会将 Frida的关键点 都写下来 方便记录
例如 如果要调用非静态成员 需要使用 choose后的实例 引用非静态成员
jar -cvf 新的jar包名 class文件夹路径 这里注意 不是一个.class文件 而是保存class文件的文件夹
生成一个jar包后 在使用dx 文件生成一个dex
dx --dex --output=ddex.dex ddex.jar
注意jar包生成的路径 否则dx会报路径错误
如果要使用Frida hook一个 java.lang.System 必须要使用--no-pause -f 使用Frida在启动app的时候就hook
Frida 要load 一个dex文件 要先加载 然后在可以load var path = Java.openClassFile("path") path.load() ; 这样去将一个dex 动态加载起来
Frida API 记录
Var ClassName = Java.use("类名") 是用来获取类包 也是frdia 要进行hook的第一步 如果找不到类 那么也就无法正确hook
ClassName .a.implementation = function( barr){ //Hook 当前ClassName 类中的 a 函数 function(参数) 都需要写入到里面
Hook的函数体 写要返回的内容 //
}
Choose 获取堆栈中指定类名的实例,获得实例后可以调用实例的函数
Java.choose(className: string, // 类名 类型为字符串
{callbacks: ChooseCallbacks ：onMatch(instance ), //回调函数
onComplete() //每次找到 指定类的实例后调用， }
)
内部类的调用 因为是内部类 需要在类名后面使用$加内部类的名字去引用var FridaActivity4 = Java.use("com.example.androiddemo.Activity.FridaActivity4$InnerClasses"); //获取内部类的类包
var all_method = FridaActivity4.class.getDeclaredMethods();//getDeclaredMethods(); 获取声明当前类的方法，一般用于内部类的枚举
枚举类加载器 一般用于判断 当前类中有多少函数和类 配合console.log() 在onMatch中 将函数和类全部打印出来
Java.enumerateClassLoaders({callback}) //他只有一个参数就是回调函数 回调函数中包括 onMatch(instance),onComplete();
//在函数后加上.$className 就可以获取类名
onMatch(instance) 实例对象 找到的函数名 获取类名
console.log(instance.getDynamicDexCheck().$className)
this.$init(key); 也可以直接使用this调用自己 这样就可以打印调用自身后key的值 一般用于查找flags
列举加载的类
enumerateLoadedClasses({}) //一般用于 枚举类的加载
打开一个dex文件
Java.openClassFile("path");
Java.load(); // 加载打开的dex文件 一般都是组合使用
// new 一个Exception的对象 用来打印堆栈
var instance = Exception.$new("print_stack");
// 利用Exception对象 获取堆栈
var stack = instance.getStackTrace();
//利用console.log 打印堆栈
console.log(stack);
//使用dispose 释放 Exception的 instance 对象
instance.$dispose();
获取name.so的基地址
var Base = Module.findBaseAddress("libmyjni.so");
查找按名称导出 俩个参数 参数1: 导出文件，参数2: 导出文件中的函数名
var n2 = Module.findExportByName("xxx.so","n2")
拦截对目标函数的调用 Interceptor
Interceptor.attach(n2,{
onEnter : function(argc){ argc 表示 n2函数的参数 argc是一个数组 可以由[x]去表示出来导出函数的参数
console.log(" address: ",argc[0],argc[1],argc[3]);
},onLeave : function(retval){ retval 返回值
}
在android 8.0 中所有的JNI函数都在libart的so里面 所以直接hook libart.so 遍历寻找我们需要的JNI函数名
var module = Process.findModuleByName("libart.so"); 一般用于查找native层的JNI函数
返回一个模块，其地址或名称相匹配所指定的一个。如果找不到此类模块， 则函数将返回null
var symbols = module.enumerateSymbols(); 枚举模块的符号， 一般他们俩者都是组合使用 用来 寻找JNI函数并且拿到JNI函数的符号(NameString)
if(name.indexOf("art") >= 0) 一般用于判断 当前的符号中 是否有"art"这个字符
已可写的方式打开path File
var file = new File("/sdcard/reg.dat","w");
setImmediate(main) 函数介绍 - 为什么要使用setImmediate 去调用main函数
为了防止这个发生，要么在函数 setImmediate 中给你的脚本添加一层包装，要么export them as rpc。Frida中的RPC默认不会超时，一旦你修改了脚本，setImmediate就会自动返回它，因此这相当方便。它同时在后台运行你的程序。这也就意味着，你会立即得到一个cli，即使Frida还在执行你的脚本。我们需要做的就是等待，然后不要离开cli，直到Frida已经把你脚本里所有的输出都打印出来了。再次修改一下你的chrome.js脚本：
