Android Anti-Instrumentation & SSL Pinning Bypass (Frida/Objection)

Tip

Вчіться та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вчіться та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Вчіться та практикуйте Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE) Перегляньте повний каталог HackTricks Training для assessment tracks (ARTA/GRTA/AzRTA) і Linux Hacking Expert (LHE).

Підтримайте HackTricks

Ця сторінка дає практичний робочий процес для відновлення dynamic analysis проти Android додатків, які виявляють/блокують instrumentation через root або застосовують TLS pinning. Фокус на швидкій триажі, поширених способах виявлення та копіювальних hook/тактиках для їх обходу без repacking, коли це можливо.

Detection Surface (what apps check)

  • Root checks: su binary, Magisk paths, getprop values, common root packages
  • Frida/debugger checks (Java): Debug.isDebuggerConnected(), ActivityManager.getRunningAppProcesses(), getRunningServices(), сканування /proc, classpath, loaded libs
  • Native anti‑debug: ptrace(), syscalls, anti‑attach, breakpoints, inline hooks
  • Early init checks: Application.onCreate() або процесні старт‑hook-и, які падають якщо instrumentation присутня
  • TLS pinning: custom TrustManager/HostnameVerifier, OkHttp CertificatePinner, Conscrypt pinning, native pins

Bypassing Anti-Frida Detection / Stealth Frida Servers

phantom-frida перебудовує Frida з джерела і застосовує ~90 патчів, щоб поширені Frida‑відбитки зникли, при цьому stock Frida protocol лишається сумісним (frida-tools все ще може підʼєднуватися). Ціль: додатки, які grep-лять /proc (cmdline, maps, task comm, fd readlink), D‑Bus service names, default ports або exported symbols.

Phases:

  • Source patches: глобальна зміна ідентифікаторів frida (server/agent/helper) і перебудова helper DEX з перейменованим Java package.
  • Targeted build/runtime patches: meson tweaks, memfd label змінено на jit-cache, SELinux labels (наприклад, frida_file) перейменовано, libc hooks на exit/signal відключені щоб уникнути детекторів hook-ів.
  • Post-build rename: exported symbol frida_agent_main перейменовується після першого компілювання (Vala його емить), що вимагає другого інкрементального збірки.
  • Binary hex patches: імена thread-ів (gmain, gdbus, pool-spawner) замінені; опційний sweep видаляє залишкові frida/Frida рядки.

Detection vectors covered:

  • Base (1–8): process name frida-server, mapped libfrida-agent.so, thread names, memfd label, exported frida_agent_main, SELinux labels, libc hook side‑effects, і D‑Bus service re.frida.server перейменовані/нейтралізовані.
  • Extended (9–16): змінити listening port (--port), перейменувати D‑Bus interfaces/internal C symbols/GType names, тимчасові шляхи як .frida/frida-, прос sweep рядків у бінарі, перейменувати build‑time defines та asset paths (libdir/frida). D‑Bus interface names, що є частиною wire protocol, залишаються незмінними в base mode щоб не ламати stock clients.

Build/usage (Android arm64 example):

python3 build.py --version 17.7.2 --name myserver --port 27142 --extended --verify
adb push output/myserver-server-17.7.2-android-arm64 /data/local/tmp/myserver-server
adb shell chmod 755 /data/local/tmp/myserver-server
adb shell /data/local/tmp/myserver-server -D &
adb forward tcp:27142 tcp:27142
frida -H 127.0.0.1:27142 -f com.example.app

Параметри: --skip-build (patch only), --skip-clone, --arch, --ndk-path, --temp-fixes; WSL helper: wsl -d Ubuntu bash build-wsl.sh.

Step 1 — Швидкий виграш: приховати root за допомогою Magisk DenyList

  • Увімкніть Zygisk у Magisk
  • Увімкніть DenyList, додайте цільовий пакет
  • Перезавантажте та протестуйте знову

Багато додатків перевіряють лише очевидні індикатори (su/Magisk paths/getprop). DenyList часто нейтралізує наївні перевірки.

References:

  • Magisk (Zygisk & DenyList): https://github.com/topjohnwu/Magisk

Play Integrity / Zygisk виявлення (після SafetyNet)

Новіші banking/ID apps прив’язують перевірки під час виконання до Google Play Integrity (заміна SafetyNet) і також можуть падати, якщо сам Zygisk присутній. Швидкі поради для триажу:

  • Тимчасово вимкніть Zygisk (toggle off + reboot) та повторіть спробу; деякі додатки падають щойно завантажується Zygote injection.
  • Якщо attestation блокує вхід, запатчіть Google Play Services за допомогою PlayIntegrityFix/Fork + TrickyStore або використовуйте ReZygisk/Zygisk‑Next тільки під час тестування. Тримайте ціль у DenyList і уникайте модулів LSPosed, які leak props.
  • Для одноразових запусків використовуйте KernelSU/APatch (no Zygote injection), щоб залишатися під евристиками Zygisk, а потім підключіть Frida.

Step 2 — 30‑секундні Frida Codeshare тести

Спробуйте поширені drop‑in скрипти перед глибоким зануренням:

  • anti-root-bypass.js
  • anti-frida-detection.js
  • hide_frida_gum.js

Example:

frida -U -f com.example.app -l anti-frida-detection.js

Зазвичай вони підмінюють Java перевірки root/debug, сканування процесів/сервісів і нативний ptrace(). Корисні для слабо захищених додатків; для жорстко захищених цілей можуть знадобитися індивідуальні hooks.

  • Codeshare: https://codeshare.frida.re/

Автоматизація з Medusa (Frida framework)

Medusa надає 90+ готових модулів для SSL unpinning, обходу виявлення root/emulator, логування HTTP-комунікацій, перехоплення crypto-ключів та іншого.

git clone https://github.com/Ch0pin/medusa
cd medusa
pip install -r requirements.txt
python medusa.py

# Example interactive workflow
show categories
use http_communications/multiple_unpinner
use root_detection/universal_root_detection_bypass
run com.target.app

Порада: Medusa чудово підходить для швидких результатів перед написанням власних hooks. Також можна вибірково підбирати modules і поєднувати їх зі своїми scripts.

Автоматизація з Auto-Frida (spawn-mode + consolidated hooks)

Auto-Frida — це Frida automation toolkit, який зосереджений на повторюваному налаштуванні плюс auto-detection захистів та consolidated bypass script generation. Воно корисне, коли додатки виконують перевірки дуже рано або коли кілька bypass modules інакше подвійно hook-али б ті самі API.

Key automation ideas:

  • Spawn-mode analysis для встановлення hooks перед Application.onCreate(), щоб виявити ранні SSL pinning, root, emulator або anti-Frida checks.
  • Protection detection + auto-bypass: результати виявлення керують генерацією єдиного consolidated script, який встановлює hooks на кожен Java method/native symbol по одному разу, зменшуючи крахи через перекриваючіся hooks.
  • Frida server lifecycle checks: перевіряти стан сервера (process + port 27042 + frida-ps handshake) перед завантаженням/перезапуском, щоб зберегти стабільність запусків.

Швидкий старт:

git clone https://github.com/ommirkute/Auto-Frida.git
cd Auto-Frida
pip install -r requirements.txt
python auto_frida.py

Примітки

  • Auto-Frida може автоматично встановити frida/frida-tools, якщо вони відсутні, і підтримує вибір кількох пристроїв.
  • Згенеровані скрипти можна виконати одразу або об’єднати з вашими custom hooks після аналізу.

Крок 3 — Обійти детектори часу ініціалізації, підключившись пізніше

Багато детекторів працюють лише під час spawn процесу/onCreate(). Spawn‑time injection (-f) або gadgets потрапляють у виявлення; підключення після завантаження UI може обійти їх.

# Launch the app normally (launcher/adb), wait for UI, then attach
frida -U -n com.example.app
# Or with Objection to attach to running process
aobjection --gadget com.example.app explore  # if using gadget

Якщо це працює, підтримуйте сесію стабільною і переходьте до картування та перевірок stub.

Крок 4 — Картування логіки виявлення через Jadx та пошук рядків

Ключові слова для статичного тріажу в Jadx:

  • “frida”, “gum”, “root”, “magisk”, “ptrace”, “su”, “getprop”, “debugger”

Типові Java шаблони:

public boolean isFridaDetected() {
return getRunningServices().contains("frida");
}

Поширені API для перевірки/перехоплення:

  • android.os.Debug.isDebuggerConnected
  • android.app.ActivityManager.getRunningAppProcesses / getRunningServices
  • java.lang.System.loadLibrary / System.load (native bridge)
  • java.lang.Runtime.exec / ProcessBuilder (probing commands)
  • android.os.SystemProperties.get (root/emulator heuristics)

Крок 5 — Створення заглушок під час виконання з Frida (Java)

Перевизначте кастомні guards, щоб повертати безпечні значення без перепакування:

Java.perform(() => {
const Checks = Java.use('com.example.security.Checks');
Checks.isFridaDetected.implementation = function () { return false; };

// Neutralize debugger checks
const Debug = Java.use('android.os.Debug');
Debug.isDebuggerConnected.implementation = function () { return false; };

// Example: kill ActivityManager scans
const AM = Java.use('android.app.ActivityManager');
AM.getRunningAppProcesses.implementation = function () { return java.util.Collections.emptyList(); };
});

Тріаж ранніх збоїв? Dump classes прямо перед падінням, щоб знайти ймовірні простори імен детекції:

Java.perform(() => {
Java.enumerateLoadedClasses({
onMatch: n => console.log(n),
onComplete: () => console.log('Done')
});
});

Швидкий приклад заглушки root detection (адаптуйте до імен пакета/класу цілі):

Java.perform(() => {
try {
const RootChecker = Java.use('com.target.security.RootCheck');
RootChecker.isDeviceRooted.implementation = function () { return false; };
} catch (e) {}
});

Записуйте та нейтралізуйте підозрілі методи, щоб підтвердити потік виконання:

Java.perform(() => {
const Det = Java.use('com.example.security.DetectionManager');
Det.checkFrida.implementation = function () {
console.log('checkFrida() called');
return false;
};
});

Bypass emulator/VM detection (Java stubs)

Поширені евристики: Build.FINGERPRINT/MODEL/MANUFACTURER/HARDWARE, що містять generic/goldfish/ranchu/sdk; артефакти QEMU, такі як /dev/qemu_pipe, /dev/socket/qemud; стандартний MAC 02:00:00:00:00:00; 10.0.2.x NAT; відсутні telephony/sensors.

Швидке підроблення полів Build:

Java.perform(function(){
var Build = Java.use('android.os.Build');
Build.MODEL.value = 'Pixel 7 Pro';
Build.MANUFACTURER.value = 'Google';
Build.BRAND.value = 'google';
Build.FINGERPRINT.value = 'google/panther/panther:14/UP1A.231105.003/1234567:user/release-keys';
});

Додайте заглушки для перевірок існування файлів та для ідентифікаторів (TelephonyManager.getDeviceId/SubscriberId, WifiInfo.getMacAddress, SensorManager.getSensorList), щоб повертати реалістичні значення.

SSL pinning bypass quick hook (Java)

Нейтралізуйте кастомні TrustManagers і примусово встановіть permissive SSL contexts:

Java.perform(function(){
var X509TrustManager = Java.use('javax.net.ssl.X509TrustManager');
var SSLContext = Java.use('javax.net.ssl.SSLContext');

// No-op validations
X509TrustManager.checkClientTrusted.implementation = function(){ };
X509TrustManager.checkServerTrusted.implementation = function(){ };

// Force permissive TrustManagers
var TrustManagers = [ X509TrustManager.$new() ];
var SSLContextInit = SSLContext.init.overload('[Ljavax.net.ssl.KeyManager;','[Ljavax.net.ssl.TrustManager;','java.security.SecureRandom');
SSLContextInit.implementation = function(km, tm, sr){
return SSLContextInit.call(this, km, TrustManagers, sr);
};
});

Примітки

  • Розширити для OkHttp: hook okhttp3.CertificatePinner and HostnameVerifier as needed, або використати універсальний unpinning script з CodeShare.
  • Приклад запуску: frida -U -f com.target.app -l ssl-bypass.js --no-pause

OkHttp4 / gRPC / Cronet pinning (2024+)

Сучасні стеки виконують pinning у новіших API (OkHttp4+, gRPC over Cronet/BoringSSL). Додайте ці hooks, коли базовий SSLContext hook зависає:

Java.perform(() => {
try {
const Pinner = Java.use('okhttp3.CertificatePinner');
Pinner.check.overload('java.lang.String', 'java.util.List').implementation = function(){};
Pinner.check$okhttp.implementation = function(){};
} catch (e) {}

try {
const CronetB = Java.use('org.chromium.net.CronetEngine$Builder');
CronetB.enablePublicKeyPinningBypassForLocalTrustAnchors.overload('boolean').implementation = function(){ return this; };
CronetB.setPublicKeyPins.overload('java.lang.String', 'java.util.Set', 'boolean').implementation = function(){ return this; };
} catch (e) {}
});

Якщо TLS все ще не працює, перейдіть на native і запатчте точки входу перевірки BoringSSL, які використовуються Cronet/gRPC:

const customVerify = Module.findExportByName(null, 'SSL_CTX_set_custom_verify');
if (customVerify) {
Interceptor.attach(customVerify, {
onEnter(args){
// arg0 = SSL_CTX*, arg1 = mode, arg2 = callback
args[1] = ptr(0); // SSL_VERIFY_NONE
args[2] = NULL;  // disable callback
}
});
}

Крок 6 — Слідуйте стежкою JNI/native, коли Java hooks не спрацьовують

Відстежте точки входу JNI, щоб знайти native loaders та detection init:

frida-trace -n com.example.app -i "JNI_OnLoad"

Швидкий нативний триаж упакованих .so файлів:

# List exported symbols & JNI
nm -D libfoo.so | head
objdump -T libfoo.so | grep Java_
strings -n 6 libfoo.so | egrep -i 'frida|ptrace|gum|magisk|su|root'

Інтерактивний/нативний reversing:

  • Ghidra: https://ghidra-sre.org/
  • r2frida: https://github.com/nowsecure/r2frida

Приклад: відключити ptrace, щоб обійти простий anti‑debug у libc:

const ptrace = Module.findExportByName(null, 'ptrace');
if (ptrace) {
Interceptor.replace(ptrace, new NativeCallback(function () {
return -1; // pretend failure
}, 'int', ['int', 'int', 'pointer', 'pointer']));
}

Див. також: Reversing Native Libraries

Крок 7 — Objection patching (embed gadget / strip basics)

Якщо ви віддаєте перевагу repacking замість runtime hooks, спробуйте:

objection patchapk --source app.apk

Примітки:

  • Потребує apktool; переконайтесь, що у вас актуальна версія згідно офіційного керівництва, щоб уникнути проблем зі збіркою: https://apktool.org/docs/install
  • Gadget injection дозволяє instrumentation без root, але все ще може бути виявлено сильнішими init‑time checks.

За бажанням, додайте LSPosed modules та Shamiko для сильнішого root hiding в Zygisk environments, а також налаштуйте DenyList, щоб охопити child processes.

Для повного робочого процесу, що включає script-mode Gadget configuration та вкладання вашого Frida 17+ agent у APK, дивіться:

Frida Tutorial — Self-contained agent + Gadget embedding

Посилання:

  • Objection: https://github.com/sensepost/objection

Step 8 — Резервний варіант: Патч TLS pinning для видимості мережевого трафіку

Якщо instrumentation заблоковано, ви все ще можете аналізувати трафік, видаливши pinning статично:

apk-mitm app.apk
# Then install the patched APK and proxy via Burp/mitmproxy
  • Інструмент: https://github.com/shroudedcode/apk-mitm
  • Для хитрощів з network config щодо довіри CA (і довіри user CA в Android 7+), див.:

Make APK Accept CA Certificate

Install Burp Certificate

LSPosed/Xposed Hooking Abuse (Telephony/SMS)

На рутованих пристроях модулі LSPosed/Xposed можуть підключатися до Java telephony/SMS APIs під час виконання, залишаючи APK незмінним на диску і повністю контролюючи те, що бачить додаток. Це часто зловживають для обходу SIM‑binding flows, які довіряють локальним telephony API або стану локального SMS provider.

Ключові примітиви

  • Suppress outgoing verification SMS — блокування вихідних SMS з кодом підтвердження та одночасне викрадення токена шляхом короткого замикання SmsManager.sendTextMessage в beforeHookedMethod.
  • Spoof MSISDN/line number — примусове повернення через TelephonyManager.getLine1Number() і SubscriptionInfo.getNumber() значення, контрольованого атакувальником.
  • Plant a fake “Sent” record в SMS provider, щоб додатки, які перевіряють локальну історію SMS, бачили успішну відправку, навіть якщо оператор ніколи її не отримував.

Example: block SMS dispatch and capture content

XposedHelpers.findAndHookMethod(
"android.telephony.SmsManager",
lpparam.classLoader,
"sendTextMessage",
String.class, String.class, String.class, PendingIntent.class, PendingIntent.class,
new XC_MethodHook() {
protected void beforeHookedMethod(MethodHookParam param) {
String body = (String) param.args[2];
// exfiltrate body to operator channel
param.setResult(null); // suppress real SMS send
}
}
);

Приклад: spoof номер телефону пристрою

XposedHelpers.findAndHookMethod(
"android.telephony.TelephonyManager",
lpparam.classLoader,
"getLine1Number",
new XC_MethodHook() {
protected void afterHookedMethod(MethodHookParam param) {
param.setResult(spoofedMsisdn);
}
}
);

XposedHelpers.findAndHookMethod(
"android.telephony.SubscriptionInfo",
lpparam.classLoader,
"getNumber",
new XC_MethodHook() {
protected void afterHookedMethod(MethodHookParam param) {
param.setResult(spoofedMsisdn);
}
}
);

Приклад: інжектувати підроблений запис SMS «Sent»

ContentValues v = new ContentValues();
v.put("address", dest);
v.put("body", body);
v.put("type", 2);   // sent
v.put("status", 0); // success
context.getContentResolver().insert(Uri.parse("content://sms/sent"), v);

Корисна шпаргалка команд

# List processes and attach
frida-ps -Uai
frida -U -n com.example.app

# Spawn with a script (may trigger detectors)
frida -U -f com.example.app -l anti-frida-detection.js

# Trace native init
frida-trace -n com.example.app -i "JNI_OnLoad"

# Objection runtime
objection --gadget com.example.app explore

# Static TLS pinning removal
apk-mitm app.apk

Universal proxy forcing + TLS unpinning (HTTP Toolkit Frida hooks)

Сучасні додатки часто ігнорують системні proxy і застосовують кілька рівнів pinning (Java + native), що ускладнює перехоплення трафіку навіть при встановлених user/system CAs. Практичний підхід — поєднати universal TLS unpinning із proxy forcing за допомогою готових Frida hooks і спрямувати весь трафік через mitmproxy/Burp.

Workflow

  • Run mitmproxy on your host (or Burp). Ensure the device can reach the host IP/port.
  • Load HTTP Toolkit’s consolidated Frida hooks to both unpin TLS and force proxy usage across common stacks (OkHttp/OkHttp3, HttpsURLConnection, Conscrypt, WebView, etc.). This bypasses CertificatePinner/TrustManager checks and overrides proxy selectors, so traffic is always sent via your proxy even if the app explicitly disables proxies.
  • Start the target app with Frida and the hook script, and capture requests in mitmproxy.

Example

# Device connected via ADB or over network (-U)
# See the repo for the exact script names & options
frida -U -f com.vendor.app \
-l ./android-unpinning-with-proxy.js \
--no-pause

# mitmproxy listening locally
mitmproxy -p 8080

Примітки

  • Поєднуйте з системним proxy за допомогою adb shell settings put global http_proxy <host>:<port> коли це можливо. Frida hooks забезпечуватимуть використання proxy навіть коли додатки обходять глобальні налаштування.
  • Ця техніка ідеально підходить, коли потрібно MITM процесів підключення між мобільними пристроями та IoT, де pinning/proxy-обхід є поширеним.
  • Hooks: https://github.com/httptoolkit/frida-interception-and-unpinning

Джерела

Tip

Вчіться та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вчіться та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Вчіться та практикуйте Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE) Перегляньте повний каталог HackTricks Training для assessment tracks (ARTA/GRTA/AzRTA) і Linux Hacking Expert (LHE).

Підтримайте HackTricks