Vibe了一个Binder监控App行为的小玩具-Android安全-看雪安全社区

# 前言

Vibe了一个Binder消息跟踪小玩具. 本质上是在[大佬的基础](https://bbs.kanxue.com/thread-281895-1.htm)上做了一些拓展和完善. 测了一些厂商的App,发现用来做行为检测还算不错,能给逆向分析提供一些"灵感". 于是放出来大家一起玩儿.

# 除了参数还要响应

null-luo佬的btrace只做了Binder的请求监控,但是我们在实际逆向分析过程中除了看请求也有看响应内容的需求.尤其是在做风控对抗时,不看响应难以判断这个Binder请求是否暴露了什么痕迹.

Binder请求是可以分为**oneway**(只调用无响应)和**twoway**(调用完了还有响应内容)的. oneway请求自然是只抓请求就可以,但是twoway请求,除了App发起调用时的一次Binder调用,目标返回响应其实也是一次Binder调用.

**举个例子:**

> App调用PMS的getPackageInfo方法时, App会先把参数通过Binder消息发送给PMS,而后这个发送Binder消息的线程变成同步阻塞状态. 当PMS把响应Binder消息返回过来以后,App的线程才会继续向下执行.

每一个Binder消息都会经过binder_transaction,而这个函数的第4个参数就是reply标志位.如果标志位被置1,就证明当前的消息是一个relpy的消息.

但是只能判断出reply对于我们的需求还远远不够,只有把请求和响应一一对应起来,我们才能知道这一次Binder调用的真实情况.

这里我通过debug_id来将两个请求帧关联起来. debug_id是内核在创建每一笔事务时分配的编号,全局唯一而且稳定,一笔事务从request到reply自始至终都是同一个debug_id.

## 如何拿到两个消息的debug_id

### reply帧

twoway请求中的reply消息,在到达binder_transaction函数时结构体内已经有了debug_id,直接读就行.

reply是服务端(比如PMS)处理完请求以后发回来的,这个时候服务端线程的`thread->transaction_stack`上还挂着当初那笔request的binder_transaction对象(内核里管它叫in_reply_to), debug_id就是它的一个属性.

### request帧

沿用btrace在binder_transaction入口的Hook点,可以直接拿到请求Parcel消息内容,但request的struct binder_transaction结构体要到函数体里才被内核创建出来,所以这里我又加了两个Hook点来关联出来request的Parcel内容和debug_id.

首先是在binder_transaction上挂了一个raw_tracepoint. tracepoint的触发点在函数体里,这时候相关结构体已经建好了,debug_id能读到.

但这又带出一个新问题: 入口kprobe上报的"事件本体"和raw_tracepoint上报的debug_id是分两次发出去的,单次直接发的话会因为ebpf的限制而导致ebpf加载失败. 所以这里又加了第二个Hook点,来关联前后的Parcel消息和debug_id.

单个request的入口kprobe和raw_tracepoint,跑在同一个线程、同一次函数调用里,中间不会切走. 所以在入口处先分配一个cookie写进`pending_map[tid]`,实现Parcel和中间态的映射,等raw_tracepoint触发时,按当前tid把中间态cookie取回来,和debug_id一起上报.

## 两条Parcel帧配对

到这里两条路径就都打通了:

- **request帧**: cookie桥接,由raw_tracepoint把debug_id绕回来补上
- **reply帧**: 顺着transaction_stack直读

两条帧都带上了debug_id以后,最终的App端只要看谁和谁的debug_id相等,就能把一次twoway调用的request和reply重新拼回一对.

# Parcel内容解析

btrace受限于纯Golang的原因,只能用离线跑再持久化的方式来解析包名&方法名. 这里我补齐了动态反射的能力,还额外加了App私有的AIDL解析.

## 1.反射获取

Binder消息中自带了调用方和被调用方的UID,有了这个信息就可以得到基础包名信息.而进一步的接口名和方法名就需要进一步对Parcel内容进行解析了.

这里我兼容了Android O / Android P / Android Q+ 三种格式的Binder消息. 同时针对于系统驱动的HIDL做了单独适配,如果还是不能覆盖,则会采用所谓的"启发式"推理,根据数据格式大致推测一个结构. 这个不保准,所以会单独标注出来.

以上手段都是对系统标准Binder接口的解析,为了防止某些App内部也是用Binder做通信,或者作为Binder服务提供服务. 我还额外加了一个外置App AIDL的扫描功能,把监控目标的dex复制到私有目录并加载,遍历里面的aidl来用于识别.

## 2. 接口缓存

在实际监控过程中,会在后台扫描系统 App 和已监控过的 App，找所有 `$Stub.DESCRIPTOR`，建立 `interfaceName -> packageName` 索引。这样即使 sender 不是接口定义所在包，也能找到正确 APK 去反射.

## 3. 兜底解析

如果所有的方法都没能解析出来Parcel里的内容,最后将会用btrace的method.json静态表去查,当然里面的内容我已经调整过了.

如果method.json里面也没有,则会做一个`启发式扫描`根据变量size猜一个类型,但是这个不保准,所以会专门标注起来.

如果猜都猜不出来,就会展示方法code,如果有需要可以自行去找相关的stub查方法.同时Parcel的内容也会用hexdump的形式展示出来,可以通过Ascii解码看到一些信息.

# 调用堆栈解析

有了基本的请求响应内容以后,我们已经对Binder通信里的内容有了一个基础认知. 但是如果我们想进一步跟进,看看某个请求是怎么回事,那就需要明确它的调用地址.

所以我又额外叠加了一个堆栈解析的功能,在内核中用 bpf_get_stack方法获取用户态fp指针并回溯,结合运行时的maps信息,做符号解析,最终得到一个完整的调用栈.

# 效果演示

这里我用Duck Detector检测器做演示.

## 消息列表
 ![消息列表](upload/attach/202607/887709_M2S2WCA3DH3XPH9.webp)

## 消息详情
 ![消息详情](upload/attach/202607/887709_BZQZJUWKDB3H48D.webp)

## 消息检索
那个经过的.so实际上就是堆栈匹配,你可以输入指定So,如果堆栈里面出现了这个So就会匹配上.
 ![消息检索](upload/attach/202607/887709_CQKZKT48UKCP5TB.webp)

# 项目地址

>  项目地址: <mark class="encrypted">dc7K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6m8L8X3g2C8P5i4y4Q4x3V1k6n7K9h3&6V1k6i4u0f1M7X3q4U0k6i4t1`.</mark>
>
>  基础使用条件:  已root的手机(推荐APatch) +  GKI内核5.10+版本

这个项目是我第一个纯Vibe的小工具,没有一行手写代码, 有Bug是非常正常的~

回复或点赞可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

最新回复 (56) 1 2 3 ▶
wx_北极星_493 雪币： 159 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 59 粉丝 0 关注私信	wx_北极星_493 2 楼看看 2026-7-5 21:38 0
随风而行aa 雪币： 7773 活跃值： (25229) 能力值： ( LV12，RANK：550 ) 在线值：发帖 39 回帖 432 粉丝 1587 关注私信	随风而行aa 10 3 楼看看 2026-7-5 21:50 0
墨穹呢雪币： 4770 活跃值： (8232) 能力值： ( LV3，RANK：20 ) 在线值：发帖 2 回帖 231 粉丝 18 关注私信	墨穹呢 4 楼看看 2026-7-5 22:21 0
Zepp7289 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 147 粉丝 0 关注私信	Zepp7289 5 楼 tql 2026-7-5 22:49 0
温泉划水鱼雪币： 94 能力值： ( LV1，RANK：0 ) 在线值：发帖 6 回帖 226 粉丝 28 关注私信	温泉划水鱼 6 楼不错，能监视解析就能修改 2026-7-6 00:39 0
温泉划水鱼雪币： 94 能力值： ( LV1，RANK：0 ) 在线值：发帖 6 回帖 226 粉丝 28 关注私信	温泉划水鱼 7 楼但还有getinstalledPackages这种返回一大堆的帧包的情况要注意 2026-7-6 00:41 0
mb_elqwyvnm 雪币： 2742 活跃值： (3475) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 170 粉丝 0 关注私信	mb_elqwyvnm 8 楼的情况要注意 2026-7-6 00:45 0
mb_elqwyvnm 雪币： 2742 活跃值： (3475) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 170 粉丝 0 关注私信	mb_elqwyvnm 9 楼 compose 2026-7-6 00:46 0
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 707 粉丝 7 关注私信	mb_ldbucrik 10 楼向大佬学习 2026-7-6 08:00 0
iBa0 雪币： 1901 活跃值： (5928) 能力值： ( LV4，RANK：40 ) 在线值：发帖 6 回帖 490 粉丝 37 关注私信	iBa0 11 楼 666 2026-7-6 08:05 0
钱钱钱￥雪币： 725 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 66 粉丝 0 关注私信	钱钱钱￥ 12 楼看看 2026-7-6 09:47 0
海带雪币： 427 活跃值： (2150) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 83 粉丝 11 关注私信	海带 13 楼 6666 2026-7-6 10:05 0
guijingwen 雪币： 7377 活跃值： (7605) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 312 粉丝 0 关注私信	guijingwen 14 楼 66 2026-7-6 10:10 0
dob_C 雪币： 131 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 86 粉丝 0 关注私信	dob_C 15 楼感谢分享 2026-7-6 10:21 0
Thehepta 雪币： 3601 活跃值： (7420) 能力值： ( LV11，RANK：185 ) 在线值：发帖 23 回帖 240 粉丝 283 关注私信	Thehepta 3 16 楼 1 2026-7-6 10:36 0
fyrlove 雪币： 5372 活跃值： (3460) 能力值： (RANK：180 ) 在线值：发帖 7 回帖 56 粉丝 120 关注私信	fyrlove 4 17 楼好东西，有空的时候得试试 2026-7-6 10:44 0
method 雪币： 1972 活跃值： (8178) 能力值： ( LV5，RANK：70 ) 在线值：发帖 13 回帖 268 粉丝 134 关注私信	method 1 18 楼 1 2026-7-6 10:52 0
YoungBai 雪币： 1340 活跃值： (1730) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 153 粉丝 2 关注私信	YoungBai 19 楼 666 2026-7-6 11:17 0
mb_rfeucrmf 雪币： 227 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 30 粉丝 0 关注私信	mb_rfeucrmf 20 楼 666 2026-7-6 12:01 0
mb_vghyvbhn 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 18 粉丝 0 关注私信	mb_vghyvbhn 21 楼 666 2026-7-6 13:03 0
九黎雪币： 51 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 93 粉丝 0 关注私信	九黎 22 楼 tql 2026-7-6 14:04 0
xingbing 雪币： 158 活跃值： (5791) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 1400 粉丝 2 关注私信	xingbing 23 楼向大佬学习 2026-7-6 15:34 0
西瓜帅雪币： 1849 活跃值： (2993) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 78 粉丝 1 关注私信	西瓜帅 24 楼向大佬学习 2026-7-6 17:30 0
mb_4nrpVMxJ 雪币： 3837 活跃值： (215) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 96 粉丝 0 关注私信	mb_4nrpVMxJ 25 楼 6666 2026-7-6 19:12 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复