Frida Android逆向核心操作：三种注入模式与RPC调用实战

1. Frida与Android逆向工程核心思路与操作模式解构做Android逆向的朋友应该都绕不开Frida这个框架。它本质上是一个动态插桩工具能够在运行时对应用程序进行代码注入、函数Hook、参数修改和结果替换这是静态分析很难做到的事情。我最早接触Frida的时候市面上大多数教程都在讲怎么装环境、怎么跑一个脚本Demo但真正把它用明白的人其实不多。这篇内容打算从“操作模式”的视角切入带你完整梳理Frida在Android端的基础工作方式。这里得先说清楚一件事Frida虽然自带命令行工具和JavaScript引擎但真正决定它好用与否的是你是否理解它背后的几种运行模式。很多新人一上来就照着网上的命令敲结果一会儿报“unable to connect”一会儿又遇到脚本注入不进去根本原因就是没搞懂模式之间的差异。这篇内容适合以下几类人刚接触Android逆向、已经装好Frida但不知道下一步怎么用的新手对Frida有一定基础想系统梳理脚本附加、RPC调用、进程通信等概念的进阶学习者和开发者需要在移动端做自动化测试、接口监控、数据采集的测试工程师和安全研究人员。本文会用通俗的方式把核心原理讲透同时给出可以直接复制的命令和脚本。我们先把“模式”这个概念从底层拆开来看然后再逐步上手实操。2. Frida在Android端的三种工作模式附加、启动与注入Frida在Android上的工作方式不是单一路径它主要包含三种模式attach附加模式、spawn启动模式和注入器模式。这三种模式对应不同的应用场景掌握它们的区别是基础中的基础。2.1 attach附加模式针对已运行进程attach模式是最容易理解、也最适合入门的一种模式。它的工作流程是目标应用已经在系统里运行Frida客户端通过特定的端口和信号找到这个进程然后将自己编写的JavaScript脚本注入到目标进程内部执行。frida -U -f com.example.target -l hook.js注意-U表示连接USB设备-f表示启动一个新的应用进程实际上是spawn的效果-l指定脚本文件路径。attach模式的典型使用场景是应用已经打开、进程已经存在你不想重新启动它而是想直接在当前状态下注入代码。比如用户已经登录你想观察某个网络请求的调用链这时候用attach模式是最自然的选择。在Android端attach模式通常配合-U参数使用表示通过USB连接到设备上的Frida服务。Frida在Android设备上需要一个服务端程序即frida-server来接收来自PC端的指令并完成进程注入。设备的架构不同需选择对应的frida-server版本一般是arm64-v8a或armeabi-v7a。2.2 spawn启动模式从进程创建阶段开始注入spawn模式与attach模式最大的差异在于时机。spawn模式下Frida会先让应用进程暂停在启动阶段然后在主入口函数执行之前注入代码也就是说从应用进程诞生的那一刻起我们就能控制它的行为。这是对抗反调试、早期检测和动态加载逻辑的关键手段。frida -U -f com.example.target -l hook.js --no-pause这个--no-pause参数值得单独提一下。默认情况下spawn模式会在进程启动的早期暂停主线程等待你的脚本注入完成后才恢复执行。这样做的目的是让JS脚本有机会在应用早期代码运行前完成Hook的注册。如果你不加--no-pause有些应用可能会在启动流程中因线程停滞产生异常行为。实操中我的习惯是如果目标应用有加固壳、早期自检逻辑优先使用spawn模式如果是纯粹的运行时行为观察attach模式完全够用。很多新人容易把attach和spawn混为一谈看到命令里都有-f就以为是相同用法这是理解上最大的坑。2.3 注入模式与进程通信机制除了上述两种用户层面的模式Frida底层还通过注入器injector在目标进程中加载一个Agent组件这个Agent负责与Frida服务端进行通信。在实际使用中你不太需要手工干预这个注入过程但理解它背后的通信链条是有价值的PC端frida命令行或Python脚本通过USB或网络向Android设备上的frida-server发送指令frida-server接收指令后通过ptrace或者dlopen方式将Agent代码加载到目标进程Agent在目标进程内创建线程并运行JavaScript运行时QuickJS或V8JavaScript脚本通过Agent提供的桥接接口与目标进程的函数调用栈进行交互。这条链路中任何一个环节出错都会导致注入失败。最常见的原因包括frida-server版本与PC端不匹配、设备架构不对、目标进程有反调试机制、USB连接不稳定等。我后面会单独列一节来排查这些问题。3. RPC调用机制让JavaScript与Python代码双向通信很多人学习Frida时只学会了写Hook脚本然后在命令行里观察日志输出却忽略了Frida一个极其强大的能力——RPCRemote Procedure Call。简单说RPC让外部程序如Python脚本可以主动调用注入到应用进程内部、由JavaScript定义的函数反过来JavaScript也可以调用Python端注册的回调函数。这种双向通信机制让Frida从“观察工具”升级成了“主动操纵工具”。3.1 RPC的工作原理与基本结构在Frida的JavaScript脚本中我们通过rpc.exports对象来暴露函数给外部调用。看一个最简单的示例// rpc_server.js function addNumbers(a, b) { return a b; } rpc.exports { add: addNumbers };在Python端我们通过script.exports来调用这个函数import frida import sys def on_message(message, data): print(message) device frida.get_usb_device() pid device.spawn([com.example.target]) session device.attach(pid) script session.create_script(open(rpc_server.js, encodingutf-8).read()) script.on(message, on_message) script.load() print(script.exports.add(3, 5)) # 输出 8这个示例虽然简单却体现了RPC调用的核心价值Python端拿到的是JavaScript函数对象调用时就像调用本地函数一样但实际执行发生在目标应用进程内部。这是跨进程通信在现代自动化测试和逆向分析中的典型应用。3.2 RPC在多进程场景中的典型应用举一个实际项目中的例子。某开发者在分析一个社交类App的签名算法时发现签名逻辑被封装在一个so库的函数里该函数需要传入设备ID、时间戳和一段源字符串。静态分析虽然能定位函数地址但函数内部依赖大量全局状态和Java层传参直接用Frida单独调用会因状态缺失而崩溃。这时候RPC的作用就体现出来了。我们可以在JavaScript中Hook该so库函数的上层Java方法通过构造完整调用链来模拟真实场景然后通过RPC将签名结果返回给Python脚本。Python端只需要循环传入本地生成的测试数据就能批量获取签名结果用于后续自动化参数生成。这种“Python驱动、JavaScript执行、目标应用内部计算”的模式简直是逆向工程生产力的大幅提升。如果你还在用命令行打印日志、人肉复制输出结果建议尽早系统学习RPC机制。3.3 异步消息与回调函数RPC不仅支持同步调用还支持异步模式和回调注册。在JavaScript脚本中可以通过send方法向Python端发送消息Python端可以通过on_message接收。这在处理包含大量数据的日志输出时尤其高效。// 异步发送示例 function processData(input) { var result someCalculation(input); send({ type: processed, data: result }); } rpc.exports { process: processData };Python端可以这样处理def on_message(message, data): if message[type] send: result message[payload] print(f收到数据: {result}) script.on(message, on_message)实际使用中需要留意send发送的消息是异步的Python端可能在不同线程中收到消息因此在多线程场景下更新共享数据时需要注意线程安全问题。我在一次自动化批处理脚本中就踩过这个坑Python端主线程等待结果而回调线程还没把数据写入队列导致程序提前退出。后来使用线程安全的队列如queue.Queue来中转消息才算彻底解决。4. Frida基础操作的核心API与常用技巧了解了模式和RPC之后我们来系统过一遍Frida在Android端常用的核心API。这部分内容偏实践建议在真机或模拟器上跟着敲一遍看看实际效果。4.1 Hook Java层方法从定位到替换Hook Java层方法是最常见的操作。基本步骤是使用Java.perform()进入Java运行时上下文通过Java.use()获取目标类然后用.implementation属性替换方法实现。Java.perform(function () { var MainActivity Java.use(com.example.target.MainActivity); MainActivity.checkLogin.implementation function (username, password) { console.log(Someone tried to login with: username / password); return true; // 绕过校验 }; });这个示例展示了最简单的绕过逻辑拦截checkLogin方法记录输入的账号密码并直接返回true。但实际App的防破解能力通常不止于此常常伴随混淆、字符串加密、native校验等。这里给新手几个经验混淆后的类名和方法名可能变得不可读需要在jadx或GDA等静态分析工具中先梳理调用关系类加载时机不确定时使用Java.perform配合Java.deoptimizeEverything可以提升方法替换的稳定性有些方法会在回调线程中频繁调用替换时要保证逻辑足够轻量避免影响原始业务逻辑。4.2 Hook Native层函数Interceptor的用法除了Java层Frida还提供对native函数的Hook能力核心API是Interceptor.attach。它可以在指定函数地址处执行自定义回调回调包括onEnter和onLeave分别对应原函数调用前后。Interceptor.attach(Module.findBaseAddress(libnative.so).add(0x1234), { onEnter: function (args) { console.log(native function called, arg0: args[0]); }, onLeave: function (retval) { console.log(native function returned: retval); } });使用Module.findBaseAddress获取模块基地址然后加上偏移量定位目标函数。这种方式绕过了符号解析即使函数被移除符号表也能Hook。注意Hook native函数需要确认目标so库已加载。如果函数所在so库尚未加载需要等待库加载完成再执行Hook常用的方式是监听Module.load事件或轮询检查模块状态。有一种优化方式值得尝试通过Module.enumerateExports查找导出函数如果函数有导出符号尽量使用符号名而不是地址偏移这样代码的可维护性更高也不用担心每次版本更新偏移量变化的问题。4.3 内存读写与对象实例枚举有时我们需要直接获取某个Java类的所有实例并读取或修改实例的字段值。Frida的Java.vm.getHeapDump或Java.choose可以实现实例枚举。Java.perform(function () { Java.choose(com.example.target.UserInfo, { onMatch: function (instance) { console.log(Found instance: instance); console.log(Field value: instance.getToken()); instance.setToken(hacked_token); }, onComplete: function () { console.log(Done); } }); });这种技术在绕过登录态校验、修改VIP标记等场景中非常有用。但需要注意Java.choose需要在Java线程中执行也就是必须放在Java.perform的回调内。此外持有一个Java实例的全局引用时要避免内存泄漏用完及时释放。4.4 常用便捷API汇总在实际工作中我经常用到下面这些API整理成一张表方便查阅API用途注意事项Java.perform获取Java运行时上下文所有Java层操作必须在其回调内Java.use获取Java类引用类不存在时返回空需catchInterceptor.attachHook native函数需要确认地址有效性和模块已加载Module.findBaseAddress获取模块基地址模块未加载时返回nullJava.choose枚举Java对象实例必须在Java.perform内使用rpc.exports暴露JavaScript函数给外部函数需为同步或异步的可调用形式send向客户端发消息配合recv实现双向通信setTimeout延迟执行JS代码注意在注入脚本被卸载时清空定时器5. 从零到一完整实操演示一个RPC调用Demo理论讲再多不如一个完整Demo来得直接。这一节从零开始演示如何用Python脚本远程调用Frida注入的JavaScript函数实现对一个模拟登录函数的绕过测试。5.1 准备环境假设你的PC端已经安装了Python和frida模块Android设备上已经运行了与PC端版本匹配的frida-server。如果没有安装的话两条命令可以搞定pip install frida-tools设备端将frida-server推送到/data/local/tmp目录并赋予执行权限adb push frida-server /data/local/tmp/ adb shell chmod 755 /data/local/tmp/frida-server adb shell /data/local/tmp/frida-server 提示frida-server的版本必须与PC端frida模块版本保持一致否则会报版本不匹配的错误。可以通过frida --version查看PC端版本从Frida官方仓库下载对应版本的server。5.2 编写JavaScript脚本假设目标应用有一个类com.example.demo.LoginActivity其中登录校验方法如下我们用模拟代码演示public class LoginActivity { public boolean verifyLogin(String username, String password) { // 假设这里有复杂的校验逻辑 return admin.equals(username) 654321.equals(password); } }我们编写Frida脚本来Hook这个方法并通过RPC暴露一个登录函数给外部调用// login_hook.js Java.perform(function () { var LoginActivity Java.use(com.example.demo.LoginActivity); LoginActivity.verifyLogin.implementation function (username, password) { console.log([*] Hooked verifyLogin called with: username / password); return true; }; // 暴露RPC接口 rpc.exports { login: function (username, password) { var result LoginActivity.verifyLogin(username, password); return { success: result, username: username, message: Login bypassed or original result: result }; } }; });这里有一个值得注意的点因为我们替换了verifyLogin的implementation所以通过RPC调用LoginActivity.verifyLogin时实际上调用的是我们替换后的方法结果恒为true。如果我们想验证原始逻辑应该在替换前保存原始实现比如用var original LoginActivity.verifyLogin;然后再在需要时调用original.call(...)。5.3 编写Python调用脚本下面是一个完整的Python调用端脚本import frida import sys import time def on_message(message, data): if message[type] send: print(收到JS消息: str(message[payload])) elif message[type] error: print(JS异常: str(message[stack])) def main(): device frida.get_usb_device() # spawn模式启动目标应用 pid device.spawn([com.example.demo]) session device.attach(pid) js_code open(login_hook.js, encodingutf-8).read() script session.create_script(js_code) script.on(message, on_message) script.load() # 恢复应用运行 device.resume(pid) # 与JS脚本交互 result script.exports.login(admin, wrong_password) print(RPC返回结果: , result) time.sleep(1) session.detach() if __name__ __main__: main()运行这个脚本你将看到终端输出[*] Hooked verifyLogin called with: admin / wrong_password 收到JS消息: RPC返回结果: {success: True, username: admin, message: Login bypassed or original result: True}这个Demo的核心意义在于展示了通过Python脚本主动调用目标应用内部的方法并拿到结构化返回值。这在批量接口测试、自动生成请求参数等场景中价值巨大。5.4 增强版带超时控制的异步RPC实际业务中RPC调用可能因为目标方法阻塞而卡住。如果JS函数内部存在等待网络响应或用户输入的代码简单同步调用会有卡死风险。建议在Python端做超时控制from concurrent.futures import ThreadPoolExecutor, TimeoutError executor ThreadPoolExecutor(max_workers1) future executor.submit(script.exports.login, admin, 123456) try: result future.result(timeout5) print(result) except TimeoutError: print(RPC调用超时请检查JS脚本是否阻塞)另一种做法是在JS端实现超时逻辑用setTimeout包裹耗时操作避免阻塞Frida的RPC线程。这两种方式按场景选择我通常在涉及网络请求的方法上双管齐下。6. 常见问题排查与避坑指南学习和实战过程中几乎每个人都会遇到一些典型问题。我把高频问题整理成一份速查表并给出排查思路和解决方案。6.1 连接类问题问题unable to connect to remote frida-server出现这个错误信息说明PC端无法与设备端的frida-server建立连接。排查优先级如下确认frida-server在设备上正常运行。通过adb shell ps检查进程是否存在如果没有运行重新启动确认USB连接正常。adb devices能看到设备若命令无输出先重连USB或重启adb服务确认PC端frida版本与设备端server版本一致。版本不一致是连接异常最常见的原因没有之一部分设备需要将frida-server的端口转发到PC端。可以通过adb forward tcp:27042 tcp:27042操作。问题spawn模式下应用启动崩溃这通常不是Frida本身的问题而是目标应用检测到了注入行为并主动退出。常见对策包括在更早期阶段Hook反调试函数、使用--no-pause参数调整注入时机、配合自定义frida-server改名来规避检测。6.2 脚本执行与类加载问题问题ClassNotFoundException或类找不到目标方法所属的类可能还没有被类加载器加载。解决方式是延长等待时间或者在脚本中使用Java.perform配合Java.theDexClassLoader来获取特定ClassLoader实例再调用classLoader.loadClass动态获取类。Java.perform(function () { Java.enumerateClassLoaders({ onMatch: function (loader) { try { var clazz loader.loadClass(com.example.target.TargetClass); // 成功获取类 } catch (e) { // 继续尝试下一个loader } }, onComplete: function () {} }); });问题Hook不生效Hook未生效可能是时机问题也可能是目标方法经过混淆或内联。我的排查步骤是确认方法签名完整是否包含参数类型和返回值类型确认Hook代码在Java.perform中执行先加一个简单的console.log确认脚本确实注入了查看应用是否多进程某些方法运行在子进程而非主进程对native方法用Module.getBaseAddress确认so库已加载。6.3 RPC调用异常问题Error: invalid return value或数据类型不匹配Frida的RPC只能序列化javascript原生类型发送给Python端。如果JS函数返回的是Java对象、数组Buffer或自定义类实例需要手动转换为普通JSON对象。我在脚本里常用JSON.stringify包装复杂对象或者手动提取字段值。function getUserInfo(obj) { return { name: obj.name, token: obj.getToken() }; }问题脚本重复注入RPC函数被覆盖在长时间调试中多次注入相同脚本会导致RPC导出函数被重复注册旧脚本占用的资源也会累积。建议每次注入前先session.detach()或直接重启应用。6.4 我个人的一些额外经验说点实际操作中的体会。Frida脚本写多了之后我习惯把JavaScript脚本尽量写成“纯逻辑”的形式——不依赖特定应用上下文、不夹杂业务相关状态。这样在切换不同目标应用时脚本可以复用大部分代码只需调整类名和偏移量。另外日志设计也很重要。不要在脚本里无脑打印所有参数尤其是涉及大数据字符串或byte数组时终端会直接刷屏导致关键信息被淹没。建议在JS中做过滤和截断只输出前N个字节或特征值。还有一个细节Interceptor.attach回调中的args是NativePointer类型直接console.log(args[0])会输出十六进制地址如果需要读取指针指向的内存值要用args[0].readCString()或args[0].readUtf8String()。这个坑很多人踩过我刚开始也没少因此抓狂。7. 如何把实操基础转化为自己的技能树写到这里基础篇的核心内容就全部覆盖了。最后再分享一个我对学习路径的理解。Frida上手快但真正掌握它需要大量的实操积累。我的建议是先熟悉命令行工具的两种模式attach和spawn找一个开源App多练习再掌握Java层Hook和native层Hook搜索相关代码片段时多研究参数和返回值的处理细节然后把RPC用熟练尤其是Python端与JS端的数据交互这将直接影响你的开发效率最后是踩坑经验的积累遇到问题时主动记录导致问题的根因而不是只记解决方案。我自己在经历了若干次Frida相关的调试后最大的感受是这个工具的核心不在于它有多少API而在于你能否像调试分布式系统一样理解进程间的通信链路。理解了这层关系很多问题都会迎刃而解。Frida是一个日渐丰富的工具链除了基础部分后续还有模块化脚本编写、与自动化测试框架结合等方向可以深入。扎实基础并不会白费更高阶的技能点终究是在这套地基上建立的。