1
2
3
4

# 查看 OAT 文件
adb shell ls /data/dalvik-cache/arm64/
# 使用 oatdump 分析
oatdump --oat-file=/data/dalvik-cache/arm64/system@app@SomeApp@SomeApp.apk@classes.dex

1
2
3
4
5
6

# 查看 SELinux 状态
adb shell getenforce
# 输出: Enforcing

# 查看 SELinux 策略
adb shell ls -la /sys/fs/selinux/

1
2
3
4
5
6

// 运行时权限检查代码（逆向分析中常见的 hook 目标）
if (ContextCompat.checkSelfPermission(this, Manifest.permission.READ_PHONE_STATE)
        != PackageManager.PERMISSION_GRANTED) {
    ActivityCompat.requestPermissions(this,
        new String[]{Manifest.permission.READ_PHONE_STATE}, REQUEST_CODE);
}

1
2
3
4
5
6
7
8

// Frida 绕过运行时权限检查
Java.perform(function() {
    var ContextCompat = Java.use('androidx.core.content.ContextCompat');
    ContextCompat.checkSelfPermission.implementation = function(context, permission) {
        console.log('[*] checkSelfPermission: ' + permission);
        return 0; // PERMISSION_GRANTED
    };
});

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

// Frida hook KeyStore 操作
Java.perform(function() {
    var Cipher = Java.use('javax.crypto.Cipher');
    Cipher.doFinal.overload('[B').implementation = function(input) {
        console.log('[*] Cipher.doFinal input: ' + bytesToHex(input));
        var result = this.doFinal(input);
        console.log('[*] Cipher.doFinal output: ' + bytesToHex(result));
        return result;
    };
});

1
2
3
4
5
6
7
8
9

<!-- 应用的默认行为 (targetSdkVersion >= 24) -->
<network-security-config>
    <base-config>
        <trust-anchors>
            <certificates src="system"/>
            <!-- 注意：没有 user 证书源 -->
        </trust-anchors>
    </base-config>
</network-security-config>

1
2
3
4
5
6
7
8
9

<!-- network_security_config.xml -->
<network-security-config>
    <base-config>
        <trust-anchors>
            <certificates src="system"/>
            <certificates src="user"/>
        </trust-anchors>
    </base-config>
</network-security-config>

1
2
3

<application
    android:networkSecurityConfig="@xml/network_security_config"
    ...>

1
2
3
4
5
6
7
8
9

# 1. 安装 Magisk (确保版本 24+)
# 2. 安装 MagiskTrustUserCerts 模块
# 模块地址: https://github.com/NVISOsecurity/MagiskTrustUserCerts

# 安装用户证书后，模块会自动将其复制到 /system/etc/security/cacerts/
# 重启设备生效

# 验证证书是否在系统目录
adb shell ls /system/etc/security/cacerts/ | grep -i "hash"

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29

// Frida SSL Pinning Bypass (通用版)
Java.perform(function() {
    // 绕过 TrustManager
    var TrustManagerImpl = Java.use('com.android.org.conscrypt.TrustManagerImpl');
    TrustManagerImpl.verifyChain.implementation = function(untrustedChain,
        trustAnchorChain, host, clientAuth, ocspData, tlsSctData) {
        console.log('[*] SSL Pinning Bypass: ' + host);
        return untrustedChain;
    };

    // 绕过 OkHttp CertificatePinner
    try {
        var CertificatePinner = Java.use('okhttp3.CertificatePinner');
        CertificatePinner.check.overload('java.lang.String', 'java.util.List')
            .implementation = function(hostname, peerCertificates) {
            console.log('[*] OkHttp SSL Pinning Bypass: ' + hostname);
            return;
        };
    } catch (e) {
        console.log('[*] OkHttp not found, skipping...');
    }

    // 绕过 WebView SSL 错误
    var WebViewClient = Java.use('android.webkit.WebViewClient');
    WebViewClient.onReceivedSslError.implementation = function(view, handler, error) {
        console.log('[*] WebView SSL Error Bypass');
        handler.proceed();
    };
});

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

# namespace 隔离示意
┌──────────────────────────────────────────┐
│            Android 7.0+ Linker           │
├──────────────────────────────────────────┤
│                                          │
│  ┌────────────┐    ┌────────────┐        │
│  │  default    │    │  classloader│       │
│  │  namespace  │    │  namespace  │       │
│  ├────────────┤    ├────────────┤        │
│  │ /system/lib│    │ /data/app/ │        │
│  │ /vendor/lib│    │ app的SO    │        │
│  └────────────┘    └────────────┘        │
│       ↕ 受限访问                          │
└──────────────────────────────────────────┘

1
2
3
4
5
6
7

# 使用 apksigner 进行 v2 签名
apksigner sign --ks my-key.jks --ks-key-alias mykey \
    --v1-signing-enabled true --v2-signing-enabled true \
    modified.apk

# 验证签名
apksigner verify --verbose modified.apk

1
2
3
4
5
6
7

应用首次安装 → 全部解释执行/JIT
       ↓
   收集运行时 Profile
       ↓
   设备空闲时执行 AOT 编译（仅热点代码）
       ↓
   后续运行: 热点代码 AOT 执行 + 冷代码 JIT/解释执行

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

┌──────────────────────────────────────────────┐
│                Android 8.0+ 架构              │
├──────────────────────────────────────────────┤
│                                              │
│  ┌──────────┐  ┌──────────┐                  │
│  │ Framework │  │   Apps   │  ← system 分区   │
│  └────┬─────┘  └──────────┘                  │
│       │ HIDL                                 │
│  ┌────┴─────┐                                │
│  │  Vendor  │  ← vendor 分区                  │
│  │  HAL     │                                │
│  └──────────┘                                │
│                                              │
└──────────────────────────────────────────────┘

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# System SO 路径
/system/lib64/     # 框架层 SO
/system/lib64/hw/  # System HAL 库

# Vendor SO 路径
/vendor/lib64/     # 厂商 SO
/vendor/lib64/hw/  # Vendor HAL 库

# 查看 SO 所在分区
adb shell ls -la /system/lib64/ | head -20
adb shell ls -la /vendor/lib64/ | head -20

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# 查找特定 SO 在哪个分区
adb shell find /system /vendor /product /apex -name "libtarget.so" 2>/dev/null

# 查看 SO 的链接依赖
adb shell readelf -d /vendor/lib64/libtarget.so | grep NEEDED

# 查看 vendor namespace 中可见的库
adb shell cat /system/etc/ld.config.txt | grep -A 10 "\[vendor\]"

# 列出 HIDL 服务
adb shell lshal

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18

// 通过双重反射绕过 Hidden API 限制
// 原理: 系统检查的是"调用者"的身份, 双重反射让"调用者"变成系统自己
Method forName = Class.class.getDeclaredMethod("forName", String.class);
Method getDeclaredMethod = Class.class.getDeclaredMethod(
    "getDeclaredMethod", String.class, Class[].class);

// 通过双重反射获取 VMRuntime
Class<?> vmRuntime = (Class<?>) forName.invoke(null, "dalvik.system.VMRuntime");
Method setHiddenApiExemptions = (Method) getDeclaredMethod.invoke(
    vmRuntime, "setHiddenApiExemptions", new Class[]{String[].class});

// 获取 VMRuntime 实例并设置豁免
Method getRuntime = (Method) getDeclaredMethod.invoke(
    vmRuntime, "getRuntime", new Class[0]);
Object runtime = getRuntime.invoke(null);

// 豁免所有隐藏 API（传入 "L" 表示所有以 L 开头的签名，即所有类）
setHiddenApiExemptions.invoke(runtime, new Object[]{new String[]{"L"}});

1
2
3
4
5
6
7

// Frida 绕过 Hidden API 限制
Java.perform(function() {
    var VMRuntime = Java.use('dalvik.system.VMRuntime');
    var runtime = VMRuntime.getRuntime();
    runtime.setHiddenApiExemptions(['L']);
    console.log('[*] Hidden API restrictions bypassed');
});

1
2
3
4
5
6

# 开发/测试环境下可直接通过 adb 关闭限制
adb shell settings put global hidden_api_policy 1
# 0 = 不检测 (disable)
# 1 = 仅警告 (just warn)
# 2 = 不允许 dark greylist
# 3 = 不允许所有非 SDK API

1
2
3
4
5
6
7
8
9

<!-- 允许明文流量（逆向测试环境配置） -->
<network-security-config>
    <base-config cleartextTrafficPermitted="true">
        <trust-anchors>
            <certificates src="system"/>
            <certificates src="user"/>
        </trust-anchors>
    </base-config>
</network-security-config>

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

// Frida 中动态获取 SO 基址
var base = Module.findBaseAddress('libtarget.so');
console.log('[*] libtarget.so base: ' + base);

// 基于偏移 hook
var targetFunc = base.add(0x1234);
Interceptor.attach(targetFunc, {
    onEnter: function(args) {
        console.log('[*] targetFunc called');
    }
});

1
2
3
4
5
6
7
8

// Frida 在 Scoped Storage 环境下保存文件
Java.perform(function() {
    var context = Java.use('android.app.ActivityThread')
        .currentApplication().getApplicationContext();
    var filesDir = context.getFilesDir().getAbsolutePath();
    console.log('[*] 可写目录: ' + filesDir);
    // 文件操作使用 filesDir 作为基础路径
});

1
2
3
4
5
6
7
8

# XOM 内存权限对比
传统 (Android 9 及更早):
  .text 段权限: r-x (可读可执行)
  可以直接通过 /proc/pid/mem 读取代码

Android 10+ (XOM 启用):
  .text 段权限: --x (仅执行)
  通过 /proc/pid/mem 读取 .text 段返回全零

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

# 绕过方法 1: 使用 ptrace (Frida 默认使用此方式)
# ptrace 系统调用不受 XOM 限制
# Frida 通过 ptrace attach 到目标进程后可以正常读取代码段

# 绕过方法 2: 通过 adb 禁用 XOM (需要 root)
# adb shell setprop debug.arm64.xom false
# 部分设备可能不支持此属性

# 绕过方法 3: 修改 ELF phdr 移除 XOM 标志
# 将 PF_X (仅执行) 改为 PF_R|PF_X (可读可执行)
# 需要修改 SO 文件的 Program Header

# 绕过方法 4: 利用 mmap 重新映射
# 在 Frida 脚本中重新映射代码段为可读

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

// Frida 检查 XOM 状态
function checkXOM(moduleName) {
    var module = Process.findModuleByName(moduleName);
    if (module) {
        Process.enumerateRanges('--x').forEach(function(range) {
            if (range.base.compare(module.base) >= 0 &&
                range.base.compare(module.base.add(module.size)) < 0) {
                console.log('[*] XOM 区域: ' + range.base + ' - '
                    + range.base.add(range.size)
                    + ' 权限: ' + range.protection);
            }
        });
    }
}

// 通过 Frida 读取 XOM 保护的代码段
function readXOMCode(address, size) {
    // Frida 通过 ptrace 可以绕过 XOM 限制
    try {
        var buf = Memory.readByteArray(address, size);
        console.log('[*] 成功读取 ' + size + ' 字节');
        return buf;
    } catch (e) {
        console.log('[-] 读取失败: ' + e);
        return null;
    }
}

1
2
3
4
5
6
7
8
9

<!-- AndroidManifest.xml 中声明需要查询的包 -->
<manifest>
    <queries>
        <package android:name="com.target.app"/>
    </queries>

    <!-- 或者请求完全的包可见性 -->
    <uses-permission android:name="android.permission.QUERY_ALL_PACKAGES"/>
</manifest>

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

// Frida 绕过包可见性限制
Java.perform(function() {
    var PackageManager = Java.use('android.app.ApplicationPackageManager');
    PackageManager.getInstalledPackages.overload('int').implementation = function(flags) {
        // 通过调用系统服务直接获取完整列表
        console.log('[*] getInstalledPackages called with flags: ' + flags);
        var result = this.getInstalledPackages(flags);
        console.log('[*] Returned ' + result.size() + ' packages');
        return result;
    };
});

1
2
3
4
5
6

# 查看 ART 模块版本
adb shell pm list packages | grep com.google.android.art
adb shell dumpsys package com.google.android.art | grep version

# 查看 ART apex 信息
adb shell ls -la /apex/com.android.art/

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

# 方法 1: 使用 Magisk 修改 ro.debuggable 属性
# 在 Magisk 的 post-fs-data.sh 中添加:
resetprop ro.debuggable 1

# 方法 2: 重打包 APK 启用 debuggable
# 在 AndroidManifest.xml 中添加:
# android:debuggable="true"

# 方法 3: 使用 Frida 直接注入（不需要 debuggable）
frida -U -f com.target.app -l hook.js --no-pause

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

// Frida 绕过 debuggable 检查
Java.perform(function() {
    var ApplicationInfo = Java.use('android.content.pm.ApplicationInfo');
    var GET_META_DATA = 128;

    // 一些应用会检查自身是否为 debuggable
    var PackageManager = Java.use('android.app.ApplicationPackageManager');
    PackageManager.getApplicationInfo.overload('java.lang.String', 'int')
        .implementation = function(packageName, flags) {
        var info = this.getApplicationInfo(packageName, flags);
        // 移除 FLAG_DEBUGGABLE 标志，防止反调试检测
        info.flags.value = info.flags.value & ~2; // FLAG_DEBUGGABLE = 0x2
        return info;
    };
});

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

# 测试 deep link（不受 Intent Filter 验证限制）
adb shell am start -a android.intent.action.VIEW \
    -d "https://example.com/deeplink?param=value" \
    com.target.app

# 查看应用的 Intent Filter 验证状态
adb shell pm get-app-links com.target.app

# 手动重置验证状态
adb shell pm set-app-links --package com.target.app 0 all

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

# 4KB 页面 (传统): .text 段对齐到 0x1000 (4096)
# 16KB 页面 (Android 14+): .text 段对齐到 0x4000 (16384)

# 分析工具需要适配新的对齐方式
# 使用 readelf 检查段对齐:
readelf -l libtarget.so | grep LOAD

# 4KB 页面设备的典型输出:
# LOAD  0x000000 0x00000000 0x00000000 0x01234 0x01234 R   0x1000
# LOAD  0x001000 0x00001000 0x00001000 0x05678 0x05678 R E 0x1000

# 16KB 页面设备的典型输出:
# LOAD  0x000000 0x00000000 0x00000000 0x01234 0x01234 R   0x4000
# LOAD  0x004000 0x00004000 0x00004000 0x05678 0x05678 R E 0x4000

1
2
3
4
5
6
7

# 查看设备页面大小
adb shell getconf PAGE_SIZE
# 输出 4096 或 16384

# 检查 SO 是否兼容 16KB 页面
# 如果 LOAD 段的 p_align 小于 0x4000，可能不兼容
readelf -l libtarget.so | grep -E "LOAD|Align"

1
2
3
4

# 查看 APK 的 minSdkVersion
aapt2 dump badging target.apk | grep sdkVersion
# 或
apktool d target.apk && grep minSdkVersion target/apktool.yml

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19

# 检查 SO 是否兼容 16KB 页面
# 需要所有 LOAD 段的 p_align >= 0x4000
check_16kb_compat() {
    local so_file=$1
    readelf -l "$so_file" 2>/dev/null | grep "LOAD" | while read line; do
        align=$(echo "$line" | awk '{print $NF}')
        if [ "$align" != "0x4000" ] && [ "$align" != "0x10000" ]; then
            echo "[-] $so_file: 不兼容 16KB 页面 (align=$align)"
            return 1
        fi
    done
    echo "[+] $so_file: 兼容 16KB 页面"
}

# 批量检查应用中的所有 SO
for so in $(unzip -l target.apk | grep "\.so$" | awk '{print $4}'); do
    unzip -o target.apk "$so" -d /tmp/check_so/
    check_16kb_compat "/tmp/check_so/$so"
done

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

# MTE 指针格式
指针值:    0x0B00007F12345678
              ^^
              ||-- 4-bit memory tag (值: 0x0B)
              |
           高位字节中的标签

# 内存布局:
地址:     0x7F12345670  0x7F12345680  0x7F12345690
标签:        [0B]           [0B]           [03]
             ↑ 匹配          ↑ 匹配         ↑ 不匹配 → 触发异常

# 影响所有基于指针的分析:
# 1. 读取指针值时需要 mask 掉 tag bits
# 2. 构造指针时需要设置正确的 tag
# 3. 内存扫描需要考虑 tagged pointer

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21

// Frida 中处理 MTE tagged pointer
function untagPointer(ptr) {
    // 移除高字节中的 MTE tag
    // ARM64 的 TBI (Top Byte Ignore) 允许高字节存储 tag
    var mask = ptr_size === 8
        ? ptr('0x00FFFFFFFFFFFFFF')
        : ptr('0xFFFFFFFF');
    return ptr.and(mask);
}

// 使用示例
Interceptor.attach(targetAddr, {
    onEnter: function(args) {
        var rawPtr = args[0];
        var cleanPtr = untagPointer(rawPtr);
        console.log('[*] Raw pointer: ' + rawPtr);
        console.log('[*] Clean pointer: ' + cleanPtr);
        console.log('[*] MTE tag: 0x' +
            rawPtr.shr(56).and(0xF).toString(16));
    }
});

1
2
3
4
5
6

# 推荐的工具最低版本（截至 2025 年）
Frida:      >= 16.x     # 支持 Android 14/15 新特性
Magisk:     >= 26.x     # Zygisk 架构稳定版
LSPosed:    >= 1.9.x    # 最新 Zygisk 模块版本
apktool:    >= 2.9.x    # 支持新资源格式
objection:  >= 1.11.x   # 基于最新 Frida

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

APK (ZIP 格式)
├── classes.dex          ← 签名覆盖
├── resources.arsc       ← 签名覆盖
├── res/                 ← 签名覆盖
├── lib/                 ← 签名覆盖
├── META-INF/
│   ├── MANIFEST.MF      ← 各文件 SHA 摘要
│   ├── CERT.SF          ← MANIFEST.MF 的签名
│   └── CERT.RSA         ← 证书 + 签名
└── assets/              ← 签名覆盖

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

APK 文件结构 (v2 签名):
┌──────────────────────┐
│   ZIP 内容区          │  ← 签名保护区域 1
├──────────────────────┤
│   APK Signing Block  │  ← 包含 v2 签名数据
├──────────────────────┤
│   中央目录            │  ← 签名保护区域 2
├──────────────────────┤
│   中央目录结尾        │  ← 签名保护区域 3
└──────────────────────┘

1
2

Signing Block 中的证书链:
  旧证书 A → 新证书 B → 当前证书 C

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23

# 1. 反编译
apktool d -r target.apk -o target_dir/  # -r 不解码资源（加速）

# 2. 修改代码/资源
# ... 修改 smali 代码 ...

# 3. 重新打包
apktool b target_dir/ -o modified_unsigned.apk

# 4. 对齐
zipalign -v 4 modified_unsigned.apk modified_aligned.apk

# 5. 签名（支持 v1+v2+v3）
apksigner sign \
    --ks my-release-key.jks \
    --ks-key-alias my-alias \
    --v1-signing-enabled true \
    --v2-signing-enabled true \
    --v3-signing-enabled true \
    modified_aligned.apk

# 6. 验证签名
apksigner verify --verbose --print-certs modified_aligned.apk

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

// 部分应用会在运行时校验签名，需要 hook 绕过
Java.perform(function() {
    // 方法 1: Hook PackageManager.getPackageInfo 替换签名
    var PackageManager = Java.use('android.app.ApplicationPackageManager');
    PackageManager.getPackageInfo.overload('java.lang.String', 'int')
        .implementation = function(packageName, flags) {
        // GET_SIGNATURES = 64, GET_SIGNING_CERTIFICATES = 0x08000000
        if ((flags & 64) !== 0 || (flags & 0x08000000) !== 0) {
            console.log('[*] Signature check intercepted for: ' + packageName);
        }
        return this.getPackageInfo(packageName, flags);
    };

    // 方法 2: 直接修改签名数据
    // 在内存中替换为原始签名的 byte array
});

1
2
3
4
5
6
7

Android 4.4     Android 5.0     Android 7.0      Android 12    Android 14+
    │               │               │                │             │
    ▼               ▼               ▼                ▼             ▼
  Dalvik         ART (AOT)    ART (AOT+JIT)    ART Mainline   ART + 16KB
  JIT 编译       纯 AOT 编译   混合编译          模块化更新      页面适配
                 dex2oat       Profile-Guided    独立 APEX
                               Compilation

1

DEX 字节码 → Dalvik VM 解释执行 → 热点代码 JIT 编译 → 缓存本地代码

1
2

安装时: DEX → dex2oat → OAT 文件（完整 AOT 编译）
运行时: 直接执行 OAT 中的本地机器码

1
2
3
4
5
6

安装时: DEX → 仅验证（不编译或仅编译关键路径）
首次运行: 解释执行 + JIT 编译热点代码
       → 生成 Profile 文件（.prof）
设备空闲: Profile-Guided AOT 编译
       → 仅编译 Profile 中标记的热点方法
后续运行: 热点代码 AOT 执行 + 冷代码解释/JIT

1
2
3
4
5
6
7

# 查看应用的 Profile 文件
adb shell ls -la /data/misc/profiles/cur/0/com.target.app/

# 查看编译状态
adb shell cmd package compile -m speed -f com.target.app  # 强制 AOT 编译
adb shell cmd package compile -m verify com.target.app     # 仅验证
adb shell cmd package compile --reset com.target.app       # 重置编译

1
2
3
4

APK 中的 assets/dexopt/baseline.prof
  → 安装时 ART 读取 Profile
  → AOT 编译 Profile 中标记的方法
  → 首次启动即有优化代码可用

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

// Frida DEX Dump (适用于所有 ART 版本)
// 原理: 从 ClassLoader 中获取 DexFile 对象，读取其内存中的 DEX 数据
Java.perform(function() {
    Java.enumerateClassLoaders({
        onMatch: function(loader) {
            try {
                var dexFiles = loader.findClass('java.lang.Object')
                    .getClassLoader().getClass()
                    .getSuperclass().getDeclaredField('pathList');
                dexFiles.setAccessible(true);
                // ... 遍历 DexPathList 获取 DEX 数据
            } catch(e) {}
        },
        onComplete: function() {}
    });
});

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

// Hook 时需要考虑方法的编译状态
// AOT 编译的方法: entry_point 指向 OAT 中的本地代码
// JIT 编译的方法: entry_point 指向 JIT 代码缓存
// 解释执行的方法: entry_point 指向解释器入口

// Frida 通过替换 ArtMethod 的 entry_point 实现 hook
// 这在所有编译状态下都有效
Java.perform(function() {
    var targetClass = Java.use('com.target.app.Crypto');
    targetClass.encrypt.implementation = function(data) {
        console.log('[*] encrypt called: ' + data);
        var result = this.encrypt(data);
        console.log('[*] encrypt result: ' + result);
        return result;
    };
});

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

// ArtMethod 结构 (简化版, 偏移因版本而异)
struct ArtMethod {
    uint32_t declaring_class_;      // GcRoot<Class>
    uint32_t access_flags_;
    uint32_t dex_code_item_offset_;
    uint32_t dex_method_index_;
    // ...
    void* entry_point_from_quick_compiled_code_;  // hook 目标
    void* data_;
};

1
2

# 使用 Frida 获取 ArtMethod 偏移信息
# 参考 frida-java-bridge 源码中的 art.js

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24

┌─────────────────────────────────────────────────────┐
│                 Linker Namespace 架构                │
├─────────────────────────────────────────────────────┤
│                                                     │
│  ┌────────────────┐   ┌────────────────┐            │
│  │  default (系统)  │   │  classloader-  │           │
│  │  namespace      │   │  namespace     │           │
│  ├────────────────┤   ├────────────────┤            │
│  │ libandroid.so  │   │ app 的 JNI SO  │           │
│  │ libc.so        │   │ (lib/*.so)     │           │
│  │ libm.so        │   └───────┬────────┘           │
│  │ liblog.so      │           │                     │
│  │ ...            │←──── 只能 dlopen ────────       │
│  └────────────────┘     公开的 NDK 库               │
│                                                     │
│  ┌────────────────┐   ┌────────────────┐            │
│  │  vendor         │   │  vndk           │          │
│  │  namespace      │   │  namespace      │          │
│  ├────────────────┤   ├────────────────┤            │
│  │ vendor HAL SO  │   │ VNDK 共享库     │           │
│  │ /vendor/lib64/ │   │ /apex/vndk/    │           │
│  └────────────────┘   └────────────────┘            │
│                                                     │
└─────────────────────────────────────────────────────┘

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19

# Android 7.0-11: 静态配置文件
adb shell cat /system/etc/ld.config.txt

# Android 12+: 动态生成的配置
adb shell cat /linkerconfig/ld.config.txt

# 查看配置中的 namespace 定义
adb shell cat /linkerconfig/ld.config.txt | grep -E "^\[|^namespace\."

# 典型输出示例:
# [system]
# namespace.default.isolated = true
# namespace.default.search.paths = /system/lib64:/apex/com.android.art/lib64
# namespace.default.permitted.paths = /system/lib64:/apex/...
# namespace.default.asan.search.paths = ...
#
# [vendor]
# namespace.default.isolated = true
# namespace.default.search.paths = /vendor/lib64

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

// Frida 中绕过 namespace 限制加载系统私有 SO
// 方法 1: 使用 Process.dlopen (Frida 内部实现绕过)
var handle = Module.load('/system/lib64/libinput.so');
console.log('[*] Loaded: ' + handle);

// 方法 2: 使用 android_dlopen_ext 指定 namespace
var android_dlopen_ext = new NativeFunction(
    Module.findExportByName('libdl.so', 'android_dlopen_ext'),
    'pointer', ['pointer', 'int', 'pointer']
);

// 方法 3: 通过 linker 内部函数直接操作 namespace
// 需要找到 linker 中的 do_dlopen 函数并 hook

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

# 在 16KB 页面设备上，linker 对段对齐有严格要求
# SO 的 LOAD 段必须按 max(p_align, page_size) 对齐

# 如果 SO 的 p_align = 0x1000 但设备 page_size = 0x4000:
# linker 会尝试 compat 模式加载（可能失败）
# 或者直接拒绝加载

# 使用 NDK r27+ 重新编译 SO 以确保兼容:
# CMakeLists.txt 中添加:
# set(CMAKE_SHARED_LINKER_FLAGS "${CMAKE_SHARED_LINKER_FLAGS} -Wl,-z,max-page-size=16384")

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

# 1. 基础信息收集
echo "=== Android 版本 ==="
adb shell getprop ro.build.version.release
adb shell getprop ro.build.version.sdk

echo "=== 安全补丁 ==="
adb shell getprop ro.build.version.security_patch

echo "=== 设备架构 ==="
adb shell getprop ro.product.cpu.abi

echo "=== SELinux 状态 ==="
adb shell getenforce

echo "=== Root 状态 ==="
adb shell su -c "id" 2>/dev/null || echo "未 root"

echo "=== 页面大小 ==="
adb shell getconf PAGE_SIZE

echo "=== Magisk 版本 ==="
adb shell su -c "magisk -v" 2>/dev/null || echo "无 Magisk"

echo "=== Kernel 版本 ==="
adb shell uname -r

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21

                    ┌─────────────────┐
                    │  确认 Android 版本  │
                    └────────┬────────┘
                             │
              ┌──────────────┼──────────────┐
              ▼              ▼              ▼
        Android 5-6     Android 7-9    Android 10+
              │              │              │
              ▼              ▼              ▼
        传统方案即可     需要处理:        需要处理:
        ・直接抓包      ・证书信任       ・XOM 绕过
        ・原版 Xposed   ・namespace     ・Scoped Storage
        ・简单重打包    ・Hidden API     ・16KB 页面 (14+)
                        ・v2 签名        ・MTE (15)
                             │              │
                             ▼              ▼
                        工具选择:        工具选择:
                        ・Frida         ・Frida (最新版)
                        ・LSPosed       ・LSPosed + Zygisk
                        ・Magisk        ・Magisk 26+
                        ・apktool       ・apktool 2.9+

1
2
3
4
5
6
7
8
9

# 抓包: 直接安装证书即可
# 安装代理证书
adb push burp-cert.pem /sdcard/
# 设备上: 设置 → 安全 → 从存储安装证书

# Hook: Xposed 或 Frida 均可
# 安装 Xposed Framework (5.0-6.0 最后的稳定版)
# 或使用 Frida
frida -U -f com.target.app -l hook.js

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

# 抓包: 需要处理证书信任
# 方案 A: 重打包添加网络安全配置
apktool d target.apk -o target_dir/
# 编辑 network_security_config.xml (信任用户证书)
apktool b target_dir/ -o modified.apk
apksigner sign --ks key.jks modified.apk

# 方案 B: Magisk + MoveCert 模块 (推荐)
# 安装 Magisk → 安装 MagiskTrustUserCerts 模块 → 重启

# Hook: 使用 Frida + LSPosed
# Hidden API 绕过 (Android 9.0):
adb shell settings put global hidden_api_policy 1

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

# 抓包: Magisk + MoveCert (必须)
# + Frida SSL Pinning Bypass (如果应用使用 Certificate Pinning)

# Hook: Frida (最新版) + Magisk (24+)
# 注意 XOM: Frida 默认通过 ptrace 绕过，通常无需额外处理
# 注意 Scoped Storage: dump 文件使用应用私有目录

# 调试: 使用 Frida 而非 JDWP
# Android 12 的调试限制使 JDWP 更难用
frida -U -f com.target.app -l hook.js --no-pause

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

# 抓包: Magisk + MoveCert + Frida SSL Bypass (完整方案)

# Hook: Frida 16.x + Magisk 26.x + LSPosed (Zygisk)
# 确认设备页面大小
adb shell getconf PAGE_SIZE

# 如果是 16KB 页面设备，注意:
# - 自定义 SO 注入可能因对齐问题失败
# - 使用 NDK r27+ 编译注入用的 SO

# MTE 检查 (Android 15):
adb shell cat /proc/cpuinfo | grep -i mte
# 如果设备支持 MTE，分析内存时需要 mask 指针 tag