Android Anti-Instrumentation & SSL Pinning Bypass (Frida/Objection)

Tip

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Вивчайте та практикуйте Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Підтримайте HackTricks

Ця сторінка надає практичний робочий процес для відновлення динамічного аналізу Android-додатків, які виявляють/блокують інструментування або застосовують TLS pinning. Фокус на швидке тріажування, поширені методи виявлення та копіювально‑вставні hooks/тактики для обходу без репакування там, де це можливо.

Detection Surface (what apps check)

  • Root checks: su binary, Magisk paths, getprop values, common root packages
  • Frida/debugger checks (Java): Debug.isDebuggerConnected(), ActivityManager.getRunningAppProcesses(), getRunningServices(), scanning /proc, classpath, loaded libs
  • Native anti‑debug: ptrace(), syscalls, anti‑attach, breakpoints, inline hooks
  • Early init checks: Application.onCreate() or process start hooks that crash if instrumentation is present
  • TLS pinning: custom TrustManager/HostnameVerifier, OkHttp CertificatePinner, Conscrypt pinning, native pins

Bypassing Anti-Frida Detection / Stealth Frida Servers

phantom-frida rebuilds Frida from source and applies ~90 patches so common Frida fingerprints disappear while the stock Frida protocol remains compatible (frida-tools can still connect). Target: apps that grep /proc (cmdline, maps, task comm, fd readlink), D-Bus service names, default ports, or exported symbols.

Фази:

  • Source patches: глобальна зміна ідентифікаторів frida (server/agent/helper) і перебудова helper DEX з перейменованим Java пакетом.
  • Targeted build/runtime patches: meson tweaks, memfd label змінено на jit-cache, SELinux labels (наприклад, frida_file) перейменовано, libc hooks на exit/signal вимкнено щоб уникнути детекторів hook-ів.
  • Post-build rename: експортований символ frida_agent_main перейменовується після першої компіляції (Vala його емісує), що вимагає другого інкрементального збірки.
  • Binary hex patches: імена потоків (gmain, gdbus, pool-spawner) замінені; опціональний sweep видаляє залишкові рядки frida/Frida.

Binary hex patches:

  • імена потоків (gmain, gdbus, pool-spawner) замінені; опціональний sweep видаляє залишкові рядки frida/Frida.

Покриті вектори виявлення:

  • Base (1–8): process name frida-server, mapped libfrida-agent.so, thread names, memfd label, exported frida_agent_main, SELinux labels, libc hook side-effects, and D-Bus service re.frida.server перейменовані/нейтралізовані.
  • Extended (9–16): зміна порту прослуховування (--port), перейменування D-Bus interfaces/internal C symbols/GType names, тимчасових шляхів як .frida/frida-, sweep бінарних рядків, перейменування build-time defines та asset paths (libdir/frida). Імена D-Bus інтерфейсів, що є частиною wire protocol, лишаються незмінними в base режимі щоб уникнути поломки stock clients.

Build/usage (Android arm64 example):

python3 build.py --version 17.7.2 --name myserver --port 27142 --extended --verify
adb push output/myserver-server-17.7.2-android-arm64 /data/local/tmp/myserver-server
adb shell chmod 755 /data/local/tmp/myserver-server
adb shell /data/local/tmp/myserver-server -D &
adb forward tcp:27142 tcp:27142
frida -H 127.0.0.1:27142 -f com.example.app

Параметри: --skip-build (тільки для патчу), --skip-clone, --arch, --ndk-path, --temp-fixes; WSL помічник: wsl -d Ubuntu bash build-wsl.sh.

Крок 1 — Швидкий виграш: приховати root за допомогою Magisk DenyList

  • Увімкніть Zygisk в Magisk
  • Увімкніть DenyList, додайте цільовий пакет
  • Перезавантажте пристрій і повторно протестуйте

Багато додатків шукають лише очевидні індикатори (su/Magisk paths/getprop). DenyList часто нейтралізує наївні перевірки.

Посилання:

  • Magisk (Zygisk & DenyList): https://github.com/topjohnwu/Magisk

Play Integrity / Zygisk detections (post‑SafetyNet)

Новіші банківські/ID додатки прив’язують перевірки під час виконання до Google Play Integrity (замінник SafetyNet) і також можуть аварійно завершитись, якщо присутній сам Zygisk. Короткі поради для швидкої діагностики:

  • Тимчасово вимкніть Zygisk (toggle off + reboot) і спробуйте знову; деякі додатки падають щойно завантажується Zygote injection.
  • Якщо attestation блокує вхід, пропатчіть Google Play Services за допомогою PlayIntegrityFix/Fork + TrickyStore або використовуйте ReZygisk/Zygisk‑Next лише під час тестування. Тримайте ціль у DenyList і уникайте модулів LSPosed, які leak props.
  • Для одноразових запусків використовуйте KernelSU/APatch (без Zygote injection), щоб не потрапити під евристику Zygisk, а потім підключіть Frida.

Крок 2 — 30‑секундні Frida Codeshare тести

Спробуйте звичні drop‑in скрипти перед глибоким аналізом:

  • anti-root-bypass.js
  • anti-frida-detection.js
  • hide_frida_gum.js

Приклад:

frida -U -f com.example.app -l anti-frida-detection.js

Зазвичай вони підміняють Java перевірки root/debug, сканування процесів/сервісів та native ptrace(). Корисні для слабо захищених додатків; сильно захищені цілі можуть вимагати індивідуальних hooks.

  • Codeshare: https://codeshare.frida.re/

Автоматизуйте за допомогою Medusa (Frida framework)

Medusa пропонує 90+ готових модулів для SSL unpinning, root/emulator detection bypass, HTTP comms logging, crypto key interception та ін.

git clone https://github.com/Ch0pin/medusa
cd medusa
pip install -r requirements.txt
python medusa.py

# Example interactive workflow
show categories
use http_communications/multiple_unpinner
use root_detection/universal_root_detection_bypass
run com.target.app

Порада: Medusa чудово підходить для швидких перемог перед написанням custom hooks. Ви також можете вибірково використовувати modules і поєднувати їх зі своїми scripts.

Step 3 — Обійти детектори часу ініціалізації, підключившись пізніше

Багато виявлень виконуються лише під час process spawn/onCreate(). Spawn‑time injection (-f) або gadgets зазвичай виявляються; підключення після завантаження UI може пройти непоміченим.

# Launch the app normally (launcher/adb), wait for UI, then attach
frida -U -n com.example.app
# Or with Objection to attach to running process
aobjection --gadget com.example.app explore  # if using gadget

Якщо це працює, утримуйте сесію стабільною та переходьте до мапінгу й перевірки stub-ів.

Крок 4 — Мапування логіки детекції за допомогою Jadx та пошуку рядків

Статичні ключові слова для триажу в Jadx:

  • “frida”, “gum”, “root”, “magisk”, “ptrace”, “su”, “getprop”, “debugger”

Типові Java-шаблони:

public boolean isFridaDetected() {
return getRunningServices().contains("frida");
}

Поширені API для перевірки/перехоплення:

  • android.os.Debug.isDebuggerConnected
  • android.app.ActivityManager.getRunningAppProcesses / getRunningServices
  • java.lang.System.loadLibrary / System.load (native bridge)
  • java.lang.Runtime.exec / ProcessBuilder (probing commands)
  • android.os.SystemProperties.get (root/emulator heuristics)

Крок 5 — Runtime stubbing with Frida (Java)

Перевизначте custom guards, щоб повертати safe values без repacking:

Java.perform(() => {
const Checks = Java.use('com.example.security.Checks');
Checks.isFridaDetected.implementation = function () { return false; };

// Neutralize debugger checks
const Debug = Java.use('android.os.Debug');
Debug.isDebuggerConnected.implementation = function () { return false; };

// Example: kill ActivityManager scans
const AM = Java.use('android.app.ActivityManager');
AM.getRunningAppProcesses.implementation = function () { return java.util.Collections.emptyList(); };
});

Тріаж ранніх crashes? Dump classes безпосередньо перед тим, як воно падає, щоб виявити ймовірні detection namespaces:

Java.perform(() => {
Java.enumerateLoadedClasses({
onMatch: n => console.log(n),
onComplete: () => console.log('Done')
});
});

Швидкий приклад заглушки для виявлення root (адаптуйте до імен пакета/класу цілі):

Java.perform(() => {
try {
const RootChecker = Java.use('com.target.security.RootCheck');
RootChecker.isDeviceRooted.implementation = function () { return false; };
} catch (e) {}
});

Записуйте в лог і нейтралізуйте підозрілі методи, щоб підтвердити потік виконання:

Java.perform(() => {
const Det = Java.use('com.example.security.DetectionManager');
Det.checkFrida.implementation = function () {
console.log('checkFrida() called');
return false;
};
});

Bypass emulator/VM detection (Java stubs)

Поширені евристики: Build.FINGERPRINT/MODEL/MANUFACTURER/HARDWARE що містять generic/goldfish/ranchu/sdk; QEMU артефакти, такі як /dev/qemu_pipe, /dev/socket/qemud; за замовчуванням MAC 02:00:00:00:00:00; 10.0.2.x NAT; відсутність telephony/sensors.

Швидка підміна полів Build:

Java.perform(function(){
var Build = Java.use('android.os.Build');
Build.MODEL.value = 'Pixel 7 Pro';
Build.MANUFACTURER.value = 'Google';
Build.BRAND.value = 'google';
Build.FINGERPRINT.value = 'google/panther/panther:14/UP1A.231105.003/1234567:user/release-keys';
});

Доповніть заглушками перевірки існування файлів та ідентифікаторів (TelephonyManager.getDeviceId/SubscriberId, WifiInfo.getMacAddress, SensorManager.getSensorList), щоб повертати реалістичні значення.

SSL pinning bypass quick hook (Java)

Знешкодьте кастомні TrustManagers і примусово встановіть permissive SSL contexts:

Java.perform(function(){
var X509TrustManager = Java.use('javax.net.ssl.X509TrustManager');
var SSLContext = Java.use('javax.net.ssl.SSLContext');

// No-op validations
X509TrustManager.checkClientTrusted.implementation = function(){ };
X509TrustManager.checkServerTrusted.implementation = function(){ };

// Force permissive TrustManagers
var TrustManagers = [ X509TrustManager.$new() ];
var SSLContextInit = SSLContext.init.overload('[Ljavax.net.ssl.KeyManager;','[Ljavax.net.ssl.TrustManager;','java.security.SecureRandom');
SSLContextInit.implementation = function(km, tm, sr){
return SSLContextInit.call(this, km, TrustManagers, sr);
};
});

Примітки

  • Розширити для OkHttp: hook okhttp3.CertificatePinner і HostnameVerifier за потреби, або використайте universal unpinning script з CodeShare.
  • Приклад запуску: frida -U -f com.target.app -l ssl-bypass.js --no-pause

OkHttp4 / gRPC / Cronet pinning (2024+)

Сучасні стеки pin всередині новіших API (OkHttp4+, gRPC over Cronet/BoringSSL). Додавайте ці hooks, коли базовий SSLContext hook зависає:

Java.perform(() => {
try {
const Pinner = Java.use('okhttp3.CertificatePinner');
Pinner.check.overload('java.lang.String', 'java.util.List').implementation = function(){};
Pinner.check$okhttp.implementation = function(){};
} catch (e) {}

try {
const CronetB = Java.use('org.chromium.net.CronetEngine$Builder');
CronetB.enablePublicKeyPinningBypassForLocalTrustAnchors.overload('boolean').implementation = function(){ return this; };
CronetB.setPublicKeyPins.overload('java.lang.String', 'java.util.Set', 'boolean').implementation = function(){ return this; };
} catch (e) {}
});

Якщо TLS все ще не працює, переходьте на native і patch вхідні точки верифікації BoringSSL, які використовуються Cronet/gRPC:

const customVerify = Module.findExportByName(null, 'SSL_CTX_set_custom_verify');
if (customVerify) {
Interceptor.attach(customVerify, {
onEnter(args){
// arg0 = SSL_CTX*, arg1 = mode, arg2 = callback
args[1] = ptr(0); // SSL_VERIFY_NONE
args[2] = NULL;  // disable callback
}
});
}

Крок 6 — Слідуйте за JNI/native слідом, коли Java hooks не спрацьовують

Відстежте JNI entry points, щоб знайти native loaders і detection init:

frida-trace -n com.example.app -i "JNI_OnLoad"

Швидкий нативний triage упакованих .so файлів:

# List exported symbols & JNI
nm -D libfoo.so | head
objdump -T libfoo.so | grep Java_
strings -n 6 libfoo.so | egrep -i 'frida|ptrace|gum|magisk|su|root'

Інтерактивний/нативний reversing:

  • Ghidra: https://ghidra-sre.org/
  • r2frida: https://github.com/nowsecure/r2frida

Приклад: нейтралізувати ptrace, щоб обійти простий anti‑debug у libc:

const ptrace = Module.findExportByName(null, 'ptrace');
if (ptrace) {
Interceptor.replace(ptrace, new NativeCallback(function () {
return -1; // pretend failure
}, 'int', ['int', 'int', 'pointer', 'pointer']));
}

See also: Reversing Native Libraries

Крок 7 — Objection patching (embed gadget / strip basics)

Якщо ви віддаєте перевагу repacking над runtime hooks, спробуйте:

objection patchapk --source app.apk

Примітки:

  • Потрібен apktool; переконайтеся, що у вас актуальна версія з офіційного керівництва, щоб уникнути проблем зі збіркою: https://apktool.org/docs/install
  • Gadget injection дозволяє instrumentation без root, але все ще може бути виявлено більш суворими init‑time checks.

За бажанням, додайте LSPosed modules і Shamiko для кращого приховування root у Zygisk environments, а також налаштуйте DenyList, щоб охопити дочірні процеси.

Для повного workflow, включаючи script-mode Gadget configuration і пакування вашого Frida 17+ agent у APK, див.:

Frida Tutorial — Self-contained agent + Gadget embedding

Посилання:

  • Objection: https://github.com/sensepost/objection

Step 8 — Fallback: Patch TLS pinning for network visibility

Якщо instrumentation заблоковано, ви все ще можете інспектувати трафік, видаливши pinning статично:

apk-mitm app.apk
# Then install the patched APK and proxy via Burp/mitmproxy
  • Інструмент: https://github.com/shroudedcode/apk-mitm
  • Для network config CA‑trust трюків (і Android 7+ user CA trust), див.:

Make APK Accept CA Certificate

Install Burp Certificate

Зручна шпаргалка команд

# List processes and attach
frida-ps -Uai
frida -U -n com.example.app

# Spawn with a script (may trigger detectors)
frida -U -f com.example.app -l anti-frida-detection.js

# Trace native init
frida-trace -n com.example.app -i "JNI_OnLoad"

# Objection runtime
objection --gadget com.example.app explore

# Static TLS pinning removal
apk-mitm app.apk

Універсальне примусове використання проксі + TLS unpinning (HTTP Toolkit Frida hooks)

Сучасні додатки часто ігнорують системні проксі і застосовують кілька рівнів pinning (Java + native), що ускладнює перехоплення трафіку навіть за наявності встановлених user/system CAs. Практичний підхід — поєднати універсальне TLS unpinning з примусовим використанням проксі через готові Frida hooks і направити все через mitmproxy/Burp.

Робочий процес

  • Запустіть mitmproxy на вашому хості (або Burp). Переконайтеся, що пристрій має доступ до IP/порту хоста.
  • Завантажте консолідовані Frida hooks від HTTP Toolkit, щоб одночасно unpin TLS і примусово ввімкнути використання проксі у поширених стеках (OkHttp/OkHttp3, HttpsURLConnection, Conscrypt, WebView тощо). Це обходить перевірки CertificatePinner/TrustManager і перевизначає proxy selectors, тож трафік завжди надсилається через ваш проксі, навіть якщо додаток явно відключає проксі.
  • Запустіть цільовий додаток через Frida зі скриптом hook і перехоплюйте запити в mitmproxy.

Приклад

# Device connected via ADB or over network (-U)
# See the repo for the exact script names & options
frida -U -f com.vendor.app \
-l ./android-unpinning-with-proxy.js \
--no-pause

# mitmproxy listening locally
mitmproxy -p 8080

Примітки

  • Combine with a system-wide proxy via adb shell settings put global http_proxy <host>:<port> when possible. The Frida hooks will enforce proxy use even when apps bypass global settings.
  • This technique is ideal when you need to MITM mobile-to-IoT onboarding flows where pinning/proxy avoidance is common.
  • Hooks: https://github.com/httptoolkit/frida-interception-and-unpinning

Посилання

Tip

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Вивчайте та практикуйте Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Підтримайте HackTricks