-
-
绕过最新版bilibili app反frida机制
-
发表于: 2024-5-1 17:31
-
安卓的最新版B站APP（7.76.0）有反FRIDA机制，本文介绍一下如何绕过它
截止到2024年5月1日，B站最新版的安卓APP（7.76.0）有反Frida机制，不管是spawn还是attach，都无法注入frida，如下图所示。本文介绍一下如何绕过它
检测Frida的机制一般在Native层实现，通常会创建几个线程轮询检测。首先要知道检测机制是由哪个so实现的，通过hook android_dlopen_ext函数，观察加载到哪个so的时候，触发反调试进程终止即可。Frida脚本代码与输出如下，最终可以定位到检测点在libmsaoaidsec.so中。
使用IDA载入libmsaoaidsec.so，发现没有导入pthread_create符号
使用Frida脚本尝试HOOK pthread_create 函数，也没有找到来自libmsaoaidsec.so的调用
尽管表现有点奇怪，但它一定会调用pthread_create创建检测线程。所以尝试hook dlsym函数，在加载libmsaoaidsec.so之前挂钩dlsym函数，代码如下
输出如下，在加载libmsaoaidsec.so后，调用了2次dlsym获取pthread_create函数，然后进程就终止了。证明它确实会调用pthread_create，只是调用方式不是直接调用，可能采取了一些对抗手段。
它应该是使用了一些反hook的手段，没有必要和它正面对抗。简单描述一下我的绕过策略，创建一个fake_pthread_create函数，它只有一条ret汇编指令，然后hook来自libmsaoaidsec.so的前2次对dlsym的调用，返回fake_pthread_create函数的地址，这样就达成了欺骗它调用fake_pthread_create函数的目的。最终代码如下
执行frida -U -f tv.danmaku.bili -l bypass.js后即可绕过反frida机制，如下图所示
代码也可从github下载，见引用[1]。
[1] https://github.com/ddddhm1234/bypass_bilibili/
var interceptor = Interceptor.attach(Module.findExportByName(null, "android_dlopen_ext"),
{
onEnter: function (args) {
var pathptr = args[0];
if (pathptr !== undefined && pathptr != null) {
var path = ptr(pathptr).readCString();
console.log("[LOAD]", path)
}
},
}
)var interceptor = Interceptor.attach(Module.findExportByName(null, "android_dlopen_ext"),
{
onEnter: function (args) {
var pathptr = args[0];
if (pathptr !== undefined && pathptr != null) {
var path = ptr(pathptr).readCString();
console.log("[LOAD]", path)
}
},
}
)var interceptor = Interceptor.attach(Module.findExportByName(null, "pthread_create"),
{
onEnter: function (args) {
var module = Process.findModuleByAddress(ptr(this.returnAddress))
if (module != null) {
console.log("[pthread_create] called from", module.name)
}
else {
console.log("[pthread_create] called from", ptr(this.returnAddress))
}
},
}
)var interceptor = Interceptor.attach(Module.findExportByName(null, "pthread_create"),
{
onEnter: function (args) {
var module = Process.findModuleByAddress(ptr(this.returnAddress))
if (module != null) {
console.log("[pthread_create] called from", module.name)
}
else {
console.log("[pthread_create] called from", ptr(this.returnAddress))
}
},
}
)function hook_dlsym() {
var count = 0
console.log("=== HOOKING dlsym ===")
var interceptor = Interceptor.attach(Module.findExportByName(null, "dlsym"),
{
onEnter: function (args) {
const name = ptr(args[1]).readCString()
// const module = Process.findModuleByAddress(ptr(this.returnAddress))
console.log("[dlsym]", name)
if (name == "pthread_create") {
count++
}
}
}
)
return Interceptor
}function hook_dlopen() {
var interceptor = Interceptor.attach(Module.findExportByName(null, "android_dlopen_ext"),
{
onEnter: function (args) {
var pathptr = args[0];
if (pathptr !== undefined && pathptr != null) {
var path = ptr(pathptr).readCString();
console.log("[LOAD]", path)
if (path.indexOf("libmsaoaidsec.so") > -1) {
hook_dlsym()
}
}
},
}
)
return interceptor
}var dlopen_interceptor = hook_dlopen()
function hook_dlsym() {
var count = 0
console.log("=== HOOKING dlsym ===")
var interceptor = Interceptor.attach(Module.findExportByName(null, "dlsym"),
{
onEnter: function (args) {
const name = ptr(args[1]).readCString()
// const module = Process.findModuleByAddress(ptr(this.returnAddress))
console.log("[dlsym]", name)
if (name == "pthread_create") {
count++
}
}
}
)
return Interceptor
}function hook_dlopen() {
var interceptor = Interceptor.attach(Module.findExportByName(null, "android_dlopen_ext"),
{
onEnter: function (args) {
var pathptr = args[0];
if (pathptr !== undefined && pathptr != null) {
var path = ptr(pathptr).readCString();
console.log("[LOAD]", path)
if (path.indexOf("libmsaoaidsec.so") > -1) {
hook_dlsym()
}
最后于 2024-5-1 17:31
被天水姜伯约编辑
，原因： 第一次上传没写标题
赞赏记录
参与人
雪币
留言
时间
Johnny_Rudy
谢谢你的细致分析，受益匪浅！
2025-2-19 09:43
Janeho117
这个讨论对我很有帮助，谢谢！
2025-2-17 23:32
IT醉猫
为你点赞！
2025-1-23 17:32
Fogg
非常支持你的观点！
2025-1-14 23:42
mb_gmamdgrr
+1
期待更多优质内容的分享，论坛有你更精彩！
2025-1-7 09:56
青头潜鸭
这个讨论对我很有帮助，谢谢！
2024-12-17 16:29
lvqingyao520
谢谢你的细致分析，受益匪浅！
2024-11-13 15:56
mb_pfpertes
为你点赞！
2024-10-29 17:48
mb_fyqtjfhv
你的帖子非常有用，感谢分享！
2024-10-12 15:41
sinker_
期待更多优质内容的分享，论坛有你更精彩！
2024-10-12 00:19
mb_ewepueos
期待更多优质内容的分享，论坛有你更精彩！
2024-9-18 15:19
马先越
+2
谢谢你的细致分析，受益匪浅！
2024-8-26 12:03
xsSkyFall
为你点赞~
2024-8-13 21:48
梧桐生
这个讨论对我很有帮助，谢谢！
2024-8-12 00:33
栀花谢了春红
+5
为你点赞~
2024-8-6 08:26
养只猫不好么
谢谢你的细致分析，受益匪浅！
2024-7-25 18:28
wx_你有帅得过黎明嘛
感谢你分享这么好的资源！
2024-7-1 11:24
mb_psivnlna
为你点赞~
2024-6-6 11:27
彪哥哥
+1
这个讨论对我很有帮助，谢谢！
2024-6-5 13:46
混迹
+1
谢谢你的细致分析，受益匪浅！
2024-6-4 20:38
KKKKKKKEM
这个讨论对我很有帮助，谢谢！
2024-6-4 16:05
mb_dyxpvjat
为你点赞~
2024-6-4 14:20
肖安111
谢谢你的细致分析，受益匪浅！
2024-5-31 17:44
PLEBFE
为你点赞~
2024-5-31 01:38
0xK4ws
为你点赞~
2024-5-29 17:35
liukuo362573
为你点赞~
2024-5-23 09:28
菜小基
为你点赞~
2024-5-21 17:58
rgols
为你点赞~
2024-5-20 20:16
mb_yynjwyzd
为你点赞~
2024-5-15 15:50
realikun
为你点赞~
2024-5-13 06:02
La0s
为你点赞~
2024-5-11 23:09
你瞒我瞒
为你点赞~
2024-5-6 09:19
zxk1ng
为你点赞~
2024-5-3 17:39
江南小虫虫
为你点赞~
2024-5-3 14:26
pureGavin
为你点赞~
2024-5-3 12:14
简单的简单
为你点赞~
2024-5-3 11:25
果冻大砍刀
为你点赞~
2024-5-3 10:54
pexillove
为你点赞~
2024-5-1 18:25
|
|
|---|---|
|
|
|
|
|
|
|
|
厉害了。
|
|
|
|
|
|
|
|
|
|
|
|
我发现了，Process.findModuleByAddress(ptr(this.returnAddress))，我在hook pthread_create时尝试获取了返回地址所属的so文件，frida脚本卡在这行代码没动了，我以为没有hook到 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
大佬你在那个 so init 函数入口处 hook 的脚本，能发一下吗？ |
|
|
學習了
分享一下另外的解決思路, 一種是IO重定向maps(配合魔改的frida), 另一種是直接不加載libmsaoaidsec.so
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
请问解决了吗 |
|
|
同问 |
|
|
|
|
|
|
安卓逆向test
