Translated ['', 'src/mobile-pentesting/android-app-pentesting/android-an

src/mobile-pentesting/android-app-pentesting/android-anti-instrumentation-and-ssl-pinning-bypass.md

@@ -1,10 +1,10 @@
-# Android Anti-Instrumentation & SSL Pinning Bypass (Frida/Objection)
+# Android: Обхід Anti-Instrumentation та SSL Pinning (Frida/Objection)
 
 {{#include ../../banners/hacktricks-training.md}}
 
-Ця сторінка надає практичний робочий процес для відновлення динамічного аналізу проти Android-додатків, які виявляють/блокують instrumentation через root або застосовують TLS pinning. Вона фокусується на швидкій триажі, типових виявленнях та copy‑pasteable hooks/tactics для їх обходу без репакування, коли це можливо.
+Ця сторінка надає практичний workflow для відновлення динамічного аналізу проти Android-додатків, які виявляють або блокують instrumentation через root або застосовують TLS pinning. Вона сфокусована на швидкій триажі, поширених методах виявлення та готових хуках/тактиках, які можна копіювати і вставляти для обходу без перепакування, коли це можливо.
 
-## Область виявлення (що перевіряють додатки)
+## Detection Surface (what apps check)
 
 - Root checks: su binary, Magisk paths, getprop values, common root packages
 - Frida/debugger checks (Java): Debug.isDebuggerConnected(), ActivityManager.getRunningAppProcesses(), getRunningServices(), scanning /proc, classpath, loaded libs
@@ -14,18 +14,18 @@
 
 ## Step 1 — Quick win: hide root with Magisk DenyList
 
-- Увімкніть Zygisk у Magisk
+- Enable Zygisk in Magisk
-- Увімкніть DenyList, додайте цільовий пакет
+- Enable DenyList, add the target package
-- Перезавантажте та протестуйте знову
+- Reboot and retest
 
-Багато додатків шукають лише очевидні індикатори (su/Magisk paths/getprop). DenyList часто нейтралізує наївні перевірки.
+Many apps only look for obvious indicators (su/Magisk paths/getprop). DenyList often neutralizes naive checks.
 
 References:
 - Magisk (Zygisk & DenyList): https://github.com/topjohnwu/Magisk
 
 ## Step 2 — 30‑second Frida Codeshare tests
 
-Спробуйте поширені drop‑in скрипти перед глибоким зануренням:
+Try common drop‑in scripts before deep diving:
 
 - anti-root-bypass.js
 - anti-frida-detection.js
@@ -35,13 +35,13 @@ Example:
 ```bash
 frida -U -f com.example.app -l anti-frida-detection.js
 ```
-Ці зазвичай підмінюють Java root/debug checks, process/service scans і native ptrace(). Корисні для слабко захищених додатків; для загартованих цілей можуть знадобитися спеціалізовані hooks.
+Зазвичай вони заглушують Java root/debug checks, process/service scans та native ptrace(). Корисно для слабо захищених додатків; для жорстко захищених цілей можуть знадобитися tailored hooks.
 
 - Codeshare: https://codeshare.frida.re/
 
-## Автоматизація з Medusa (Frida framework)
+## Автоматизуйте за допомогою Medusa (Frida framework)
 
-Medusa надає понад 90 готових модулів для SSL unpinning, root/emulator detection bypass, HTTP comms logging, crypto key interception та іншого.
+Medusa надає 90+ готових модулів для SSL unpinning, root/emulator detection bypass, HTTP comms logging, crypto key interception та ін.
 ```bash
 git clone https://github.com/Ch0pin/medusa
 cd medusa
@@ -54,31 +54,31 @@ use http_communications/multiple_unpinner
 use root_detection/universal_root_detection_bypass
 run com.target.app
 ```
-Порада: Medusa чудово підходить для швидких перемог перед написанням custom hooks. Ви також можете вибірково підбирати модулі та комбінувати їх зі своїми скриптами.
+Порада: Medusa чудово підходить для швидких перемог перед написанням custom hooks. Ви також можете вибірково використовувати modules і поєднувати їх зі своїми scripts.
 
 ## Крок 3 — Обійти детектори під час ініціалізації, підключившись пізніше
 
-Багато детекцій запускаються лише під час spawn/onCreate(). Spawn‑time injection (-f) або gadgets виявляються; підключення після завантаження UI може їх обійти.
+Багато детекцій виконуються тільки під час process spawn/onCreate(). Spawn‑time injection (-f) або gadgets виявляються; підключення після завантаження UI може пройти повз них.
 ```bash
 # Launch the app normally (launcher/adb), wait for UI, then attach
 frida -U -n com.example.app
 # Or with Objection to attach to running process
 aobjection --gadget com.example.app explore  # if using gadget
 ```
-Якщо це спрацює, утримуйте сесію стабільною та переходьте до мапінгу й перевірки stub-ів.
+Якщо це спрацює, утримуйте сесію стабільною та переходьте до перевірок map і stub.
 
-## Крок 4 — Проаналізуйте логіку виявлення через Jadx і пошук рядків
+## Крок 4 — Мапування логіки виявлення через Jadx та пошук рядків
 
 Ключові слова для статичного триажу в Jadx:
 - "frida", "gum", "root", "magisk", "ptrace", "su", "getprop", "debugger"
 
-Типові шаблони Java:
+Типові Java-патерни:
 ```java
 public boolean isFridaDetected() {
 return getRunningServices().contains("frida");
 }
 ```
-Поширені API для перевірки/hook:
+Поширені API для перегляду/hook:
 - android.os.Debug.isDebuggerConnected
 - android.app.ActivityManager.getRunningAppProcesses / getRunningServices
 - java.lang.System.loadLibrary / System.load (native bridge)
@@ -87,7 +87,7 @@ return getRunningServices().contains("frida");
 
 ## Крок 5 — Runtime stubbing with Frida (Java)
 
-Перевизначте custom guards, щоб повертати безпечні значення без repacking:
+Перевизначте власні перевірки, щоб повертати безпечні значення без повторного пакування:
 ```js
 Java.perform(() => {
 const Checks = Java.use('com.example.security.Checks');
@@ -102,7 +102,7 @@ const AM = Java.use('android.app.ActivityManager');
 AM.getRunningAppProcesses.implementation = function () { return java.util.Collections.emptyList(); };
 });
 ```
-Розбираєтеся з ранніми crashes? Dump classes безпосередньо перед падінням, щоб виявити ймовірні detection namespaces:
+Тріаж ранніх крашів? Dump classes прямо перед падінням, щоб знайти ймовірні detection namespaces:
 ```js
 Java.perform(() => {
 Java.enumerateLoadedClasses({
@@ -119,7 +119,7 @@ RootChecker.isDeviceRooted.implementation = function () { return false; };
 } catch (e) {}
 });
 
-Логувати та нейтралізувати підозрілі методи, щоб підтвердити потік виконання:
+Запишіть у лог і нейтралізуйте підозрілі методи, щоб підтвердити потік виконання:
 ```js
 Java.perform(() => {
 const Det = Java.use('com.example.security.DetectionManager');
@@ -129,9 +129,9 @@ return false;
 };
 });
 ```
-## Bypass emulator/VM detection (Java stubs)
+## Обхід виявлення emulator/VM (Java stubs)
 
-Звичайні евристики: Build.FINGERPRINT/MODEL/MANUFACTURER/HARDWARE, що містять generic/goldfish/ranchu/sdk; QEMU артефакти, такі як /dev/qemu_pipe, /dev/socket/qemud; стандартна MAC 02:00:00:00:00:00; 10.0.2.x NAT; відсутність telephony/sensors.
+Поширені евристики: Build.FINGERPRINT/MODEL/MANUFACTURER/HARDWARE, що містять generic/goldfish/ranchu/sdk; QEMU артефакти на кшталт /dev/qemu_pipe, /dev/socket/qemud; MAC за замовчуванням 02:00:00:00:00:00; 10.0.2.x NAT; відсутні telephony/sensors.
 
 Швидка підміна полів Build:
 ```js
@@ -143,11 +143,11 @@ Build.BRAND.value = 'google';
 Build.FINGERPRINT.value = 'google/panther/panther:14/UP1A.231105.003/1234567:user/release-keys';
 });
 ```
-Доповніть заглушками для перевірок наявності файлів та ідентифікаторів (TelephonyManager.getDeviceId/SubscriberId, WifiInfo.getMacAddress, SensorManager.getSensorList), щоб вони повертали реалістичні значення.
+Доповніть заглушками перевірки наявності файлів та ідентифікатори (TelephonyManager.getDeviceId/SubscriberId, WifiInfo.getMacAddress, SensorManager.getSensorList), щоб повертати реалістичні значення.
 
 ## SSL pinning bypass quick hook (Java)
 
-Нейтралізуйте кастомні TrustManagers і примусово встановіть permissive SSL contexts:
+Нейтралізувати кастомні TrustManagers і примусити дозволяючі SSL contexts:
 ```js
 Java.perform(function(){
 var X509TrustManager = Java.use('javax.net.ssl.X509TrustManager');
@@ -165,17 +165,17 @@ return SSLContextInit.call(this, km, TrustManagers, sr);
 };
 });
 ```
-Notes
+Примітки
-- Розширити для OkHttp: hook okhttp3.CertificatePinner and HostnameVerifier за потреби, або використати universal unpinning script з CodeShare.
+- Для OkHttp: hook okhttp3.CertificatePinner і HostnameVerifier за потреби, або використайте універсальний unpinning script з CodeShare.
 - Приклад запуску: `frida -U -f com.target.app -l ssl-bypass.js --no-pause`
 
-## Step 6 — Слідуйте за JNI/native слідом, коли Java hooks не спрацьовують
+## Крок 6 — Слідуйте за JNI/native слідом, коли Java hooks не працюють
 
-Прослідкуйте JNI entry points, щоб знайти native loaders і detection init:
+Відстежте точки входу JNI, щоб знайти native loaders та ініціалізацію механізмів виявлення:
 ```bash
 frida-trace -n com.example.app -i "JNI_OnLoad"
 ```
-Швидка нативна первинна перевірка включених .so файлів:
+Швидкий нативний тріаж упакованих .so файлів:
 ```bash
 # List exported symbols & JNI
 nm -D libfoo.so | head
@@ -186,7 +186,7 @@ strings -n 6 libfoo.so | egrep -i 'frida|ptrace|gum|magisk|su|root'
 - Ghidra: https://ghidra-sre.org/
 - r2frida: https://github.com/nowsecure/r2frida
 
-Приклад: нейтралізувати ptrace, щоб обійти простий anti‑debug у libc:
+Приклад: відключити ptrace, щоб обійти простий anti‑debug у libc:
 ```js
 const ptrace = Module.findExportByName(null, 'ptrace');
 if (ptrace) {
@@ -200,30 +200,30 @@ return -1; // pretend failure
 reversing-native-libraries.md
 {{#endref}}
 
-## Крок 7 — Objection патчування (embed gadget / strip basics)
+## Крок 7 — Objection patching (embed gadget / strip basics)
 
-Коли ви віддаєте перевагу repacking замість runtime hooks, спробуйте:
+Якщо ви віддаєте перевагу repacking замість runtime hooks, спробуйте:
 ```bash
 objection patchapk --source app.apk
 ```
 Примітки:
-- Потребує apktool; переконайтеся, що у вас актуальна версія згідно з офіційним посібником, щоб уникнути проблем зі збіркою: https://apktool.org/docs/install
+- Потребує apktool; переконайтеся в актуальній версії з офіційного посібника, щоб уникнути проблем зі збіркою: https://apktool.org/docs/install
-- Gadget injection дозволяє instrumentation без root, але все ще може бути виявлено сильнішими init‑time checks.
+- Gadget injection дозволяє instrumentation без root, але все ще може бути виявлена сильнішими init‑time checks.
 
-За бажанням, додайте LSPosed modules і Shamiko для сильнішого приховування root у Zygisk середовищах та налаштуйте DenyList, щоб охопити дочірні процеси.
+Опційно додайте LSPosed modules і Shamiko для сильнішого приховування root у Zygisk environments, і налаштуйте DenyList, щоб охопити child processes.
 
-Посилання:
+Джерела:
 - Objection: https://github.com/sensepost/objection
 
-## Крок 8 — Запасний варіант: Патч TLS pinning для видимості мережевого трафіку
+## Крок 8 — Резервний варіант: патч TLS pinning для мережевої видимості
 
-Якщо instrumentation заблоковано, ви все ще можете переглянути трафік, статично видаливши pinning:
+Якщо instrumentation заблоковано, ви все ще можете переглядати трафік, статично видаливши pinning:
 ```bash
 apk-mitm app.apk
 # Then install the patched APK and proxy via Burp/mitmproxy
 ```
 - Інструмент: https://github.com/shroudedcode/apk-mitm
-- Для трюків з налаштування мережі CA‑trust (та довіри користувацьких CA в Android 7+), див.:
+- Для хитрощів з CA‑trust у мережевих налаштуваннях (і довіри користувацьких CA в Android 7+), дивіться:
 
 {{#ref}}
 make-apk-accept-ca-certificate.md
@@ -251,14 +251,33 @@ objection --gadget com.example.app explore
 # Static TLS pinning removal
 apk-mitm app.apk
 ```
-## Поради та застереження
+## Universal proxy forcing + TLS unpinning (HTTP Toolkit Frida hooks)
 
-- Краще виконувати attaching пізніше, ніж spawning, коли додатки падають при запуску
+Сучасні додатки часто ігнорують system proxies і застосовують кілька рівнів pinning (Java + native), через що перехоплення трафіку стає болісним навіть при встановлених user/system CAs. Практичний підхід — поєднати universal TLS unpinning з proxy forcing за допомогою готових Frida hooks та направити весь трафік через mitmproxy/Burp.
-- Деякі детекції повторно запускаються у критичних потоках (наприклад, payment, auth) — тримайте hooks активними під час навігації
-- Поєднуйте static та dynamic: пошук рядків у Jadx, щоб звузити список classes; потім hook methods для перевірки під час runtime
-- Захищені додатки можуть використовувати packers та native TLS pinning — очікуйте необхідності реверсу native code
 
-## References
+Workflow
+- Запустіть mitmproxy на вашому хості (або Burp). Переконайтеся, що пристрій може дістатися до IP/порту хоста.
+- Завантажте консолідовані Frida hooks від HTTP Toolkit, щоб одночасно робити TLS unpinning і змушувати використання proxy у поширених стеках (OkHttp/OkHttp3, HttpsURLConnection, Conscrypt, WebView тощо). Це обходить перевірки CertificatePinner/TrustManager і перевизначає proxy selectors, тож трафік завжди йде через ваш proxy навіть якщо додаток явно вимикає proxies.
+- Запустіть цільовий додаток з Frida і hook-скриптом та перехоплюйте запити в mitmproxy.
+
+Example
+```bash
+# Device connected via ADB or over network (-U)
+# See the repo for the exact script names & options
+frida -U -f com.vendor.app \
+-l ./android-unpinning-with-proxy.js \
+--no-pause
+
+# mitmproxy listening locally
+mitmproxy -p 8080
+```
+## Примітки
+
+- Використовуйте разом із системним проксі через `adb shell settings put global http_proxy <host>:<port>` коли це можливо. Frida hooks примусово застосовуватимуть проксі навіть якщо додатки обходять глобальні налаштування.
+- Ця техніка ідеально підходить, коли потрібно здійснити MITM у mobile-to-IoT onboarding flows, де pinning/proxy avoidance є поширеними.
+- Hooks: https://github.com/httptoolkit/frida-interception-and-unpinning
+
+## Джерела
 
 - [Reversing Android Apps: Bypassing Detection Like a Pro](https://www.kayssel.com/newsletter/issue-12/)
 - [Frida Codeshare](https://codeshare.frida.re/)