1. 项目概述为什么说这是“终极组合”在移动安全和逆向工程这个行当里单打独斗的工具往往力不从心。你可能会用 radare2 来静态分析一个 APK 的 so 库理清了函数调用链但面对运行时才加载的 Dex 字节码或者复杂的混淆、反调试机制静态分析就像隔靴搔痒。同样Frida 的 Hook 能力天下无双能让你在应用运行时为所欲为但如果你连要 Hook 的函数地址或符号都找不到那就像拿着一把万能钥匙却不知道门在哪儿。我干了十多年移动安全从早期的 IDA Pro 加 GDB 调试到后来各种动态插桩框架踩过的坑不计其数。直到我把 radare2 和 Frida 这两个看似不同赛道的工具深度整合起来用才真正体会到什么叫“动态分析的终极形态”。这个组合绝不是简单的 112而是产生了奇妙的化学反应让你在分析复杂、对抗性强的目标时效率提升不止一个数量级。简单来说radare2 是你的“眼睛”和“地图”它负责在静态层面为你提供详尽的分析、反汇编、交叉引用和结构体信息。而 Frida 是你的“手”和“遥控器”它允许你在程序运行时精准地注入代码、修改逻辑、拦截数据。两者的结合意味着你可以在 radare2 中分析出关键点然后无缝地将这些信息转化为 Frida 的 Hook 脚本直接在运行时进行验证、追踪和干预。无论是分析一个加密算法、追踪一个网络请求的完整生命周期还是绕过某种运行时检测这个组合都能提供一套从静态侦察到动态攻防的完整工作流。接下来我就把这套我用了多年的“组合拳”的详细心法、实操步骤以及那些只有踩过坑才知道的细节毫无保留地分享出来。2. 环境准备与工具链搭建工欲善其事必先利其器。在开始我们的“强强联合”之前一个稳定、高效且配置得当的环境是基石。这里我不仅会列出必要的组件更会解释为什么选择它们以及如何避免在搭建初期就掉进坑里。2.1 核心工具安装与配置首先是我们的两位主角radare2 和 Frida。它们的安装看似简单但版本匹配和组件完整性至关重要。radare2 的安装与精髓我强烈建议从 GitHub 源码编译安装 radare2而不是使用某些包管理器提供的可能过时的版本。因为 radare2 的社区非常活跃新特性和对最新指令集、文件格式的支持会第一时间体现在主分支上。git clone https://github.com/radareorg/radare2.git cd radare2 sys/install.sh编译安装完成后不要仅仅满足于r2命令可用。radare2 的强大在于其丰富的插件和脚本生态系统。确保r2pmradare2 的包管理器初始化成功r2pm init。随后我通常会安装一些对移动分析至关重要的插件例如r2frida这是我们实现联合的关键桥梁和r2dec一个不错的反编译器可以作为 IDA 的补充。r2pm update r2pm install r2frida r2pm install r2dec注意在某些网络环境下r2pm init可能会失败。如果遇到问题可以尝试修改其源配置或者更直接地手动从 GitHub 下载对应的插件包放到正确的目录下。记住radare2 的插件通常位于~/.local/share/radare2/plugins或/usr/local/share/radare2/plugins。Frida 生态的搭建Frida 分为两部分桌面端的frida-toolsPython 包和设备端的frida-server可执行文件。在桌面端使用 pip 安装是最佳选择建议使用虚拟环境以避免依赖冲突pip install frida-tools设备端的frida-server选择则是一门学问。必须确保其版本与桌面端fridaPython 包的版本严格一致。你可以通过frida --version查看桌面端版本然后去 Frida 的 GitHub release 页面下载对应版本、对应设备架构的frida-server。例如对于一部 rooted 的 Android 手机ARM64架构你应该下载frida-server-xx.x.x-android-arm64.xz。将下载的frida-server解压后推送到设备并赋予执行权限adb push frida-server /data/local/tmp/ adb shell su cd /data/local/tmp chmod 755 frida-server ./frida-server 实操心得让frida-server在后台稳定运行是个小挑战。直接运行可能会因为会话结束而被终止。我常用的做法是使用nohupnohup ./frida-server /dev/null 21 。更持久的方式是将其做成一个init.d脚本或者 Magisk 模块但这需要更深入的设备权限。2.2 桥梁工具r2frida 的深度集成r2frida是这个组合的灵魂。它不是一个简单的连接器而是一个让 radare2 直接“附身”到 Frida 会话上的插件。安装后你可以通过 radare2 直接连接到一个正在被 Frida 注入的进程实现静态分析与动态上下文的无缝切换。连接方式通常有两种连接到一个已运行的 Frida 会话如果你已经用frida -U -f com.example.app --no-pause启动了应用并挂起那么在另一个终端你可以用r2 frida://attach/com.example.app连接上去。直接通过 r2 启动并连接这是更流畅的方式r2 frida://spawn/usb//com.example.app。这个命令会通过 USB 在设备上 spawn 这个应用并立即附加attach将控制权交给 radare2。当你成功连接后radare2 的提示符会变成[0x00000000]此时你所有的 r2 命令都将在目标进程的实时内存空间中执行。这意味着pd反汇编显示的是内存中的实际指令px打印十六进制查看的是实时内存数据s跳转地址跳转的是进程的虚拟地址。这种体验就像把 IDA 的静态视图和调试器的动态视图合二为一了。注意事项初次使用r2frida连接时可能会遇到一些符号解析或内存映射不完整的问题。这是因为初始连接时r2frida 只加载了部分模块信息。通常在执行e bin.demangletrue启用 demangle 后再使用il列出所有导入的库和is列出所有符号命令来刷新和加载符号信息分析体验会好很多。3. 核心工作流从静态发现到动态验证掌握了工具我们来解剖最核心的工作流。我将通过一个典型的场景——分析一个 Android Native 层so库中的加密函数——来演示这套组合拳如何打出。3.1 阶段一静态侦察与目标定位假设我们有一个目标 APK解压后在其lib/arm64-v8a目录下找到了libcrypto.so。首先我们用纯静态的 radare2 打开它进行初步分析。r2 -A ./libcrypto.so-A参数表示运行全部分析脚本包括自动分析代码、函数、字符串和引用。分析完成后我们进入交互模式。第一步寻找切入点加密函数常会调用系统或第三方库的加密相关函数如 OpenSSL 的AES_encrypt,EVP_*系列。我们可以用ii命令查看所有导入的函数或者用iz查看字符串寻找如 “AES”、“encrypt”、“key”、“iv” 等关键词。[0x00000000] iz~AES ... vaddr0x00012345 paddr0x00012345 ordinal000 sz12 len11 section.rodata typeascii stringAES_encrypt第二步分析交叉引用找到关键字符串或导入函数后使用axt分析交叉引用至命令查看哪里引用了它。这能帮我们定位到调用这些函数的上层函数。[0x00000000] axt 0x12345 (code) 0x56789 [DATA] mov w1, 0x12345 in sym.my_encryption_function第三步深入分析目标函数跳转到sym.my_encryption_function用pdf打印反汇编函数仔细分析其逻辑。radare2 的图形视图VV在这里非常有用可以快速理清函数的基本块和控制流。[0x00000000] s sym.my_encryption_function [0x00056789] VV在这个阶段我们已经能静态推断出函数大致的逻辑它可能接收明文、密钥、IV 作为参数然后调用AES_encrypt。但我们还不知道这些参数在运行时具体是什么值它们可能来自 Java 层、文件或网络。这就是静态分析的局限。3.2 阶段二动态注入与上下文获取现在启动目标应用并使用r2frida动态附加。我们直接附加到包名r2 frida://spawn/usb//com.example.targetapp附加成功后我们需要在内存中找到与我们静态分析的那个libcrypto.so对应的模块。由于 ASLR地址空间布局随机化其加载基址每次运行都不同。[0x00000000] il~libcrypto 0x7a12345000 - 0x7a12389000 r-x /data/app/~~.../lib/arm64/libcrypto.so太好了现在我们有了运行时基址0x7a12345000。我们之前在静态文件中分析出的sym.my_encryption_function的偏移量offset是0x56789。那么这个函数在运行时的实际虚拟地址VA就是基址 偏移量 0x7a12345000 0x56789 0x7a1239b789。我们可以直接跳转到这个地址查看确认是否和静态分析一致[0x00000000] s 0x7a1239b789 [0x7a1239b789] pdf此时看到的反汇编就是实实在在在内存中执行的代码。如果应用有代码自修改或动态解密这里看到的就是最终形态。3.3 阶段三使用 Frida 进行精准 Hook 与交互这是最精彩的部分。我们不需要离开 radare2 的终端去写一个单独的 Frida Python 脚本。r2frida允许我们直接执行 Frida 的 JavaScript API。首先在目标函数入口设置一个 Hook我们使用:frida命令前缀来执行 Frida 脚本。[0x7a1239b789] :frida var intercept true; Interceptor.attach(ptr(“0x7a1239b789”), { onEnter: function(args) { if (intercept) { console.log(“[] my_encryption_function called!”); console.log(“ arg0 (input buffer): “ args[0]); console.log(“ arg1 (key buffer): “ args[1]); // 将内存数据转换为十六进制字符串打印 var input Memory.readByteArray(args[0], 16); console.log(“ Input hex: “ Array.prototype.map.call(new Uint8Array(input), x (‘00’ x.toString(16)).slice(-2)).join(‘’)); } }, onLeave: function(retval) { if (intercept) { console.log(“ Return value: “ retval); } } });这个命令看起来复杂其实就是在当前 r2 会话中注入了一段 Frida JavaScript 代码。它使用Interceptor.attach钩住了我们计算出的函数地址。onEnter回调中我们打印了前两个参数假设它们是输入缓冲区和密钥缓冲区并读取了输入缓冲区的前16字节转为十六进制打印。onLeave中打印返回值。然后触发功能并观察在手机上操作应用触发那个加密功能。你会在 radare2 的终端里实时看到输出的日志[] my_encryption_function called! arg0 (input buffer): 0x7b8c3a1200 arg1 (key buffer): 0x7b8c3a1220 Input hex: 48656c6c6f20576f726c64210000 Return value: 0x1看我们成功捕获了运行时参数Input hex对应字符串 “Hello World!”。现在我们不仅知道了函数的逻辑还知道了它处理的具体数据。更进一步动态修改与交互Frida 的强大之处在于不仅能读还能写。假设我们想绕过这个加密或者测试一个不同的密钥。我们可以在onEnter回调中修改内存[0x7a1239b789] :frida Interceptor.attach(ptr(“0x7a1239b789”), { onEnter: function(args) { console.log(“Original key at: “ args[1]); var newKey [0x00, 0x11, 0x22, 0x33, 0x44, 0x55, 0x66, 0x77, 0x88, 0x99, 0xaa, 0xbb, 0xcc, 0xdd, 0xee, 0xff]; // 一个测试密钥 Memory.writeByteArray(args[1], newKey); console.log(“Key replaced!”); } });这段脚本会在每次函数被调用时将第二个参数指向的密钥替换成我们预设的newKey。这让我们能够动态地测试加密算法的行为或者实现某种破解。实操心得在r2frida中直接写复杂的多行 Frida 脚本可能比较麻烦。一个高效的工作流是在 radare2 中定位到关键地址并确认上下文然后将需要 Hook 的地址和参数信息记下来。接着使用一个外部编辑器编写完整的、带错误处理的 Frida JavaScript 脚本.js文件。最后在 radare2 中通过:frida .load /path/to/script.js命令加载并执行这个脚本。这样既保证了脚本的可维护性又利用了 r2 的动态上下文。4. 高级技巧与实战场景剖析掌握了基本工作流我们来看看一些更高级的场景和技巧这些才是体现这个组合威力的地方。4.1 场景一追踪复杂对象与 Java 层交互很多关键逻辑在 Java 层Native 层函数接收或返回的是复杂的 Java 对象如String,byte[], 自定义类。单纯 Hook Native 函数看到的可能只是一个JNIEnv*指针和一个jobject。技巧联合使用 Frida 的 Java API。在r2frida的脚本中你可以同时使用Interceptor用于 Native和Java用于 Java的 API。例如一个 Native 函数nativeProcessString(JNIEnv* env, jobject thiz, jstring input)// 在 r2frida 中执行 :frida var targetAddr ptr(“0x7a1239b789”); // 假设这是 nativeProcessString 地址 Interceptor.attach(targetAddr, { onEnter: function(args) { // args[2] 是 jstring 类型的参数 var javaString Java.vm.getEnv().getStringUtfChars(args[2], null); console.log(“[*] Java String arg: “ Memory.readCString(javaString)); // 如果需要调用Java方法可以先获取jobject对应的Java包装器 var javaThis Java.cast(args[1], Java.use(“com.example.TargetClass”)); console.log(“[*] Calling Java method from native hook…”); var result javaThis.someJavaMethod(); console.log(“ Result: “ result); } });这样你就打通了 Native 和 Java 的边界可以在一个 Hook 点同时操作两层逻辑对于分析 JNI 调用至关重要。4.2 场景二对抗反调试与代码混淆高级应用会使用各种反调试技术如检测ptrace、fopen(“/proc/self/status”)等和代码混淆控制流扁平化、指令替换。radare2 的应对对于混淆radare2 的af分析函数和ag生成图表命令结合图形视图VV可以帮助你慢慢理清混乱的控制流。其脚本功能#!pipe也可以将反汇编输出到外部反混淆工具进行处理。Frida 的应对反调试通常在初始化阶段完成。我们可以在应用启动早期frida -U -f com.example.app --no-pause或使用frida的spawn模式就注入我们的脚本去 Hook 那些常见的反调试函数如ptrace,fork,syscall并修改其返回值。例如绕过ptrace检测// 在应用启动时通过 r2frida 加载的脚本 :frida var ptracePtr Module.findExportByName(null, “ptrace”); if (ptracePtr) { Interceptor.replace(ptracePtr, new NativeCallback(function(request, pid, addr, data) { console.log(“[*] ptrace called with request: “ request); if (request 31) { // PTRACE_DENY_ATTACH 或其他检测码 console.log(“[] Anti-debug ptrace detected and bypassed!”); return 0; // 返回成功或无害值 } return 0; }, ‘int’, [‘int’, ‘int’, ‘pointer’, ‘pointer’])); }通过r2frida你可以在 radare2 的同一会话中先分析出反调试代码的位置比如在JNI_OnLoad或某个初始化函数里然后立即编写并注入上述绕过脚本实现“分析-对抗”的快速闭环。4.3 场景三自动化漏洞挖掘与模式识别对于批量分析或寻找特定模式如内存泄漏、栈溢出我们可以将 radare2 的分析能力脚本化并与 Frida 的动态监控结合。思路用 radare2 的脚本模式r2 -q -c ‘一些命令’ target.so批量提取所有调用strcpy、memcpy等危险函数的位置。然后生成一个 Frida 脚本模板自动 Hook 这些地址并在onEnter时检查参数长度如args[2]对于memcpy(dest, src, size)就是 size如果 size 超过目标缓冲区可能需要结合静态分析或猜测则打印警告。# 第一步用 radare2 脚本找出所有 memcpy 调用点 r2 -q -c ‘axt sym.imp.memcpy’ ./target.so | grep ‘code’ | awk ‘{print $2}’ memcpy_calls.txt # 第二步用脚本将地址列表转换为 Frida JS 脚本 # (假设我们已通过 r2frida 知道了 so 的运行时基址 RuntimeBase) cat hook_memcpy.js ‘EOF’ var base ptr(“0x7a12345000”); // 运行时基址 var calls [ // 从 memcpy_calls.txt 读取并计算出的运行时地址 base.add(0x1234), base.add(0x5678), // … ]; calls.forEach(function(addr) { Interceptor.attach(addr, { onEnter: function(args) { var size args[2].toInt32(); if (size 1024) { // 假设我们怀疑缓冲区大小为1024 console.log(“[!] Potential overflow at “ addr “, size: “ size); // 甚至可以在这里 dump 栈回溯 console.log(Thread.backtrace(this.context, Backtracer.ACCURATE).map(DebugSymbol.fromAddress).join(‘\n’)); } } }); }); EOF # 第三步在 r2frida 会话中加载这个脚本 :frida .load ./hook_memcpy.js这样就构建了一个从静态模式识别到动态行为监控的半自动化漏洞挖掘流程。5. 常见问题、排查技巧与性能考量即使工具链再强大在实际操作中也会遇到各种“坑”。下面是我总结的一些典型问题及解决方法。5.1 连接与稳定性问题问题现象可能原因排查与解决r2 frida://…连接超时或失败1.frida-server未在设备上运行。2. USB 连接不稳定或未授权。3. 设备上的 Frida 版本与桌面端不匹配。1.adb shell进入设备ps | grep frida确认进程存在或用./frida-server 重启。2. 执行adb devices确认设备已连接并授权。尝试重启 adb 服务adb kill-server adb start-server。3. 用frida --version和adb shell /data/local/tmp/frida-server --version严格核对版本号。连接成功但模块列表 (il) 为空1. 目标进程可能处于早期阶段尚未加载所有 so。2. r2frida 初始化问题。1. 确保应用已完全启动到主界面。对于 spawn 模式可以加-D延迟附加r2 frida://spawn/usb//com.example.app -D 3延迟3秒。2. 尝试在 r2 中执行e bin.demangletrue; e anal.timeout0然后重新运行il。Frida 脚本注入后导致应用崩溃1. Hook 了关键线程或函数导致死锁或状态异常。2. 脚本内有内存访问错误如访问空指针。3. 脚本逻辑错误如修改了不该改的寄存器或内存。1. 尝试 Hook 时使用onEnter和onLeave尽可能轻量避免复杂操作。对于 UI 线程相关的函数要格外小心。2. 在脚本中增加空指针检查if (!args[0]) { return; }。3. 使用:frida .unload卸载有问题的脚本。采用增量开发方式先写一个只打印日志的简单 Hook确认稳定后再增加复杂逻辑。5.2 分析与调试技巧地址转换是核心时刻牢记运行时虚拟地址 (VA) 模块加载基址 文件偏移量 (offset)。在 radare2 静态分析时左下角显示的是 offset。连接r2frida后左下角显示的是 VA。使用?v $s - module_base可以快速将当前选择的 VA 转换回文件偏移量便于对照静态分析结果。善用搜索在动态上下文中/命令依然强大。/x 11223344搜索内存中的字节序列/ libcrypto搜索字符串。这对于定位运行时才解密出来的字符串或代码片段非常有用。图形化分析辅助虽然r2frida会话中可以使用VV但对于非常复杂的函数动态分析时的渲染可能较慢。一个折中方案是在静态分析中用agf func.dot导出函数调用图用外部工具如 Graphviz查看宏观结构在动态调试时专注于具体的执行路径和参数。性能开销Frida 的 JavaScript 引擎注入和每个 Hook 点的拦截都会带来性能开销。如果 Hook 非常频繁的函数如每个循环都调用的函数可能会导致应用明显卡顿甚至崩溃。解决方案条件式 Hook在onEnter开始时判断特定条件如果不满足则快速返回。使用 NativeCallback 替换对于简单逻辑用Interceptor.replace完全替换函数比attach开销小。避免在 Hook 中执行阻塞操作如网络请求、大量文件 IO。5.3 脚本管理与工程化当分析大型应用时你可能会有几十个 Hook 点。在r2frida命令行里直接写会非常混乱。模块化脚本为不同的功能模块创建独立的.js文件例如hook_crypto.js,hook_network.js,anti_anti_debug.js。在 r2 中通过:frida .load依次加载。使用 Frida 的Script对象在 JS 脚本中可以利用Script对象来注册unload回调进行资源清理避免内存泄漏。var script { onDestroy: function() { console.log(“[*] Script unloaded, cleaning up hooks.”); // 这里可以尝试解除所有Interceptor但Frida通常会自动处理 } };日志管理Frida 的console.log默认输出到 r2 控制台。对于大量日志可以考虑重定向到文件或者使用send()函数将结构化数据发回给桌面端的 Frida Python 脚本进行处理但这需要回到独立的 Frida Python 环境。在r2frida内一个简单办法是利用 r2 的重定向命令但更常见的还是靠控制台过滤。这套radare2与Frida的组合将我个人的逆向分析效率提升到了一个全新的层次。它打破了过去静态分析与动态调试之间的壁垒让“分析-验证-修改”的循环变得极其快速和直观。从定位一个加密函数到 dump 出它的密钥从发现一个可疑的调用到验证其是否构成漏洞整个过程可以在一个连贯的思维流和工具流中完成。当然工具再强大也离不开扎实的汇编、系统原理和调试知识。这个组合只是给了你一把更锋利、更顺手的手术刀至于如何解剖目标还得靠你那双经验丰富的眼睛和清晰的分析思路。最后一个小建议多练习从简单的 CrackMe 开始逐步挑战更复杂的应用你会越来越依赖这套“终极组合”。