hacktricks/src/mobile-pentesting/android-app-pentesting/android-anti-instrumentation-and-ssl-pinning-bypass.md

Android Anti-Instrumentation & SSL Pinning Bypass (Frida/Objection)

{{#include ../../banners/hacktricks-training.md}}

Esta página proporciona un flujo de trabajo práctico para recuperar el análisis dinámico contra aplicaciones Android que detectan/bloquean instrumentación por root o aplican TLS pinning. Se centra en un triage rápido, detecciones comunes y hooks/tácticas copiables para evitarlas sin reempaquetar cuando sea posible.

Detection Surface (what apps check)

• Root checks: su binary, Magisk paths, getprop values, common root packages
• Frida/debugger checks (Java): Debug.isDebuggerConnected(), ActivityManager.getRunningAppProcesses(), getRunningServices(), scanning /proc, classpath, loaded libs
• Native anti‑debug: ptrace(), syscalls, anti‑attach, breakpoints, inline hooks
• Early init checks: Application.onCreate() or process start hooks that crash if instrumentation is present
• TLS pinning: custom TrustManager/HostnameVerifier, OkHttp CertificatePinner, Conscrypt pinning, native pins

Step 1 — Quick win: hide root with Magisk DenyList

• Enable Zygisk in Magisk
• Enable DenyList, add the target package
• Reboot and retest

Muchas apps solo buscan indicadores obvios (su/Magisk paths/getprop). DenyList a menudo neutraliza comprobaciones ingenuas.

Referencias:

• Magisk (Zygisk & DenyList): https://github.com/topjohnwu/Magisk

Step 2 — 30‑second Frida Codeshare tests

Prueba scripts comunes drop‑in antes de profundizar:

• anti-root-bypass.js
• anti-frida-detection.js
• hide_frida_gum.js

Example:

frida -U -f com.example.app -l anti-frida-detection.js

Estos típicamente crean stubs para las comprobaciones Java de root/debug, los escaneos de process/service y la ptrace() nativa. Útiles en apps con protección ligera; objetivos hardened pueden necesitar hooks personalizados.

• Codeshare: https://codeshare.frida.re/

Paso 3 — Bypass init-time detectors by attaching late

Muchas detecciones sólo se ejecutan durante el spawn del proceso/onCreate(). La inyección en spawn‑time (-f) o los gadgets suelen ser detectados; adjuntar después de que la UI cargue puede pasar desapercibido.

# Launch the app normally (launcher/adb), wait for UI, then attach
frida -U -n com.example.app
# Or with Objection to attach to running process
aobjection --gadget com.example.app explore  # if using gadget

Si esto funciona, mantén la sesión estable y procede a mapear y comprobar stubs.

Paso 4 — Mapear la lógica de detección vía Jadx y búsqueda de cadenas

Palabras clave de triage estático en Jadx:

• "frida", "gum", "root", "magisk", "ptrace", "su", "getprop", "debugger"

Patrones Java típicos:

public boolean isFridaDetected() {
return getRunningServices().contains("frida");
}

APIs comunes a revisar/hook:

• android.os.Debug.isDebuggerConnected
• android.app.ActivityManager.getRunningAppProcesses / getRunningServices
• java.lang.System.loadLibrary / System.load (native bridge)
• java.lang.Runtime.exec / ProcessBuilder (probing commands)
• android.os.SystemProperties.get (root/emulator heuristics)

Paso 5 — Runtime stubbing con Frida (Java)

Anular guardias personalizados para devolver valores seguros sin reempaquetar:

Java.perform(() => {
const Checks = Java.use('com.example.security.Checks');
Checks.isFridaDetected.implementation = function () { return false; };

// Neutralize debugger checks
const Debug = Java.use('android.os.Debug');
Debug.isDebuggerConnected.implementation = function () { return false; };

// Example: kill ActivityManager scans
const AM = Java.use('android.app.ActivityManager');
AM.getRunningAppProcesses.implementation = function () { return java.util.Collections.emptyList(); };
});

¿Clasificando fallos tempranos? Dump classes justo antes de que muera para detectar posibles namespaces de detección:

Java.perform(() => {
Java.enumerateLoadedClasses({
onMatch: n => console.log(n),
onComplete: () => console.log('Done')
});
});

Log y neutraliza métodos sospechosos para confirmar el flujo de ejecución:

Java.perform(() => {
const Det = Java.use('com.example.security.DetectionManager');
Det.checkFrida.implementation = function () {
console.log('checkFrida() called');
return false;
};
});

Paso 6 — Sigue la pista JNI/native cuando los hooks de Java fallan

Traza puntos de entrada JNI para localizar native loaders y detection init:

frida-trace -n com.example.app -i "JNI_OnLoad"

Clasificación rápida nativa de los archivos .so incluidos:

# List exported symbols & JNI
nm -D libfoo.so | head
objdump -T libfoo.so | grep Java_
strings -n 6 libfoo.so | egrep -i 'frida|ptrace|gum|magisk|su|root'

Reversing interactivo/nativo:

• Ghidra: https://ghidra-sre.org/
• r2frida: https://github.com/nowsecure/r2frida

Ejemplo: neutralizar ptrace para eludir un anti‑debug simple en libc:

const ptrace = Module.findExportByName(null, 'ptrace');
if (ptrace) {
Interceptor.replace(ptrace, new NativeCallback(function () {
return -1; // pretend failure
}, 'int', ['int', 'int', 'pointer', 'pointer']));
}

Véase también: {{#ref}} reversing-native-libraries.md {{#endref}}

Paso 7 — Objection patching (embed gadget / strip basics)

Cuando prefieras repacking en lugar de runtime hooks, prueba:

objection patchapk --source app.apk

Notas:

• Requiere apktool; asegúrate de usar una versión actual siguiendo la guía oficial para evitar problemas de compilación: https://apktool.org/docs/install
• Gadget injection permite instrumentation sin root, pero aún puede ser detectado por init‑time checks más estrictos.

Referencias:

• Objection: https://github.com/sensepost/objection

Paso 8 — Solución alternativa: Parchear TLS pinning para visibilidad de la red

Si instrumentation está bloqueada, aún puedes inspeccionar el tráfico eliminando pinning de forma estática:

apk-mitm app.apk
# Then install the patched APK and proxy via Burp/mitmproxy

• Herramienta: https://github.com/shroudedcode/apk-mitm
• Para trucos de CA‑trust en la configuración de red (y la confianza de CA de usuario en Android 7+), ver:

{{#ref}} make-apk-accept-ca-certificate.md {{#endref}}

{{#ref}} install-burp-certificate.md {{#endref}}

Hoja de referencia rápida de comandos

# List processes and attach
frida-ps -Uai
frida -U -n com.example.app

# Spawn with a script (may trigger detectors)
frida -U -f com.example.app -l anti-frida-detection.js

# Trace native init
frida-trace -n com.example.app -i "JNI_OnLoad"

# Objection runtime
objection --gadget com.example.app explore

# Static TLS pinning removal
apk-mitm app.apk

Consejos y advertencias

• Prefiere attaching tarde en lugar de spawning cuando las apps se bloquean al iniciarse
• Algunas detecciones se re‑ejecutan en flujos críticos (p. ej., payment, auth) — mantén los hooks activos durante la navegación
• Combina estático y dinámico: string hunt en Jadx para preseleccionar clases; luego hookea métodos para verificar en tiempo de ejecución
• Las apps reforzadas pueden usar packers y native TLS pinning — prepárate para revertir código nativo

References

• Reversing Android Apps: Bypassing Detection Like a Pro
• Frida Codeshare
• Objection
• apk-mitm
• Jadx
• Ghidra
• r2frida
• Apktool install guide
• Magisk

{{#include ../../banners/hacktricks-training.md}}