binder-trace：基于内核采集的 Android Binder 调用观测工具-Android安全-看雪安全社区

项目地址：<mark class="encrypted">56aK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6X3N6i4q4A6N6h3I4#2L8#2)9J5c8X3u0A6L8X3c8W2M7W2)9J5k6s2c8J5j5h3y4W2</mark>

最近整理了一个 Android Binder 调用观测工具 `binder-trace`。它不是在 Java/Native 层做 hook，而是通过内核模块采集 Binder transaction，在用户态提供 WebUI、TUI、JSONL 和 MCP 查询接口，适合排查系统服务调用、接口频率、payload 和 reply 关联关系。

## 为什么做这个

Android 上很多跨进程行为最后都会落到 Binder。平时看 logcat、Frida hook 都能解决一部分问题，但如果想从 Binder transaction 这一层持续观察系统服务调用，常见需求会变成：

- 某个 UID / PID / TGID 在和哪些 Binder interface 交互；
- 某个服务接口是不是被异常高频调用；
- 一次 request 和 reply 如何对应；
- payload / 原始事件如何保存下来，后续再分析；
- 不想每次都写临时脚本，希望有一个可视化和终端都能用的工具。

`binder-trace` 的目标就是把这类观察流程收敛成一个工具链：内核侧负责采集，用户态负责控制、解析、存储和展示。

## 功能速览

- 实时采集 Android Binder transaction。
- WebUI：表格、搜索、方向 / 接口筛选、详情侧栏、payload / 原始 JSON、关联调用、按需分页、可调列宽。
- TUI：终端内实时事件列表、频率统计、hexdump 和解析详情。
- JSONL：输出稳定的事件消息，方便接入脚本或保存后分析。
- 支持按 `tgid`、`pid`、`uid` 缩小采集范围。
- MCP：提供 Streamable HTTP `/mcp` endpoint，方便 AI assistant 在线查询 Binder trace。

## 准备条件

需要一台已 root 的 Android 设备，并准备：

- 本机 `adb`；
- 与设备 ABI 匹配的 `binder-trace` 用户态二进制；
- 与设备内核版本匹配的 `bt-kmod.ko` 内核模块。

先确认设备信息：

```bash
adb shell getprop ro.product.cpu.abi
adb shell uname -r
adb shell su -c id
```

把文件推到设备：

```bash
adb shell mkdir -p /data/local/tmp/binder-trace
adb push binder-trace /data/local/tmp/binder-trace/binder-trace
adb push bt-kmod.ko /data/local/tmp/binder-trace/bt-kmod.ko
adb shell chmod 755 /data/local/tmp/binder-trace/binder-trace
```

加载内核模块并确认功能：

```bash
adb shell su -c 'insmod /data/local/tmp/binder-trace/bt-kmod.ko'
adb shell su -c 'lsmod | grep bt_kmod'
adb shell su -c '/data/local/tmp/binder-trace/binder-trace ipc feature'
```

如果设备已经加载过旧模块，可以先卸载：

```bash
adb shell su -c 'rmmod bt_kmod'
```

这里要注意，`rmmod` 会等待已经进入 Binder hook 的线程退出。如果设备上存在长时间阻塞的 Binder read / looper 线程，卸载可能需要等一段时间。

## WebUI 用法

日常查看推荐用 WebUI。先转发端口：

```bash
adb forward tcp:5173 tcp:5173
```

在设备侧启动：

```bash
adb shell
su
cd /data/local/tmp/binder-trace
./binder-trace webui --listen 127.0.0.1:5173
```

电脑浏览器打开：

```text
http://127.0.0.1:5173/
```

常见过滤方式：

```bash
./binder-trace webui --uid 1000
./binder-trace webui --tgid 12345
./binder-trace webui --pid 12345
./binder-trace webui --no-enable
./binder-trace webui --android-sdk 35
```

`--no-enable` 用于只读取现有事件流，不主动修改内核捕获配置。WebUI 的过滤和分页在后端执行，浏览器只渲染当前窗口，不会因为前端窗口大小丢掉后端已捕获事件。

## TUI / JSONL

如果只是临时排查，TUI 更适合直接在终端里看：

```bash
adb shell
su
cd /data/local/tmp/binder-trace
./binder-trace tui --rows 1024 --refresh-ms 100
```

也可以按目标缩小范围：

```bash
./binder-trace tui --uid 1000
./binder-trace tui --tgid 12345
./binder-trace tui --pid 12345
./binder-trace tui --no-enable
```

如果要接脚本或后续分析，可以输出 JSONL：

```bash
adb shell
su
cd /data/local/tmp/binder-trace
./binder-trace --output trace.jsonl
```

事件外层是统一消息信封，`object` 表示事件类型，`data` 是对应载荷。这样后面用 `jq`、Python 或其他工具处理会比较直接。

## MCP 查询

MCP 入口适合让 AI assistant 在线查询 Binder trace。先转发端口：

```bash
adb forward tcp:5174 tcp:5174
```

设备侧启动 MCP 服务：

```bash
adb shell
su
cd /data/local/tmp/binder-trace
./binder-trace mcp --listen 127.0.0.1:5174
```

桌面 MCP client 连接本机转发后的地址即可，核心是 Streamable HTTP，并指向 `/mcp`：

```json
{
  "mcpServers": {
    "binder-trace": {
      "type": "streamable-http",
      "url": "http://127.0.0.1:5174/mcp"
    }
  }
}
```

默认 MCP 只读取实时事件流，不修改内核捕获配置。如果需要允许 AI 开关 Binder trace，需要显式加 `--allow-control`，也可以配合 `--enable --uid 1000` 这类参数启动。

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2026-7-3 00:43 被fuqiuluo73编辑，原因：

#工具脚本

最新回复 (65) 1 2 3 ▶
FMNS 雪币： 9 活跃值： (2036) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 124 粉丝 1 关注私信	FMNS 2 楼 66666 2026-7-3 04:26 0
tonykros 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 100 粉丝 0 关注私信	tonykros 3 楼 6666 2026-7-3 07:56 0
mb_qimctavn 雪币： 5329 活跃值： (6790) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 402 粉丝 1 关注私信	mb_qimctavn 4 楼 6 2026-7-3 08:07 0
huangjw 雪币： 6750 活跃值： (11967) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 515 粉丝 2 关注私信	huangjw 5 楼 2026-7-3 09:35 0
mb_jnmxfjku 雪币： 109 活跃值： (825) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 149 粉丝 0 关注私信	mb_jnmxfjku 6 楼 666 2026-7-3 10:02 0
Gryffindoss 雪币： 635 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 126 粉丝 0 关注私信	Gryffindoss 7 楼 222 2026-7-3 10:06 0
mb_iesvmzqc 雪币： 5221 活跃值： (6087) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 31 粉丝 1 关注私信	mb_iesvmzqc 8 楼 6666 2026-7-3 10:31 0
mb_nkgphjuz 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 34 粉丝 0 关注私信	mb_nkgphjuz 9 楼 6666 2026-7-3 10:47 0
Thehepta 雪币： 3601 活跃值： (7420) 能力值： ( LV11，RANK：185 ) 在线值：发帖 23 回帖 240 粉丝 283 关注私信	Thehepta 3 10 楼 1 2026-7-3 10:52 0
wx_Huber Barrientos 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 216 粉丝 1 关注私信	wx_Huber Barrientos 11 楼 666 2026-7-3 12:08 0
夜惜风雨雪币： 95 活跃值： (3777) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 155 粉丝 0 关注私信	夜惜风雨 12 楼 66666666666666666666 2026-7-3 14:29 0
Ankeys 雪币： 722 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 98 粉丝 5 关注私信	Ankeys 13 楼 666 2026-7-3 18:55 0
wx_Kerberos 雪币： 0 活跃值： (685) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 16 粉丝 0 关注私信	wx_Kerberos 14 楼 2026-7-3 19:56 0
mb_4nrpVMxJ 雪币： 3841 活跃值： (220) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 96 粉丝 0 关注私信	mb_4nrpVMxJ 15 楼 666 2026-7-3 20:16 0
mb_liueenqt 雪币： 292 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	mb_liueenqt 16 楼 2026-7-3 21:10 0
jyotidwi 雪币： 1367 能力值： ( LV1，RANK：0 ) 在线值：发帖 3 回帖 121 粉丝 3 关注私信	jyotidwi 17 楼 666 2026-7-4 01:40 0
guardia 雪币： 738 活跃值： (1980) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 37 粉丝 0 关注私信	guardia 18 楼 666 2026-7-4 04:28 0
Nigthwish 雪币： 196 活跃值： (215) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	Nigthwish 19 楼 666 2026-7-4 05:09 0
x1a0f3n9 雪币： 92 活跃值： (1790) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 64 粉丝 95 关注私信	x1a0f3n9 20 楼感谢分享 2026-7-4 05:20 0
我就是小熊猫雪币： 1 活跃值： (828) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 47 粉丝 0 关注私信	我就是小熊猫 21 楼 666 2026-7-4 11:26 0
shuangmou 雪币： 754 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 68 粉丝 1 关注私信	shuangmou 22 楼感谢分享 2026-7-5 13:58 0
独一无二_370133 雪币： 4 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 42 粉丝 0 关注私信	独一无二_370133 23 楼 666 2026-7-6 11:39 0
丶咖啡猫丶雪币： 2769 活跃值： (3991) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 178 粉丝 4 关注私信	丶咖啡猫丶 24 楼 666 2026-7-6 13:51 0
ivy1 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 30 粉丝 1 关注私信	ivy1 25 楼 666 2026-7-6 14:28 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复