Frida-Sigaction-Seccomp实现对Android APP系统调用的拦截-Android安全-看雪安全社区

Frida-Sigaction-Seccomp实现对Android APP系统调用的拦截

发表于: 2024-1-26 10:52 8557

Frida-Sigaction-Seccomp实现对Android APP系统调用的拦截

LLeaves

2024-1-26 10:52

8557

## 说明

> 段落引用    本文思路和主要代码来源，感谢大佬们提供的NB思路，关于seccomp等不再赘述，直接传送至各位前辈大佬的文章即可：
>     
[[原创]基于seccomp+sigaction的Android通用svc hook方案 ](https://bbs.kanxue.com/thread-277544.htm)
[[原创]SVC的TraceHook沙箱的实现&无痕Hook实现思路 ](https://bbs.kanxue.com/thread-273160.htm)
[[原创]分享一个Android通用svc跟踪以及hook方案——Frida-Seccomp  ](https://bbs.kanxue.com/thread-271815.htm)

## 引言
一切都因WMCTF2023一道Android 游戏题BabyAnti-2而起，预期解为拦截mincore调用（int mincore(void *start, size_t length, unsigned char *vec);监测指定大小的页面是否处于物理内存中。一般用于内存扫描的检查，一旦扫描行为发生，有些并不在物理内存的页面被调入。vec 是一个字节数组，用于存储结果。每个字节对应 addr 和 length 指定的内存区域中的一个页面。如果相应的页面驻留在内存中，那么相应的字节的最低位会被设置为 1，否则会被设置为 0。），当时非预期了题目，即直接CheatEngine附加游戏题，扫描内存时游戏虽然会监测到并弹窗，但是游戏正常运行，直接能修改分数并且拿到flag。后来想着除了通过内存搜索mincore的svc调用指令外还有什么其他别的办法快速的拦截svc调用，就看到了看雪上面的三篇文章

## 实操
经过实验发现，
* Ptrace-seccomp方案原理简单，因为要fork子进程来监控父进程，实操较为复杂且容易出现各种问题。本人手太拙，在用这种方案对小demo是成功的，但是对游戏父进程进行ptrace时会出现问题。

* Frida-seccomp方案，上手十分迅速，但是由于异常处理是Frida来做的，而且利用Frida的Process.setExceptionHandler来自己设置异常回调。这就会导致在进行大量系统调用的APP上使用该方案时产生极大的时间损耗，游戏运行极慢，但是可以成功拦截mincore调用并修改参数。

* Sigaction-seccomp方案中作者给出了主要思路，即通过sigaction注册信号处理handler，这个注册过程和信号处理是发生在APP内部而不是Frida，所以会快很多。一开始采用自己编译so注入到APP，成功拦截mincore调用并修改参数。为了更方便一点，参考Frida-seccomp方案的思路，直接使用Frida的CModule，无需自己编译so并注入，经实验可以成功拦截mincore调用并修改参数。
> 关于后两种方案速度的差异可以看,左侧为Frida-seccomp，右侧Sigaction-seccomp
<mark class="encrypted">2d9K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2F1L8%4c8A6L8$3&6Q4x3X3g2K6L8#2)9J5c8X3W2E0j5h3N6W2i4K6u0r3K9s2c8@1M7s2y4Q4x3U0f1K6b7g2)9J5y4e0u0r3i4K6t1#2x3V1k6H3M7X3!0V1i4K6u0V1k6X3W2D9k6i4y4Q4x3X3c8K6k6h3y4#2M7X3g2Q4x3X3g2K6x3#2)9J5k6i4g2K6i4K6u0V1N6$3g2K6N6q4)9J5k6o6u0Q4x3X3g2S2L8h3q4*7L8$3&6S2N6%4y4Q4x3X3g2U0L8$3#2Q4x3U0f1J5c8U0y4V1z5h3b7#2z5o6q4T1i4K6u0V1x3h3y4T1k6g2)9J5k6o6b7@1z5h3g2Q4x3X3b7&6y4K6t1K6i4K6u0V1k6U0t1I4y4U0t1$3y4U0u0S2j5e0M7$3i4K6t1#2x3V1j5H3z5h3f1#2x3h3k6V1x3W2)9J5k6o6g2U0y4U0c8Q4x3X3b7@1x3r3x3$3i4K6u0V1j5h3y4T1y4q4)9J5k6o6t1K6x3U0l9$3j5X3q4S2x3o6j5&6k6W2)9J5y4e0u0r3x3U0l9J5y4o6l9I4x3U0b7J5x3e0t1&6i4K6u0W2k6$3W2X3i4K6y4r3N6r3q4T1L8r3g2Q4x3@1c8T1L8r3!0U0K9#2)9J5y4X3W2V1i4K6y4p5z5h3u0V1z5h3f1H3z5h3u0Q4x3X3b7^5x3K6g2V1i4K6u0V1y4o6l9#2y4q4)9J5k6o6W2V1z5o6g2Q4x3X3b7@1j5X3f1#2y4U0u0W2j5X3t1K6j5e0y4Q4x3U0k6@1i4K6y4p5z5h3u0V1z5h3f1H3z5h3u0Q4x3X3b7^5x3K6g2V1i4K6u0V1y4o6l9#2y4q4)9J5k6o6W2V1z5o6g2Q4x3X3b7@1j5X3f1#2y4U0u0W2j5X3t1K6j5e0x3`.</mark>
## DEMO

直接将js注入即可实现对openat的监控，需要在logcat过滤native查看结果

在实战时根据自己需求修改CModule中的`define`，其中`target_nr` 是目标系统调用号。

在拦截到系统调用后会再次进行系统调用，防止再次被拦截，就需要一个寄存器来放一个标识符`SECMAGIC` ，避免循环拦截系统调用从而`crash`。`SECMAGIC_POS` 即为对应系统调用所不需要的第一个寄存器，比如`openat`需要三个参数，那么`SECMAGIC_POS` 填3即可，因为寄存器从`x0`开始，`args[3]`即为第四个寄存器。

然后就是在`sig_handler` 中写劫持逻辑。如果想拦截更多的系统调用，就需要重写`seccomp filter` 。

除此之外调用栈等信息，可以参考[[原创]分享一个Android通用svc跟踪以及hook方案——Frida-Seccomp  ](https://bbs.kanxue.com/thread-271815.htm) 阿碧大佬的思路自己添加。

![图片描述](upload/attach/202401/886424_BX866TQ8GNXMPZN.webp)

同理也可以实现对mincore的拦截
 ![图片描述](upload/attach/202401/886424_RZ6273KHPXF7H52.webp)

再次感谢上述大佬提供的代码和思路，本文意在抛砖引玉，如有侵权联系本人删除。

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2024-1-26 15:24 被LLeaves编辑，原因：

#工具脚本 #HOOK注入

收藏・16

点赞・2

打赏

最新回复 (6)
陈可牛雪币： 6559 活跃值： (6677) 能力值： ( LV5，RANK：76 ) 在线值：发帖 3 回帖 111 粉丝 37 关注私信	陈可牛 1 2 楼好东西，感谢大佬的分享 2024-1-26 11:45 0
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 691 粉丝 7 关注私信	mb_ldbucrik 3 楼大佬，感谢分享 2024-1-26 12:19 0
你瞒我瞒雪币： 3421 活跃值： (12739) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 269 粉丝 8 关注私信	你瞒我瞒 4 楼感谢大佬分享已赞 2024-1-26 14:28 0
Lnju 雪币： 55 活跃值： (7029) 能力值： ( LV4，RANK：50 ) 在线值：发帖 1 回帖 78 粉丝 1 关注私信	Lnju 1 5 楼优秀感谢分享 2024-1-26 16:32 0
秋狝雪币： 10072 活跃值： (34131) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1571 粉丝 39 关注私信	秋狝 6 楼感谢分享 2024-1-29 09:54 1
AMy_德友雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 30 粉丝 0 关注私信	AMy_德友 7 楼 Sigaction-Seccomp很强但是fork后execlp的Sigaction如何解决主进程安装Seccomp规则后 fork 继承 execlp重置Sigaction 导致规则无处理器一直返回31 问题原因 fork()：子进程继承父进程的 seccomp 规则 execve() / execlp()：会重置所有信号处理器到默认状态（SIG_DFL）信号31：这是 `SIGSYS`，当 seccomp 拦截系统调用时发送缺少信号处理器：exec 后没有 SIGSYS 处理器，导致进程直接终止最后于 2026-1-7 15:13 被AMy_德友编辑，原因： 2026-1-7 15:12 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

LLeaves

发帖

回帖

RANK

关注

私信

他的文章

Frida-Sigaction-Seccomp实现对Android APP系统调用的拦截 8557

关于我们

联系我们

企业服务

看雪公众号

最新回复 (6)
陈可牛雪币： 6559 活跃值： (6677) 能力值： ( LV5，RANK：76 ) 在线值：发帖 3 回帖 111 粉丝 37 关注私信	陈可牛 1 2 楼好东西，感谢大佬的分享 2024-1-26 11:45 0
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 691 粉丝 7 关注私信	mb_ldbucrik 3 楼大佬，感谢分享 2024-1-26 12:19 0
你瞒我瞒雪币： 3421 活跃值： (12739) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 269 粉丝 8 关注私信	你瞒我瞒 4 楼感谢大佬分享已赞 2024-1-26 14:28 0
Lnju 雪币： 55 活跃值： (7029) 能力值： ( LV4，RANK：50 ) 在线值：发帖 1 回帖 78 粉丝 1 关注私信	Lnju 1 5 楼优秀感谢分享 2024-1-26 16:32 0
秋狝雪币： 10072 活跃值： (34131) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1571 粉丝 39 关注私信	秋狝 6 楼感谢分享 2024-1-29 09:54 1
AMy_德友雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 30 粉丝 0 关注私信	AMy_德友 7 楼 Sigaction-Seccomp很强但是fork后execlp的Sigaction如何解决主进程安装Seccomp规则后 fork 继承 execlp重置Sigaction 导致规则无处理器一直返回31 问题原因 fork()：子进程继承父进程的 seccomp 规则 execve() / execlp()：会重置所有信号处理器到默认状态（SIG_DFL）信号31：这是 `SIGSYS`，当 seccomp 拦截系统调用时发送缺少信号处理器：exec 后没有 SIGSYS 处理器，导致进程直接终止最后于 2026-1-7 15:13 被AMy_德友编辑，原因： 2026-1-7 15:12 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

Frida-Sigaction-Seccomp实现对Android APP系统调用的拦截

问题原因