[原创]某加密企业版 Frida 检测绕过-Android安全-看雪安全社区

# 某加密企业版 Frida 检测绕过

## 前言

故事的起因源自于我们英语老师用这个软件签到，就想着能不能 ... 嘿嘿 [手动doge]

正巧最近想学习一下安卓加固壳

效仿 OrientalGlass 大佬的搞法，把我平时收藏的那些逆向相关的优质文章总结成一个 AI 知识库，以供 AI 一把梭哈，效果很可观

工具:

- Pixel 6A
- Frida 17.8.3 (因为我root机用16版本容易崩，需注意API兼容问题)
- Codex (用的GPT5.5，不容易报cyber)
- 无名侠的 IDA NO MCP

目标APK：cn.unipus.cloud

**声明:**

1. **本文所述内容仅为技术研究与学习交流之目的, 所分析的 App 版权归其所属公司所有**
2. **作者未对任何 App 进行非法篡改, 破解, 数据窃取或商业利用, 亦不鼓励或支持任何违反法律法规的行为**
3. **读者不得将本文内容用于任何非法用途, 由此产生的一切法律责任由使用者自行承担**
4. **请遵守《中华人民共和国网络安全法》及相关法律法规**

## 事先准备

互联网上关于该壳的信息搜集

目标APK

Root机环境下能否正常使用目标APK

## Frida 一把梭

先 hook 一下 dlopen，定位一下反 Frida 逻辑大概在哪个文件里面

每次 dlopen enter前可以尝试 sleep 两秒应对检测逻辑处决时间滞后问题

```javascript
const SYMBOLS = ["dlopen", "__loader_dlopen", "android_dlopen_ext"];
const LOOKUP_MODULES = ["libc.so", "libdl.so", "linker64", "linker"];
const SLEEP_SECONDS = 2;
let enterCount = 0;

function cstr(p) {
    try {
        return p.isNull() ? null : p.readCString();
    } catch (_) {
        return "<bad-cstr>";
    }
}

function addrName(p) {
    const m = Process.findModuleByAddress(p);
    return m ? m.name + "+0x" + p.sub(m.base).toString(16) : p.toString();
}

function exportByName(name) {
    for (const moduleName of LOOKUP_MODULES) {
        const m = Process.findModuleByName(moduleName);
        if (m === null) continue;

const p = m.findExportByName(name);
        if (p !== null) return p;
    }
    return Module.findGlobalExportByName(name);
}

function hook(name) {
    const p = exportByName(name);
    if (p === null) {
        console.log("[miss] " + name);
        return;
    }

Interceptor.attach(p, {
        onEnter(args) {
            enterCount++;
            this.name = name;
            this.path = cstr(args[0]);
            this.flags = args[1];
            this.caller = addrName(this.returnAddress);

if (enterCount > 1) {
                console.log("[dlopen:pre-sleep] " +
                    "count=" + enterCount +
                    " tid=" + Process.getCurrentThreadId() +
                    " fn=" + name +
                    " caller=" + this.caller +
                    " path=" + this.path +
                    " flags=" + this.flags +
                    " sleep=" + SLEEP_SECONDS + "s");
                Thread.sleep(SLEEP_SECONDS);
            }

console.log("[dlopen:enter] " +
                "tid=" + Process.getCurrentThreadId() +
                " fn=" + name +
                " caller=" + this.caller +
                " path=" + this.path +
                " flags=" + this.flags);
        },
        onLeave(retval) {
            console.log("[dlopen:leave] " +
                "fn=" + this.name +
                " ret=" + retval +
                " path=" + this.path);
        }
    });

console.log("[hook] " + name + " @ " + p);
}

setImmediate(function () {
    SYMBOLS.forEach(hook);
});
```

![](upload/attach/202608/1050118_DDZR5Q658XQZ3WC.webp)

定位到处决逻辑处于 `libexec.so` 中

知道了处决逻辑的位置后，想办法去处理上游的检测逻辑

## 修复 libexec.so

IDA 打开 libexec.so 瞟一眼

发现大段被加密，疑似标准/轻改 UPX

![](upload/attach/202608/1050118_YTJCXWEC592N8KG.webp)

可以通过纯静态分析 `.init_proc` 函数一路追踪过去，基本上一路交给 AI 就可以完成

这里推荐用动态dump的方式，用 Frida attach 先 dump 出 so ，再通过 Sofixer 修复so结构，这里可以用这位佬的脚本自动完成

一次不行就多试几次，在检测逻辑轮询的空窗期把 so dump 出来

## trace

接下来就通过 Frida 定位处决逻辑，顺着处决点摸到上游的检测逻辑

可以直接让 AI 写 trace 脚本

这边推荐可以先用一些开源的IDA插件先把trace脚本生成出来后再让 AI 改

在该样例中有一些小 bug 导致无法正常执行

```
主要原因是原版本的 Stalker 日志写在 transform() 里 console.log，那是 block 编译阶段，不是运行到函数时；所以看起来 trace 不准或没效果

另一个问题是Process.getModuleByName(so_name) 在 libexec.so 还没加载时会直接抛异常
```

让 AI 修一下就行

![](upload/attach/202608/1050118_CGGDCC5JXCQX3R2.webp)

如果处决逻辑有滞后导致定位处决函数难以精确，可以让AI改一下，在 trace 脚本每一个函数执行前中加入一段 sleep 逻辑，如果 sleep 逻辑本身容易导致程序崩溃

可以参照 OrientalGlass 文章提过中的思路，进行二分查找

基本上能够收敛到处决函数；随后针对关键返回值写 hook 脚本记录调用者、返回值和状态位，再结合静态分析向上追溯检测点位

若仍然难以定位，可以尝试通过 KPM 模块或者 eBPF程序 进行 trace 工作，对比Frida trace函数链是在哪里出现了路径分叉，再往上追溯检测逻辑，对于部分的反调试逻辑有奇效

## 最终定制化脚本

确认的关键函数对应关系：

| 偏移 | IDA 函数/位置 | 在脚本里的意义 |
| --- | --- | --- |
| `0x64440` | `sub_64440` | JNI 调 `Debug.isDebuggerConnected()`；返回 1 会写状态并表示检测命中。脚本 hook 后非零返回改 0。 |
| `0x5cc98` | 落在 `sub_5C9E8` 内 | note 里标为 gate 链 `ops[0x00]` thunk；IDA 当前不是独立函数起点。脚本仍按该入口尝试 hook。 |
| `0x5ccf8` | `sub_5CCF8` | 构造期 VM 调度器：调用 `sub_D9304(..., 0x102770, ...)` 跑 VM 字节码，然后用 `sub_DDF94` 取结果。返回 1 表示 gate 检测命中。 |
| `0xddf94` | `sub_DDF94` | VM 结果栈提取器。它也被 `JNI_OnLoad` 用来返回 `JNI_VERSION`，所以脚本只在 caller 落在 `0x5ccf8..0x5ce00` 时改 0，避免把 JNI 初始化弄坏。 |
| `0x5dfe4` | `sub_5DFE4` | A-table 的 `A[7]`，直接 syscall 打开/读取 `/proc/self/status`，解析 `TracerPid`。这是 spawn 根因链里的关键早期检测。 |
| `0x63c10` | `sub_63C10` | A-table 的 `A[4]`，读取 `/proc/self/wchan`，识别 `sys_epoll`、`ptrace_stop`，返回 0/1/2。 |
| `0x78b98` | `sub_78B98` | A-table 的 `A[31]`，字符串比较 helper；在 `A[7]` 里用于匹配 `TracerPid` 行名。 |
| `0x62d80` | `sub_62D80` | maps/Frida 检测器，扫描 `/proc/self/maps` 风格内容和可执行段特征。脚本直接 patch 成 `mov w0,#0; ret`。 |
| `0x6fcb4` | `sub_6FABC` 内失败块 | 第一组终止 caller。脚本把块内入口/BL 位置改成 B，跳过写状态、调用 `sub_5C9E8` 和清零路径。 |
| `0x712cc` | `sub_70F80` 内失败块 | 第二组终止 caller。IDA 反编译失败，但 process 里 CFG 证据显示它有多入口，脚本分别 patch 三个入口/BL 点跳到继续路径。 |
| `0x40c2c` | `sub_40BF4` 内返回地址 | raw-clone mmap 安全窗口标识。只有 caller 是 `libexec.so+0x40c2c`、length `0x800000`、flags `0x20022` 时才批量安装 hook/patch。 |
| `0x4f464` | `sub_4F408` 内 `pthread_create` caller | 晚期同步窗口：当这里创建线程，且 start routine 是 `0x4f1b0` 时，再补一次关键 hook/patch。 |
| `0x4f1b0` | `sub_4F1B0` | watchdog/回调包装线程入口；执行 `sub_4F508()` 后调用参数对象里的回调。它是终止前稳定出现的线程链入口。 |
| `0xeefe0` | 全局数据 `off_EEFE0` | 全局状态指针槽。脚本从这里追到 state，再持续清 `state+0x338`、`+0x1d1`、`+0x33e`。其中 `+0x338` 是 VM 会写成检测状态 17 的标记。 |

```javascript
"use strict";

const PROBE_MODE = "smart";
const TARGET_MODULE = "libexec.so";
const RETURN_ZERO = 0x52800000;
const RET = 0xd65f03c0;
const STATE_SLOT = 0xeefe0;

// sub_5CCF8 returns to sub_71570 chain — safe to override
// JNI_OnLoad returns JNI_VERSION — DON'T override
const DDF94_OFFSET = 0xddf94;
const CALLERS_TO_OVERRIDE = [0x5ccf8]; // only override when called from sub_5CCF8

// Hook all detection targets
const HOOK_TARGETS = [0x64440, 0x5cc98, 0x5ccf8, 0x5dfe4, 0x63c10, 0x78b98];
const PATCH_TARGETS = [0x62d80];

if (Process.arch !== "arm64") throw new Error("arm64");
hookRaw(); hookPth();
ev("A", { pid: Process.id });
setImmediate(function () { ev("R", { pid: Process.id }); });

```

![](upload/attach/202608/1050118_B892MFYMAKUZEFP.webp)

之后无论是动态拿DEX或者进行其他的 hook 操作就方便多了

## 静态提取DEX

对于这类加固而言，磁盘占用大且信息熵高的文件就很有可能是被加密的DEX文件

在示例中，这类文件如下

- assets/ijiami.dat
- assets/ijiami.ajm

然后让 AI 辅助沿字符串和 xref 追踪，可以逐步定位 DEX 解密逻辑，对于现在的大模型能力来说不是什么难事

![](upload/attach/202608/1050118_APV4FYD2KCXUZ4F.webp)

对于那种密钥常量之类的，如果限定了大小，场景合适，可以尝试暴力穷举，用文件魔数什么的进行约束

最终静态分析结论：

本样本里， ijiami.dat 负责恢复 8 个结构合法但仍处于方法抽空状态的 DEX；ijiami.ajm 则保存 142,672 条方法正文记录，可按 marker 原位回填这些 DEX 中被默认返回/NOP 骨架替换的方法体

这里容易踩坑： ijiami.dat  解出的 DEX 虽然能过  `dexdump` 结构校验，但并不代表方法正文已经完整恢复。建议额外扫描 `debug_info_off` 异常 marker、默认返回/NOP 骨架，以及业务类中是否大量保留 try 块但首条即 return

不主动提，大模型很容易停在`能打开DEX`的阶段就不动了

## 参考文章

[[原创\]某加固最新版frida检测绕过-trace一把嗦(续)-Android安全-看雪安全社区｜专业技术交流与安全研究论坛](https://bbs.kanxue.com/thread-292208.htm)

<a href="elink@f6aK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3f1#2x3Y4m8G2K9X3W2W2i4K6u0W2j5$3&6Q4x3V1k6@1K9s2u0W2j5h3c8Q4x3X3b7J5x3o6V1K6x3o6j5J5i4K6u0V1x3g2)9J5k6o6q4Q4x3X3g2Z5N6r3#2D9">某密企业版加固反调试与VMP分析 - 吾爱破解 - 52pojie.cn</a>

回复或点赞可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

最后于 2026-8-26 15:03 被aut0run编辑，原因：

#逆向分析 #脱壳反混淆

最新回复 (100) 1 2 3 4 5 ▶
x1a0f3n9 雪币： 85 活跃值： (1785) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 64 粉丝 95 关注私信	x1a0f3n9 2 楼 tql 2026-8-25 15:44 0
ID蝴蝶雪币： 427 活跃值： (1409) 能力值： ( LV5，RANK：70 ) 在线值：发帖 11 回帖 331 粉丝 0 关注私信	ID蝴蝶 1 3 楼学习了 2026-8-25 15:51 0
mb_zfqvurgb 雪币： 306 活跃值： (1669) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 52 粉丝 1 关注私信	mb_zfqvurgb 4 楼一键 ctrl+s ，再点击保存 2026-8-25 15:52 0
九黎雪币： 51 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 93 粉丝 0 关注私信	九黎 5 楼 tql 2026-8-25 15:54 0
院士雪币： 7238 活跃值： (7744) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 263 粉丝 5 关注私信	院士 6 楼厉害，学习了。 2026-8-25 17:45 0
啊你好哇123 雪币： 798 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 376 粉丝 0 关注私信	啊你好哇123 7 楼学习学习，希望不要被大手下架 2026-8-25 19:18 0
Imxz 雪币： 110 活跃值： (9571) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 775 粉丝 9 关注私信	Imxz 8 楼 tql 2026-8-26 08:48 0
mb_ysikfhxt 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 133 粉丝 0 关注私信	mb_ysikfhxt 9 楼我pixel6 也是frida server 16会崩溃， 16 gadget java bridge用不了 2026-8-26 10:08 1
xingbing 雪币： 158 活跃值： (5791) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 1400 粉丝 2 关注私信	xingbing 10 楼学习了。 2026-8-26 16:11 0
嘎嘎真的很棒雪币： 716 活跃值： (3812) 能力值： ( LV3，RANK：30 ) 在线值：发帖 8 回帖 161 粉丝 7 关注私信	嘎嘎真的很棒 11 楼严肃学习 2026-8-26 17:05 0
嘎嘎真的很棒雪币： 716 活跃值： (3812) 能力值： ( LV3，RANK：30 ) 在线值：发帖 8 回帖 161 粉丝 7 关注私信	嘎嘎真的很棒 12 楼这个软件只检测了frida-server的elf头，抹掉就好了。。。其余检测并没有开启。 2026-8-26 17:13 1
Cure. 雪币： 60 活跃值： (170) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 41 粉丝 2 关注私信	Cure. 13 楼 tql 2026-8-26 17:22 0
mb_ysegxpmv 雪币： 2248 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 118 粉丝 0 关注私信	mb_ysegxpmv 14 楼 tql 2026-8-27 00:01 0
mb_elqwyvnm 雪币： 2742 活跃值： (3475) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 170 粉丝 0 关注私信	mb_elqwyvnm 15 楼 sad 2026-8-27 00:13 0
git_14248bibinocode 雪币： 217 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 48 粉丝 0 关注私信	git_14248bibinocode 16 楼 55 2026-8-27 13:32 0
l140w4n9 雪币： 415 活跃值： (1468) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 32 粉丝 18 关注私信	l140w4n9 17 楼 66666 2026-8-27 14:12 0
mb_ugnawvja 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 63 粉丝 0 关注私信	mb_ugnawvja 18 楼 tql 2026-8-27 15:12 0
wx_大冰雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 29 粉丝 0 关注私信	wx_大冰 19 楼 tql 2026-8-27 15:17 0
mb_ulpjlzcj 雪币： 19 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	mb_ulpjlzcj 20 楼 tql 2026-8-27 17:58 0
xianhuimin 雪币： 9341 活跃值： (6228) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 231 粉丝 2 关注私信	xianhuimin 21 楼看看 2026-8-27 19:28 0
Snowman_Liam 雪币： 2 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 142 粉丝 1 关注私信	Snowman_Liam 22 楼 66666 2026-8-27 19:36 0
GEKEZYX 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 157 粉丝 0 关注私信	GEKEZYX 23 楼 66 2026-8-27 20:03 0
钱钱钱￥雪币： 725 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 66 粉丝 0 关注私信	钱钱钱￥ 24 楼学习 2026-8-28 10:19 0
mb_clyjjfyk 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	mb_clyjjfyk 25 楼看看 2026-8-28 11:29 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复