Last edited by: FANGG3

论坛关于反反调试的帖子很多，但是总觉得少了些什么。周末整理了一下自己之前的笔记，这里从我自己的角度，一步一步的抽丝剥茧，懂得原理才能走的更远，愿自己不要再做脚本boy。文中如有暇疵遗漏，欢迎各位斧正。

ptrace占坑

原理：a进程同一时间只能被b进程ptrace调试，如果c进程对a进程ptrace调试，则会失败。

对于frida，它的进程注入依赖于ptrace，详细可以看这篇Frida Internal - Part 2: 核心组件 frida-core。

运行App后，通过ps -A |grep byd 可以看到有两个进程：

pid分别为29976、30008。其中29976为主进程，其父进程为15576（zygote）。30008为子进程，父进程为29976。

继续查看/proc/29976/status，如下

尝试附加进程：

a. 得出结论，主进程被子进程Ptrace占坑调试，导致frida附加不上。
b. 附加子进程时，过段时间闪退，猜测存在frida检测。

如何实现ptrace占坑

首先，从ptrace函数出发，其主要用法如下：

enum __ptrace_request

PTRACE_TRACEME ：表示本进程将被其父进程跟踪，此时剩下的pid、addr、data参数都没有实际意义可以全部为0

这个选项只能用在被调试的进程中，也是被调试的进程唯一能用的request选项，其他的都只能用父进程调试器使用

PTRACE_ATTACH：attach到一个指定的进程，使其成为当前进程跟踪的子进程，而子进程的行为等同于它进行了一次PTRACE_TRACEME操作，可想而知，gdb的attach命令使用这个参数选项实现的

由此可拓展出反调试思路：

PTRACE_TRACEME 父进程占坑

检测当前tracerPid

循环读取/proc/self/status中tracerPid的值

子线程附加父线程（也就是本App的反ptrace调试方法）

反ptrace占坑

假设，app的占坑逻辑在某个So的_init中，app加载该So时，已完成了占坑查找。使用frida attach注入app时，必然会失败。在这个前提下，我们有3种方法反占坑：

在尽可能早的时机完成注入操作，例如frida spawn 注入的时机是root启动app线程后，app的So加载前。

可以发现，方法3并没有更改So的逻辑。如果调试进程Tracer修改了被调试进程Tracee的内存等，方法1和方法2可能会导致App运行异常。

了解pthread_create函数

pthread_create，作用是创建一个线程，可以指定新线程的运行函数地址，以及传递参数。

从开发的角度看frida检测

在我的理解中，作为开发而言，大概率不会在主线程进行检测，否则有可能会使程序阻塞卡顿。所以，创建一个线程，进行检测会比较好。由于frida attach后，经过了几秒后App才被kill，可以推断出使用了定时器，循环检测frida。

接下来验证我的猜测：

直接启动目标app，通过ps -T -p $(主进程pid)，查看进程中的线程，我们得到以下结果：

这样看起来似乎很复杂，我们知道linux中在没有指定线程名称时，线程的名称与进程的名称一致。

我们过滤一下包名，得到下面结果：

这样就可以区分出,哪些是App通过pthrea_create自己创建的线程了。

继续往下分析，通过WCHAN观察线程状态，其中hrtimer_nanosleep 尤其显眼，说明该线程正在调用msleep之类的函数,也就验证了我之前的假设。

绕过frida检测

方法1: patch pthread_create 函数

方法2: patch 所有调用pthread_create 函数的caller

例如：获取caller偏移地址为 0xa765c

000a7658为函数pthread_create调用，成功时返回值0放在寄存器X0中，000a765c中W0则是取寄存器X0的低32位。

frida实现如下：

验证结果：

frida可以正常spawn，不闪退。

查看线程状态，frida检测线程未创建，不影响执行流程。

虚拟框架加载So脱壳

So分析

checkCode算法分析

参考：

https://xz.aliyun.com/t/6882 Linux逆向之调试&反调试

https://www.cnblogs.com/jiaoxiake/p/6793906.html 浅谈Android反调试 之 PTRACE_TRACEME

http://blog.csdn.net/qq1084283172/article/details/53613481 解决Android加固多进程ptrace反调试的思路整理

https://blog.csdn.net/mijichui2153/article/details/82855925 pthread_create函数详解（向线程函数传递参数）

https://bbs.kanxue.com/thread-277034.htm [原创]绕过bilibili frida反调试

https://www.cnblogs.com/hellokitty2/p/16808118.html timerslack 与 sleep()/usleep()

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课