-
-
未解决 [求助]frida spawn被检测
-
发表于: 2024-1-19 16:37
-
求助各位大佬帮忙分析个问题
最近在研究一个app,我使用最新的frida去attach用着没有任何问题,但是使用spawn就会被检测,而且只要在手机上启动过frida-server,然后再把这个程序强制退出之后就打不开了,注意是启动过,而不是启动,就是只要说我启动过frida之后,这个app就打不开了,如果app开着再以attach的模式运行frida就没问题.
求大佬们给点思路,常规的检测最新的frida都已经避开了,而且感觉他不是检测frida是否在运行,而且是在检测他有没有运行过的痕迹.
壳的话应该是360的,so见附件,由于他可以attach,所以还是可以接着分析,但是应用崩了之后就必须重启手机才能再继续用frida,就很麻烦...
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
怎么操作呀大佬,可加wx吗,通过之后小红包感谢 wx:oxxooxxoxoxo |
|
|
|
|
|
对呀,不知道检测了什么,attach又没问题 
|
|
|
我将这个帖子移到付费问答了https://bbs.kanxue.com/thread-280265.htm,如果大佬有时间可以答一下 |
|
|
|
|
|
不是启动检测,就算启动app的时候我没开frida-server,但是在这次开机之后我运行过frida-server 他就会进不去app. |
|
|
跟你描述的情况一致,那时候忙着搞项目,是直接暴力过的,当时发现检测是在java的线程里面,通过hook分析,同一个线程创建执行类,根据参数不同 (类创建的时候会把其他实际执行的类和线程操作函数作为参数传入) 执行不同的操作,当时是直接定位到检测的线程所执行的函数,通过找一个无关紧要的函数替换,就绕过了,java反射+混淆加动态解密太忙了 ~屎一样的代码~ ,真不想深了分析,就没去进一步分析.回头我也再继续分析分析. |
|
|
|
