Frida反调试

目录

• 检测
  • 普通Frida检测
  • 自实现Frida检测
• 绕过
  • 普通检测绕过
  • 自实现检测绕过

检测

普通Frida检测

普通的检测总结以下几种手段：

1. 检测/data/local/tmp下的frida特征文件，frida默认端口27042

2. 双进程检测

3. 检测/proc/pid/maps、/proc/pid/task/tid/stat、/proc/pid/fd中的frida特征

4. 检测D-BUS

   安卓系统使用Binder机制来实现进程间通信（IPC），而不是使用D-Bus。检测函数向所有端口发送d-bus消息，如果返回reject就说明fridaserver开启。

自实现Frida检测

我们可以看到，上面使用的绕过技巧，大多都和系统函数有关系，那么如果app中不调用这些系统函数，而是用自实现的函数来进行操作，不就很难hook了吗？

这里就有一种自实现函数的技术：svc。

通过安卓架构的学习，我们知道了安卓从上到下也是由层来分隔的，而层与层之间不能直接交互，而是需要一个中间层来进行操作。我们常见的jni就是Java层和native层的交互。而syscall就是kernel和native之间的中间层。

svc是x86架构中的一个指令，用于在用户模式下发起系统调用。当执行svc指令时，处理器会从用户态转换为内核态，执行内核级别的命令。

开发者可以通过syscall来执行内核函数，而不是直接使用系统函数，下面介绍几种防护手段：

1. 直接使用syscall替代libc函数：
   不使用标准C库函数，而是直接调用系统调用。这样可以绕过常见的hook点，因为大多数hook工具主要针对libc函数。

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27

   #include <sys/syscall.h>  //SYS_open SYS_read SYS_close都是syscall.h中的常量                           //代表系统调用的编号。在Linux系统中，每个系统调用都有一个唯一的编号 #include <unistd.h> #include <fcntl.h>   int my_open(const char *pathname, int flags) {     return syscall(SYS_open, pathname, flags); }   ssize_t my_read(int fd, void *buf, size_t count) {     return syscall(SYS_read, fd, buf, count); }   int my_close(int fd) {     return syscall(SYS_close, fd); }   // 使用示例 int main() {     int fd = my_open("/path/to/file", O_RDONLY);  //fd代表文件标识符，代表打开的是哪个文件     if (fd != -1) {         char buffer[100];         ssize_t bytes_read = my_read(fd, buffer, sizeof(buffer));         my_close(fd);     }     return 0; }

2. 实现关键功能的自定义syscall wrapper：

   为关键的系统调用创建自己的包装函数

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24

   #include <sys/syscall.h> #include <unistd.h> #include <fcntl.h> #include <string.h>   ssize_t secure_read(int fd, void *buf, size_t count) {     // 完整性检查     if (syscall(SYS_gettid) != syscall(SYS_getpid)) {         // 可能正在被调试,终止操作         return -1;     }           // 执行实际的读取操作     ssize_t bytes_read = syscall(SYS_read, fd, buf, count);           // 数据校验 (简单示例,实际应用中可能需要更复杂的校验)     if (bytes_read > 0) {         for (ssize_t i = 0; i < bytes_read; i++) {             ((char*)buf)[i] ^= 0x55;  // 简单的XOR操作         }     }           return bytes_read; }

3. 动态生成syscall：
   在运行时动态生成syscall指令（直接使用机器码，和下面的汇编差不多）

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29

   #include <sys/mman.h> #include <string.h>   typedef long (*syscall_fn)(long, ...);   syscall_fn generate_write_syscall() {     // 分配可执行内存     void* mem = mmap(NULL, 4096, PROT_READ | PROT_WRITE | PROT_EXEC, MAP_PRIVATE | MAP_ANONYMOUS, -1, 0);           // x86-64 架构的 write syscall 机器码     unsigned char code[] = {         0x48, 0xc7, 0xc0, 0x01, 0x00, 0x00, 0x00,  // mov rax, 1 (write syscall number)         0x0f, 0x05,                                // syscall         0xc3                                       // ret     };           // 复制代码到可执行内存     memcpy(mem, code, sizeof(code));           return (syscall_fn)mem; }   // 使用示例 int main() {     syscall_fn my_write = generate_write_syscall();     const char *msg = "Hello, World!\n";     my_write(1, msg, strlen(msg));     return 0; }

4. 使用汇编实现syscall：
   直接使用汇编语言实现系统调用

   .global my_write
   my_write:
       mov x8, #64         // write syscall number for ARM64
       svc #0              // trigger syscall
       ret                 // return to caller
   
   // C代码调用示例
   // extern ssize_t my_write(int fd, const void *buf, size_t count);
   //
   // int main() {
   //     const char *msg = "Hello, World!\n";
   //     my_write(1, msg, strlen(msg));
   //     return 0;
   // }
   

最后再举一个实际检测frida的syscall例子：

绕过

普通检测绕过

网上对frida的检测通常会使用openat、open、strstr、pthread_create、snprintf、sprintf、readlinkat等一系列函数，这里hook了strstr和strcmp函数。

检测点说明：

1. gmain：Frida 使用 Glib 库，其中的主事件循环被称为 GMainLoop。在 Frida 中，gmain 表示 GMainLoop 的线程。
2. gdbus：GDBus 是 Glib 提供的一个用于 D-Bus 通信的库。在 Frida 中，gdbus 表示 GDBus 相关的线程。
3. gum-js-loop：Gum 是 Frida 的运行时引擎，用于执行注入的 JavaScript 代码。gum-js-loop 表示 Gum 引擎执行 JavaScript 代码的线程。
4. pool-frida：Frida 中的某些功能可能会使用线程池来处理任务，pool-frida 表示 Frida 中的线程池。
5. linjector 是一种用于 Android 设备的开源工具，它允许用户在运行时向 Android 应用程序注入动态链接库（DLL）文件。通过注入 DLL 文件，用户可以修改应用程序的行为、调试应用程序、监视函数调用等，这在逆向工程、安全研究和动态分析中是非常有用的。

自实现检测绕过

我们通过上面的学习看到，自实现系统函数一个重要的前提就是它们都有标准的系统调用号，标准的机器码。所以我们绕过的时候也可以用同样的思路。

Frida的Memory API可以直接查找整个系统的内存内容，我们直接搜索对应函数的特征码，定位到之后再使用Interceptor进行Hook。（要注意每个架构对应的特征可能不一样）

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)