博客同步：访问

Frida官网给我们了一个ctf的示例，就以此为例子，开始学习frida在android逆向的使用。
rps.apk 下载地址

使用genymotion等类似android模拟器安装好打开，发现这是一个石头剪刀布的游戏应用，简单的玩了一下，没什么特别的，直接分析代码吧，看看到底想干什么。

使用jadx-gui反编译，发现app没有加壳和混淆，当然一来就加壳和混淆的话对我们就太不友好了，接下分析就简单了，直接看java代码。当然也可以使用androidkiller，jeb等其他强大的反编译工具。

在MainActivity中找到OnCreate()方法，可以看到只是简单的声明了button控件以及对应的监听器。

继续查看button的onclick方法，可以看出cpu是通过随机数组出的，其判断输赢的方法在this.showMessageTask中。

跟进分析showMessageTask，可以看到如果赢了mainActivity.cnt会+1，但是一旦输了cnt就会置0，而获取flag的要求是我们得获胜1000次，...... :(

简单分析一下获取flag需要的条件，总结有3个办法:

分析calc()方法能算出答案，但这个方法在so中，得分析汇编代码才行，当然可以尝试使用ida pro，F5查看C代码分析，前提是算法不难。

获取calc函数的返回值，从而计算答案。

接下来就用frida，使用后两种思路来解这个简单的示例。但在这之前得先了解Frida自带的Messages机制，了解frida怎么从通过一个python脚本发送和接收message消息是一个提升理解frida的好方法。

先来看看一个Messages的模板，这里用到的语言分别是python和javascript，他们之间的关系是python作为载体，javascript作为在android中真正执行代码。

当然如果是对此简单的使用，只需要编写jscode，以及填写你要hook的应用完整包名就行了，不过如果单纯只会用可能在以后会被模板限制，所以一探究竟还是很有必要。
可以在cmd中，使用python终端的help()函数找到frida库的源代码的绝对路径。

接下来就来具体看看这几句代码做了什么事情。

首先使用了frida.get_usb_device()，返回了一个_get_device函数，跟进_get_device方法。

在_get_device中，通过get_device_manager()实例化DeviceManager类，并调用该类中的enumerate_devices()方法。

get_device_manager()代码

DeviceManager中enumerate_devices(）方法，可以看到enumerate_devices()方法实际上是返回了一个Device()类的实例化对象List。

继续跟进Device类中的，就找到了attach()方法。在attach方法这是设置断点，看看传入的数据。

接下来提供的“应用完整名”是通过self._pid_of()函数去找到对应的进程号pid，然后将pid后通过Session类初始化。到此第一句代码过程就算是明白了，最终得到的是一个对应进程号pid的Session实例化对象process。

第二句，紧接着process.create_script(jscode)，可以看到它返回一个Script类的实例化，参数不确定。

跟进Script类，可以找到on()方法，在on方法中可以设置自定义回调函数。

接下来调用load()方法，在服务端就启动javascript脚本了，至于在frida-server服务端怎么执行的，可逆向研究一下frida-server，它才是真正的核心。

现在就来使用frida实现刚刚试想的方法。

第一种思路就是直接获取calc的返回值，从native函数定义上知道它的返回值是int类型，当然直接获取calc函数的返回值是解出问题最简单的方法。

那怎么获取calc()函数的返回值呢，这个函数在MainActivity类中，直接引用该类下的calc()方法，不就ok了吗，原理是这样，下面就来构造一下Javascript代码。

JavaScript代码就是这样，如果不是很理解，学习一下JavaScript基础即可，下面看看完整的python脚本。

接下来运行一下，看看能否成功。

步骤如下：

因为hook的是应用的onCreate方法，执行python脚本的前提是应用首先启动，这样才能attach到该应用，所以还得返回模拟器桌面重新启动应用，这样它才会执行hook的onCreate()方法，结果如下。

第二种思路也比较简单，我们需要修改cnt的值，但如果直接修改cnt的初始值为1000的话，在游戏中可能存在不确定因素，比如输了会置0，赢了cnt值就变成1001了，所以还得控制一下输赢，而输赢的条件是电脑出什么，所以最终hook的方法就在onClick中。
从onClick()中可以知道，控制输赢的在于修改this.n 和 this.m的值，再来看看源代码。

来看JavaScript代码怎么写吧

完整python代码

执行python脚本，任意点击按钮，答案就出来了。

当然，如果so中的calc()函数算法不难的前提，直接使用ida pro或者radare2分析汇编代码也是可以的。这里给出用radare2反汇编出来的代码。可以看到，calc()函数就单纯的返回了int值7。

  protected void onCreate(Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        setContentView(R.layout.activity_main);
        this.P = (Button) findViewById(R.id.button);
        this.S = (Button) findViewById(R.id.button3);
        this.r = (Button) findViewById(R.id.buttonR);
        this.P.setOnClickListener(this);
        this.r.setOnClickListener(this);
        this.S.setOnClickListener(this);
        this.flag = 0;
    }

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课