[原创] Frida 脚本无 Root 一键持久化方案：将 Frida 脚本打包至 Xposed 模块、直接注入APP、生成 .so, .dll-Android安全-看雪安全社区

[原创] Frida 脚本无 Root 一键持久化方案：将 Frida 脚本打包至 Xposed 模块、直接注入APP、生成 .so, .dll

发表于: 2025-11-12 12:51 18212

[原创] Frida 脚本无 Root 一键持久化方案：将 Frida 脚本打包至 Xposed 模块、直接注入APP、生成 .so, .dll

_MicroBlock 活跃值

2025-11-12 12:51

18212

**# 缘起**

最近在开发某款 APP 的功能扩展时，我使用 Frida 编写了大量逻辑，但不想再逐行翻译成 Xposed 代码。于是决定将 Frida 直接固化到 APP 中。

最初尝试使用 frida-gadget，但在 Android 16 上遇到问题：脚本完全不执行，也没有任何错误提示，只好放弃。

在网上搜索后，没有找到便捷的持久化方案，于是决定自己动手实现。  
我的目标是：只需运行一行命令，就能自动打包出 Xposed 模块、已固化 Frida 脚本的 APP 包，以及可注入运行 Frida 脚本的 .so 和 .dll 文件。

最终，这个目标顺利实现了。**如果你只是想打包 Frida 脚本，而不关心具体原理，可以直接使用以下工具**：  
<a href="elink@7acK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6K6N6r3c8Q4x3X3c8E0K9h3y4J5L8$3u0D9L8$3y4C8i4K6u0r3k6Y4u0A6M7r3q4U0K9#2)9J5c8R3`.`."><mark class="encrypted">934K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6K6N6r3c8Q4x3X3c8E0K9h3y4J5L8$3u0D9L8$3y4C8i4K6u0r3k6Y4u0A6M7r3q4U0K9#2)9J5c8R3`.`.</mark></a>

---

**# 自编译 Frida**

既然要自己动手，自然要做得尽善尽美。一方面需要掩盖 Frida 的某些特征，另一方面也要尽量减小体积。此外，我还希望将脚本直接嵌入二进制文件中，而不是作为独立文件存在。于是，我开始研究如何自行编译 Frida，类似于实现一个自定义的 frida-gadget。

首先，我们来看一下 Frida 的代码架构：  
![图片描述](upload/attach/202511/1052870_CE9QSKMAFNJ2D88.webp)
（注：此为简化示意图。实际上，frida-inject 和 frida-server 注入的是 frida-agent，但整体结构类似。）

可以看到，Frida Gadget 实际上是通过调用 Frida-GumJS 来执行我们的脚本。因此，我们也可以编写一个程序，调用 Frida-GumJS 来执行脚本。为了实现这一点，首先需要编译出 Frida-GumJS 库。

Frida-GumJS 通常包含两个引擎：V8 和 QuickJS。V8 执行效率高，但体积较大；QuickJS 体积较小。为了减小最终生成的二进制文件体积，我关闭了 V8 和内置的 Database，并参考 Florida 的 CI 流程，编写了一个 GitHub CI 来编译 Frida-GumJS：  
<a href="elink@2f0K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6r3M7X3W2d9k6h3u0#2K9h3I4V1i4K6u0r3k6Y4u0A6M7r3q4U0K9#2)9J5k6r3W2F1K9X3g2U0N6l9`.`."><mark class="encrypted">d43K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6r3M7X3W2d9k6h3u0#2K9h3I4V1i4K6u0r3k6Y4u0A6M7r3q4U0K9#2)9J5k6r3W2F1K9X3g2U0N6l9`.`.</mark></a>

接着，我创建了一个 xmake 项目，首先实现调用 GumJS 执行脚本的功能：  
 ![图片描述](upload/attach/202511/1052870_Q5KPYMNZSP4UDAR.webp)

为了便于后续嵌入 JS 脚本，我设计了一个带有特定 Magic 标记的结构体：  
 ![图片描述](upload/attach/202511/1052870_9ASQY9MVV92RTDY.webp)

这样，在生成 .so 文件时，就可以通过扫描 Magic 标记找到这个配置结构，然后通过设置 `data_size` 和 `data_offset` 来指定脚本数据在二进制文件中的存储位置。

接下来，我们需要编写一个 CLI 工具，将脚本数据嵌入到二进制文件中。这里我选择了使用 Rust 来实现。

---

**# 将数据嵌入二进制文件**

**## ELF 文件编辑**

ELF 文件的主要结构包括 Section 和 Segment，其中数据通过 Segment 映射到内存中。我们只需新建一个 Segment，将脚本数据放入其中，并确保其加载到内存中。然后，计算出该数据映射的虚拟地址与 `g_embedded_config` 虚拟地址之间的偏移量，这样我们自制的 frida-gadget 就能正确加载数据了。

听起来很简单，我们来实现一下：  
 ![图片描述](upload/attach/202511/1052870_4SAX95NB8PWSM5F.webp)

需要特别注意：对于需要加载到内存中的 Segment（PT_LOAD），其 `vaddr` 必须按 4K 或 16K 对齐，否则 `dl` 可能不会正确映射，且不会报错。

同时，由于新增了 Segment 和 Section，我们还需要扩展 ELF 文件头的大小：  
![图片描述](upload/attach/202511/1052870_E3GVJ5BS945JXC8.webp)

运行后却发现报错：`.note sh_offset at 0x270, must be larger than 0x28a`。这是怎么回事？原来是因为新增的 Segment 和 Section 导致 ELF 头变大，与原有的部分 Section 发生了重叠。我们需要将这些重叠的 Section 在文件中的数据及其 `p_offset` 移动到文件末尾：  
 ![图片描述](upload/attach/202511/1052870_YA7A828ESY7DBES.webp)

再次运行，这次没有报错了。但将文件放到手机中加载时，又出现了新错误：`PT_PHDR segment is not covered by a PT_LOAD segment`。这个问题比较奇怪，网上资料也很少。我猜测 PT_PHDR Segment 本身不会被映射到内存中，它需要一个 PT_LOAD Segment 来帮助加载。于是，我们找到覆盖 PT_PHDR Segment 的那个 Segment，并将其扩展的大小同步到 PT_PHDR Segment：  
 ![图片描述](upload/attach/202511/1052870_GVQZ53H4WVAXA2N.webp)

接着，我们找到 Magic 标记在二进制文件中的位置，定位其所在的 Segment，并获取其 `vaddr`：  
 ![图片描述](upload/attach/202511/1052870_P4ZNEJKSMESGQS7.webp)

计算出偏移量后，将其填入二进制文件中：  
 ![图片描述](upload/attach/202511/1052870_NSRW2WK96HB62C7.webp)

**## PE 文件编辑**

PE 文件的处理逻辑类似。虽然编辑 ELF 花了大半天时间，踩了不少坑，但编写 PE 编辑代码只用了十分钟。不得不说，PE 的设计比 ELF 更优秀（除了那个强制要求 ordinal 的 EAT），而且几乎没有遇到什么坑。以下是相关代码：  
 ![图片描述](upload/attach/202511/1052870_AADUNMVKUVEYXTB.webp)

至此，我们得到了一个**无需任何外部文件依赖、加载即自动执行脚本**的二进制文件。

---

**# 加载二进制文件到目标进程**

接下来，只需要想办法将这个二进制文件加载到目标进程中。实现方式有很多，例如：

- 重新打包 APK，对 APP 自带的 .so 文件使用 patchelf，将我们的 .so 加入其依赖项。
- 重新打包 APK，在某个初始化类中添加静态初始化代码，调用 `System.loadLibrary` 加载我们的 .so。
- 编写 Xposed 模块，利用其在目标进程中执行代码的特性来加载 .so。
- 对于 Windows，使用多种 DLL 注入手段加载我们的 DLL。
- 对于 Linux，使用 `LD_PRELOAD` 或其他映射方法加载我们的 .so。
- 编写 Zygisk 模块，直接对特定 APP 加载我们的 .so。

目前，我已实现了前五种加载方式。受篇幅所限，这里仅介绍 Xposed 的实现方式。

---

**# 生成 Xposed 模块来加载 .so**

Xposed 模块会在目标进程中执行代码，因此我们只需在 `xposed_init` 类的 `initZygote` 方法中获取模块的 APK 路径，然后使用 `System.load` 加载其中的 .so 文件即可。

但问题在于，我们需要生成的是一个 APK 文件。我不想依赖过于笨重的 gradlew，也不想手动处理安卓特有的压缩格式、aapt2 编码、zipalign 等步骤。因此，我选择直接生成 apktool 工程，然后使用 apktool 构建 Xposed 模块的 APK。这样只需安装 apktool，即可方便地完成生成。

Xposed 模块的主要特征包括：AndroidManifest 中的几个特殊 metadata，以及 `/assets/` 文件夹中的 `xposed_init` 和 `native_init` 文件。我们直接手动构建 apktool 的文件结构，并编写一段 Smali 代码，继承 `IXposedHookZygoteInit` 和 `IXposedHookLoadPackage`，以实现加载 .so 的逻辑：  
 ![图片描述](upload/attach/202511/1052870_KNH4V2VTTR2QQ8C.webp)

最后使用 `apktool b` 命令，即可构建出 Xposed 模块。

---

至此，我们已经实现了从 Frida 脚本一键打包生成 Xposed 模块的大部分逻辑。

登录后可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

#程序开发 #HOOK注入 #工具脚本

收藏・39

点赞・25

打赏

赞赏记录

参与人

雪币

留言

时间

wx_funcrever

感谢你的积极参与，期待更多精彩内容！

2025-12-10 19:57

git_39918alloneis

你的分享对大家帮助很大，非常感谢！

2025-11-22 13:10

哈哥

感谢你的贡献，论坛因你而更加精彩！

2025-11-20 10:26

Ram98

你的帖子非常有用，感谢分享！

2025-11-18 09:52

wx_0.0_522

期待更多优质内容的分享，论坛有你更精彩！

2025-11-17 17:17

Cherzsh

非常支持你的观点！

2025-11-15 19:10

mb_zfqvurgb

感谢你的积极参与，期待更多精彩内容！

2025-11-15 18:06

leiusurely

非常支持你的观点！

2025-11-15 08:04

Red

你的分享对大家帮助很大，非常感谢！

2025-11-13 13:40

dryzh

为你点赞！

2025-11-13 12:41

trackL

感谢你的贡献，论坛因你而更加精彩！

2025-11-13 11:42

git_99841xmsnmo444

为你点赞！

2025-11-13 08:27

passself

为你点赞！

2025-11-13 07:14

我的小拇指啊

非常支持你的观点！

2025-11-12 23:59

git_21210wzzzh2025

你的帖子非常有用，感谢分享！

2025-11-12 19:29

螺丝兔

这个讨论对我很有帮助，谢谢！

2025-11-12 18:56

zz1syyd

感谢你分享这么好的资源！

2025-11-12 16:21

呼吸24K纯氧

期待更多优质内容的分享，论坛有你更精彩！

2025-11-12 16:09

git_47499test-look

为你点赞！

2025-11-12 16:04

sinker_

为你点赞！

2025-11-12 16:01

路过1

非常支持你的观点！

2025-11-12 15:42

审判者虔诚

期待更多优质内容的分享，论坛有你更精彩！

2025-11-12 15:28

带带弟弟吧

期待更多优质内容的分享，论坛有你更精彩！

2025-11-12 14:45

djkcyl

这个讨论对我很有帮助，谢谢！

2025-11-12 14:32

mb_mfjsranl

感谢你的贡献，论坛因你而更加精彩！

2025-11-12 14:08

最新回复 (8)
呼吸24K纯氧雪币： 28 活跃值： (1701) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 89 粉丝 2 关注私信	呼吸24K纯氧 2 楼期待更多优质内容的分享，论坛有你更精彩！ 2025-11-12 16:09 0
mb_elqwyvnm 雪币： 2629 活跃值： (3257) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 155 粉丝 0 关注私信	mb_elqwyvnm 3 楼 nice 2025-11-13 00:01 0
笑对VS人生雪币： 407 活跃值： (2924) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 96 粉丝 24 关注私信	笑对VS人生 4 楼可以试试非root环境下Frida完全内置apk打包https://bbs.kanxue.com/thread-284482.htm 2025-11-13 20:53 0
_MicroBlock 雪币： 224 活跃值： (165) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 1 粉丝 15 关注私信	_MicroBlock 5 楼笑对VS人生可以试试非root环境下Frida完全内置apk打包https://bbs.kanxue.com/thread-284482.htm 这个也支持了的，"type": "inject-apk"，也是一键生成 2025-11-13 23:54 0
mb_atdqqbte 雪币： 19 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 15 粉丝 0 关注私信	mb_atdqqbte 6 楼 fridagumjs库不是有导出脚本执行函数吗 2025-11-16 22:47 0
Matriy 雪币： 2243 活跃值： (430) 能力值： ( LV6，RANK：80 ) 在线值：发帖 2 回帖 5 粉丝 12 关注私信	Matriy 2 7 楼想问下，我现在frida测试用的别的端口绕过，如果用这个项目，能解决端口检测的问题吗? 2025-11-24 23:47 0
mb_sdvjpqrb 雪币： 92 活跃值： (353) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 8 粉丝 0 关注私信	mb_sdvjpqrb 8 楼大佬写的有点高级，小白表示看不懂最好出个简单例子教程 2026-1-20 17:52 0
shuangmou 雪币： 754 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 68 粉丝 1 关注私信	shuangmou 9 楼感谢分享 2026-2-6 17:15 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

_MicroBlock

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (8)
呼吸24K纯氧雪币： 28 活跃值： (1701) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 89 粉丝 2 关注私信	呼吸24K纯氧 2 楼期待更多优质内容的分享，论坛有你更精彩！ 2025-11-12 16:09 0
mb_elqwyvnm 雪币： 2629 活跃值： (3257) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 155 粉丝 0 关注私信	mb_elqwyvnm 3 楼 nice 2025-11-13 00:01 0
笑对VS人生雪币： 407 活跃值： (2924) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 96 粉丝 24 关注私信	笑对VS人生 4 楼可以试试非root环境下Frida完全内置apk打包https://bbs.kanxue.com/thread-284482.htm 2025-11-13 20:53 0
_MicroBlock 雪币： 224 活跃值： (165) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 1 粉丝 15 关注私信	_MicroBlock 5 楼笑对VS人生可以试试非root环境下Frida完全内置apk打包https://bbs.kanxue.com/thread-284482.htm 这个也支持了的，"type": "inject-apk"，也是一键生成 2025-11-13 23:54 0
mb_atdqqbte 雪币： 19 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 15 粉丝 0 关注私信	mb_atdqqbte 6 楼 fridagumjs库不是有导出脚本执行函数吗 2025-11-16 22:47 0
Matriy 雪币： 2243 活跃值： (430) 能力值： ( LV6，RANK：80 ) 在线值：发帖 2 回帖 5 粉丝 12 关注私信	Matriy 2 7 楼想问下，我现在frida测试用的别的端口绕过，如果用这个项目，能解决端口检测的问题吗? 2025-11-24 23:47 0
mb_sdvjpqrb 雪币： 92 活跃值： (353) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 8 粉丝 0 关注私信	mb_sdvjpqrb 8 楼大佬写的有点高级，小白表示看不懂最好出个简单例子教程 2026-1-20 17:52 0
shuangmou 雪币： 754 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 68 粉丝 1 关注私信	shuangmou 9 楼感谢分享 2026-2-6 17:15 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复