hacktricks/mobile-pentesting/android-app-pentesting/frida-tutorial

Tutorial do Frida

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

• Você trabalha em uma empresa de segurança cibernética? Você quer ver sua empresa anunciada no HackTricks? ou você quer ter acesso à última versão do PEASS ou baixar o HackTricks em PDF? Confira os PLANOS DE ASSINATURA!
• Descubra A Família PEASS, nossa coleção exclusiva de NFTs
• Adquira o swag oficial do PEASS & HackTricks
• Junte-se ao 💬 grupo do Discord ou ao grupo do telegram ou siga-me no Twitter 🐦@carlospolopm.
• Compartilhe suas técnicas de hacking enviando PRs para o repositório hacktricks e repositório hacktricks-cloud.

Dica de bug bounty: inscreva-se na Intigriti, uma plataforma premium de bug bounty criada por hackers, para hackers! Junte-se a nós em https://go.intigriti.com/hacktricks hoje e comece a ganhar recompensas de até $100.000!

{% embed url="https://go.intigriti.com/hacktricks" %}

Instalação

Instale as ferramentas do frida:

pip install frida-tools
pip install frida

Baixe e instale no Android o servidor frida (Baixe a última versão).
Um comando para reiniciar o adb em modo root, conectá-lo, fazer upload do frida-server, dar permissões de execução e executá-lo em segundo plano:

adb root; adb connect localhost:6000; sleep 1; adb push frida-server /data/local/tmp/; adb shell "chmod 755 /data/local/tmp/frida-server"; adb shell "/data/local/tmp/frida-server &" 

Verifique se está funcionando:

frida-ps -U #List packages and processes
frida-ps -U | grep -i <part_of_the_package_name> #Get all the package name

Tutoriais

Tutorial 1

De: https://medium.com/infosec-adventures/introduction-to-frida-5a3f51595ca1
APK: https://github.com/t0thkr1s/frida-demo/releases
Código-fonte: https://github.com/t0thkr1s/frida-demo

Siga o link para ler.

Tutorial 2

De: https://11x256.github.io/Frida-hooking-android-part-2/ (Partes 2, 3 e 4)
APKs e Código-fonte: https://github.com/11x256/frida-android-examples

Siga o link para ler.

Tutorial 3

De: https://joshspicer.com/android-frida-1
APK: https://github.com/OWASP/owasp-mstg/blob/master/Crackmes/Android/Level_01/UnCrackable-Level1.apk

Siga o link para ler.
Você pode encontrar alguns scripts incríveis do Frida aqui: https://codeshare.frida.re/

Exemplos Rápidos

Aqui você pode encontrar as funcionalidades mais básicas e interessantes do Frida para criar um script rápido:

Chamando o Frida a partir da linha de comando

frida-ps -U

#Basic frida hooking
frida -l disableRoot.js -f owasp.mstg.uncrackable1

#Hooking before starting the app
frida -U --no-pause -l disableRoot.js -f owasp.mstg.uncrackable1
#The --no-pause and -f options allow the app to be spawned automatically,
#frozen so that the instrumentation can occur, and the automatically
#continue execution with our modified code.

Script Python Básico

import frida, sys

jscode = open(sys.argv[0]).read()
process = frida.get_usb_device().attach('infosecadventures.fridademo')
script = process.create_script(jscode)
print('[ * ] Running Frida Demo application')
script.load()
sys.stdin.read()

Hooking de funções sem parâmetros

Faça o hook da função a() da classe sg.vantagepoint.a.c.

Java.perform(function () {
;  rootcheck1.a.overload().implementation = function() {
  rootcheck1.a.overload().implementation = function() {
    send("sg.vantagepoint.a.c.a()Z   Root check 1 HIT!  su.exists()");
    return false;
  };
});

Hook java exit()

Neste tutorial, vamos aprender como usar o Frida para hookear a função exit() em um aplicativo Android.

Introdução

O exit() é uma função da biblioteca padrão do C que é usada para encerrar um programa. Em aplicativos Android, a função exit() é frequentemente usada para encerrar o aplicativo quando o usuário pressiona o botão "Voltar" ou "Sair".

Hookear a função exit() pode ser útil para interceptar o encerramento do aplicativo e realizar ações adicionais, como salvar dados ou exibir uma mensagem de confirmação para o usuário antes de sair.

Pré-requisitos

Antes de começar, você precisará ter o seguinte:

• Um dispositivo Android com acesso root
• O aplicativo Android que você deseja hookear
• O Frida instalado no seu computador e no dispositivo Android

Passo a passo

1. Abra o aplicativo Android que você deseja hookear no seu dispositivo Android.

2. Abra o terminal e execute o seguinte comando para iniciar o servidor do Frida:

   frida-server -D
   

3. No seu computador, abra o console do Frida usando o seguinte comando:

   frida -U -n <nome_do_aplicativo>
   

4. No console do Frida, use o seguinte script para hookear a função exit():

   Java.perform(function () {
       var System = Java.use('java.lang.System');
       System.exit.implementation = function (statusCode) {
           console.log('exit() called with code: ' + statusCode);
           // Insira aqui o código que você deseja executar antes de sair
           this.exit(statusCode);
       };
   });
   

5. Pressione o botão "Voltar" ou "Sair" no aplicativo Android. Você deve ver a mensagem "exit() called with code: 0" no console do Frida.

Conclusão

Neste tutorial, aprendemos como usar o Frida para hookear a função exit() em um aplicativo Android. Isso pode ser útil para interceptar o encerramento do aplicativo e realizar ações adicionais antes de sair.

var sysexit = Java.use("java.lang.System");
  sysexit.exit.overload("int").implementation = function(var_0) {
    send("java.lang.System.exit(I)V  // We avoid exiting the application  :)");
  };

Hook MainActivity .onStart() & .onCreate()

Para hookear o método onStart() e onCreate() da MainActivity, podemos usar o Frida. O Frida é uma ferramenta de análise e manipulação de código aberto que permite injetar código JavaScript em aplicativos nativos em tempo de execução.

Pré-requisitos

• Dispositivo Android com acesso root ou emulador Android com Frida Server instalado
• Frida CLI instalado no seu computador

Passo a passo

1. Conecte o dispositivo Android ao seu computador ou inicie o emulador Android.

2. Inicie o aplicativo que deseja analisar.

3. Abra o terminal e execute o seguinte comando para verificar se o dispositivo Android está conectado corretamente:

   frida-ps -U
   

4. O comando acima deve listar todos os processos em execução no dispositivo Android. Encontre o processo do aplicativo que deseja analisar e anote o nome do processo.

5. Crie um arquivo JavaScript com o seguinte conteúdo:

   Java.perform(function () {
     var MainActivity = Java.use('com.example.app.MainActivity');
   
     MainActivity.onCreate.implementation = function () {
       console.log('[+] onCreate() hooked');
       this.onCreate();
     };
   
     MainActivity.onStart.implementation = function () {
       console.log('[+] onStart() hooked');
       this.onStart();
     };
   });
   

6. Salve o arquivo JavaScript com o nome hook.js.

7. No terminal, execute o seguinte comando para injetar o código JavaScript no processo do aplicativo:

   frida -U -n <nome_do_processo> -l hook.js --no-pause
   

   Substitua <nome_do_processo> pelo nome do processo que você anotou anteriormente.

8. Agora, quando o aplicativo iniciar e chamar os métodos onCreate() e onStart() da MainActivity, você verá as mensagens onCreate() hooked e onStart() hooked no terminal.

Conclusão

Com o Frida, podemos facilmente hookear métodos em aplicativos Android e analisar seu comportamento em tempo de execução. Isso pode ser útil para depuração, engenharia reversa e testes de segurança.

var mainactivity = Java.use("sg.vantagepoint.uncrackable1.MainActivity");
  mainactivity.onStart.overload().implementation = function() {
    send("MainActivity.onStart() HIT!!!");
    var ret = this.onStart.overload().call(this);
  };
  mainactivity.onCreate.overload("android.os.Bundle").implementation = function(var_0) {
    send("MainActivity.onCreate() HIT!!!");
    var ret = this.onCreate.overload("android.os.Bundle").call(this,var_0);
  };

Hook android .onCreate()

Neste tutorial, vamos aprender como usar o Frida para hookear o método .onCreate() de um aplicativo Android.

Pré-requisitos

• Dispositivo Android com acesso root ou emulador Android
• Frida instalado no dispositivo ou emulador
• Conhecimento básico de JavaScript

Passo a passo

1. Abra o aplicativo que você deseja hookear e navegue até a tela que contém o método .onCreate().

2. Abra o terminal e execute o seguinte comando para listar os processos em execução:

   frida-ps -U
   

   Isso exibirá uma lista de todos os processos em execução no dispositivo ou emulador.

3. Encontre o processo do aplicativo que você deseja hookear e anote o seu PID.

4. Execute o seguinte comando para iniciar o processo de hooking:

   frida -U -l nome_do_script.js -f nome_do_pacote_do_aplicativo --no-pause
   

   • nome_do_script.js: o nome do arquivo JavaScript que contém o código de hooking.
   • nome_do_pacote_do_aplicativo: o nome do pacote do aplicativo que você deseja hookear.

5. No arquivo JavaScript, adicione o seguinte código para hookear o método .onCreate():

   Java.perform(function () {
       var MainActivity = Java.use('nome_do_pacote_do_aplicativo.MainActivity');
       MainActivity.onCreate.implementation = function (savedInstanceState) {
           console.log('onCreate() foi hookado!');
           this.onCreate(savedInstanceState);
       };
   });
   

   Certifique-se de substituir nome_do_pacote_do_aplicativo pelo nome do pacote do aplicativo que você deseja hookear.

6. Salve o arquivo JavaScript e execute o comando frida -U -l nome_do_script.js -f nome_do_pacote_do_aplicativo --no-pause novamente para iniciar o processo de hooking.

7. Abra o aplicativo que você hookou e verifique o terminal. Você deve ver a mensagem "onCreate() foi hookado!".

Parabéns! Você acabou de hookear o método .onCreate() de um aplicativo Android usando o Frida.

  var activity = Java.use("android.app.Activity");
  activity.onCreate.overload("android.os.Bundle").implementation = function(var_0) {
    send("Activity HIT!!!");
    var ret = this.onCreate.overload("android.os.Bundle").call(this,var_0);
  };

Hooking de funções com parâmetros e recuperando o valor

Hooking de uma função de decodificação. Imprime a entrada, chama a função original para decodificar a entrada e, finalmente, imprime os dados em texto plano:

  function getString(data){
      var ret = "";
      for (var i=0; i < data.length; i++){
          ret += data[i].toString();
        }
      return ret
    } 
  var aes_decrypt = Java.use("sg.vantagepoint.a.a");
  aes_decrypt.a.overload("[B","[B").implementation = function(var_0,var_1) {
    send("sg.vantagepoint.a.a.a([B[B)[B   doFinal(enc)  // AES/ECB/PKCS7Padding");
    send("Key       : " + getString(var_0));
    send("Encrypted : " + getString(var_1));
    var ret = this.a.overload("[B","[B").call(this,var_0,var_1);
    send("Decrypted : " + ret);

    var flag = "";
    for (var i=0; i < ret.length; i++){
      flag += String.fromCharCode(ret[i]);
    }
    send("Decrypted flag: " + flag);
    return ret; //[B
  };

Hookando funções e chamando-as com nossa entrada

Faça o hook de uma função que recebe uma string e chame-a com outra string (de aqui).

var string_class = Java.use("java.lang.String"); // get a JS wrapper for java's String class

my_class.fun.overload("java.lang.String").implementation = function(x){ //hooking the new function
  var my_string = string_class.$new("My TeSt String#####"); //creating a new String by using `new` operator 
  console.log("Original arg: " +x );
  var ret =  this.fun(my_string); // calling the original function with the new String, and putting its return value in ret variable
  console.log("Return value: "+ret);
  return ret;
};

Obtendo um objeto já criado de uma classe

Se você deseja extrair algum atributo de um objeto criado, pode usar isso.

Neste exemplo, você verá como obter o objeto da classe my_activity e como chamar a função .secret() que imprimirá um atributo privado do objeto:

Java.choose("com.example.a11x256.frida_test.my_activity" , {
  onMatch : function(instance){ //This function will be called for every instance found by frida
    console.log("Found instance: "+instance);
    console.log("Result of secret func: " + instance.secret());
  },
  onComplete:function(){}
});

Dica de recompensa por bugs: inscreva-se no Intigriti, uma plataforma premium de recompensas por bugs criada por hackers, para hackers! Junte-se a nós em https://go.intigriti.com/hacktricks hoje mesmo e comece a ganhar recompensas de até $100.000!

{% embed url="https://go.intigriti.com/hacktricks" %}

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

• Você trabalha em uma empresa de segurança cibernética? Você quer ver sua empresa anunciada no HackTricks? ou quer ter acesso à última versão do PEASS ou baixar o HackTricks em PDF? Confira os PLANOS DE ASSINATURA!
• Descubra A Família PEASS, nossa coleção exclusiva de NFTs
• Adquira o swag oficial do PEASS & HackTricks
• Junte-se ao 💬 grupo do Discord ou ao grupo do telegram ou siga-me no Twitter 🐦@carlospolopm.
• Compartilhe suas técnicas de hacking enviando PRs para o repositório hacktricks e hacktricks-cloud repo.