QAuxiliary项目Frida模块加载技术详解

邓尤楚

于 2025-06-08 09:14:27 发布

阅读量356

点赞数 4

CC 4.0 BY-SA版权

本文链接：https://blog.youkuaiyun.com/gitblog_00101/article/details/148507909

QAuxiliary项目Frida模块加载技术详解

QAuxiliary QNotified phoenix - To make OICQ great again 项目地址: https://gitcode.com/gh_mirrors/qa/QAuxiliary

前言

在Android逆向工程和安全研究中，Frida是一款强大的动态代码插桩工具。本文将详细介绍如何利用Frida在无Xposed环境下加载QAuxiliary模块的技术实现方案。

技术背景

QAuxiliary是一个针对QQ/TIM客户端的模块化增强框架，传统上需要依赖Xposed框架运行。但随着Android系统版本更新和安全机制加强，Xposed环境在某些设备上可能难以部署。Frida作为一种跨平台的动态代码注入工具，为QAuxiliary提供了另一种加载方式。

环境准备

硬件/系统要求

运行Android 7.0及以上版本的设备
已获取root权限（支持Magisk、KernelSU、APatch等主流方案）
目标QQ/TIM客户端已安装并正常运行

软件依赖

QAuxiliary 1.5.8及以上版本
Frida服务端和客户端环境
ADB调试工具

实现原理

QAuxiliary通过Frida加载的核心在于：

动态获取模块APK路径
创建独立的类加载器
反射调用入口方法

这种设计避免了直接修改宿主应用，实现了非侵入式的模块加载。

详细操作步骤

第一步：启动Frida服务

在Android设备上启动Frida-server服务进程，确保adb可以正常连接。建议使用最新稳定版Frida以获得最佳兼容性。

第二步：启动目标应用

可以通过以下任一方式启动QQ/TIM：

手动从启动器点击图标
使用adb命令启动：am start -n com.tencent.mobileqq/.activity.SplashActivity

第三步：注入Frida脚本

使用以下JavaScript脚本进行注入，关键步骤解析：

Java.perform(() => {
    // 获取当前应用上下文
    const ActivityThread = Java.use("android.app.ActivityThread");
    const activityThread = ActivityThread.currentActivityThread();
    const ctx = activityThread.getApplication();
    
    // 获取QAuxiliary模块路径
    const ai = ctx.getPackageManager().getPackageInfo("io.github.qauxv", 0).applicationInfo.value;
    const modulePath = ai.sourceDir.value;
    
    // 创建独立类加载器
    const BaseDexClassLoader = Java.use("dalvik.system.BaseDexClassLoader");
    const parent = Java.classFactory.loader;
    const cl = BaseDexClassLoader.$new(modulePath, null, null, parent);
    
    // 加载并调用入口方法
    const FridaInjectEntry = cl.loadClass("io.github.qauxv.loader.sbl.frida.FridaInjectEntry");
    const entry1 = FridaInjectEntry.getMethod("entry1", Java.array("java.lang.Class", [Java.use("java.lang.String").class]));
    entry1.invoke(null, Java.array("java.lang.String", [modulePath]));
});

技术要点解析

类加载机制：
- 使用BaseDexClassLoader创建独立的类加载器
- 避免与宿主应用的类加载冲突
- 确保模块代码的正确隔离
反射调用：
- 通过反射定位入口类FridaInjectEntry
- 动态获取entry1静态方法
- 传入模块路径参数完成初始化
路径获取：
- 通过PackageManager查询应用信息
- 从ApplicationInfo中提取sourceDir
- 确保获取的是正确的APK路径