Frida hook工具---objection 使用

objection 使用

支持 ios和android

安装objection

• 条件： 安装frida， 安装方法请自行查阅百度
• objection 安装

pip install objection

启动 objection

objection -g 包名 explore

• objection 命令
  

选项	含义
-N	指定ip地址远程连接手机。
-h	指定主机 默认127.0.0.1
-p	指定端口 默认27042

常用命令

• memory list modules 查看当前程序调用的所有so

• memory list modules --json test.json 查看到其所有so 并保存位json （终端所在目录）

• frida-ps -U |grep xxx 筛选过滤
• memory search 内存搜索

• android hooking list activities 打印所有 activities （页面）

• android intent launch_activity com.android.settings.DisplaySettings 强行启动指定activities 可以强行启懂页面
• android hooking list classes 打印所有 classes
• android hooking search classes *** 筛选指定类
• android hooking list class_methods sun.util.locale.LanguageTag 打印方法体
• android hooking watch class_method com.xxx.xxx --dump-args --dump-return 快速hook（来看是否代码走到这里）

获取基本信息

• 帮助 获取命令解释信息
  

提取内存信息

• 查看库的导出函数

# memory list exports libart.so --json /root/libart.json  
Writing exports as json to /root/libart.json...
Wrote exports to: /root/libart.json

• 提取内存

memory dump all from_base

• 搜索整个内存

memory search --string --offsets-only

• 内存搜索与执行

  寻找函数内存位置 ，并复制找到内存地址

• 调用实例方法,直接调用实例方法。

# android heap execute 0x2526 getPreferenceScreenResId                  
Handle 0x2526 is to class com.android.settings.DisplaySettings
Executing method: getPreferenceScreenResId()
2132082764

• 在实例上 执行js代码

也可以在找到的实例上直接编写js脚本，输入android heap evaluate 0x2526命令后，会进入一个迷你编辑器环境，输入console.log("evaluate result:"+clazz.getPreferenceScreenResId())这串脚本，
按ESC退出编辑器，然后按回车，即会开始执行这串脚本，输出结果。

• 启动activity或service

直接启动activity

android intent launch_activity 强制启动界面，可配合android hooking list activities 获取界面

直接启动service

android hooking list services 查看当前开启的服务
android intent launch_service com.服务  开启服务

内存漫游

• 列出内存所有的类

android hooking list classes (打印所有 classes)

• 搜索类

android hooking search classes display

• 搜索所有的方法

android hooking search methods display

• 列出类的所有方法

android hooking list class_methods com.xxx.xxx

使用

• hook指定方法请求参数，返回值，堆栈打印

android hooking watch class_method com.a.sample.loopcrypto.Decode.check --dump-args --dump-backtrace --dump-return

• Hook java 匿名类

android hooking watch class_method com.a.sample.loopcrypto.Decode.check$c --dump-args --dump-backtrace --dump-return
有时候我们会遇到内部类或者匿名内部类的Hook，不用担心，假设类为com.test.a，内部类为b，完整路径即为com.test.a$b，如果为匿名内部类，可以查看其smali代码，往往命名为com.test.a$1这种形式。

• 附加模式hook

在某些app hook时， 需要在启动时hook，为了避免错过hook时机，采用附加模式，在objection 启动时就注入app
objection -g packageName explore --startup-command "android hooking watch com.xxx.xxx"

• 查看当前hook工作列表

jobs list

• 设置返回值（只支持bool类型）

android hooking set return_value com.xxx.xxx.methodName false

抓包

• 屏蔽SSL 校验, 使得ssl pinning失效

android sslpinning disable

持续更新Android安全、web安全等原创文章，需要学习资料，技术交流可以关注我一起学习