Frida Mobile Security

Frida Mobile Security — 逆向分析总控

模块优先，决策树驱动。 本文件是总控：任务路由 + 决策树导航 + 模块目录。各技巧域的详细打法在 references/ 分域文件，按需读取。

硬性规则：scripts/core/utils.js 必须作为第一个 -l 参数加载。

快速命令卡片

# 加解密自吐
frida -U -f com.app -l scripts/core/utils.js -l scripts/monitors/crypto_monitor.js

# 行为摸底
frida -U -f com.app -l scripts/core/utils.js -l scripts/monitors/file_monitor.js -l scripts/monitors/network_monitor.js -l scripts/monitors/thread_monitor.js

# 反检测 Phase 1 (保活 + 定位检测 so)
frida -U -f com.app -l scripts/core/utils.js -l scripts/bypass/exit_blocker.js -l scripts/bypass/so_loader_tracer.js

# HTTP 明文拦截
frida -U -f com.app -l scripts/core/utils.js -l scripts/monitors/ssl_plaintext.js

# Native 函数发现
frida -U -f com.app -l scripts/core/utils.js -l scripts/monitors/native_hooker.js

# 跨组件 Intent 污点追踪
frida -U -f com.app -l scripts/core/utils.js -l scripts/monitors/intent_tracker.js

# 内存敏感数据扫描 + 密码输入监听
frida -U -f com.app -l scripts/core/utils.js -l scripts/monitors/memory_scanner.js

运行时配置通过 -e 'var CONFIG_OVERRIDE={...}' 注入，见 §五。

一、任务路由

匹配用户意图 → 加载对应 references 分域 → 按决策树执行。不要逐章浏览。

前置判断：检测是否已绕过

用户是否已能稳定挂载 Frida？
├─ [否] "挂上就闪退" → 加载 anti-detection.md
├─ [是] 已用 hluda/魔改 frida/已跑过 exit_blocker → 跳过反检测，直接匹配任务
└─ [不确定] → 快速探路：utils + exit_blocker + so_loader_tracer
     ├─ exit_blocker 有 BLOCKED → 存在检测但已被保活 → 可继续
     └─ exit_blocker 无日志且进程正常 → 无检测 → 可继续

二、决策树导航

每种技巧在对应 references 有完整决策树，此处只给入口：

三、模块目录

scripts/ 下全部模块，按用途分类。utils.js 始终首个加载。

core/

monitors/（被动观察，不修改行为）

bypass/（主动干预，修改行为）

utils/（SO/DEX 静态工具）

templates/ + checklist/

四、分层分析原则

当上层 hook 失效时，按此递推下钻（完整方法见 native-analysis.md）：

Java/ObjC → JNI/Runtime → Native .so → libc → syscall → SVC #0

常见下钻：crypto_monitor 无输出→native_hooker；file_monitor 无输出→syscall_tracer；network_monitor 无 connect→检查 recvfrom；dl_monitor 无输出→syscall_tracer(mmap+PROT_EXEC)。

五、运行时配置（CONFIG_OVERRIDE）

所有模块接受 CONFIG_OVERRIDE，通过 -e 或 Python dict 注入：

var CONFIG_OVERRIDE = {
    file_monitor:     { filterPath: ["/data/data/com.target/"] },
    network_monitor:  { showPayload: true },
    crypto_monitor:   { showStack: true },
    native_hooker:    { targetLibs: ["libencrypt.so"] },
    ssl_plaintext:    { urlFilter: ["api.example.com"] },
    exit_blocker:     { showBacktrace: false },
    init_hook:        { onModuleInit: [{ moduleName: "libDetect.so" }], probeCallers: true, autoHideFrida: true },
    thread_blocker:   { blockCallers: ["libmsaoaidsec.so"] },
    frida_feature_hider: { indirectHook: true },
};

各模块特有配置见对应 references 文件。

六、独立检测工具（前置，无需 Frida）

tools/ 下 bat 脚本，Agent 不能代跑，输出命令让用户自行执行（方便截图取证）。Python 工具可直接跑（python3 tools/janus_check.py ...、python tools/debug-gdb.py ...，注意本机 python 可能是 Python 2，用 py -3）。

首次分析新 App：check-janus → debug-gdb → check-anti-inject → Frida Phase 1。所有工具前置条件：root + SELinux Permissive。注意 debug-gdb.py 附加成功后目标若被反调试杀死，属于检测到反调试（正结论），非工具失败。

GetAPKInfo.jar 解析失败（爱加密等魔改 Manifest，报 0x000c0003）时，直接用 janus_check.py——经 apksigner 验证签名方案（V1+V2 通过 = Janus 安全），效果与 GetAPKInfo.jar 一致。

七、交互式协作流程

需要用户在 app 上手动操作时（点击按钮/切换页面触发行为）：

配置 analysis.py（TIMEOUT=0 手动停止、LOG_TO_FILE=True 日志落盘）
→ 运行 → 用户操作 app → 停止 → 读日志 → 改 CUSTOM_HOOK_SCRIPT → 再运行

日志分析：读 .txt 日志，按时间戳锚定用户操作窗口，关联多模块信号。详见 references/behavior-analysis.md 交叉分析。

references 指引