Android逆向实战：用Frida Hook自己写的APK，让1+1=88（附完整代码）

Android逆向实战用Frida Hook自己写的APK让1188附完整代码在移动安全领域逆向工程一直是个充满挑战又极具魅力的方向。想象一下你能否让一个简单的计算器应用突然改变行为比如让11的结果变成88这听起来像是魔法但通过Frida这个强大的动态插桩工具我们可以轻松实现这种魔法效果。本文将带你从零开始完整演示如何编写一个简单的Android应用然后使用Frida来Hook它改变其核心逻辑。1. 准备工作与环境搭建在开始我们的逆向之旅前需要准备好开发环境。对于Android开发Android Studio是官方推荐的IDE它内置了模拟器功能可以方便地测试我们的应用。同时我们需要安装Python环境来运行Frida脚本。必备工具清单Android Studio 最新稳定版Python 3.8Frida及其相关组件一部Android设备或模拟器推荐使用真机安装Frida非常简单只需在命令行中执行pip install frida-tools提示如果使用真机进行测试需要确保设备已开启USB调试模式并在开发者选项中允许USB调试。2. 创建目标APK一个简单的计算应用我们的目标是创建一个极其简单的应用它只有一个按钮和一个文本框。点击按钮时会计算11的结果并显示在文本框中。这个简单的应用将作为我们Hook的目标。首先在Android Studio中新建一个项目选择Empty Activity模板。然后修改activity_main.xml布局文件LinearLayout xmlns:androidhttp://schemas.android.com/apk/res/android android:layout_widthmatch_parent android:layout_heightmatch_parent android:orientationvertical android:gravitycenter TextView android:idid/resultView android:layout_widthwrap_content android:layout_heightwrap_content android:text点击下方按钮计算结果 android:textSize24sp/ Button android:idid/calculateBtn android:layout_widthwrap_content android:layout_heightwrap_content android:text1 1 ?/ /LinearLayout接下来修改MainActivity.java添加计算逻辑public class MainActivity extends AppCompatActivity { private TextView resultView; Override protected void onCreate(Bundle savedInstanceState) { super.onCreate(savedInstanceState); setContentView(R.layout.activity_main); resultView findViewById(R.id.resultView); Button calculateBtn findViewById(R.id.calculateBtn); calculateBtn.setOnClickListener(v - { int result calculate(1, 1); resultView.setText(1 1 result); }); } public int calculate(int a, int b) { return a b; } }编译并运行这个应用你会看到一个简单的界面点击按钮后会显示1 1 2。我们的目标就是通过Frida Hook让这个结果变成88。3. Frida基础与Hook原理Frida是一个强大的动态插桩工具包它允许我们将JavaScript代码注入到原生应用中实时修改应用的行为。Frida的核心原理是通过在目标进程中注入一个JavaScript运行时环境让我们能够动态地拦截和修改函数调用。Frida的工作流程启动目标应用或附加到正在运行的进程注入Frida的JavaScript运行时通过JavaScript API访问和修改应用的内存和函数实时监控和修改应用行为Frida支持多种语言编写控制脚本但最常用的是Python作为外层控制JavaScript作为实际的Hook逻辑。这种组合既灵活又强大。4. 编写Frida Hook脚本现在我们来编写实际的Hook脚本目标是拦截calculate方法的调用并修改其返回值。首先创建一个Python脚本作为Frida的启动器import frida import sys def on_message(message, data): if message[type] send: print(f[*] {message[payload]}) else: print(message) # 加载JavaScript Hook代码 with open(hook.js, r, encodingutf-8) as f: hook_code f.read() # 连接到设备并附加到目标进程 device frida.get_usb_device() pid device.spawn([com.example.simplecalculator]) session device.attach(pid) # 创建脚本并加载 script session.create_script(hook_code) script.on(message, on_message) script.load() # 恢复目标进程运行 device.resume(pid) # 保持脚本运行 sys.stdin.read()然后创建hook.js文件包含实际的Hook逻辑Java.perform(function() { console.log(开始Hook...); // 获取目标类的引用 var MainActivity Java.use(com.example.simplecalculator.MainActivity); // Hook calculate方法 MainActivity.calculate.implementation function(a, b) { console.log(原始参数: a a , b b); // 修改返回值为88 var result 88; console.log(修改返回值为: result); return result; }; });5. 执行Hook并验证结果现在我们可以开始实际的Hook操作了。首先确保你的Android设备已连接电脑并开启了USB调试模式。然后在命令行中执行以下步骤启动Frida服务端adb shell /data/local/tmp/frida-server 运行我们的Python脚本python hook.py在设备上启动我们的计算器应用当点击计算按钮时你会看到原本应该显示1 1 2的地方变成了1 1 88。同时在命令行中你会看到Frida打印的日志信息显示Hook已经成功拦截了方法调用并修改了返回值。6. 高级Hook技巧与注意事项虽然我们的示例非常简单但Frida的能力远不止于此。在实际逆向工程中你可能会遇到更复杂的情况。这里分享几个实用的高级技巧方法重载处理当目标方法有多个重载版本时需要使用overload指定参数类型MainActivity.calculate.overload(int, int).implementation function(a, b) { // Hook逻辑 };修改方法参数除了修改返回值你还可以修改传入的参数MainActivity.calculate.implementation function(a, b) { // 修改参数值 a 10; b 20; // 调用原始方法 return this.calculate(a, b); };调用原始方法有时你只想在原始方法前后添加逻辑而不是完全替换它MainActivity.calculate.implementation function(a, b) { console.log(方法调用前); // 调用原始方法 var result this.calculate(a, b); console.log(方法调用后); return result * 2; // 修改返回值 };注意在实际逆向工程中请确保你有权对目标应用进行Hook操作。未经授权的逆向可能违反法律法规或服务条款。7. 常见问题排查在使用Frida进行Hook时可能会遇到各种问题。这里列出一些常见问题及其解决方法问题1无法附加到目标进程确保目标应用正在运行检查包名是否正确确认设备已正确连接且USB调试已开启问题2Hook不生效检查类名和方法名是否正确确认方法签名参数类型匹配尝试使用overload明确指定方法版本问题3应用崩溃可能是Hook逻辑有问题导致无限递归检查是否有权限访问目标方法尝试简化Hook逻辑逐步排查调试技巧在JavaScript代码中添加console.log输出调试信息使用Frida的Java.available检查Java环境是否就绪尝试Hook更简单的方法验证基础功能是否正常8. 安全防护与反Hook策略既然Frida如此强大那么作为开发者如何保护自己的应用不被轻易Hook呢这里介绍几种常见的防护策略1. 检测Frida环境public boolean isFridaRunning() { try { File fridaFile new File(/data/local/tmp/frida-server); return fridaFile.exists(); } catch (Exception e) { return false; } }2. 使用Native代码实现核心逻辑将关键算法移到Native层C/C通过JNI调用增加逆向难度。3. 代码混淆使用ProGuard或商业混淆工具对代码进行混淆增加逆向分析难度。4. 完整性检查检查应用自身的完整性防止被篡改public boolean verifyApk() { try { PackageManager pm getPackageManager(); String apkPath pm.getApplicationInfo(getPackageName(), 0).sourceDir; // 计算APK的哈希值并与预期值比较 String actualHash calculateFileHash(apkPath); return expectedHash.equals(actualHash); } catch (Exception e) { return false; } }5. 定时自检在关键操作前检查关键方法是否被Hookpublic void performCriticalOperation() { if (isMethodHooked()) { // 检测到Hook采取防御措施 return; } // 正常执行关键操作 }在实际项目中通常会组合使用多种防护策略形成多层次的防御体系。值得注意的是安全防护是一个持续的过程没有绝对的安全只有不断提高攻击者的成本。