mirror of
https://github.com/HackTricks-wiki/hacktricks.git
synced 2025-10-10 18:36:50 +00:00
Translated ['', 'src/mobile-pentesting/android-app-pentesting/android-an
This commit is contained in:
Translator
parent
017c1497ca
commit
9a8d540f00
@ -1,10 +1,10 @@
|
||||
# Android Anti-Instrumentation & SSL Pinning Bypass (Frida/Objection)
|
||||
# Android: Обхід Anti-Instrumentation та SSL Pinning (Frida/Objection)
|
||||
|
||||
{{#include ../../banners/hacktricks-training.md}}
|
||||
|
||||
Ця сторінка надає практичний робочий процес для відновлення динамічного аналізу проти Android-додатків, які виявляють/блокують instrumentation через root або застосовують TLS pinning. Вона фокусується на швидкій триажі, типових виявленнях та copy‑pasteable hooks/tactics для їх обходу без репакування, коли це можливо.
|
||||
Ця сторінка надає практичний workflow для відновлення динамічного аналізу проти Android-додатків, які виявляють або блокують instrumentation через root або застосовують TLS pinning. Вона сфокусована на швидкій триажі, поширених методах виявлення та готових хуках/тактиках, які можна копіювати і вставляти для обходу без перепакування, коли це можливо.
|
||||
|
||||
## Область виявлення (що перевіряють додатки)
|
||||
## Detection Surface (what apps check)
|
||||
|
||||
- Root checks: su binary, Magisk paths, getprop values, common root packages
|
||||
- Frida/debugger checks (Java): Debug.isDebuggerConnected(), ActivityManager.getRunningAppProcesses(), getRunningServices(), scanning /proc, classpath, loaded libs
|
||||
@ -14,18 +14,18 @@
|
||||
|
||||
## Step 1 — Quick win: hide root with Magisk DenyList
|
||||
|
||||
- Увімкніть Zygisk у Magisk
|
||||
- Увімкніть DenyList, додайте цільовий пакет
|
||||
- Перезавантажте та протестуйте знову
|
||||
- Enable Zygisk in Magisk
|
||||
- Enable DenyList, add the target package
|
||||
- Reboot and retest
|
||||
|
||||
Багато додатків шукають лише очевидні індикатори (su/Magisk paths/getprop). DenyList часто нейтралізує наївні перевірки.
|
||||
Many apps only look for obvious indicators (su/Magisk paths/getprop). DenyList often neutralizes naive checks.
|
||||
|
||||
References:
|
||||
- Magisk (Zygisk & DenyList): https://github.com/topjohnwu/Magisk
|
||||
|
||||
## Step 2 — 30‑second Frida Codeshare tests
|
||||
|
||||
Спробуйте поширені drop‑in скрипти перед глибоким зануренням:
|
||||
Try common drop‑in scripts before deep diving:
|
||||
|
||||
- anti-root-bypass.js
|
||||
- anti-frida-detection.js
|
||||
@ -35,13 +35,13 @@ Example:
|
||||
```bash
|
||||
frida -U -f com.example.app -l anti-frida-detection.js
|
||||
```
|
||||
Ці зазвичай підмінюють Java root/debug checks, process/service scans і native ptrace(). Корисні для слабко захищених додатків; для загартованих цілей можуть знадобитися спеціалізовані hooks.
|
||||
Зазвичай вони заглушують Java root/debug checks, process/service scans та native ptrace(). Корисно для слабо захищених додатків; для жорстко захищених цілей можуть знадобитися tailored hooks.
|
||||
|
||||
- Codeshare: https://codeshare.frida.re/
|
||||
|
||||
## Автоматизація з Medusa (Frida framework)
|
||||
## Автоматизуйте за допомогою Medusa (Frida framework)
|
||||
|
||||
Medusa надає понад 90 готових модулів для SSL unpinning, root/emulator detection bypass, HTTP comms logging, crypto key interception та іншого.
|
||||
Medusa надає 90+ готових модулів для SSL unpinning, root/emulator detection bypass, HTTP comms logging, crypto key interception та ін.
|
||||
```bash
|
||||
git clone https://github.com/Ch0pin/medusa
|
||||
cd medusa
|
||||
@ -54,31 +54,31 @@ use http_communications/multiple_unpinner
|
||||
use root_detection/universal_root_detection_bypass
|
||||
run com.target.app
|
||||
```
|
||||
Порада: Medusa чудово підходить для швидких перемог перед написанням custom hooks. Ви також можете вибірково підбирати модулі та комбінувати їх зі своїми скриптами.
|
||||
Порада: Medusa чудово підходить для швидких перемог перед написанням custom hooks. Ви також можете вибірково використовувати modules і поєднувати їх зі своїми scripts.
|
||||
|
||||
## Крок 3 — Обійти детектори під час ініціалізації, підключившись пізніше
|
||||
|
||||
Багато детекцій запускаються лише під час spawn/onCreate(). Spawn‑time injection (-f) або gadgets виявляються; підключення після завантаження UI може їх обійти.
|
||||
Багато детекцій виконуються тільки під час process spawn/onCreate(). Spawn‑time injection (-f) або gadgets виявляються; підключення після завантаження UI може пройти повз них.
|
||||
```bash
|
||||
# Launch the app normally (launcher/adb), wait for UI, then attach
|
||||
frida -U -n com.example.app
|
||||
# Or with Objection to attach to running process
|
||||
aobjection --gadget com.example.app explore # if using gadget
|
||||
```
|
||||
Якщо це спрацює, утримуйте сесію стабільною та переходьте до мапінгу й перевірки stub-ів.
|
||||
Якщо це спрацює, утримуйте сесію стабільною та переходьте до перевірок map і stub.
|
||||
|
||||
## Крок 4 — Проаналізуйте логіку виявлення через Jadx і пошук рядків
|
||||
## Крок 4 — Мапування логіки виявлення через Jadx та пошук рядків
|
||||
|
||||
Ключові слова для статичного триажу в Jadx:
|
||||
- "frida", "gum", "root", "magisk", "ptrace", "su", "getprop", "debugger"
|
||||
|
||||
Типові шаблони Java:
|
||||
Типові Java-патерни:
|
||||
```java
|
||||
public boolean isFridaDetected() {
|
||||
return getRunningServices().contains("frida");
|
||||
}
|
||||
```
|
||||
Поширені API для перевірки/hook:
|
||||
Поширені API для перегляду/hook:
|
||||
- android.os.Debug.isDebuggerConnected
|
||||
- android.app.ActivityManager.getRunningAppProcesses / getRunningServices
|
||||
- java.lang.System.loadLibrary / System.load (native bridge)
|
||||
@ -87,7 +87,7 @@ return getRunningServices().contains("frida");
|
||||
|
||||
## Крок 5 — Runtime stubbing with Frida (Java)
|
||||
|
||||
Перевизначте custom guards, щоб повертати безпечні значення без repacking:
|
||||
Перевизначте власні перевірки, щоб повертати безпечні значення без повторного пакування:
|
||||
```js
|
||||
Java.perform(() => {
|
||||
const Checks = Java.use('com.example.security.Checks');
|
||||
@ -102,7 +102,7 @@ const AM = Java.use('android.app.ActivityManager');
|
||||
AM.getRunningAppProcesses.implementation = function () { return java.util.Collections.emptyList(); };
|
||||
});
|
||||
```
|
||||
Розбираєтеся з ранніми crashes? Dump classes безпосередньо перед падінням, щоб виявити ймовірні detection namespaces:
|
||||
Тріаж ранніх крашів? Dump classes прямо перед падінням, щоб знайти ймовірні detection namespaces:
|
||||
```js
|
||||
Java.perform(() => {
|
||||
Java.enumerateLoadedClasses({
|
||||
@ -119,7 +119,7 @@ RootChecker.isDeviceRooted.implementation = function () { return false; };
|
||||
} catch (e) {}
|
||||
});
|
||||
|
||||
Логувати та нейтралізувати підозрілі методи, щоб підтвердити потік виконання:
|
||||
Запишіть у лог і нейтралізуйте підозрілі методи, щоб підтвердити потік виконання:
|
||||
```js
|
||||
Java.perform(() => {
|
||||
const Det = Java.use('com.example.security.DetectionManager');
|
||||
@ -129,9 +129,9 @@ return false;
|
||||
};
|
||||
});
|
||||
```
|
||||
## Bypass emulator/VM detection (Java stubs)
|
||||
## Обхід виявлення emulator/VM (Java stubs)
|
||||
|
||||
Звичайні евристики: Build.FINGERPRINT/MODEL/MANUFACTURER/HARDWARE, що містять generic/goldfish/ranchu/sdk; QEMU артефакти, такі як /dev/qemu_pipe, /dev/socket/qemud; стандартна MAC 02:00:00:00:00:00; 10.0.2.x NAT; відсутність telephony/sensors.
|
||||
Поширені евристики: Build.FINGERPRINT/MODEL/MANUFACTURER/HARDWARE, що містять generic/goldfish/ranchu/sdk; QEMU артефакти на кшталт /dev/qemu_pipe, /dev/socket/qemud; MAC за замовчуванням 02:00:00:00:00:00; 10.0.2.x NAT; відсутні telephony/sensors.
|
||||
|
||||
Швидка підміна полів Build:
|
||||
```js
|
||||
@ -143,11 +143,11 @@ Build.BRAND.value = 'google';
|
||||
Build.FINGERPRINT.value = 'google/panther/panther:14/UP1A.231105.003/1234567:user/release-keys';
|
||||
});
|
||||
```
|
||||
Доповніть заглушками для перевірок наявності файлів та ідентифікаторів (TelephonyManager.getDeviceId/SubscriberId, WifiInfo.getMacAddress, SensorManager.getSensorList), щоб вони повертали реалістичні значення.
|
||||
Доповніть заглушками перевірки наявності файлів та ідентифікатори (TelephonyManager.getDeviceId/SubscriberId, WifiInfo.getMacAddress, SensorManager.getSensorList), щоб повертати реалістичні значення.
|
||||
|
||||
## SSL pinning bypass quick hook (Java)
|
||||
|
||||
Нейтралізуйте кастомні TrustManagers і примусово встановіть permissive SSL contexts:
|
||||
Нейтралізувати кастомні TrustManagers і примусити дозволяючі SSL contexts:
|
||||
```js
|
||||
Java.perform(function(){
|
||||
var X509TrustManager = Java.use('javax.net.ssl.X509TrustManager');
|
||||
@ -165,17 +165,17 @@ return SSLContextInit.call(this, km, TrustManagers, sr);
|
||||
};
|
||||
});
|
||||
```
|
||||
Notes
|
||||
- Розширити для OkHttp: hook okhttp3.CertificatePinner and HostnameVerifier за потреби, або використати universal unpinning script з CodeShare.
|
||||
Примітки
|
||||
- Для OkHttp: hook okhttp3.CertificatePinner і HostnameVerifier за потреби, або використайте універсальний unpinning script з CodeShare.
|
||||
- Приклад запуску: `frida -U -f com.target.app -l ssl-bypass.js --no-pause`
|
||||
|
||||
## Step 6 — Слідуйте за JNI/native слідом, коли Java hooks не спрацьовують
|
||||
## Крок 6 — Слідуйте за JNI/native слідом, коли Java hooks не працюють
|
||||
|
||||
Прослідкуйте JNI entry points, щоб знайти native loaders і detection init:
|
||||
Відстежте точки входу JNI, щоб знайти native loaders та ініціалізацію механізмів виявлення:
|
||||
```bash
|
||||
frida-trace -n com.example.app -i "JNI_OnLoad"
|
||||
```
|
||||
Швидка нативна первинна перевірка включених .so файлів:
|
||||
Швидкий нативний тріаж упакованих .so файлів:
|
||||
```bash
|
||||
# List exported symbols & JNI
|
||||
nm -D libfoo.so | head
|
||||
@ -186,7 +186,7 @@ strings -n 6 libfoo.so | egrep -i 'frida|ptrace|gum|magisk|su|root'
|
||||
- Ghidra: https://ghidra-sre.org/
|
||||
- r2frida: https://github.com/nowsecure/r2frida
|
||||
|
||||
Приклад: нейтралізувати ptrace, щоб обійти простий anti‑debug у libc:
|
||||
Приклад: відключити ptrace, щоб обійти простий anti‑debug у libc:
|
||||
```js
|
||||
const ptrace = Module.findExportByName(null, 'ptrace');
|
||||
if (ptrace) {
|
||||
@ -200,30 +200,30 @@ return -1; // pretend failure
|
||||
reversing-native-libraries.md
|
||||
{{#endref}}
|
||||
|
||||
## Крок 7 — Objection патчування (embed gadget / strip basics)
|
||||
## Крок 7 — Objection patching (embed gadget / strip basics)
|
||||
|
||||
Коли ви віддаєте перевагу repacking замість runtime hooks, спробуйте:
|
||||
Якщо ви віддаєте перевагу repacking замість runtime hooks, спробуйте:
|
||||
```bash
|
||||
objection patchapk --source app.apk
|
||||
```
|
||||
Примітки:
|
||||
- Потребує apktool; переконайтеся, що у вас актуальна версія згідно з офіційним посібником, щоб уникнути проблем зі збіркою: https://apktool.org/docs/install
|
||||
- Gadget injection дозволяє instrumentation без root, але все ще може бути виявлено сильнішими init‑time checks.
|
||||
- Потребує apktool; переконайтеся в актуальній версії з офіційного посібника, щоб уникнути проблем зі збіркою: https://apktool.org/docs/install
|
||||
- Gadget injection дозволяє instrumentation без root, але все ще може бути виявлена сильнішими init‑time checks.
|
||||
|
||||
За бажанням, додайте LSPosed modules і Shamiko для сильнішого приховування root у Zygisk середовищах та налаштуйте DenyList, щоб охопити дочірні процеси.
|
||||
Опційно додайте LSPosed modules і Shamiko для сильнішого приховування root у Zygisk environments, і налаштуйте DenyList, щоб охопити child processes.
|
||||
|
||||
Посилання:
|
||||
Джерела:
|
||||
- Objection: https://github.com/sensepost/objection
|
||||
|
||||
## Крок 8 — Запасний варіант: Патч TLS pinning для видимості мережевого трафіку
|
||||
## Крок 8 — Резервний варіант: патч TLS pinning для мережевої видимості
|
||||
|
||||
Якщо instrumentation заблоковано, ви все ще можете переглянути трафік, статично видаливши pinning:
|
||||
Якщо instrumentation заблоковано, ви все ще можете переглядати трафік, статично видаливши pinning:
|
||||
```bash
|
||||
apk-mitm app.apk
|
||||
# Then install the patched APK and proxy via Burp/mitmproxy
|
||||
```
|
||||
- Інструмент: https://github.com/shroudedcode/apk-mitm
|
||||
- Для трюків з налаштування мережі CA‑trust (та довіри користувацьких CA в Android 7+), див.:
|
||||
- Для хитрощів з CA‑trust у мережевих налаштуваннях (і довіри користувацьких CA в Android 7+), дивіться:
|
||||
|
||||
{{#ref}}
|
||||
make-apk-accept-ca-certificate.md
|
||||
@ -251,14 +251,33 @@ objection --gadget com.example.app explore
|
||||
# Static TLS pinning removal
|
||||
apk-mitm app.apk
|
||||
```
|
||||
## Поради та застереження
|
||||
## Universal proxy forcing + TLS unpinning (HTTP Toolkit Frida hooks)
|
||||
|
||||
- Краще виконувати attaching пізніше, ніж spawning, коли додатки падають при запуску
|
||||
- Деякі детекції повторно запускаються у критичних потоках (наприклад, payment, auth) — тримайте hooks активними під час навігації
|
||||
- Поєднуйте static та dynamic: пошук рядків у Jadx, щоб звузити список classes; потім hook methods для перевірки під час runtime
|
||||
- Захищені додатки можуть використовувати packers та native TLS pinning — очікуйте необхідності реверсу native code
|
||||
Сучасні додатки часто ігнорують system proxies і застосовують кілька рівнів pinning (Java + native), через що перехоплення трафіку стає болісним навіть при встановлених user/system CAs. Практичний підхід — поєднати universal TLS unpinning з proxy forcing за допомогою готових Frida hooks та направити весь трафік через mitmproxy/Burp.
|
||||
|
||||
## References
|
||||
Workflow
|
||||
- Запустіть mitmproxy на вашому хості (або Burp). Переконайтеся, що пристрій може дістатися до IP/порту хоста.
|
||||
- Завантажте консолідовані Frida hooks від HTTP Toolkit, щоб одночасно робити TLS unpinning і змушувати використання proxy у поширених стеках (OkHttp/OkHttp3, HttpsURLConnection, Conscrypt, WebView тощо). Це обходить перевірки CertificatePinner/TrustManager і перевизначає proxy selectors, тож трафік завжди йде через ваш proxy навіть якщо додаток явно вимикає proxies.
|
||||
- Запустіть цільовий додаток з Frida і hook-скриптом та перехоплюйте запити в mitmproxy.
|
||||
|
||||
Example
|
||||
```bash
|
||||
# Device connected via ADB or over network (-U)
|
||||
# See the repo for the exact script names & options
|
||||
frida -U -f com.vendor.app \
|
||||
-l ./android-unpinning-with-proxy.js \
|
||||
--no-pause
|
||||
|
||||
# mitmproxy listening locally
|
||||
mitmproxy -p 8080
|
||||
```
|
||||
## Примітки
|
||||
|
||||
- Використовуйте разом із системним проксі через `adb shell settings put global http_proxy <host>:<port>` коли це можливо. Frida hooks примусово застосовуватимуть проксі навіть якщо додатки обходять глобальні налаштування.
|
||||
- Ця техніка ідеально підходить, коли потрібно здійснити MITM у mobile-to-IoT onboarding flows, де pinning/proxy avoidance є поширеними.
|
||||
- Hooks: https://github.com/httptoolkit/frida-interception-and-unpinning
|
||||
|
||||
## Джерела
|
||||
|
||||
- [Reversing Android Apps: Bypassing Detection Like a Pro](https://www.kayssel.com/newsletter/issue-12/)
|
||||
- [Frida Codeshare](https://codeshare.frida.re/)
|
||||
|
||||
Loading…
x
Reference in New Issue
Block a user