某瓣APP Frida反调试

APP信息

包名：com.douban.frodo

反调试分析

frida尝试注入，如下图直接就挂掉了，说明我们的frida被检测到了

定位so文件

我们需要知道在哪个so文件中加载的线程检测到了我们的firda，可以通过frida hook dlopen方法。

function hook_dlopen(){
   
   
    //Android8.0之后加载so通过android_dlopen_ext函数
    var android_dlopen_ext = Module.findExportByName(null,"android_dlopen_ext");
    console.log("addr_android_dlopen_ext",android_dlopen_ext);
    Interceptor.attach(android_dlopen_ext,{
   
   
        onEnter:function(args){
   
   
            var pathptr = args[0];
            if(pathptr!=null && pathptr != undefined){
   
   
                var path = ptr(pathptr).readCString();
                console.log("android_dlopen_ext:",path);
            }
        },
        onLeave:function(retvel){
   
   
            console.log("leave!");
        }
    })
}
hook_dlopen()

hook结果如下，是在libmsaoaidsec.so这个so文件中加载的线程检测到的frida。

定位检测函数

我们可以hook pthread方法来定位检测函数。

function hook_dlopen(){
   
   
    //Android8.0之后加载so通过android_dlopen_ext函数
    var android_dlopen_ext = Module