[原创]frida 反调-Android安全-看雪安全社区｜专业技术交流与安全研究论坛

### 记一篇黑盒子过frida分析过程

##### hook android_dlopen_ext 查看so加载

~~~js

setImmediate(hook_dlopen, 3000);
~~~

~~~
load /system/framework/oat/arm64/org.apache.http.legacy.odex
load /data/app/~~XYmBZ4wbeUqelHxMXSGQPg==/com.max.-==/oat/arm64/base.odex
load /data/app/~~XYmBZ4wbeUqelHxMXSGQPg==/com.max.-==/lib/arm64/libglesv3_1.so
Process terminated
~~~

发现加载到libglesv3_1.so frida就退出了，所以现在主要分析这个so

##### libglesv3_1.so

使用上面那个hook添加几行，看看是不是死在JNI_OnLoad里面的，如果so死在前面的初始化阶段hook_dlopen的hook就不会有onLeave的输出

~~~js

~~~
load /system/framework/oat/arm64/org.apache.http.legacy.odex
load /data/app/~~==/==/oat/arm64/base.odex
load /data/app/~~==/lib/arm64/libglesv3_1.so
libglesv3_1.so
Process terminated
~~~

发现是有输出的，所以重点放在JNI_OnLoad，打开就发现一个函数sub_1d8490

![](upload/attach/202604/1043807_EBFUFBV8P3MMXZJ.png)

点进去就发现一个很可疑的字符串 thread constructor failed 并且上面创建了一个子线程，应该是用来做循环检测的

![image-20260430095928277](upload/attach/202604/1043807_D4P4K5WCDY9HFQ8.png)

看看sub_1d6304,,LABEL_2 标签不就是杀进程的吗，所以重点放在v27和v28上面

![image-20260430100226394](upload/attach/202604/1043807_WGHVD2H5HASJ8D9.png)

交叉引用v27发现 v27 = strstr(s, needle);的比较结果，所以hook看一下needle是什么东西,发现是frida-agent很明显就是做检测的，所以我们直接在这个位置对这个字符串进行替换就行了

![image-20260430100859997](upload/attach/202604/1043807_JFEWP6THYGTK92T.png)

~~~js
function glesv_anti(){
    let module = Module.findBaseAddress("libglesv3_1.so")
    Interceptor.attach(module.add(0x1D6808),{
        onEnter:function (args){
            let check_str = args[1].readUtf8String()
            // console.log(args[1].readUtf8String())
            args[1].writeUtf8String("6".repeat(check_str.length))
        }
    })
}
~~~

~~~
libglesv3_1.so
frida-agent
frida-agent
~~~

##### libmsaoaidsec.so

发现在当前so就不会进行闪退了，现在主要关注libmsaoaidsec.so，这个也算非常经典了，过掉线程创建就过了，但是我失败了，现在来看一下吧

~~~
load /data/app/~/lib/arm64/libsmsdk.so
load /system/lib64/libm.so
load /system/lib64/libdl.so
load /system/lib64/libc.so
load /data/user/0//files/dynamic_so/libscannative.so
load /data/app/~~=/lib/arm64/libmsaoaidsec.so
Process terminated
~~~

这个so在JNI_OnLoad之前就死了，验证方法之前说过了，执行流程主要有init  init_array  JNI_OnLoad 这个后面在看，现在试试nop他的线程看看能过吗

~~~js
function pthread() {
    var pthread_create_addr = Module.findExportByName(null, "pthread_create");
    if (!pthread_create_addr) {
        console.log("[-] pthread_create not found.");
        return;
    }
    var pthread_create_native = new NativeFunction(
        pthread_create_addr, "int", ["pointer", "pointer", "pointer", "pointer"]
    );

console.log("\n===== pthread_create killer started =====\n");
    Interceptor.replace(pthread_create_addr, new NativeCallback(function (p0, p1, start_routine, arg) {
        var module = Process.findModuleByAddress(start_routine);
        var soName = module ? module.name : "unknown";
        var offset = module ? "0x" + start_routine.sub(module.base).toString(16) : "N/A";
        if (soName.indexOf("libmsaoaidsec.so") > -1) {
            console.log(`[+] \x1b[31mBLOCKED\x1b[0m Detection Thread from: ${soName} | Offset: ${offset}`);
            return 0;
        }
        return pthread_create_native(p0, p1, start_routine, arg);

}, "int", ["pointer", "pointer", "pointer", "pointer"]));
}
~~~

~~~
load /data/app//lib/arm64/libmsaoaidsec.so
[+] BLOCKED Detection Thread from: libmsaoaidsec.so | Offset: 0x1c544
[+] BLOCKED Detection Thread from: libmsaoaidsec.so | Offset: 0x1b8d4
[+] BLOCKED Detection Thread from: libmsaoaidsec.so | Offset: 0x26e5c
~~~

frida没有退出但是登陆页面卡住了，也不知道这么回事，所以dump一份程序日志看看

~~~
adb shell ps -A | xxx
adb shell kill -3 pid
ls -lt /data/anr/ | head -n 5
cat /data/anr/anr_2026-04-30-11-09-19-441 > /sdcard/dumpStack
~~~

~~~
venus:/ # ls -lt /data/anr/ | head -n 5
total 2788
-rw------- 1 system system 1395265 2026-04-30 11:09 anr_2026-04-30-11-09-19-441
-rw------- 1 system system 1421370 2026-04-30 11:05 anr_2026-04-30-11-05-44-310
-rw------- 1 system system   32489 2026-04-30 10:48 anr_2026-04-30-10-48-14-010
~~~

发现这几行，所以卡界面的原因可能是libglesv3_1.so在里面睡觉

~~~
    #00 pc 000000000009dc98  /apex/com.android.runtime/lib64/bionic/libc.so!libc.so (offset 0x9c000) (nanosleep+8) (BuildId: 391ee56efb3654310c16bdbb846056eb)
    #01 pc 000000000005e77c  /apex/com.android.runtime/lib64/bionic/libc.so!libc.so (offset 0x5d000) (sleep+44) (BuildId: 391ee56efb3654310c16bdbb846056eb)
    #02 pc 000000000007e8bc  /lib/arm64/libglesv3_1.so (BuildId: 5e932a8d27dac52c353a8108ab8d76747096bc49)
~~~

到0x7e8bc看一下，发现在这里一直睡，所以nop 0x7E8C0就好了

![image-20260430112609901](upload/attach/202604/1043807_CYBTKXFQJZRNZ56.png)

~~~js
function patch_func_nop(addr) {
    Memory.patchCode(addr, 4, function (code) {
        code.writeByteArray([0x1F, 0x20, 0x03, 0xD5]);
    });
}
~~~

现在不卡界面了，但是闪了所以现在重点看一下libmsaoaidsec.so

~~~
load /data/app/lib/arm64/libmsaoaidsec.so
[+] BLOCKED Detection Thread from: libmsaoaidsec.so | Offset: 0x1c544
[+] BLOCKED Detection Thread from: libmsaoaidsec.so | Offset: 0x1b8d4
[+] BLOCKED Detection Thread from: libmsaoaidsec.so | Offset: 0x26e5c
Process terminated
~~~

通过 android_dlopen_ext 直接去hook他的init  init_array里面的执行函数是不可取，因为android_dlopen_ext加载完成的时候这两个地方早就执行完了，所以我们通过hook linker64的构造执行函数__dl__ZN6soinfo17call_constructorsEv，贴一段ai说的，通过这个hook我们就可以得到这个so的基地址，并且这两个阶段还没有开始执行

~~~
一句话：**__dl__ZN6soinfo17call_constructorsEv 是 Android 系统 linker 里的核心函数，作用是：加载完 .so 后，执行它的所有初始化代码（C++ 全局构造函数、.init/.init_array、JNI_OnLoad 等）。
~~~

先写一个简单工具函数便于定位函数的执行情况

~~~js
function SimpleHook(module, offset) {
    Interceptor.attach(module.base.add(offset), {
        onEnter: function (args) {
            console.log(`0x${offset.toString(16)}: 执行`)
        },
        onLeave: function (retval) {
            console.log(`0x${offset.toString(16)}  retval:${retval}`)
        }
    })
}
~~~

直接搜索 DT_INIT_ARRAY ，看到0x14400就是init，所以对这个函数进行一下hook，发现这个函数只进不出，所以程序就是在这里面没的

~~~
LOAD:00000000000476C0                 Elf64_Dyn <0xC, 0x14400> ; DT_INIT
LOAD:00000000000476D0                 Elf64_Dyn <0x19, 0x46F80> ; DT_INIT_ARRAY
~~~

~~~js
function hook_call_constructors() {
    let linker = null;
    linker = Process.findModuleByName("linker64");
    let call_constructors_addr, get_soname
    let symbols = linker.enumerateSymbols();
    for (let index = 0; index < symbols.length; index++) {
        let symbol = symbols[index];
        if (symbol.name === "__dl__ZN6soinfo17call_constructorsEv") {
            console.log(symbol.name)
            call_constructors_addr = symbol.address;
        } else if (symbol.name === "__dl__ZNK6soinfo10get_sonameEv") {
            console.log(symbol.name)
            get_soname = new NativeFunction(symbol.address, "pointer", ["pointer"]);
        }
    }
    console.log("call_constructors_addr: " + call_constructors_addr)
    let hookCount = 0;
    var listener = Interceptor.attach(call_constructors_addr, {
        onEnter: function (args) {
            var module = Process.findModuleByName("libmsaoaidsec.so")
            if (module != null) {
                SimpleHook(module,0x14400)
                listener.detach()
            }
        },
        onLeave: function (retval) {
            console.log("hookCount", hookCount)
        }
    })
}
~~~

~~~
call_constructors_addr: 0x753c5adb9c
0x14400: 执行
[+] BLOCKED Detection Thread from: libmsaoaidsec.so | Offset: 0x1c544
[+] BLOCKED Detection Thread from: libmsaoaidsec.so | Offset: 0x1b8d4
[+] BLOCKED Detection Thread from: libmsaoaidsec.so | Offset: 0x26e5c
Process terminated
~~~

所以重点看一下这个函数，这个函数有ollvm混淆，不是本篇讲的内容,就跳过了，sub_25A48有点可疑，hook一下，发现返回值是0,修改一下返回里面的函数都不会执行了是不是就绕过了检测？

![image-20260430114402879](upload/attach/202604/1043807_CYEGH75DPVWTP9X.png)

~~~
call_constructors_addr: 0x753c5adb9c
0x14400: 执行
0x25a48: 执行
0x25a48  retval:0x1
0x14400  retval:0x1
Process terminated
~~~

并且init也正常结束了，我们在hook一下JNI_OnLoad,如果能hook说明程序不是在init_array里面死的，JNI_OnLoad只进不出，然后用只进不出定位一下，定位到0xed8c,这里面的函数一个都没有执行，所以只能trace看看了

~~~
0x14400: 执行
0x25a48: 执行
0x25a48  retval:0x1
0x14400  retval:0x1
0x13a4c: 执行
Process terminated
~~~

![image-20260430115513803](upload/attach/202604/1043807_EHW9B524T6K9ZCH.png)

trace结果如下,说明x0参数不对导致的空指针异常吧(不知道是不是空指针，反正就是在这里没得)，看看x0传的什么，并且在哪里有被使用

~~~
[0x718b366d9c] [libmsaoaidsec.so!0xed9c] ldr x8, [x21, #0x28] x8=0x6531683cf2681a0 x21=0x753b277000 
[0x718b366da0] [libmsaoaidsec.so!0xeda0] mov w9, #0x2387 w9=0x1
[0x718b366da4] [libmsaoaidsec.so!0xeda4] movk w9, #0xcdef, lsl #16 w9=0x2387
[0x718b366da8] [libmsaoaidsec.so!0xeda8] mov x19, x0 x19=0x7fd8155ca8 x0=0x0
[0x718b366dac] [libmsaoaidsec.so!0xedac] str x8, [sp, #8] x8=0x6531683cf2681a0 sp=0x7fd8155c40
[0x718b366db0] [libmsaoaidsec.so!0xedb0] ldr w8, [x0, #0xc] w8=0x-30d97e80 x0=0x0
Process terminated
~~~

这里使用了这个地址，接着返回上层函数

![image-20260430120329858](upload/attach/202604/1043807_YQVFTHP48NZ3PUV.png)

又回到了梦开始的地方，说明强行修改了sub_25A48，导致sub_13728没有执行，造成的

![image-20260430120452271](upload/attach/202605/1043807_G5VN8SAZK3WM8ZV.png)

构造一个主动调用看看能不能过掉，发现成了，并且程序也能正常运行

~~~js
var sub_13728 = new NativeFunction(module.base.add(0x13728),'void',[])
sub_13728()
~~~

~~~
load /data/app/~~XY/lib/arm64/libmsaoaidsec.so
__dl__ZN6soinfo17call_constructorsEv
__dl__ZNK6soinfo10get_sonameEv
call_constructors_addr: 0x753c5adb9c
0x14400: 执行
0x25a48: 执行
0x25a48  retval:0x1
0x14400  retval:0x1
0x13a4c: 执行
0x13a4c  retval:0x10004
load /vendor/lib64/hw/android.hardware.graphics.mapper@4.0-impl-qti-display.so
load /data/user/0//files/3efbdb8b238fc49bc60df0a3b40999c4.tlib/arm64/libn.so
~~~

小白勿喷，欢迎指正 ，版本信息：MS4zLjM3Mg==

参考链接：

[<mark class="encrypted">025K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3f1#2x3Y4m8G2K9X3W2W2i4K6u0W2j5$3&6Q4x3V1k6@1K9s2u0W2j5h3c8Q4x3X3b7J5x3o6j5#2y4o6b7I4i4K6u0V1x3g2)9J5k6o6q4Q4x3X3g2Z5N6r3#2D9i4K6g2p5i4K6y4m8</mark>

回复或点赞可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

上传的附件：

hh.js （9.45kb，34次下载）

最新回复 (92) 1 2 3 4 ▶
mb_qimctavn 雪币： 5327 活跃值： (6780) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 401 粉丝 1 关注私信	mb_qimctavn 2 楼 6 2026-4-30 13:23 0
末日大哥雪币： 1122 活跃值： (2201) 能力值： ( LV3，RANK：30 ) 在线值：发帖 10 回帖 159 粉丝 0 关注私信	末日大哥 3 楼 666学习一下 2026-4-30 13:55 0
wx_Huber Barrientos 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 216 粉丝 1 关注私信	wx_Huber Barrientos 4 楼 666 2026-4-30 13:57 0
git_86585flowclouds 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 24 粉丝 0 关注私信	git_86585flowclouds 5 楼 666学习一下 2026-4-30 14:11 0
4Chan 雪币： 375 活跃值： (4087) 能力值： ( LV3，RANK：30 ) 在线值：发帖 9 回帖 202 粉丝 12 关注私信	4Chan 6 楼学习下 2026-4-30 14:27 0
Circ1e 雪币： 187 活跃值： (2723) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 58 粉丝 2 关注私信	Circ1e 7 楼 666 2026-4-30 15:15 0
mb_uzmffdbw 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 100 粉丝 0 关注私信	mb_uzmffdbw 8 楼 666 2026-4-30 15:20 0
fyrlove 雪币： 5372 活跃值： (3460) 能力值： (RANK：180 ) 在线值：发帖 7 回帖 56 粉丝 120 关注私信	fyrlove 4 9 楼流程清晰，分析细致，结果明确，不错 2026-4-30 15:25 1
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 707 粉丝 7 关注私信	mb_ldbucrik 10 楼向大佬学习 2026-4-30 15:34 0
s1nec-1o 雪币： 1900 活跃值： (3860) 能力值： ( LV7，RANK：110 ) 在线值：发帖 5 回帖 67 粉丝 33 关注私信	s1nec-1o 2 11 楼看看 2026-4-30 15:45 0
xingbing 雪币： 158 活跃值： (5791) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 1400 粉丝 2 关注私信	xingbing 12 楼学习 2026-4-30 16:27 0
Gryffindoss 雪币： 635 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 126 粉丝 0 关注私信	Gryffindoss 13 楼 libglesv3_1.so在里面睡觉可爱捏,哈哈哈, 最后于 2026-4-30 16:53 被Gryffindoss编辑，原因： 2026-4-30 16:32 0
taeyeon_ss 雪币： 1163 活跃值： (1932) 能力值： ( LV3，RANK：20 ) 在线值：发帖 2 回帖 22 粉丝 10 关注私信	taeyeon_ss 14 楼 777 2026-4-30 17:23 0
ivy1 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 30 粉丝 1 关注私信	ivy1 15 楼流程清晰，分析细致，结果明确，不错 2026-4-30 17:45 0
SomeMx 雪币： 4211 活跃值： (5614) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 158 粉丝 1 关注私信	SomeMx 16 楼学习 2026-4-30 17:54 0
伊苏尔德雪币： 149 活跃值： (442) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 55 粉丝 7 关注私信	伊苏尔德 17 楼 31 2026-4-30 18:41 0
嘎嘎真的很棒雪币： 716 活跃值： (3812) 能力值： ( LV3，RANK：30 ) 在线值：发帖 8 回帖 161 粉丝 7 关注私信	嘎嘎真的很棒 18 楼学习 2026-4-30 20:26 0
wx_插曲雪币： 411 活跃值： (991) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 323 粉丝 24 关注私信	wx_插曲 19 楼 66 2026-4-30 20:48 0
中文fjja 雪币： 0 活跃值： (647) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 29 粉丝 0 关注私信	中文fjja 20 楼学习 2026-4-30 21:04 0
一栋奥特曼雪币： 59 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 66 粉丝 1 关注私信	一栋奥特曼 21 楼 666 2026-4-30 21:34 0
青岛喝墨魔王雪币： 221 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	青岛喝墨魔王 22 楼 666 2026-5-1 00:59 0
GEKEZYX 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 157 粉丝 0 关注私信	GEKEZYX 23 楼 666 2026-5-1 01:09 0
mb_ckanaznr 雪币： 222 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 11 粉丝 1 关注私信	mb_ckanaznr 24 楼 666 2026-5-1 03:46 0
我不是卷王雪币： 547 能力值： ( LV1，RANK：0 ) 在线值：发帖 5 回帖 123 粉丝 36 关注私信	我不是卷王 25 楼 66 2026-5-1 11:54 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复