APP动态分析系列 – Frida的基础用法（下）

使用jadx反编译APP，查看反编译源代码，找到程序入口。分析代码可以发现，应用程序MainActivity类中只进行了简单的初始化界面操作，没有更多有用信息（图2）。我们再看看com.ad2001.frida0x4包中定义的另一个类Check，Check类中定义了一个get_flag方法，此方法会检查传入的参数是否等于1337，如果是则将flag解码并作为函数的返回值。但是这个类以及类中的方法并没有在程序的任何地方被使用，因此我们仅仅打开程序无法获取到flag的值。

图2. MainActivity类

public class Check {
    public String get_flag(int a) {
        if (a == 1337) {
            byte[] decoded = new byte["I]FKNtW@]JKPFA\[NALJr".getBytes().length];
            for (int i = 0; i < "I]FKNtW@]JKPFA\[NALJr".getBytes().length; i++) {
                decoded[i] = (byte) ("I]FKNtW@]JKPFA\[NALJr".getBytes()[i] ^ 15);
            }
            return new String(decoded);
        }
        return "";
    }
}

分析完APP可以知道，我们要找的flag藏在Check类的get_flag方法中，想要得到这个flag我们需要调用get_flag方法并将传入的参数设置为1337。在《APP动态分析系列 – Frida的基础用法（上）》用法2中我们已经讲到如何调用一个静态方法，但是这里的get_flag方法并不是一个静态方法，要调用该方法，我们首先需要创建这个方法所在类的实例，再使用该实例进行调用。让我们来编写Frida脚本实现。

首先明确，我们需要实例化的Check类和需要调用的get_flag方法，位于程序的com.ad2001.frida0x4包中，创建Check类的实例，我们需要使用Frida中的$new()方法来实例化特定类的对象，然后使用创建的实例调用get_flag方法，并将传入参数设置为1337，其代码实现如下：（值得注意的是，这里我们需要获取get_flag方法返回的flag的值，因此还需要在脚本中创建一个变量来保存并输出到运行日志中。）

/***
Java.perform 是Frida中的一个函数，用于为脚本创建特殊上下文，进入此上下文后，可以执行挂钩方法或访问Java类等操作来控制或观察应用程序的行为。
**/

Java.perform(function() {

  var check = Java.use("com.ad2001.frida0x4.Check");
  // 声明了一个变量check来表示目标Android 应用程序中的Java类。
  // Java.use函数指定要使用com.ad2001.frida0x4包的Check类。

  var check_obj = check.$new(); 
  // $new()是Frida中的方法，用于实例化特定类的对象；
  // 使用$new()方法创建Check类的实例check_obj。

  var res = check_obj.get_flag(1337); 
  // 使用check_obj实例调用get_flag，并传入参数1337。
  // 创建一个变量res来保存get_flag方法的返回值。

  console.log("FLAG：" + res);
  // 将保存的flag输出到脚本运行日志中。

})

图3. 运行脚本获取flag

图9.MainActivity类

图10. Checker类

分析完APP我们可以知道，程序中有一个没有被调用的方法get_flag，该方法对传入的Checker类型参数A进行检查，如果参数A的num1变量值等于1234且num2变量值等于4321，就会将flag解码并输出。为了得到方法中的flag，我们需要获取MainActivity类的实例来调用这个方法，同时还需要满足方法内部对传入参数A.num1和A.num2变量值的验证。因此，我们还需要创建一个Checker类的实例，并设置好实例中num1和num2变量的值，在调用get_flag方法时将这个实例作为参数传递。

我们需要使用Frida框架，编写一个JavaScript脚本，完成以下操作：

• 创建一个Check类的实例；

• 将这个实例的num1参数设置为1234，num2参数设置为4321；

• 获取程序启动时创建的MainActivity类的实例；

• 通过MainActivity类实例调用get_flag方法，并使用设置好的Check类实例作为参数。

  
  

首先明确MainActivity类和Check类位于程序的com.ad2001.frida0x6包中，上述功能的代码实现如下：

/*
Java.performNow是Frida中的一个函数，用于在Java运行时环境中执行代码。
*/

Java.performNow(function() {

  Java.choose('com.ad2001.frida0x6.MainActivity', {
    // Java.choose在运行时枚举MainActivity类的实例。
    // 第二个参数需要传入包含onMatch和onComplete两个回调函数的选项对象。

    onMatch: function(instance) {
      // 处理匹配到的类实例的回调函数

      console.log("Instance found");
       // 处理匹配到的类实例的回调函数

      var checker = Java.use("com.ad2001.frida0x6.Checker");
       // Java.use函数指定要使用com.ad2001.frida0x6包的Check类。

      var checker_obj  = checker.$new();  
       // 使用$new()方法创建Check类的实例check_obj。
      checker_obj.num1.value = 1234; 
       // 将check_obj实例的num1变量值设置为1234
      checker_obj.num2.value = 4321; 
       // 将check_obj实例的num2变量值设置为4321

      instance.get_flag(checker_obj); 
       // 使用check_obj作为参数；
       // 通过获取到的MainActivity类的实例instance调用get_flag方法

    },
    onComplete: function() {}
  });
});

进入云真机操作台启动APP，在Frida脚本功能区点击【新增脚本】，命名为Challenge_0x6_hook，将编写好的代码复制进来，点击【加载脚本】。由于我们需要在程序启动之后完成创建Check类实例和获取MainActivity类实例的操作，因此脚本运行时不需要重启APP。运行成功之后，完成get_flag方法调用以及对参数值的检验，flag被输出到程序界面上（图11）。

图11. 运行脚本获取flag

下载Challenge 0x7.apk文件上传至大狗云真机操作平台，可以看到APP程序界面依旧没有任何有效信息（图12）。我们将APK放入jadx进行静态分析。

Checker类定义了两个整型成员变量num1和num2，分别用于存储整数值。类中包含了一个构造函数Checker(int a, int b)，该构造函数会在类对象创建（初始化）的时候自动执行，它接受两个整型参数a和b，并将这两个参数分别赋值给类的成员变量num1和num2（图14）。

分析完APP我们发现，程序在启动的时候创建了一个Checker类的对象，并将其初始化参数num1和num2设置为123和321，然后调用flag方法传入该对象。flag方法对传入Checker对象的num1和num2变量进行验证，如果满足num1和num2均大于512，则会将解密flag并设置到TextView控件上。由于程序初始化时设置的参数123和321不满足条件，因此应用程序界面没有显示flag。为了获取这个flag我们可以Hook Checker类对象的构造函数Checker(int a, int b)，将参数a，b修改为大于512的值来绕过检验。

我们需要使用Frida框架，编写一个JavaScript脚本，来Hook创建Checker类对象时执行的构造函数，并修改初始化的参数值。

首先明确，我们需要Hook的函数位于程序com.ad2001.frida0x7包中的Checker类中。Hook构造函数需要使用$init关键字，Hook创建Checker类对象执行的构造函数Checker(int a, int b)，并将传入参数a，b修改为600，代码实现如下：

/***
Java.perform 是Frida中的一个函数，用于为脚本创建特殊上下文，进入此上下文后，可以执行挂钩方法或访问Java类等操作来控制或观察应用程序的行为。
**/

Java.perform(function (){

  var a = Java.use("com.ad2001.frida0x7.Checker");
    // 声明了一个变量a来表示目标Android应用程序中的Java类。
    // Java.use函数指定要使用com.ad2001.frida0x7包中的Checker类。

  a.$init.implementation = function (a,b){
    // $init关键字Hook Checker类对象创建时执行的构造函数

    console.log("Origin num：",a,b);
    // 打印a,b变量初始化时设置的值

    this.$init(600,600);
    // 调用Checker类构造函数将a,b变量值修改为600
  }
})

进入云真机操作台启动APP，在Frida脚本功能区点击【新增脚本】，命名为Challenge_0x7_hook，将编写好的代码复制进来，点击【加载脚本】。由于我们Hook的构造函数在程序初始化时被调用，因此运行脚本时需要【勾选重启APP】选项（图15）。脚本运行成功后构造函数中传入的a，b参数的值已经被修改为600，成功绕过flag函数对num1和num2参数的检验获取到flag（图16）。