Frida 教程

Tip

学习和实践 AWS 黑客技术：HackTricks Training AWS Red Team Expert (ARTE)
学习和实践 GCP 黑客技术：HackTricks Training GCP Red Team Expert (GRTE) 学习和实践 Azure 黑客技术：HackTricks Training Azure Red Team Expert (AzRTE)

支持 HackTricks

查看 订阅计划!

加入 💬 Discord 群组 或 Telegram 群组 或在 Twitter 🐦 上关注我们 @hacktricks_live.

通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 来分享黑客技巧。

安装

安装 frida tools:

pip install frida-tools
pip install frida

下载并安装 在 android 设备上 frida server (Download the latest release).
一行命令用于重启 adb 到 root 模式、连接到设备、上传 frida-server、赋予执行权限并在后台运行它：

adb root; adb connect localhost:6000; sleep 1; adb push frida-server /data/local/tmp/; adb shell "chmod 755 /data/local/tmp/frida-server"; adb shell "/data/local/tmp/frida-server &"

检查是否 正常工作:

frida-ps -U #List packages and processes
frida-ps -U | grep -i <part_of_the_package_name> #Get all the package name

frida-ui (基于浏览器的 Frida 控制器)

frida-ui 在 http://127.0.0.1:8000 提供一个 web UI，用于列出 devices/apps 并通过脚本 attach 或 spawn 目标（无需 CLI）。

安装（将 frida 固定到设备服务器的版本）：

uv tool install frida-ui --with frida==16.7.19
# pipx install frida-ui
# pip install frida-ui

运行:

frida-ui
frida-ui --host 127.0.0.1 --port 8000 --reload

功能：发现 USB/本地设备、添加远程服务器 (192.168.1.x:27042)，并支持 Attach、Spawn 和 Spawn & Run（以便在早期 onCreate() 逻辑之前进行 hook）。
脚本：编辑器，拖放 .js，导入 CodeShare，下载脚本和会话日志。
远程服务器：./frida-server -l 0.0.0.0:27042 -D 将其暴露在网络上，使 frida-ui 可以在没有 ADB 的情况下连接。

Frida server 与 Gadget (root 与 no-root)

使用 Frida 对 Android 应用进行插装的两种常见方式：

Frida server (rooted devices): 推送并运行一个本地守护进程，允许你 attach 到任意进程。
Frida Gadget (no root): 将 Frida 打包为 APK 内的共享库，并在目标进程中自动加载。

Frida server (rooted)

# Download the matching frida-server binary for your device's arch
# https://github.com/frida/frida/releases
adb root
adb push frida-server-<ver>-android-<arch> /data/local/tmp/frida-server
adb shell chmod 755 /data/local/tmp/frida-server
adb shell /data/local/tmp/frida-server &    # run at boot via init/magisk if desired

# From host, list processes and attach
frida-ps -Uai
frida -U -n com.example.app

Frida Gadget (no-root)

解包 APK，添加 gadget 的 .so 和配置：

将 libfrida-gadget.so 放到 lib/<abi>/（例如 lib/arm64-v8a/）
创建 assets/frida-gadget.config，配置你的脚本加载设置

示例 frida-gadget.config

{
"interaction": { "type": "script", "path": "/sdcard/ssl-bypass.js" },
"runtime": { "logFile": "/sdcard/frida-gadget.log" }
}

引用/加载 gadget 以便它能尽早初始化：

最简单的方法：在 Application.onCreate() 中添加一个小的 Java stub 来调用 System.loadLibrary(“frida-gadget”)，或者使用已有的 native lib loading。

重新打包并签名 APK，然后安装：

apktool d app.apk -o app_m
# ... add gadget .so and config ...
apktool b app_m -o app_gadget.apk
uber-apk-signer -a app_gadget.apk -o out_signed
adb install -r out_signed/app_gadget-aligned-debugSigned.apk

从主机附加到 gadget 进程：

frida-ps -Uai
frida -U -n com.example.app

注意事项

Gadget 可能会被某些防护检测到；尽量使名称/路径保持隐蔽，并在必要时延迟或有条件地加载。
对于加固应用，优先选择已 root 的测试，使用 server + late attach，或与 Magisk/Zygisk 隐藏配合使用。

JDWP-based Frida injection without root/repackaging (frida-jdwp-loader)

如果 APK 可调试（android:debuggable=“true”），你可以通过 JDWP 附加并在 Java 断点处注入一个 native 库。无需 root，也无需重新打包 APK。

Repo: https://github.com/frankheat/frida-jdwp-loader
Requirements: ADB, Python 3, USB/Wireless debugging. App must be debuggable (emulator with ro.debuggable=1, rooted device with resetprop, or rebuild manifest).

快速开始：

git clone https://github.com/frankheat/frida-jdwp-loader.git
cd frida-jdwp-loader
# Inject frida-gadget.so into a debuggable target
python frida-jdwp-loader.py frida -n com.example.myapplication
# Keep the breakpoint thread suspended for early hooks
python frida-jdwp-loader.py frida -n com.example.myapplication -s
# Networkless: run a local agent script via Gadget "script" mode
python frida-jdwp-loader.py frida -n com.example.myapplication -i script -l script.js

注意

模式：spawn（在 Application.onCreate 中断）或 attach（在 Activity.onStart 中断）。使用 -b 指定特定的 Java 方法，-g 选择 Gadget 版本/路径，-p 选择 JDWP 端口。
监听模式：如有需要，转发 Gadget（默认 127.0.0.1:27042）：adb forward tcp:27042 tcp:27042；然后 frida-ps -H 127.0.0.1:27042。
这依赖 JDWP 调试。风险是发布可调试的构建或暴露 JDWP。

自包含的 agent + Gadget 嵌入 (Frida 17+；可用 Objection 自动化)

Frida 17 从 GumJS 中移除了内置的 Java/ObjC bridges。如果你的 agent 钩取 Java，你必须在 bundle 中包含 Java bridge。

创建一个 Frida agent (TypeScript) 并包含 Java bridge

# Scaffolding
frida-create -t agent -o mod
cd mod && npm install
# Install the Java bridge for Frida 17+
npm install frida-java-bridge
# Dev loop (optional live-reload via REPL)
npm run watch

最小 Java hook（强制掷骰结果为1）：

import Java from "frida-java-bridge";

Java.perform(function () {
var dicer = Java.use("org.secuso.privacyfriendlydicer.dicer.Dicer");
dicer.rollDice.implementation = function (numDice: number, numFaces: number) {
return Array(numDice).fill(1);
};
});

为嵌入构建单一 bundle：

npm run build    # produces _agent.js via frida-compile

快速 USB 测试（可选）：

frida -U -f org.secuso.privacyfriendlydicer -l _agent.js

配置 Gadget 自动加载你的脚本

Objection’s patcher 需要一个 Gadget config；在使用 script mode 时，指定位于 APK lib dir 的 on-disk path：

{
"interaction": {
"type": "script",
"path": "libfrida-gadget.script.so"
}
}

使用 Objection 自动化 APK 打补丁

# Embed Gadget, config, and your compiled agent into the APK; rebuild and sign
objection patchapk -s org.secuso.privacyfriendlydicer.apk \
-c gadget-config.json \
-l mod/_agent.js \
--use-aapt2

What patchapk does (high level):

检测设备 ABI（例如 arm64-v8a）并获取匹配的 Gadget
在需要时可选地添加 android.permission.INTERNET
向启动 activity 注入一个静态类初始化器，该初始化器调用 System.loadLibrary(“frida-gadget”)
将以下内容放置于 lib/<abi>/:
libfrida-gadget.so
libfrida-gadget.config.so (序列化的配置)
libfrida-gadget.script.so (你的 _agent.js)

Example injected smali (static initializer):

.method static constructor <clinit>()V
.locals 1
const-string v0, "frida-gadget"
invoke-static {v0}, Ljava/lang/System;->loadLibrary(Ljava/lang/String;)V
return-void
.end method

验证重打包

apktool d org.secuso.privacyfriendlydicer.apk
apktool d org.secuso.privacyfriendlydicer.objection.apk
# Inspect differences
diff -r org.secuso.privacyfriendlydicer org.secuso.privacyfriendlydicer.objection

预期更改：

AndroidManifest.xml 可能包含 <uses-permission android:name="android.permission.INTERNET"/>
新的 native libs 位于 lib/<abi>/，如上
Launchable activity smali 包含一个静态 <clinit>，它调用 System.loadLibrary(“frida-gadget”)

Split APKs

修补 base APK（即声明 MAIN/LAUNCHER activity 的那个）
使用相同的密钥重新签名剩余的 splits：

objection signapk split1.apk split2.apk ...

一起安装 splits:

adb install-multiple split1.apk split2.apk ...

用于分发，你可以使用 APKEditor 将拆分的 APK 合并为单个 APK，然后进行对齐并签名

在动态分析期间清除 FLAG_SECURE

调用 getWindow().setFlags(LayoutParams.FLAG_SECURE, LayoutParams.FLAG_SECURE) 的应用会阻止屏幕截图、远程显示，甚至 Android 的最近任务快照。当 Freedom Chat 强制启用该标志时，记录 leaks 的唯一方法是运行时篡改窗口。一个可靠的模式是：

Hook 每个可能重新应用该标志的 Window 重载（setFlags、addFlags、setAttributes），并屏蔽位 0x00002000（WindowManager.LayoutParams.FLAG_SECURE）。
在每个 activity 恢复后，安排在 UI 线程调用 clearFlags(FLAG_SECURE)，以便之后创建的 Dialogs/Fragments 继承非锁定状态。
使用 React Native / Flutter 构建的应用常会创建嵌套窗口；如果仍然看到黑色帧，可 hook android.app.Dialog/android.view.View 的辅助方法，或遍历 getWindow().peekDecorView()。

Frida hook clearing Window.FLAG_SECURE

```javascript Java.perform(function () { var LayoutParams = Java.use("android.view.WindowManager$LayoutParams"); var FLAG_SECURE = LayoutParams.FLAG_SECURE.value; var Window = Java.use("android.view.Window"); var Activity = Java.use("android.app.Activity");

function strip(value) { var masked = value & (~FLAG_SECURE); if (masked !== value) { console.log(“[-] Stripped FLAG_SECURE from 0x” + value.toString(16)); } return masked; }

Window.setFlags.overload(‘int’, ‘int’).implementation = function (flags, mask) { return this.setFlags.call(this, strip(flags), strip(mask)); };

Window.addFlags.implementation = function (flags) { return this.addFlags.call(this, strip(flags)); };

Window.setAttributes.implementation = function (attrs) { attrs.flags.value = strip(attrs.flags.value); return this.setAttributes.call(this, attrs); };

Activity.onResume.implementation = function () { this.onResume(); var self = this; Java.scheduleOnMainThread(function () { try { self.getWindow().clearFlags(FLAG_SECURE); console.log(“[+] Cleared FLAG_SECURE on “ + self.getClass().getName()); } catch (err) { console.log(”[!] clearFlags failed: “ + err); } }); }; });

</details>

使用 `frida -U -f <package> -l disable-flag-secure.js --no-pause` 运行该脚本，与 UI 交互后，截图/录屏将再次可用。由于所有操作都在 UI 线程上进行，所以不会有闪烁，而且你仍然可以将该 hook 与 HTTP Toolkit/Burp 结合使用，以捕获揭示 `/channel` PIN leak 的流量。

## 使用 clsdumper (Frida) 进行动态 DEX 转储/解包

`clsdumper` 是一个基于 Frida 的动态 **DEX/class dumper**，通过将 anti-Frida 预阶段与 native 和 Java 发现策略结合，能够在加固应用中存活（即使 `Java.perform()` 崩溃也能工作）。要求：Python 3.10+、已 root 的设备并运行 `frida-server`、USB 或 `--host` TCP 连接。

**Install & quick use**
```bash
pip install clsdumper
# Attach to a running app
clsdumper com.example.app
# Spawn first (hooks before early loaders)
clsdumper com.example.app --spawn
# Select strategies
clsdumper com.example.app --strategies fart_dump,oat_extract

CLI 选项（最有用的）

target: 包名或 PID。
--spawn: spawn 而不是 attach。
--host <ip>: 连接到远程 frida-server。
--strategies <comma>: 限制/选择 extractors；默认是除了 mmap_hook（代价高）之外的所有。
--no-scan / --deep-scan: 禁用或放慢深度内存扫描（增加 CDEX 扫描）。
--extract-classes: 通过 androguard 将转储后处理为 .smali。
--no-anti-frida: 跳过 pre-hook bypass 阶段。
--list / --list-apps: 列举运行中的进程或已安装的包。

Anti-instrumentation bypass (phase 0)

Hooks sigaction/signal 来阻止崩溃/anti-debug 处理程序的注册。
通过 memfd_create 提供过滤后的 /proc/self/maps，以隐藏 Frida 区域。
监视 pthread_create，以捕获/中和追踪 Frida 的 watchdog 线程。

DEX discovery (phases 1–2) — 多个互补的策略，带有每次命中元数据 + 去重（agent-side djb2，host-side SHA-256）:

Native（无需 Java bridge）: art_walk（遍历 ART Runtime→ClassLinker→DexFile），open_common_hook（hook DexFile::OpenCommon），memory_scan（在可读映射中查找 DEX magic），oat_extract（解析映射的 .vdex/.oat），fart_dump（hook DefineClass 并遍历 class_table_），dexfile_constructor（hook OatDexFile 构造函数），mmap_hook（监视 mmap/mmap64，默认为性能原因关闭）。
Java（可用时）: cookie（从 ClassLoaders 读取 mCookie），classloader_hook（监视 loadClass、DexClassLoader、InMemoryDexClassLoader）。

Output layout

dump_<target>/
dex/classes_001.dex ...
classes/                 # only when --extract-classes
metadata.json            # strategy per hit + hashes

提示：受保护的应用通常会从多个来源加载代码 (in-memory payload, vdex/oat, custom loaders)。使用默认的 multi-strategy set 并加上 --spawn 可以最大化覆盖；只有在需要时才启用 --deep-scan 以避免性能开销。

教程

Tutorial 1

来源: https://medium.com/infosec-adventures/introduction-to-frida-5a3f51595ca1
APK: https://github.com/t0thkr1s/frida-demo/releases
源代码: https://github.com/t0thkr1s/frida-demo

请查看此教程。

Tutorial 2

来源: https://11x256.github.io/Frida-hooking-android-part-2/ (Parts 2, 3 & 4)
APKs and Source code: https://github.com/11x256/frida-android-examples

请查看此教程。

Tutorial 3

来源: https://joshspicer.com/android-frida-1
APK: https://github.com/OWASP/owasp-mstg/blob/master/Crackmes/Android/Level_01/UnCrackable-Level1.apk

请查看此教程。

你可以在此找到更多优秀的 Frida 脚本： https://codeshare.frida.re/

快速示例

从命令行调用 Frida

frida-ps -U

#Basic frida hooking
frida -l disableRoot.js -f owasp.mstg.uncrackable1

#Hooking before starting the app
frida -U --no-pause -l disableRoot.js -f owasp.mstg.uncrackable1
#The --no-pause and -f options allow the app to be spawned automatically,
#frozen so that the instrumentation can occur, and the automatically
#continue execution with our modified code.

基本 Python 脚本

import frida, sys

jscode = open(sys.argv[0]).read()
process = frida.get_usb_device().attach('infosecadventures.fridademo')
script = process.create_script(jscode)
print('[ * ] Running Frida Demo application')
script.load()
sys.stdin.read()

钩取没有参数的函数

钩取类 sg.vantagepoint.a.c 的函数 a()

Java.perform(function () {
rootcheck1.a.overload().implementation = function () {
return false;
};
});

Hook java 的 exit()

var sysexit = Java.use("java.lang.System")
sysexit.exit.overload("int").implementation = function (var_0) {
send("java.lang.System.exit(I)V  // We avoid exiting the application  :)")
}

Hook MainActivity .onStart() 和 .onCreate()

var mainactivity = Java.use("sg.vantagepoint.uncrackable1.MainActivity")
mainactivity.onStart.overload().implementation = function () {
send("MainActivity.onStart() HIT!!!")
var ret = this.onStart.overload().call(this)
}
mainactivity.onCreate.overload("android.os.Bundle").implementation = function (
var_0
) {
send("MainActivity.onCreate() HIT!!!")
var ret = this.onCreate.overload("android.os.Bundle").call(this, var_0)
}

Hook android .onCreate()

var activity = Java.use("android.app.Activity")
activity.onCreate.overload("android.os.Bundle").implementation = function (
var_0
) {
send("Activity HIT!!!")
var ret = this.onCreate.overload("android.os.Bundle").call(this, var_0)
}

Hooking 函数带参数并获取返回值

Hooking 一个解密函数。打印输入，调用原始函数对输入进行解密，最后打印明文数据：

Hooking 一个解密函数 (Java) — 打印输入/输出

```javascript function getString(data) { var ret = "" for (var i = 0; i < data.length; i++) { ret += data[i].toString() } return ret } var aes_decrypt = Java.use("sg.vantagepoint.a.a") aes_decrypt.a.overload("[B", "[B").implementation = function (var_0, var_1) { send("sg.vantagepoint.a.a.a([B[B)[B doFinal(enc) // AES/ECB/PKCS7Padding") send("Key : " + getString(var_0)) send("Encrypted : " + getString(var_1)) var ret = this.a.overload("[B", "[B").call(this, var_0, var_1) send("Decrypted : " + ret)

var flag = “” for (var i = 0; i < ret.length; i++) { flag += String.fromCharCode(ret[i]) } send(“Decrypted flag: “ + flag) return ret //[B }

</details>

### Hooking functions 并使用我们的输入调用它们

Hook 一个接收 string 的 function，并用另一个 string 调用它 (来自 [here](https://11x256.github.io/Frida-hooking-android-part-2/))
```javascript
var string_class = Java.use("java.lang.String") // get a JS wrapper for java's String class

my_class.fun.overload("java.lang.String").implementation = function (x) {
//hooking the new function
var my_string = string_class.$new("My TeSt String#####") //creating a new String by using `new` operator
console.log("Original arg: " + x)
var ret = this.fun(my_string) // calling the original function with the new String, and putting its return value in ret variable
console.log("Return value: " + ret)
return ret
}

获取已创建的类的对象

如果你想提取已创建对象的某个属性，可以使用此方法。

在本例中，你将看到如何获取类 my_activity 的对象，以及如何调用函数 .secret() 来打印该对象的私有属性：

Java.choose("com.example.a11x256.frida_test.my_activity", {
onMatch: function (instance) {
//This function will be called for every instance found by frida
console.log("Found instance: " + instance)
console.log("Result of secret func: " + instance.secret())
},
onComplete: function () {},
})

其他 Frida 教程

参考资料

Tip

学习和实践 AWS 黑客技术：HackTricks Training AWS Red Team Expert (ARTE)
学习和实践 GCP 黑客技术：HackTricks Training GCP Red Team Expert (GRTE) 学习和实践 Azure 黑客技术：HackTricks Training Azure Red Team Expert (AzRTE)

支持 HackTricks

查看 订阅计划!

加入 💬 Discord 群组 或 Telegram 群组 或在 Twitter 🐦 上关注我们 @hacktricks_live.

通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 来分享黑客技巧。