Android Anti-Instrumentation i zaobilaženje SSL pinninga (Frida/Objection)

Tip

Nauči i vežbaj AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Nauči i vežbaj GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Nauči i vežbaj Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE) Pregledaj kompletan HackTricks Training katalog za assessment tracks (ARTA/GRTA/AzRTA) i Linux Hacking Expert (LHE).

Podrži HackTricks

Ova stranica daje praktičan workflow za povraćaj dinamičke analize protiv Android aplikacija koje detektuju/blokiraju instrumentation ili nameću TLS pinning. Fokusira se na brzu trijažu, uobičajene detekcije i copy‑paste hook-ove/taktike za njihovo zaobilaženje bez repack‑ovanja kad je to moguće.

Površina detekcije (šta aplikacije proveravaju)

  • Provere root-a: su binary, Magisk paths, getprop vrednosti, uobičajeni root paketi
  • Frida/debugger provere (Java): Debug.isDebuggerConnected(), ActivityManager.getRunningAppProcesses(), getRunningServices(), skeniranje /proc, classpath, učitane libs
  • Native anti‑debug: ptrace(), syscalls, anti‑attach, breakpoints, inline hooks
  • Rane inicijalizacione provere: Application.onCreate() ili process start hook-ovi koji ruše aplikaciju ako je instrumentation prisutna
  • TLS pinning: custom TrustManager/HostnameVerifier, OkHttp CertificatePinner, Conscrypt pinning, native pins

Zaobilaženje Anti‑Frida detekcije / stealth Frida servera

phantom-frida rebuild‑uje Frida iz izvora i primenjuje ~90 zakrpa tako da uobičajeni Frida otisci nestanu dok stock Frida protokol ostaje kompatibilan (frida-tools i dalje može da se poveže). Cilj: aplikacije koje grep-uju /proc (cmdline, maps, task comm, fd readlink), D-Bus service imena, default portove, ili eksportovane simbole.

Faze:

  • Izvorne zakrpe: globalno preimenovanje frida identifikatora (server/agent/helper) i ponovno izgrađeni helper DEX sa preimenovanim Java paketom.
  • Ciljane build/runtime zakrpe: meson tweaks, memfd label promenjen u jit-cache, SELinux oznake (npr. frida_file) preimenovane, libc hook-ovi na exit/signal onemogućeni da bi se izbegli detektori hook-ova.
  • Post-build preimenovanje: eksportovani simbol frida_agent_main preimenovan nakon prve kompilacije (Vala ga emituje), što zahteva drugu inkrementalnu kompilaciju.
  • Binarne hex zakrpe: imena thread-ova (gmain, gdbus, pool-spawner) zamenjena; opciono čišćenje uklanja preostale frida/Frida stringove.

Pokriva vektore detekcije:

  • Base (1–8): process name frida-server, mapped libfrida-agent.so, thread names, memfd label, eksportovani frida_agent_main, SELinux oznake, libc hook side‑effects, i D-Bus service re.frida.server su preimenovani/neutralisani.
  • Extended (9–16): promena listening porta (--port), preimenovanje D-Bus interfejsa/internih C simbola/GType imena, privremenih path-ova poput .frida/frida-, pretraživanje binarnih stringova, preimenovanje build‑time defines i asset path-ova (libdir/frida). D-Bus interface imena koja su deo wire protokola ostaju neizmenjena u base modu da se izbegne kvarenje stock klijenata.

Kompajliranje/upotreba (primer za Android arm64):

python3 build.py --version 17.7.2 --name myserver --port 27142 --extended --verify
adb push output/myserver-server-17.7.2-android-arm64 /data/local/tmp/myserver-server
adb shell chmod 755 /data/local/tmp/myserver-server
adb shell /data/local/tmp/myserver-server -D &
adb forward tcp:27142 tcp:27142
frida -H 127.0.0.1:27142 -f com.example.app

Flags: --skip-build (patch only), --skip-clone, --arch, --ndk-path, --temp-fixes; WSL pomoćnik: wsl -d Ubuntu bash build-wsl.sh.

Korak 1 — Brzi dobitak: sakrij root sa Magisk DenyList

  • Omogući Zygisk u Magisk
  • Omogući DenyList, dodaj ciljni paket
  • Restartuj i ponovo testiraj

Mnoge aplikacije traže samo očigledne indikatore (su/Magisk paths/getprop). DenyList često neutralizuje naivne provere.

References:

  • Magisk (Zygisk & DenyList): https://github.com/topjohnwu/Magisk

Play Integrity / Zygisk detekcije (post‑SafetyNet)

Novije banking/ID aplikacije vezuju runtime provere za Google Play Integrity (zamena za SafetyNet) i mogu se srušiti ako je sam Zygisk prisutan. Brzi saveti za trijažu:

  • Privremeno onemogući Zygisk (toggle off + reboot) i pokušaj ponovo; neke aplikacije padaju čim se učita Zygote injection.
  • Ako attestation blokira prijavu, zapatchuj Google Play Services sa PlayIntegrityFix/Fork + TrickyStore ili koristi ReZygisk/Zygisk‑Next samo tokom testiranja. Drži cilj u DenyList i izbegavaj LSPosed module koji leak props.
  • Za jednokratne pokrete, koristi KernelSU/APatch (no Zygote injection) da ostaneš ispod Zygisk heuristika, pa onda attachuj Frida.

Korak 2 — 30‑sekundni Frida Codeshare testovi

Probaj uobičajene drop‑in skripte pre nego što kreneš dublje:

  • anti-root-bypass.js
  • anti-frida-detection.js
  • hide_frida_gum.js

Primer:

frida -U -f com.example.app -l anti-frida-detection.js

Ove obično zamenjuju Java provere root/debug, skeniranja procesa/servisa i native ptrace(). Korisno za aplikacije sa slabijom zaštitom; ojačani ciljevi mogu zahtevati prilagođene hook-ove.

  • Codeshare: https://codeshare.frida.re/

Automate with Medusa (Frida framework)

Medusa pruža 90+ gotovih modula za SSL unpinning, root/emulator detection bypass, HTTP comms logging, crypto key interception, i još mnogo toga.

git clone https://github.com/Ch0pin/medusa
cd medusa
pip install -r requirements.txt
python medusa.py

# Example interactive workflow
show categories
use http_communications/multiple_unpinner
use root_detection/universal_root_detection_bypass
run com.target.app

Savet: Medusa je odlična za brze pobede pre nego što napišete custom hooks. Takođe možete cherry-pick modules i kombinovati ih sa sopstvenim skriptama.

Automatizujte sa Auto-Frida (spawn-mode + consolidated hooks)

Auto-Frida je Frida automation toolkit koji se fokusira na ponovljivo postavljanje plus automatsko otkrivanje zaštita i generisanje konsolidovanog bypass skripta. Koristan je kada aplikacije vrše provere vrlo rano ili kada bi više bypass modula inače double-hookovalo iste API-je.

Ključne ideje automatizacije:

  • Spawn-mode analysis da se instaliraju hooks pre Application.onCreate() kako bi se uhvatile rane provere poput SSL pinning, root, emulator, ili anti-Frida provera.
  • Protection detection + auto-bypass: rezultati detekcije pokreću generisanje jednog konsolidovanog skripta koji hookuje svaku Java method/native symbol jednom, smanjujući padove usled preklapanja hooks.
  • Frida server lifecycle checks: validirajte zdravlje servera (process + port 27042 + frida-ps handshake) pre preuzimanja/restartovanja kako biste održali stabilnost izvođenja.

Brzi početak:

git clone https://github.com/ommirkute/Auto-Frida.git
cd Auto-Frida
pip install -r requirements.txt
python auto_frida.py

Napomene

  • Auto-Frida može automatski instalirati frida/frida-tools ako nedostaju i podržava izbor više uređaja.
  • Generisane skripte mogu se odmah izvršiti ili spojiti sa vašim custom hooks nakon analize.

Korak 3 — Zaobiđite detektore pri inicijalizaciji prikačivanjem kasnije

Mnoge detekcije rade samo tokom process spawn/onCreate(). Spawn‑time injection (-f) ili gadgets bivaju otkriveni; prikačivanje nakon što se UI učita može proći neprimećeno.

# Launch the app normally (launcher/adb), wait for UI, then attach
frida -U -n com.example.app
# Or with Objection to attach to running process
aobjection --gadget com.example.app explore  # if using gadget

Ako ovo radi, zadržite sesiju stabilnom i nastavite sa map and stub checks.

Korak 4 — Mapirajte logiku detekcije preko Jadx i string hunting

Statičke triage ključne reči u Jadx:

  • “frida”, “gum”, “root”, “magisk”, “ptrace”, “su”, “getprop”, “debugger”

Tipični Java obrasci:

public boolean isFridaDetected() {
return getRunningServices().contains("frida");
}

Uobičajeni API-ji za pregled/hook:

  • android.os.Debug.isDebuggerConnected
  • android.app.ActivityManager.getRunningAppProcesses / getRunningServices
  • java.lang.System.loadLibrary / System.load (native bridge)
  • java.lang.Runtime.exec / ProcessBuilder (probing commands)
  • android.os.SystemProperties.get (root/emulator heuristics)

Korak 5 — Runtime stubovanje sa Frida (Java)

Pregazi prilagođene zaštite tako da vraćaju sigurne vrednosti bez repackovanja:

Java.perform(() => {
const Checks = Java.use('com.example.security.Checks');
Checks.isFridaDetected.implementation = function () { return false; };

// Neutralize debugger checks
const Debug = Java.use('android.os.Debug');
Debug.isDebuggerConnected.implementation = function () { return false; };

// Example: kill ActivityManager scans
const AM = Java.use('android.app.ActivityManager');
AM.getRunningAppProcesses.implementation = function () { return java.util.Collections.emptyList(); };
});

Triaging early crashes? Dump classes neposredno pre nego što se sruši da biste otkrili verovatne detection namespaces:

Java.perform(() => {
Java.enumerateLoadedClasses({
onMatch: n => console.log(n),
onComplete: () => console.log('Done')
});
});

Brz primer stub-a za detekciju root-a (prilagodite target package/class names):

Java.perform(() => {
try {
const RootChecker = Java.use('com.target.security.RootCheck');
RootChecker.isDeviceRooted.implementation = function () { return false; };
} catch (e) {}
});

Zabeležite i neutralizujte sumnjive metode da potvrdite tok izvršavanja:

Java.perform(() => {
const Det = Java.use('com.example.security.DetectionManager');
Det.checkFrida.implementation = function () {
console.log('checkFrida() called');
return false;
};
});

Bypass emulator/VM detection (Java stubs)

Uobičajene heuristike: Build.FINGERPRINT/MODEL/MANUFACTURER/HARDWARE koji sadrže generic/goldfish/ranchu/sdk; QEMU artefakti kao što su /dev/qemu_pipe, /dev/socket/qemud; podrazumevana MAC adresa 02:00:00:00:00:00; 10.0.2.x NAT; nedostaju telephony/sensors.

Brzo lažiranje Build polja:

Java.perform(function(){
var Build = Java.use('android.os.Build');
Build.MODEL.value = 'Pixel 7 Pro';
Build.MANUFACTURER.value = 'Google';
Build.BRAND.value = 'google';
Build.FINGERPRINT.value = 'google/panther/panther:14/UP1A.231105.003/1234567:user/release-keys';
});

Dopunite stubovima za provere postojanja fajlova i identifikatore (TelephonyManager.getDeviceId/SubscriberId, WifiInfo.getMacAddress, SensorManager.getSensorList) da vraćaju realistične vrednosti.

SSL pinning bypass quick hook (Java)

Neutralizujte prilagođene TrustManagers i prisilite permisivne SSL contexts:

Java.perform(function(){
var X509TrustManager = Java.use('javax.net.ssl.X509TrustManager');
var SSLContext = Java.use('javax.net.ssl.SSLContext');

// No-op validations
X509TrustManager.checkClientTrusted.implementation = function(){ };
X509TrustManager.checkServerTrusted.implementation = function(){ };

// Force permissive TrustManagers
var TrustManagers = [ X509TrustManager.$new() ];
var SSLContextInit = SSLContext.init.overload('[Ljavax.net.ssl.KeyManager;','[Ljavax.net.ssl.TrustManager;','java.security.SecureRandom');
SSLContextInit.implementation = function(km, tm, sr){
return SSLContextInit.call(this, km, TrustManagers, sr);
};
});

Napomene

  • Proširi za OkHttp: hook okhttp3.CertificatePinner i HostnameVerifier po potrebi, ili koristi univerzalni unpinning script sa CodeShare.
  • Pokretanje primera: frida -U -f com.target.app -l ssl-bypass.js --no-pause

OkHttp4 / gRPC / Cronet pinning (2024+)

Moderni stackovi vrše pin unutar novijih API-ja (OkHttp4+, gRPC preko Cronet/BoringSSL). Dodaj ove hooks kada osnovni SSLContext hook zakaže:

Java.perform(() => {
try {
const Pinner = Java.use('okhttp3.CertificatePinner');
Pinner.check.overload('java.lang.String', 'java.util.List').implementation = function(){};
Pinner.check$okhttp.implementation = function(){};
} catch (e) {}

try {
const CronetB = Java.use('org.chromium.net.CronetEngine$Builder');
CronetB.enablePublicKeyPinningBypassForLocalTrustAnchors.overload('boolean').implementation = function(){ return this; };
CronetB.setPublicKeyPins.overload('java.lang.String', 'java.util.Set', 'boolean').implementation = function(){ return this; };
} catch (e) {}
});

Ako TLS i dalje ne radi, pređi na native i zakrpi BoringSSL verification entry points koje koristi Cronet/gRPC:

const customVerify = Module.findExportByName(null, 'SSL_CTX_set_custom_verify');
if (customVerify) {
Interceptor.attach(customVerify, {
onEnter(args){
// arg0 = SSL_CTX*, arg1 = mode, arg2 = callback
args[1] = ptr(0); // SSL_VERIFY_NONE
args[2] = NULL;  // disable callback
}
});
}

Korak 6 — Pratite JNI/native trag kada Java hooks zakažu

Pratite JNI ulazne tačke da biste pronašli native loaders i inicijalizaciju detekcije:

frida-trace -n com.example.app -i "JNI_OnLoad"

Brza nativna trijaža spakovanih .so fajlova:

# List exported symbols & JNI
nm -D libfoo.so | head
objdump -T libfoo.so | grep Java_
strings -n 6 libfoo.so | egrep -i 'frida|ptrace|gum|magisk|su|root'

Interaktivno/nativno reversing:

  • Ghidra: https://ghidra-sre.org/
  • r2frida: https://github.com/nowsecure/r2frida

Primer: neutralisati ptrace da se zaobiđe jednostavan anti‑debug u libc:

const ptrace = Module.findExportByName(null, 'ptrace');
if (ptrace) {
Interceptor.replace(ptrace, new NativeCallback(function () {
return -1; // pretend failure
}, 'int', ['int', 'int', 'pointer', 'pointer']));
}

Pogledajte takođe: Reversing Native Libraries

Korak 7 — Objection patching (embed gadget / strip basics)

Ako više volite repacking umesto runtime hooks, probajte:

objection patchapk --source app.apk

Napomene:

  • Zahteva apktool; obezbedite aktuelnu verziju iz zvaničnog vodiča kako biste izbegli probleme pri izgradnji: https://apktool.org/docs/install
  • Gadget injection omogućava instrumentaciju bez root prava, ali može biti otkrivena snažijim init‑time proverama.

Opcionalno, dodajte LSPosed modules i Shamiko za jače skrivanje root‑a u Zygisk okruženjima, i uredite DenyList da obuhvati potprocese.

Za kompletan tok rada koji uključuje konfiguraciju Gadget‑a u script‑mode i bundling vaše Frida 17+ agenta u APK, pogledajte:

Frida Tutorial — Self-contained agent + Gadget embedding

References:

  • Objection: https://github.com/sensepost/objection

Korak 8 — Fallback: Patch TLS pinning za vidljivost mrežnog saobraćaja

Ako je instrumentacija blokirana, i dalje možete pregledati saobraćaj tako što ćete statički ukloniti pinning:

apk-mitm app.apk
# Then install the patched APK and proxy via Burp/mitmproxy
  • Alat: https://github.com/shroudedcode/apk-mitm
  • Za trikove sa network config CA‑trust (i Android 7+ user CA trust), vidi:

Make APK Accept CA Certificate

Install Burp Certificate

LSPosed/Xposed Hooking Abuse (Telephony/SMS)

Na root-ovanim uređajima, LSPosed/Xposed moduli mogu hook-ovati Java telephony/SMS API-je u runtime-u, ostavljajući APK neizmenjen na disku dok potpuno kontrolišu šta aplikacija vidi. Ovo se često zloupotrebljava za zaobilaženje SIM‑binding flow-ova koji veruju lokalnim telephony API-jima ili stanju lokalnog SMS providera.

Ključne primitive

  • Spreči slanje verifikacionog SMS-a dok se token eksfiltrira kraćenjem toka u SmsManager.sendTextMessage u beforeHookedMethod.
  • Lažiranje MSISDN/telefonskog broja prisiljavajući TelephonyManager.getLine1Number() i SubscriptionInfo.getNumber() da vraćaju vrednost pod kontrolom napadača.
  • Ubaci lažan zapis “Sent” u SMS provider tako da aplikacije koje proveravaju lokalnu istoriju SMS vide uspešno slanje čak i ako operator nikada nije primio poruku.

Primer: blokiraj slanje SMS-a i presreći sadržaj

XposedHelpers.findAndHookMethod(
"android.telephony.SmsManager",
lpparam.classLoader,
"sendTextMessage",
String.class, String.class, String.class, PendingIntent.class, PendingIntent.class,
new XC_MethodHook() {
protected void beforeHookedMethod(MethodHookParam param) {
String body = (String) param.args[2];
// exfiltrate body to operator channel
param.setResult(null); // suppress real SMS send
}
}
);

Primer: spoof device phone number

XposedHelpers.findAndHookMethod(
"android.telephony.TelephonyManager",
lpparam.classLoader,
"getLine1Number",
new XC_MethodHook() {
protected void afterHookedMethod(MethodHookParam param) {
param.setResult(spoofedMsisdn);
}
}
);

XposedHelpers.findAndHookMethod(
"android.telephony.SubscriptionInfo",
lpparam.classLoader,
"getNumber",
new XC_MethodHook() {
protected void afterHookedMethod(MethodHookParam param) {
param.setResult(spoofedMsisdn);
}
}
);

Primer: ubacite lažan “Sent” SMS zapis

ContentValues v = new ContentValues();
v.put("address", dest);
v.put("body", body);
v.put("type", 2);   // sent
v.put("status", 0); // success
context.getContentResolver().insert(Uri.parse("content://sms/sent"), v);

Korisna lista komandi

# List processes and attach
frida-ps -Uai
frida -U -n com.example.app

# Spawn with a script (may trigger detectors)
frida -U -f com.example.app -l anti-frida-detection.js

# Trace native init
frida-trace -n com.example.app -i "JNI_OnLoad"

# Objection runtime
objection --gadget com.example.app explore

# Static TLS pinning removal
apk-mitm app.apk

Universal proxy forcing + TLS unpinning (HTTP Toolkit Frida hooks)

Moderane aplikacije često ignorišu system proxies i primenjuju više slojeva pinning-a (Java + native), što otežava presretanje saobraćaja čak i kada su user/system CAs instalirani. Praktičan pristup je kombinovati universal TLS unpinning sa proxy forcing-om pomoću gotovih Frida hooks, i preusmeriti sve kroz mitmproxy/Burp.

Tok rada

  • Pokrenite mitmproxy na svom hostu (ili Burp). Osigurajte da uređaj može da dosegne host IP/port.
  • Učitajte HTTP Toolkit’s consolidated Frida hooks da biste i unpinovali TLS i forsirali korišćenje proxy-ja preko uobičajenih stack-ova (OkHttp/OkHttp3, HttpsURLConnection, Conscrypt, WebView, itd.). Ovo zaobilazi CertificatePinner/TrustManager provere i prepisuje proxy selectors, tako da saobraćaj uvek ide preko vašeg proxy-ja čak i ako aplikacija eksplicitno onemogućava proxy-je.
  • Pokrenite ciljnu aplikaciju sa Frida i hook skriptom, i presretnite zahteve u mitmproxy.

Primer

# Device connected via ADB or over network (-U)
# See the repo for the exact script names & options
frida -U -f com.vendor.app \
-l ./android-unpinning-with-proxy.js \
--no-pause

# mitmproxy listening locally
mitmproxy -p 8080

Beleške

  • Kombinujte sa sistemskim proxy-jem preko adb shell settings put global http_proxy <host>:<port> kad je moguće. Frida hooks će prisiliti upotrebu proxy-ja čak i kada aplikacije zaobilaze globalna podešavanja.
  • Ova tehnika je idealna kada treba da MITM mobilne-ka-IoT onboarding tokove gde su pinning/izbegavanje proxy-ja uobičajeni.
  • Hooks: https://github.com/httptoolkit/frida-interception-and-unpinning

References

Tip

Nauči i vežbaj AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Nauči i vežbaj GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Nauči i vežbaj Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE) Pregledaj kompletan HackTricks Training katalog za assessment tracks (ARTA/GRTA/AzRTA) i Linux Hacking Expert (LHE).

Podrži HackTricks