【经验分享】发现Frida Python库的enumerate_applications()在遍历APP时获取进程id存在主次不分的问题，导致后续attach到错误的进程。

例如图1所示，ctrip.android.view这个APP存在三个进程，其中第一个7928 才是主进程，其余两个是子进程，我们需要attach的是7928这个主进程才对。

但是如图2所示，enumerate_applications()把ctrip.android.view的进程id识别成8269了（ctrip.android.view:pushsdk.v1这个子进程），如果attach这个进程目标就跑偏了（各种类都找不到）。

解决方法：不要使用enumerate_applications()，自己读取ps的结果，拿到主进程id。

Frida版本16.2.1。

• 
• 

阅读全文 + 去微博评论 +

【经验分享】Frida获取RegisterNatives动态注册的JNI函数的地址
背景：某JNI的native函数在so的导出表中找不到，说明不是静态注册的，是通过RegisterNatives动态注册的（示例：https://blog.csdn.net/qq_29848853/article/details/129375219）。

可以使用Frida HOOK libart.so中的RegisterNatives函数，来曝出JNI函数的详细信息。

function hook_RegisterNatives() {
var symbols = Module.enumerateSymbolsSync("libart.so");
var addrRegisterNatives = null;
for (var i = 0; i < symbols.length; i++) {
var symbol = symbols[i];

//_ZN3art3JNI15RegisterNativesEP7_JNIEnvP7_jclassPK15JNINativeMethodi
if (symbol.name.indexOf("art") >= 0 &&
symbol.name.indexOf("JNI") >= 0 &&
symbol.name.indexOf("RegisterNatives") >= 0 &&
symbol.name.indexOf("CheckJNI") < 0) {
addrRegisterNatives = symbol.address;
console.log("RegisterNatives is at ", symbol.address, symbol.name);
}
}

if (addrRegisterNatives != null) {
Interceptor.attach(addrRegisterNatives, {
onEnter: function (args) {
console.log("[RegisterNatives] method_count:", args[3]);
var env = args[0];
var java_class = args[1];
var class_name = Java.vm.tryGetEnv().getClassName(java_class);
//console.log(class_name);

var methods_ptr = ptr(args[2]);

var method_count = parseInt(args[3]);
for (var i = 0; i < method_count; i++) {
var name_ptr = Memory.readPointer(methods_ptr.add(i * Process.pointerSize * 3));
var sig_ptr = Memory.readPointer(methods_ptr.add(i * Process.pointerSize * 3 + Process.pointerSize));
var fnPtr_ptr = Memory.readPointer(methods_ptr.add(i * Process.pointerSize * 3 + Process.pointerSize * 2));

var name = Memory.readCString(name_ptr);
var sig = Memory.readCString(sig_ptr);
var find_module = Process.findModuleByAddress(fnPtr_ptr);
console.log("[RegisterNatives] java_class:", class_name, "name:", name, "sig:", sig, "fnPtr:", fnPtr_ptr, "module_name:", find_module.name, "module_base:", find_module.base, "offset:", ptr(fnPtr_ptr).sub(find_module.base));

}
}
});
}
}

setImmediate(hook_RegisterNatives);

代码来源：https://github.com/lasting-yang/frida_hook_libart

• 

阅读全文 + 去微博评论 +

【经验分享】Frida 12不支持String.replaceAll。同一个脚本在16下工作正常，在12下就提示“TypeError: undefined not callable (property 'replaceAll' of ....”异常。

这是ChatGPT给出的解释：
在 Frida 12 中，原生的 String.prototype.replaceAll 方法可能无法使用，因为 Frida 12 使用的 JavaScript 引擎可能不支持 ECMAScript 2021（ES12）中的新特性。

这是ChatGPT给出的解决方案：
// 如果你的目标环境不支持 replaceAll，你可以自己实现一个类似的函数。以下是一个简单的实现：
if (!String.prototype.replaceAll) {
String.prototype.replaceAll = function (search, replacement) {
var target = this;
return target.split(search).join(replacement);
};
}

// 示例用法
var str = "Hello World! World is beautiful.";
var newStr = str.replaceAll("World", "Earth");
console.log(newStr); // 输出 "Hello Earth! Earth is beautiful."

• 

阅读全文 + 去微博评论 +

【经验分享】通过Hook Java层的System.loadLibrary()来屏蔽某so的加载

var System = Java.use('java.lang.System');
const Runtime = Java.use('java.lang.Runtime');
const VMStack = Java.use('dalvik.system.VMStack');
System.loadLibrary.overload('java.lang.String').implementation = function(library){
console.log('[F] System.loadLibrary() called! library = "' + library + '"');
// 如果要屏蔽某个so的加载，直接return即可
// if(library.indexOf("msaoaidsec") !=-1){
// console.log('Bypass loading ' + library);
// return;
// }
return Runtime.getRuntime().loadLibrary0(VMStack.getCallingClassLoader(), library);
}

顺便吐槽一下，这个APP搞区别对待啊，Google渠道安装的默认不做加固啊。

• 

阅读全文 + 去微博评论 +

【经验分享】Frida打印android so的加载顺序

function readStdString(str) {
const isTiny = (str.readU8() & 1) === 0;
if (isTiny) {
return str.add(1).readUtf8String();
}
return str.add(2 * Process.pointerSize).readPointer().readUtf8String();
}

var mod_art = Process.findModuleByName("libart.so");
if (mod_art) {
for (var exp of mod_art.enumerateExports()) {
if (exp.name.indexOf("LoadNativeLibrary") != -1) {
console.log(exp.name, exp.address);

Interceptor.attach(exp.address, {
onEnter: function (args) {
this.sopath = readStdString(args[2]);
console.log("[ [LoadNativeLibrary] sopath = ", this.sopath);
},
onLeave: function (retval) {
//console.log("[ [LoadNativeLibrary] out sopath = ", this.sopath);
}
});

break;
}
}
}

如下图示例，该APP在加载libmsaoaidsec.so之后退出了，说明frida检测机制在这个so中。

• 

阅读全文 + 去微博评论 +

【经验分享】Frida “Error: java.lang.RuntimeException: Can't toast on a thread that has not called Looper.prepare()” 问题的解决。

使用Java.scheduleOnMainThread(fn)将代码安排在主线程执行即可，例如下完整示例，实现 显示Toast提示。
function toast(text){
// 显示Toast提示
Java.perform(function() {
Java.scheduleOnMainThread(function(){
var Toast = Java.use('android.widget.Toast');
var context = Java.use('android.app.ActivityThread').currentApplication().getApplicationContext();
var CharSequence = Java.use('java.lang.CharSequence')
var String = Java.use('java.lang.String')
Toast.makeText(context, Java.cast(String.$new(text), CharSequence), Toast.LENGTH_SHORT.value).show();
});
});
}

• 

阅读全文 + 去微博评论 +

【经验分享】推荐一款好用的鼠标轨迹记录器 - MouseController（https://sourceforge.net/projects/mousecontroller/）。支持动作录制重放。另外，还有一个类似的工具，叫做KeymouseGo，它不光能记录鼠标动作，还能记录键盘动作，项目地址：https://github.com/taojy123/KeymouseGo。 ​​​

阅读全文 + 去微博评论 +

【经验分享】adb查看APP的版本号
adb shell dumpsys package ctrip.android.view|grep versionName ​​​

• 

阅读全文 + 去微博评论 +

【经验分享】使用VNC远程连接KVM虚拟机，鼠标不同步而且偏移很大（想砸掉鼠标冲动的那种）问题解决：
（1）编辑虚拟机配置文件，例如sudo virsh edit win10_1，然后将<input type="mouse" bus="ps2" />修改为<input type="tablet" bus="usb" /> 。
（2）强制关闭虚拟机win10_1然后重启，问题解决。

阅读全文 + 去微博评论 +

【经验分享】QEMU/KVM如何修改开机启动顺序？
virsh edit name-of-vm-instance
如下示例：

 <os>
    <type arch='x86_64' machine='pc-i440fx-xenial'>hvm</type>
    <boot dev="network"></boot>
    <boot dev="cdrom"></boot>
    <boot dev="hd"></boot>
    <bootmenu enable='yes'/>
  </os>

bootmenu的enable设置为yes，就可以在启动的时候按F12选择启动设备。

• 
 

阅读全文 + 去微博评论 +

【经验分享】Frida里Java.choose找到某个类的实例，在调用该实例方法时出现“script should be invoke on MainThread”问题的解决：

// Assign the javascript code to a variable.
jsCode = """
// Create a method called Cheese that will be exported.
function Cheese()
{
// Perform the code from injected context.
Java.perform(function ()
{
// Variable to store the view representing the button
// to click programmatically.
var view;
// Define the Runnable type javascript wrapper.
var Runnable = Java.use("java.lang.Runnable");

// Find the MainActivity class in myApp.
Java.choose("com.example.myApp.MainActivity",
{
// Once it has been found execute the following code.
onMatch: function(instance)
{
// Get the view representing button to click.
// 2131436712 id derived from decompiling app.
view = instance.findViewById(2131436712);
// Define a new class that implements Runnable and provide
// the implementation of the run() method which, will
// execute from the Main thread.
const MyRunnable = Java.registerClass({
name:'com.example.MyRunnable',
implements: [Runnable],
methods: {
// run executes button click.
run(){
instance.onClick(view);
},
}
});

// Create an instance of the class just created.
var MyGuiUpdate = MyRunnable .$new();
// Schedule the run method in MyGuiUpdate to
// execute on the UI thread.
instance.runOnUiThread(MyGuiUpdate );

},
onComplete:function(){}
});
解决方法来源：https://stackoverflow.com/questions/65790594/calling-an-api-to-modify-an-apps-gui-from-non-main-thread-in-frida

阅读全文 + 去微博评论 +

【经验分享】Frida script中如何给Java的Long类型变量赋值？
例如，某Java类中有如下Long类型变量定义：
/* renamed from: e */
public Long f90137e;

尝试修改e的值，依次做如下测试：
（1）classObj.e.value = 1978705204; 会报"Error: Expected value compatible with java.lang.Long"错误。
（2）classObj.e.value = Java.use('java.lang.Long').parseLong.overload('java.lang.String').call(Java.use('java.lang.Long'), "1978705204");依然会报上述错误。
（3）这个方法可以成功赋值：classObj.e.value = Java.use('java.lang.Long').$new(1978705204);

阅读全文 + 去微博评论 +

【经验分享】miller使用filter查询条件，当遇到字段含有空格或者其它特殊字符时怎么处理？如下示例中某个字段含有点号，直接查询会报错。解决方法如下：

示例：mlr --icsv --oxtab --from mouser_products_202312.csv filter '${Mfr.}=~"TDK" || ${Brand}=~"TDK"' then count

使用Pandas时，也有类似问题，解决方法：
df[df['Brand'].str.contains("TDK")|df['Mfr.'].str.contains("TDK")]
另外，Stackoverflow（https://stackoverflow.com/questions/50697536/pandas-query-function-not-working-with-spaces-in-column-names）上有人说可以用`字段`将字段包裹起来，例如：a.query('`a b` == 5') ，但是需要Pandas是0.25版本，我机器上是0.24.2，测试没有效果。

阅读全文 + 去微博评论 +

【经验分享】今天本地windows系统adb shell突然报错"error: unknown host service"，尝试"adb kill-server"、甚至重启PC和手机均不起作用。后来网上查了下，说是PC端adb的后台服务进程的5037端口被其它程序占用了。

解决方法：使用netstat -ano找到并关闭占有者进程，问题解决。 ​​​

• 

阅读全文 + 去微博评论 +

【经验分享】PPPOE认证返回“User Locked”，可能是因为MAC被拉黑了，换一个就好了。 ​​​

阅读全文 + 去微博评论 +