【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例

admin 2022年6月15日15:41:49移动安全评论5 views5148字阅读17分9秒阅读模式
【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例
【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例
一、FRIDA是啥?为啥这么火?
frida目前非常火爆,该框架从Java层hook到Native层hook无所不能,虽然持久化还是要依靠Xposedhookzz等开发框架,但是frida的动态和灵活对逆向以及自动化逆向的帮助非常巨大。
frida是啥呢,github目录Awesome Frida这样介绍frida的:
Frida is Greasemonkey for native apps, or, put in more technical terms, it’s a dynamic code instrumentation toolkit. It lets you inject snippets of JavaScript into native apps that run on Windows, Mac, Linux, iOS and Android. Frida is an open source software.
frida是平台原生appGreasemonkey,说的专业一点,就是一种动态插桩工具,可以插入一些代码到原生app的内存空间去,(动态地监视和修改其行为),这些原生平台可以是WinMacLinuxAndroid或者iOS。而且frida还是开源的。
Greasemonkey可能大家不明白,它其实就是firefox的一套插件体系,使用它编写的脚本可以直接改变firefox对网页的编排方式,实现想要的任何功能。而且这套插件还是外挂的,非常灵活机动。
frida也是一样的道理。那它为什么这么火爆呢?
动静态修改内存实现作弊一直是刚需,比如金山游侠,本质上frida做的跟它是一件事情。原则上是可以用frida把金山游侠,包括CheatEngine等“外挂”做出来的。
当然,现在已经不是直接修改内存就可以高枕无忧的年代了。大家也不要这样做,做外挂可是违法行为。
在逆向的工作上也是一样的道理,使用frida可以“看到”平时看不到的东西。出于编译型语言的特性,机器码在CPU和内存上执行的过程中,其内部数据的交互和跳转,对用户来讲是看不见的。当然如果手上有源码,甚至哪怕有带调试符号的可执行文件包,也可以使用gbdlldb等调试器连上去看。
那如果没有呢?如果是纯黑盒呢?又要对app进行逆向和动态调试、甚至自动化分析以及规模化收集信息的话,我们需要的是细粒度的流程控制和代码级的可定制体系,以及不断对调试进行动态纠正和可编程调试的框架,这就是frida
frida使用的是pythonJavaScript等“胶水语言”也是它火爆的一个原因,可以迅速将逆向过程自动化,以及整合到现有的架构和体系中去,为你们发布“威胁情报”、“数据平台”甚至“AI风控”等产品打好基础。
【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例
官宣屁屁踢甚至将其敏捷开发迅速适配到现有架构的能力作为其核心卖点。
【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例
二、FRIDA脚本的概念
FRIDA脚本就是利用FRIDA动态插桩框架,使用FRIDA导出的API和方法,对内存空间里的对象方法进行监视、修改或者替换的一段代码。FRIDAAPI是使用JavaScript实现的,所以我们可以充分利用JS的匿名函数的优势、以及大量的hook和回调函数的API。
我们来举个最直观的例子:hello-world.js
setTimeout(function(){
Java.perform(function(){ console.log("hello world!");
});
});
这基本上就是一个FRIDA版本的”Hello World!”,我们把一个匿名函数作为参数传给了setTimeout()函数,然而函数体中的Java.perform()这个函数本身又接受了一个匿名函数作为参数,该匿名函数中最终会调用console.log()函数来打印一个“Hello world!”字符串。我们需要调用setTimeout()方法因为该方法将我们的函数注册到JavaScript运行时中去,然后需要调用Java.perform()方法将函数注册到FridaJava运行时中去,用来执行函数中的操作,当然这里只是打了一条log
然后我们在手机上将frida-server运行起来,在电脑上进行操作:
$ frida -U -l hello-world.js android.process.media
【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例
然后可以看到console.log()执行成功,字符串打印了出来。
【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例
三、简单脚本一:枚举所有的类

我们现在来给这个HelloWorld.js稍微加一点功能,比如说枚举所有已经加载的类,这就用到了Java对象的enumerateLoadedClasses方法。代码如下:
setTimeout(function (){
Java.perform(function (){ console.log("n[*] enumerating classes...");
Java.enumerateLoadedClasses({ onMatch: function(_className){ console.log("[*] found instance of '"+_className+"'");
}, onComplete: function(){ console.log("[*] class enuemration complete");
}
});
});
});
首先还是确保手机上的frida-server正在运行中,然后在电脑上操作:
$ frida -U -l enumerate_classes.js android.process.media
【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例
【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例
【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例
四、简单脚本二:定位目标类并打印类的实例

现在我们已经找到目标进程中所有已经加载的类,比如说现在我们的目标是要查看其蓝牙相关的类,我们可以把代码修改成这样:
Java.enumerateLoadedClasses({ onMatch: function(instance){ if (instance.split(".")[1] == "bluetooth"){ console.log("[->]t"+instance);
}
}, onComplete: function() { console.log("[*] class enuemration complete");
}
});
我们来看下效果:
【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例
可以找到上述这么多蓝牙相关的类。当然也可以使用字符串包含的方法,使用JavaScript字符串的indexOf()search()或者match()方法,这个留给读者自己完成。
定位到我们想要研究的类之后,就可以打印类的实例了,查看FRIDA的API手册可以得知,此时应该使用Java.choose()函数,来选定某一个实例。
【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例
我们增加下列几行选定android.bluetooth.BluetoothDevice类的实例的代码。
Java.choose("android.bluetooth.BluetoothDevice",{ onMatch: function (instance){ console.log("[*] "+" android.bluetooth.BluetoothDevice instance found"+" :=> '"+instance+"'");
bluetoothDeviceInfo(instance);
}, onComplete: function() { console.log("[*] -----");}
});
在手机打开蓝牙,并且连接上我的漫步者蓝牙耳机,开始播放内容之后:
【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例
在电脑上运行脚本:
$ frida -U -l enumerate_classes_bluetooth_choose.js com.android.bluetooth
可以看到正确检测到了我的蓝牙设备:
【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例
【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例
五、简单脚本三:枚举所有方法并定位方法
上文已经将类以及实例枚举出来,接下来我们来枚举所有方法,主要使用了Java.use()函数。
【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例
Java.use()Java.choose()最大的区别,就是在于前者会新建一个对象,后者会选择内存中已有的实例。
对代码的增加如下:
function enumMethods(targetClass){ var hook = Java.use(targetClass); var ownMethods = hook.class.getDeclaredMethods();
hook.$dispose; return ownMethods;
}

...
...

var a = enumMethods("android.bluetooth.BluetoothDevice")
a.forEach(function(s) { console.log(s);
});
保持上一小节环境的情况下,在电脑上进行操作:
$ frida -U -l enumerate_classes_bluetooth_choose_allmethod.js com.android.bluetooth
最终效果如下,类的所有方法均被打印了出来。
【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例
接下来如何“滥用”这些方法,拦截、修改参数、修改结果、等等,皆可悉听尊便,具体流程请参考
【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例
六、综合案例:在安卓8.1上dump蓝牙接口和实例
一个比较好的综合案例,就是作为上文案例的dump蓝牙信息的“加强版”——‘BlueCrawl’
VERSION="1.0.0"setTimeout(function(){
Java.perform(function(){

Java.enumerateLoadedClasses({ onMatch: function(instance){ if (instance.split(".")[1] == "bluetooth"){ console.log("[->]t"+lightBlueCursor()+instance+closeCursor());
}
}, onComplete: function() {}
});

Java.choose("android.bluetooth.BluetoothGattServer",{ onMatch: function (instance){
...
onComplete: function() { console.log("[*] -----");}
});

Java.choose("android.bluetooth.BluetoothGattService",{ onMatch: function (instance){
...
onComplete: function() { console.log("[*] -----");}
});

Java.choose("android.bluetooth.BluetoothSocket",{ onMatch: function (instance){
...
onComplete: function() { console.log("[*] -----");}
});

Java.choose("android.bluetooth.BluetoothServerSocket",{ onMatch: function (instance){
...
onComplete: function() { console.log("[*] -----");}
});

Java.choose("android.bluetooth.BluetoothDevice",{ onMatch: function (instance){
...
onComplete: function() { console.log("[*] -----");}
});
});
},0);
该脚本首先枚举了很多蓝牙相关的类,然后choose了很多类,包括蓝牙接口信息以及蓝牙服务接口对象等,还加载了内存中已经分配好的蓝牙设备对象,也就是上文我们已经演示的信息。我们可以用这个脚本来“查看”App加载了哪些蓝牙的接口,App是否正在查找蓝牙设备、或者是否窃取蓝牙设备信息等。
在电脑上运行命令:
$ frida -U -l bluecrawl-1.0.0.js com.android.bluetooth
【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例
可以看到该脚本在安卓8.1上运行良好,我们的接口和设备均被打印了出来。
我们今天的脚本入门就到这里,谢谢大家。以上文章先在安全客首发,脚本基本上按照文章内容也可以自己写出来,过几天我也会把脚本传到我的github上,https://github.com/hookmaster/frida-all-in-one ,欢迎大家follow或star。
【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例

- 结尾 -
精彩推荐
【技术分享】工控安全入门(四)—— DNP3协议
【技术分享】Emotet木马运行原理完全分析
【技术分享】Fastjson <1.2.48 入门调试

【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例
戳“阅读原文”查看更多内容

原文始发于微信公众号(安全客):【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年6月15日15:41:49
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  【技术分享】FRIDA脚本系列(一)入门篇:在安卓8.1上dump蓝牙接口和实例 http://cn-sec.com/archives/1118427.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: