[原创] Frida hook Java/Native与init_array 自吐最终方案-Android安全-看雪安全社区

[原创] Frida hook Java/Native与init_array 自吐最终方案

发表于: 2021-5-10 14:39 26206

[原创] Frida hook Java/Native与init_array 自吐最终方案

Simp1er

2021-5-10 14:39

26206

[toc]
## 1. 前言

题目来自看雪2020春季班10月份第一题和第三题。这两个题目本身难度不高，但是确实考察对源码的理解，同时也不失为一个`frida`的案例。

## 2. HTTPUrlConnection 信息自吐
### 2.1 题目描述

在`HttpURLConnection`的开发过程中，设置参数时会用到以下方法。分析并`hook`上这些方法，写出一两个参数的自吐。

```java
// URLConnection
httpUrlConnection.setDoOutput(true); 
httpUrlConnection.setDoInput(true); 
HttpUrlConnection.setUseCaches(false); 
httpUrlConnection.setRequestProperty("Content-type", "application/x-java-serialized-object"); 
httpUrlConnection.connect(); 
// HttpURLConnection
httpUrlConnection.setRequestMethod("POST"); 
```
### 2.2 分析

具体在测试时可以自己写一个简单的`demo`并在APP中显示调用如下函数

![](upload/attach/202011/715334_53TF3UAZ2K2S4KB.png)

测试app功能正常后，用`Objection`直接把以下两个类全都`hook`上:`java.net.URLConnection`以及` java.net.HttpURLConnection`

结果如图发现反复调用这几个函数，其他函数都没有调用：

![](upload/attach/202011/715334_KSDWWSE6NCUEKFG.png)

怀疑底层是否真实使用这些类实现的，找到对应源码，发现其实`HttpURLConnection`类也是一个抽象类，就是说在`Java`中实际上是其`Impl`类去实现:

使用`WallBreaker`去搜索`HttpURLConnection`会发现确实有一个类`com.android.okhttp.internal.huc.HttpURLConnectionImpl`

![](upload/attach/202011/715334_AH8JJ392CAD4TVV.png)

去源码里搜了搜发现，确实这个类实现了这个函数

源码看<a href="elink@4f9K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6S2L8X3c8J5L8$3W2V1i4K6u0W2k6$3!0G2k6$3I4W2M7$3!0#2M7X3y4W2i4K6u0W2j5$3!0E0i4K6u0r3M7r3I4S2N6r3k6G2M7X3#2Q4x3V1k6W2P5s2c8W2M7X3&6S2L8q4)9J5c8X3!0C8K9s2c8@1M7q4)9J5c8W2)9J5b7W2)9J5c8U0t1&6y4o6j5J5y4U0f1K6z5o6t1&6y4U0m8X3j5X3b7^5k6e0u0T1k6o6M7$3y4h3f1@1x3r3f1K6j5X3x3%4x3o6p5$3k6e0V1$3x3r3g2Q4x3V1k6K6M7X3y4Q4x3V1k6E0j5h3W2F1i4K6u0r3K9X3q4$3j5g2)9J5c8X3y4G2L8g2)9J5c8Y4y4I4N6h3q4J5k6i4g2H3i4K6u0r3L8$3E0Z5N6s2c8H3i4K6u0r3K9h3&6@1k6i4u0F1j5h3I4Q4x3V1k6Z5N6s2c8H3i4K6u0r3d9s2c8@1M7q4g2d9e0p5y4G2L8X3&6W2j5%4c8A6L8$3&6u0L8i4m8D9i4K6u0W2K9X3q4$3j5b7`.`.">HttpURLConnectionImpl</a>

![](upload/attach/202011/715334_C9ZVHHCDNHFVWSK.png)

晕死，结果这个类也是okHttp做的底层？？？先hook一下这个类

会发现这个实现类确实实现了之前没有hook到的三个函数

![](upload/attach/202011/715334_F326MYBVJV8AJRN.png)

那么最终脚本就直接写就是了

```javascript
function hook_java(){
    Java.perform(function(){
        // httpUrlConnection.setDoOutput(true); 
        // httpUrlConnection.setDoInput(true); 
        // HttpUrlConnection.setUseCaches(false); 
        var URLConnection = Java.use("java.net.URLConnection")
        URLConnection.setDoOutput.implementation = function(isOutput){
            console.log("URLConnection.setDoOutput : ",isOutput);
            return this.setDoOutput(isOutput);
        }
        URLConnection.setDoInput.implementation = function(isInput){
            console.log("URLConnection.setDoInput : ",isInput);
            return this.setDoInput(isInput);
        }
        URLConnection.setUseCaches.implementation = function(isUseCaches){
            console.log("URLConnection.setUseCaches : ",isUseCaches);
            return this.setUseCaches(isUseCaches);
        }
        // com.android.okhttp.internal.huc.HttpURLConnectionImpl
        var HttpURLConnectionImpl = Java.use("com.android.okhttp.internal.huc.HttpURLConnectionImpl");
        HttpURLConnectionImpl.setRequestProperty.implementation = function(name,value){
            console.log("HttpURLConnectionImpl.setRequestProperty => ",name,": ",value);
            return this.setRequestProperty(name,value);
        }
        HttpURLConnectionImpl.setRequestMethod.implementation = function(type){
            console.log("HttpURLConnectionImpl.setRequestMethod : ",type);
            return this.setRequestMethod(type);
        }
        HttpURLConnectionImpl.connect.implementation = function(){
            console.log("HttpURLConnectionImpl.connect");
            return this.connect();
        }

});
}

function main(){
    hook_java();
}
setImmediate(main);
```

最终效果如下

![](upload/attach/202011/715334_83XDE4B4RAUT3RX.png)

## 3. so构造函数自吐
### 3.1 题目描述

在课时⑨中给出的init array的自吐 hook_linker，32位版本解决了，请分析64位版本，尝试给出解决方案并解决。

### 3.2 分析
以8.1为例，查看源码后会发现

`dlopen`调用过程中最终是

目录`/bionic/linker/linker_soinfo.cpp`

```C++
soinfo::call_constructors()
	call_function("DT_INIT", init_func_, get_realpath());
	call_array("DT_INIT_ARRAY", init_array_, init_array_count_, false, get_realpath());
			------>循环调用了 call_function("function", functions[i], realpath);
```
 ![](upload/attach/202011/715334_Q79SY6E8NXW2TWW.png)
这个函数是模版函数，把linker拷到IDA上一看，会发现这个函数是唯一的，且参数是4个，同时会发现64位的linker中是没有`call_function`这个函数的,这个函数被优化成了代码片段，插进`call_constructors`函数和`call_array`函数中了。
最终模仿这个函数直接写一个js版本就行了关键的代码如下

```typescript
function hook_init_array() {
    //console.log("hook_constructor",Process.pointerSize);
    if (Process.pointerSize == 4) {
        var linker = Process.findModuleByName("linker");
    }else if (Process.pointerSize == 8) {
        var linker = Process.findModuleByName("linker64");

}

this.type = ptr(args[0]).readCString();
                //console.log(this.type,args[1],args[2],args[3])
                if (this.type == "DT_INIT_ARRAY") {
                    this.count = args[2];
                    //this.addrArray = new Array(this.count);
                    this.path = ptr(args[3]).readCString();
                    var strs = new Array(); //定义一数组 
                    strs = this.path.split("/"); //字符分割
                    this.filename = strs.pop();
                    if(this.count > 0){
                        console.log("path : ", this.path);
                        console.log("filename : ", this.filename);
                    }
                    for (var i = 0; i < this.count; i++) {
                        console.log("offset : init_array["+i+"] = ", ptr(args[1]).add(Process.pointerSize*i).readPointer().sub(Module.findBaseAddress(this.filename)));
                        //插入hook init_array代码
                    }
                }
            },
            onLeave: function (retval) {

}
        });
    }
}
```

但是这样只是`hook`了`so`中`init_array`节中函数，还存在`.init_proc`的构造函数并未`hook`，和32位一样本来是继续去`hook` `call_function`函数，在脱出`/system/lib64/libart.so`后，发现`call_function`这个`symbol`无法找到，观察下图发现这个函数被`inline`了。

![](upload/attach/202011/715334_ZMEJZXK4GNM9Q7G.png)

![](upload/attach/202011/715334_XWZSUYSY28762T3.png)

但是仔细观察`.init_proc`和`.init_array`函数调用前后，都会有一个log的判断，直接去`hook`这个`_dl_async_safe_format_log`函数吧

但是首先得`_dl_g_ld_debug_verbosity`这个值大于等于2这个函数才会执行，那么先使用`frida`去这个变量的地址，然后修改这个变量的值使其达到`_dl_async_safe_format_log`函数会执行的条件即可。

最终`frida`关键代码如下：

```typescript
function hook_constructor() {
    if (Process.pointerSize == 4) {
        var linker = Process.findModuleByName("linker");
    } else {
        var linker = Process.findModuleByName("linker64");
    }

var addr_call_function =null;
    var addr_g_ld_debug_verbosity = null;
    var addr_async_safe_format_log = null;
    if (linker) {
        //console.log("found linker");
        var symbols = linker.enumerateSymbols();
        for (var i = 0; i < symbols.length; i++) {
            var name = symbols[i].name;
            if (name.indexOf("call_function") >= 0){
                addr_call_function = symbols[i].address;
               // console.log("call_function",JSON.stringify(symbols[i]));
            }
            else if(name.indexOf("g_ld_debug_verbosity") >=0){
                addr_g_ld_debug_verbosity = symbols[i].address;
              
                ptr(addr_g_ld_debug_verbosity).writeInt(2);

} else if(name.indexOf("async_safe_format_log") >=0 && name.indexOf('va_list') < 0){
               // console.log("async_safe_format_log",JSON.stringify(symbols[i]));
                addr_async_safe_format_log = symbols[i].address;

}

}
    }
    if(addr_async_safe_format_log){
        Interceptor.attach(addr_async_safe_format_log,{
            onEnter: function(args){
                this.log_level  = args[0];
                this.tag = ptr(args[1]).readCString()
                this.fmt = ptr(args[2]).readCString()
                if(this.fmt.indexOf("c-tor") >= 0 && this.fmt.indexOf('Done') < 0){
                    this.function_type = ptr(args[3]).readCString(), // func_type
                    this.so_path = ptr(args[5]).readCString();
                    var strs = new Array(); //定义一数组 
                    strs = this.so_path.split("/"); //字符分割
                    this.so_name = strs.pop();
                    this.func_offset  = ptr(args[4]).sub(Module.findBaseAddress(this.so_name)) 
                     console.log("func_type:", this.function_type,
                        '\nso_name:',this.so_name,
                        '\nso_path:',this.so_path,
                        '\nfunc_offset:',this.func_offset 
                     );
                   // hook代码在这加
                }
            },
            onLeave: function(retval){
            }
        })
    }

}
```

最终效果如下，

64位：

![](upload/attach/202011/715334_7CGS8FZPV3J985F.png)

32位效果：

![](upload/attach/202011/715334_RM5N8VYHZQBD3EP.png)

同样的完整代码已经上传`github`,看<a href="elink@7b0K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6e0K9h3#2H3x3h3g2J5i4K6u0r3b7h3&6V1M7X3!0A6k6q4y4W2j5#2)9J5c8X3u0D9L8$3u0Q4x3V1k6E0j5i4y4@1k6i4u0Q4x3V1k6Z5L8$3!0C8i4K6g2X3j5$3!0F1M7%4c8J5N6h3y4@1L8%4u0K6i4K6u0W2K9Y4x3`.">这里</a>

## 4. 后记
一切答案都在源码中。

登录后可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2021-5-11 11:34 被Simp1er编辑，原因：

#逆向分析 #HOOK注入 #源码框架

收藏・59

点赞・21

打赏

赞赏记录

参与人

雪币

留言

时间

solleech

这个讨论对我很有帮助，谢谢！

2026-1-22 20:52

飘零丶

为你点赞！

2025-12-13 05:39

wx_0.0_522

你的帖子非常有用，感谢分享！

2025-9-17 21:04

sinker_

感谢你分享这么好的资源！

2025-8-25 10:46

一路南寻

感谢你的贡献，论坛因你而更加精彩！

2025-5-15 02:10

eeeeelukou

谢谢你的细致分析，受益匪浅！

2025-2-18 22:55

gladly

期待更多优质内容的分享，论坛有你更精彩！

2025-1-7 20:40

東陽不列山

看雪因你而更加精彩！

2024-7-27 02:36

shinratensei

为你点赞！

2024-6-29 01:59

yuanyouran

为你点赞~

2024-5-21 20:32

Gift1a

为你点赞~

2024-2-4 10:36

st0ne

为你点赞~

2024-1-19 14:57

你瞒我瞒

为你点赞~

2023-11-8 09:13

哆啦噩梦

为你点赞~

2023-7-6 12:22

v0id_

为你点赞~

2023-3-5 19:40

弄好了

为你点赞~

2023-1-28 17:51

陈可牛

为你点赞~

2022-10-15 17:32

PLEBFE

为你点赞~

2022-7-30 08:16

mb_koqlvqrs

为你点赞~

2022-4-14 14:04

phoenii

为你点赞~

2021-6-14 22:42

GitRoy

为你点赞~

2021-5-10 15:19

最新回复 (10)
万里星河雪币： 273 活跃值： (2389) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 603 粉丝 8 关注私信	万里星河 2 楼没看懂最后是在hook init_array里的函数吗 2021-5-11 21:34 0
Simp1er 雪币： 46 活跃值： (6216) 能力值： ( LV8，RANK：146 ) 在线值：发帖 42 回帖 161 粉丝 151 关注私信	Simp1er 3 楼万里星河没看懂最后是在hook init_array里的函数吗对 2021-5-12 08:37 0
YenKoc 雪币： 2692 活跃值： (6010) 能力值： ( LV10，RANK：177 ) 在线值：发帖 6 回帖 71 粉丝 68 关注私信	YenKoc 2 4 楼 mark了，太强了 2021-5-12 13:21 0
fuckzg 雪币： 1223 活跃值： (46) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 13 粉丝 2 关注私信	fuckzg 5 楼收藏，学习了 2021-5-16 15:46 0
哆啦噩梦雪币： 498 活跃值： (5751) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 53 粉丝 2 关注私信	哆啦噩梦 6 楼太强了 2023-7-6 12:22 0
andrewls 雪币： 19 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 1 关注私信	andrewls 7 楼 mark 2023-12-30 14:16 0
梦_魇雪币： 1330 活跃值： (7660) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 36 粉丝 1 关注私信	梦_魇 8 楼大佬有个问题请教下在hook linker时候拿信息的话hook init_ary感觉就行了为什么还要处理下.init_proc 我在测试的时候只处理hook init_ary确实拿到的加载so不是很齐全然后处理了init_proc就好了搞不懂了这个init_proc的构造函数是什么东西我在原理里面没有找到前来请教下最后于 2024-5-17 01:22 被梦_魇编辑，原因： 2024-5-16 17:06 0
qig 雪币： 47 活跃值： (755) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 55 粉丝 1 关注私信	qig 9 楼梦_魇大佬  有个问题请教下  在hook linker时候 拿信息的话hook&nbsp ... soinfo::call_constructors() call_function("DT_INIT", init_func_, get_realpath()); call_array("DT_INIT_ARRAY", init_array_, init_array_count_, false, get_realpath()); ------>循环调用了 call_function("function", functions[i], realpath); 我理解 init_proc就是这个 call_function("DT_INIT", init_func_, get_realpath()); ，可以在这个函数里面做点事情. 2024-5-20 10:27 2
梦_魇雪币： 1330 活跃值： (7660) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 36 粉丝 1 关注私信	梦_魇 10 楼感谢大佬我看了下安卓的源码搞定了这个文章里面那个看libart.so那个地方写错了我当时不懂为什么要去看libart.so 2024-5-20 19:13 0
淡定小胖子雪币： 1587 活跃值： (2832) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 81 粉丝 5 关注私信	淡定小胖子 11 楼 mark 2026-1-10 23:11 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

Simp1er

发帖

161

回帖

146

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (10)
万里星河雪币： 273 活跃值： (2389) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 603 粉丝 8 关注私信	万里星河 2 楼没看懂最后是在hook init_array里的函数吗 2021-5-11 21:34 0
Simp1er 雪币： 46 活跃值： (6216) 能力值： ( LV8，RANK：146 ) 在线值：发帖 42 回帖 161 粉丝 151 关注私信	Simp1er 3 楼万里星河没看懂最后是在hook init_array里的函数吗对 2021-5-12 08:37 0
YenKoc 雪币： 2692 活跃值： (6010) 能力值： ( LV10，RANK：177 ) 在线值：发帖 6 回帖 71 粉丝 68 关注私信	YenKoc 2 4 楼 mark了，太强了 2021-5-12 13:21 0
fuckzg 雪币： 1223 活跃值： (46) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 13 粉丝 2 关注私信	fuckzg 5 楼收藏，学习了 2021-5-16 15:46 0
哆啦噩梦雪币： 498 活跃值： (5751) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 53 粉丝 2 关注私信	哆啦噩梦 6 楼太强了 2023-7-6 12:22 0
andrewls 雪币： 19 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 1 关注私信	andrewls 7 楼 mark 2023-12-30 14:16 0
梦_魇雪币： 1330 活跃值： (7660) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 36 粉丝 1 关注私信	梦_魇 8 楼大佬有个问题请教下在hook linker时候拿信息的话hook init_ary感觉就行了为什么还要处理下.init_proc 我在测试的时候只处理hook init_ary确实拿到的加载so不是很齐全然后处理了init_proc就好了搞不懂了这个init_proc的构造函数是什么东西我在原理里面没有找到前来请教下最后于 2024-5-17 01:22 被梦_魇编辑，原因： 2024-5-16 17:06 0
qig 雪币： 47 活跃值： (755) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 55 粉丝 1 关注私信	qig 9 楼梦_魇大佬  有个问题请教下  在hook linker时候 拿信息的话hook&nbsp ... soinfo::call_constructors() call_function("DT_INIT", init_func_, get_realpath()); call_array("DT_INIT_ARRAY", init_array_, init_array_count_, false, get_realpath()); ------>循环调用了 call_function("function", functions[i], realpath); 我理解 init_proc就是这个 call_function("DT_INIT", init_func_, get_realpath()); ，可以在这个函数里面做点事情. 2024-5-20 10:27 2
梦_魇雪币： 1330 活跃值： (7660) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 36 粉丝 1 关注私信	梦_魇 10 楼感谢大佬我看了下安卓的源码搞定了这个文章里面那个看libart.so那个地方写错了我当时不懂为什么要去看libart.so 2024-5-20 19:13 0
淡定小胖子雪币： 1587 活跃值： (2832) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 81 粉丝 5 关注私信	淡定小胖子 11 楼 mark 2026-1-10 23:11 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复