };
} catch (e) {}
});

Se o TLS ainda falhar, passe para código nativo e patch os pontos de entrada de verificação do BoringSSL usados pelo Cronet/gRPC:

const customVerify = Module.findExportByName(null, 'SSL_CTX_set_custom_verify');
if (customVerify) {
Interceptor.attach(customVerify, {
onEnter(args){
// arg0 = SSL_CTX*, arg1 = mode, arg2 = callback
args[1] = ptr(0); // SSL_VERIFY_NONE
args[2] = NULL;  // disable callback
}
});
}

Passo 6 — Siga a trilha JNI/native quando Java hooks falham

Rastreie pontos de entrada JNI para localizar native loaders e detection init:

frida-trace -n com.example.app -i "JNI_OnLoad"

Triagem nativa rápida de bibliotecas .so empacotadas:

# List exported symbols & JNI
nm -D libfoo.so | head
objdump -T libfoo.so | grep Java_
strings -n 6 libfoo.so | egrep -i 'frida|ptrace|gum|magisk|su|root'

Interativo/nativo reversing:

  • Ghidra: https://ghidra-sre.org/
  • r2frida: https://github.com/nowsecure/r2frida

Exemplo: neutralizar ptrace para contornar um anti‑debug simples em libc:

const ptrace = Module.findExportByName(null, 'ptrace');
if (ptrace) {
Interceptor.replace(ptrace, new NativeCallback(function () {
return -1; // pretend failure
}, 'int', ['int', 'int', 'pointer', 'pointer']));
}

Veja também: Reversing Native Libraries

Passo 7 — Objection patching (embed gadget / strip basics)

Se você prefere repacking em vez de runtime hooks, tente:

objection patchapk --source app.apk

Notas:

  • Requer apktool; assegure uma versão atual seguindo o guia oficial para evitar problemas de build: https://apktool.org/docs/install
  • Gadget injection permite instrumentação sem root, mas ainda pode ser detectado por verificações mais rígidas em init‑time.

Opcionalmente, adicione módulos LSPosed e Shamiko para ocultação de root mais robusta em ambientes Zygisk, e curate a DenyList para cobrir processos filhos.

Para um fluxo de trabalho completo incluindo configuração do Gadget em script-mode e o empacotamento do seu Frida 17+ agent no APK, veja:

Frida Tutorial — Self-contained agent + Gadget embedding

Referências:

  • Objection: https://github.com/sensepost/objection

Passo 8 — Fallback: Patch TLS pinning para visibilidade de rede

Se a instrumentação estiver bloqueada, você ainda pode inspecionar o tráfego removendo o pinning estaticamente:

apk-mitm app.apk
# Then install the patched APK and proxy via Burp/mitmproxy
  • Ferramenta: https://github.com/shroudedcode/apk-mitm
  • For network config CA‑trust tricks (and Android 7+ user CA trust), see:

Make APK Accept CA Certificate

Install Burp Certificate

LSPosed/Xposed Hooking Abuse (Telephony/SMS)

Em dispositivos com root, módulos LSPosed/Xposed podem hook Java telephony/SMS APIs em tempo de execução, mantendo o APK sem modificações no disco enquanto controlam completamente o que o app vê. Isso é comumente usado para contornar fluxos de SIM‑binding que confiam nas telephony APIs locais ou no estado do SMS provider local.

Primitivas chave

  • Suprimir envio de SMS de verificação enquanto exfiltra o token ao curto‑circuitar SmsManager.sendTextMessage em beforeHookedMethod.
  • Falsificar MSISDN/numero de linha forçando TelephonyManager.getLine1Number() e SubscriptionInfo.getNumber() a retornarem um valor controlado pelo atacante.
  • Inserir um registro “Sent” falso no provedor SMS para que apps que verificam o histórico local de SMS vejam um envio bem‑sucedido mesmo se a operadora nunca o recebeu.

Example: block SMS dispatch and capture content

XposedHelpers.findAndHookMethod(
"android.telephony.SmsManager",
lpparam.classLoader,
"sendTextMessage",
String.class, String.class, String.class, PendingIntent.class, PendingIntent.class,
new XC_MethodHook() {
protected void beforeHookedMethod(MethodHookParam param) {
String body = (String) param.args[2];
// exfiltrate body to operator channel
param.setResult(null); // suppress real SMS send
}
}
);

Exemplo: spoof número de telefone do dispositivo

XposedHelpers.findAndHookMethod(
"android.telephony.TelephonyManager",
lpparam.classLoader,
"getLine1Number",
new XC_MethodHook() {
protected void afterHookedMethod(MethodHookParam param) {
param.setResult(spoofedMsisdn);
}
}
);

XposedHelpers.findAndHookMethod(
"android.telephony.SubscriptionInfo",
lpparam.classLoader,
"getNumber",
new XC_MethodHook() {
protected void afterHookedMethod(MethodHookParam param) {
param.setResult(spoofedMsisdn);
}
}
);

Exemplo: injetar um registro SMS falso “Sent”

ContentValues v = new ContentValues();
v.put("address", dest);
v.put("body", body);
v.put("type", 2);   // sent
v.put("status", 0); // success
context.getContentResolver().insert(Uri.parse("content://sms/sent"), v);

Folha de comandos úteis

# List processes and attach
frida-ps -Uai
frida -U -n com.example.app

# Spawn with a script (may trigger detectors)
frida -U -f com.example.app -l anti-frida-detection.js

# Trace native init
frida-trace -n com.example.app -i "JNI_OnLoad"

# Objection runtime
objection --gadget com.example.app explore

# Static TLS pinning removal
apk-mitm app.apk

Universal proxy forcing + TLS unpinning (HTTP Toolkit Frida hooks)

Apps modernos frequentemente ignoram system proxies e aplicam múltiplas camadas de pinning (Java + native), tornando a captura de tráfego dolorosa mesmo com user/system CAs instaladas. Uma abordagem prática é combinar universal TLS unpinning com proxy forcing via Frida hooks prontas, e rotear tudo através de mitmproxy/Burp.

Workflow

  • Execute mitmproxy no seu host (ou Burp). Garanta que o dispositivo consiga alcançar o host IP/port.
  • Carregue as Frida hooks consolidadas do HTTP Toolkit para tanto unpin TLS quanto forçar o uso de proxy através de stacks comuns (OkHttp/OkHttp3, HttpsURLConnection, Conscrypt, WebView, etc.). Isso bypassa as checagens CertificatePinner/TrustManager e sobrescreve os proxy selectors, então o tráfego é sempre enviado via seu proxy mesmo que o app explicitamente desabilite proxies.
  • Inicie o aplicativo alvo com Frida e o hook script, e capture as requisições no mitmproxy.

Example

# Device connected via ADB or over network (-U)
# See the repo for the exact script names & options
frida -U -f com.vendor.app \
-l ./android-unpinning-with-proxy.js \
--no-pause

# mitmproxy listening locally
mitmproxy -p 8080

Notas

  • Combine com um proxy de sistema via adb shell settings put global http_proxy <host>:<port> quando possível. Os hooks do Frida irão forçar o uso do proxy mesmo quando apps contornam as configurações globais.
  • Esta técnica é ideal quando você precisa fazer MITM em fluxos de onboarding mobile-para-IoT, onde pinning/evitação de proxy é comum.
  • Hooks: https://github.com/httptoolkit/frida-interception-and-unpinning

Referências

Tip

Aprenda e pratique AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Aprenda e pratique Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE) Navegue pelo catálogo completo do HackTricks Training para as trilhas de assessment (ARTA/GRTA/AzRTA) e Linux Hacking Expert (LHE).

Support HackTricks