[原创]绕过bilibili frida反调试-Android安全-看雪安全社区

原创文章，首发至博客<mark class="encrypted">512K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4c8Q4x3X3g2U0M7$3c8F1i4K6u0W2j5$3&6Q4x3V1k6b7k6o6W2S2e0l9`.`.</mark>

文章仅供思路参考，请勿用作非法攻击

### 环境

- bilibili 7.26.1
- arm
- frida 15.2.2(去除特征版本)
- pixel 6  android 12

### 正文

使用frida以spawn模式启动应用，frida进程直接被杀掉了

![](upload/attach/202304/929475_PFPSN9V6JPNZPU9.jpg)

我需要知道是那个so在检测frida，可以hook dlopen看一下so的加载流程

```javascript
function hook_dlopen() {
    Interceptor.attach(Module.findExportByName(null, "android_dlopen_ext"),
        {
            onEnter: function (args) {
                var pathptr = args[0];
                if (pathptr !== undefined && pathptr != null) {
                    var path = ptr(pathptr).readCString();
                    console.log("load " + path);
                }
            }
        }
    );
}
```

![](upload/attach/202304/929475_FNMGQ6BYPN7SXSY.jpg)

由so的加载流程可知，当libmsaoaidsec.so被加载之后，frida进程就被杀掉了，因此监测点在libmsaoaidsec.so中。

如果有了解过so的加载流程，那么就会知道linker会先对so进行加载与链接，然后调用so的.init_proc函数，接着调用.init_array中的函数，最后才是JNI_OnLoad函数，所以我需要先确定检测点大概在哪个函数中。

使用frida hook JNI_OnLoad函数，如果调用了该函数就输出一行日志，如果没有日志输出，那么就说明检测点在.init_xxx函数中，注入的时机可以选择dlopen加载libmsaoaidsec.so完成之后。

```javascript
function hook_dlopen(soName = '') {
    Interceptor.attach(Module.findExportByName(null, "android_dlopen_ext"),
        {
            onEnter: function (args) {
                var pathptr = args[0];
                if (pathptr !== undefined && pathptr != null) {
                    var path = ptr(pathptr).readCString();
                    if (path.indexOf(soName) >= 0) {
                        this.is_can_hook = true;
                    }
                }
            },
            onLeave: function (retval) {
                if (this.is_can_hook) {
                    hook_JNI_OnLoad()
                }
            }
        }
    );
}

function hook_JNI_OnLoad(){
    let module = Process.findModuleByName("libmsaoaidsec.so")
    Interceptor.attach(module.base.add(0xC6DC + 1), {
        onEnter(args){
            console.log("call JNI_OnLoad")
        }
    })
}

setImmediate(hook_dlopen, "libmsaoaidsec.so")
```

![](upload/attach/202304/929475_3MNWXSB5QNYXFYA.jpg)

并没有输出日志，那么说明检测的位置在JNI_OnLoad函数之前，所以我需要hook .init_xxx的函数，但这里有一个问题，dlopen函数调用完成之后.init_xxx函数已经执行完成了，这个时候不容易使用frida进行hook

![](upload/attach/202304/929475_2XY6FG3JTBDJM42.jpg)

这个问题其实很麻烦的，因为你想要hook linker的call_function并不容易，这里面涉及到linker的自举，我想到了一个取巧的办法，请看接下来的操作。

首先在.init_proc函数中找一个调用了外部函数的位置，时机越早越好

![](upload/attach/202304/929475_H3M92FC9ETTQETZ.jpg)

我选择了_system_property_get函数，接下来使用frida hook dlopen函数，当加载libmsaoaidsec.so时，在onEnter回调方法中hook  _system_property_get函数，以"ro.build.version.sdk"字符串作为过滤器。

如果_system_property_get函数被调用了，那么这个时候也就是.init_proc函数刚刚调用的时候，在这个时机点可以注入我想要的代码，具体实现如下：

```javascript
function hook_dlopen(soName = '') {
    Interceptor.attach(Module.findExportByName(null, "android_dlopen_ext"),
        {
            onEnter: function (args) {
                var pathptr = args[0];
                if (pathptr !== undefined && pathptr != null) {
                    var path = ptr(pathptr).readCString();
                    if (path.indexOf(soName) >= 0) {
                        locate_init()
                    }
                }
            }
        }
    );
}

setImmediate(hook_dlopen, "libmsaoaidsec.so")
```

在获取了一个非常早的注入时机之后，就可以定位具体的frida检测点了。网上对frida的检测通常会使用openat、open、strstr、pthread_create、snprintf、sprintf、readlinkat等一系列函数，从这里下手是一个不错的选择。

我对pthread_create函数进行hook，打印一下新线程要执行的函数地址

```javascript
function hook_pthread_create(){
    console.log("libmsaoaidsec.so --- " + Process.findModuleByName("libmsaoaidsec.so").base)
    Interceptor.attach(Module.findExportByName("libc.so", "pthread_create"),{
        onEnter(args){
            let func_addr = args[2]
            console.log("The thread function address is " + func_addr)
        }
    })
}
```

![](upload/attach/202304/929475_M2527H4BAQPFJTY.jpg)

这里面有两个线程是libmsaoaidsec.so创建的，对应的函数偏移分别是0x11129和0x10975

这两个函数都检测了frida，想要了解具体检测方法的可以自己看看，这里不再深入。

绕过的方法很简单，直接nop掉pthread_create或者替换检测函数的代码逻辑都可以，我是直接把pthread_create函数nop掉了，下面是完整代码。

```javascript
function hook_dlopen(soName = '') {
    Interceptor.attach(Module.findExportByName(null, "android_dlopen_ext"),
        {
            onEnter: function (args) {
                var pathptr = args[0];
                if (pathptr !== undefined && pathptr != null) {
                    var path = ptr(pathptr).readCString();
                    if (path.indexOf(soName) >= 0) {
                        locate_init()
                    }
                }
            }
        }
    );
}

function hook_pthread_create() {
    console.log("libmsaoaidsec.so --- " + Process.findModuleByName("libmsaoaidsec.so").base)
    Interceptor.attach(Module.findExportByName("libc.so", "pthread_create"), {
        onEnter(args) {
            let func_addr = args[2]
            console.log("The thread function address is " + func_addr)
        }
    })
}

function nop(addr) {
    Memory.patchCode(ptr(addr), 4, code => {
        const cw = new ThumbWriter(code, { pc: ptr(addr) });
        cw.putNop();
        cw.putNop();
        cw.flush();
    });
}

function bypass(){
    let module = Process.findModuleByName("libmsaoaidsec.so")
    nop(module.base.add(0x10AE4))
    nop(module.base.add(0x113F8))
}

setImmediate(hook_dlopen, "libmsaoaidsec.so")
```

![](upload/attach/202304/929475_3QFVB25SFRG9P4V.jpg)

至此，frida检测也就成功绕过了。

登录后可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

#逆向分析 #NDK分析 #HOOK注入

最新回复 (81) 1 2 3 4 ▶
huluxia 雪币： 1940 活跃值： (2931) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 226 粉丝 3 关注私信	huluxia 2 楼大佬牛逼。现在加固的壳脱壳搞不定，frida调试也搞不定。希望多出点frida过反调试的文章 2023-4-29 17:30 3
马到成功* 雪币： 680 活跃值： (1926) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 14 粉丝 90 关注私信	马到成功* 3 楼也不是大佬，感谢支持 2023-4-29 18:30 1
MsScotch 雪币： 4204 活跃值： (4981) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 394 粉丝 5 关注私信	MsScotch 4 楼思路不错。 2023-4-29 21:38 0
La0s 雪币： 905 活跃值： (1338) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 40 粉丝 1 关注私信	La0s 5 楼好文好思路，学习了 2023-4-30 13:27 0
秋狝雪币： 10087 活跃值： (34166) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1571 粉丝 39 关注私信	秋狝 6 楼好文 2023-4-30 16:24 1
Abelly 雪币： 388 活跃值： (2750) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 30 粉丝 2 关注私信	Abelly 7 楼大佬，new ThumbWriter未定义咋处理？ 2023-5-3 12:49 0
st0ne 雪币： 2130 活跃值： (4683) 能力值： ( LV6，RANK：80 ) 在线值：发帖 5 回帖 68 粉丝 132 关注私信	st0ne 1 8 楼 666 2023-5-3 13:08 0
马到成功* 雪币： 680 活跃值： (1926) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 14 粉丝 90 关注私信	马到成功* 9 楼 Abelly 大佬，new ThumbWriter未定义咋处理？不应该呀，是不是你的frida版本太低了？ 2023-5-3 20:04 0
Losir 雪币： 324 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 11 粉丝 1 关注私信	Losir 10 楼大佬牛逼 2023-5-4 11:57 0
wx_水山雪币： 1 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 17 粉丝 1 关注私信	wx_水山 11 楼找注入点的操作实在太6了，学习了 2023-5-4 18:35 0
万里星河雪币： 273 活跃值： (2404) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 603 粉丝 8 关注私信	万里星河 12 楼 mark 2023-5-4 23:23 0
puppet_w 雪币： 1247 活跃值： (958) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 68 粉丝 10 关注私信	puppet_w 13 楼大佬，我想问下前边找的对应的函数偏移分别是0x11129和0x10975，为啥后边 nop(module.base.add(0x10AE4)) nop(module.base.add(0x113F8)) 这俩地址最后于 2023-5-5 13:55 被puppet_w编辑，原因： 2023-5-5 13:54 0
马到成功* 雪币： 680 活跃值： (1926) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 14 粉丝 90 关注私信	马到成功* 14 楼 puppet_w 大佬，我想问下前边找的  对应的函数偏移分别是0x11129和0x10975，为啥后边nop(module.base.add(0x10AE4))nop(module ... 0x11129和0x10975是线程需要执行的函数的地址，也就是pthread_create函数的第三个参数，0x10AE4和0x113F8是pthread_create函数被调用的地址。 2023-5-5 14:08 2
puppet_w 雪币： 1247 活跃值： (958) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 68 粉丝 10 关注私信	puppet_w 15 楼马到成功* 0x11129和0x10975是线程需要执行的函数的地址，也就是pthread_create函数的第三个参数，0x10AE4和0x113F8是pthread_create函数被调用的地址。我看10776 10ad0地址好像也有调用pthread_create，，对吗 2023-5-5 14:26 1
lamorm 雪币： 221 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 14 粉丝 0 关注私信	lamorm 16 楼问下大佬，nop的这两个地址是怎么算出来的，0x10AE4和0x113F8 2023-5-5 16:00 0
Circ1e 雪币： 187 活跃值： (2723) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 58 粉丝 2 关注私信	Circ1e 17 楼精彩 2023-5-5 16:40 0
马到成功* 雪币： 680 活跃值： (1926) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 14 粉丝 90 关注私信	马到成功* 18 楼 puppet_w 我看10776  10ad0地址好像也有调用pthread_create，，对吗并不是每个线程都是检测frida的 2023-5-5 16:42 0
马到成功* 雪币： 680 活跃值： (1926) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 14 粉丝 90 关注私信	马到成功* 19 楼 lamorm 问下大佬，nop的这两个地址是怎么算出来的，0x10AE4和0x113F8 根据交叉引用，找到检测frida的函数的调用处 2023-5-5 16:42 0
萌木盖雪币： 109 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 7 粉丝 4 关注私信	萌木盖 20 楼 bilibili 是32位的如果其他app是64位的地址是 nop(module.base.add(0x1A858)); nop(module.base.add(0x1B8A8)); 且nop 方法要改为Arm64Writer 会报找不到ThumbWriter的问题且cw.putNop()要变成四个 function nop(addr) { Memory.patchCode(ptr(addr), 4, code=> { const cw = new Arm64Writer(code, { pc: ptr(addr) }); // const cw = new ThumbWriter(code, { pc: ptr(addr) }); cw.putNop(); cw.putNop(); cw.putNop(); cw.putNop(); cw.flush(); }); } 而且64位的还可以hook strstr 把frida osedBridge之类的一大堆都过滤掉也可解决最后于 2023-5-6 16:29 被萌木盖编辑，原因：乱码了 2023-5-5 19:27 7
hnmy 雪币： 12 活跃值： (118) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 1 关注私信	hnmy 21 楼 mark 2023-5-6 10:13 0
萌木盖雪币： 109 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 7 粉丝 4 关注私信	萌木盖 22 楼 Abelly 大佬，new ThumbWriter未定义咋处理？看我上条评论 2023-5-6 16:10 0
wx_威郑天雪币： 661 活跃值： (69) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 15 粉丝 4 关注私信	wx_威郑天 23 楼 mark 2023-5-8 14:25 0
v0id_ 雪币： 8659 活跃值： (5436) 能力值： ( LV4，RANK：45 ) 在线值：发帖 7 回帖 243 粉丝 36 关注私信	v0id_ 24 楼 mark了，又学到一个linker里的hook点 2023-5-8 16:27 0
jianggiegie 雪币： 202 活跃值： (259) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 1 关注私信	jianggiegie 25 楼学习了,又涨新知识了 2023-5-9 18:04 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复