当前位置：首页 > news >正文

实战分享：用Hook open()这招，轻松绕过Android App对/data/local/tmp的变态检测

news 2026/6/15 1:51:41

Android逆向工程实战：Hook系统调用绕过敏感目录检测

在移动安全研究领域，逆向工程师常常需要面对各种反调试和检测机制。其中，对/data/local/tmp目录的检测已经成为许多安全应用的标准防御手段。本文将深入探讨一种高级绕过技术——通过Hook系统调用动态过滤敏感路径信息。

1. 检测机制深度剖析

现代Android应用对逆向工具的检测手段日趋复杂。传统的进程名检测、端口扫描等方法已经相对容易绕过，但基于内存映射(maps)和文件描述符(fd)的检测却更为隐蔽和棘手。

典型检测流程：

应用定期扫描/proc/self/maps文件内容
检查是否存在/data/local/tmp相关路径
发现可疑加载立即终止进程

这种检测之所以有效，是因为大多数逆向工具（包括Frida）默认会在/data/local/tmp目录下生成临时文件。即使使用修改版的hluda-server隐藏了"frida"等特征字符串，目录路径本身仍然会成为检测目标。

2. Hook系统调用的核心思路

要彻底解决这个问题，我们需要从底层入手——拦截应用对maps文件的读取操作。具体实现方案如下：

// 伪代码展示核心逻辑 int hooked_open(const char *pathname, int flags) { if (strstr(pathname, "maps")) { // 创建过滤后的临时文件 int filtered_fd = create_filtered_maps(); return filtered_fd; } return original_open(pathname, flags); }

2.1 关键技术实现步骤

定位系统调用：
- 在libc.so中查找open和read函数地址
- 准备替代函数的回调处理逻辑
文件内容过滤：
- 逐行读取原始maps文件内容
- 移除包含敏感路径(/data/local/tmp)的行
- 将净化后的内容写入临时文件
返回值替换：
- 将过滤后文件的描述符返回给调用者
- 确保应用读取到的是"安全"版本

3. 完整Frida脚本实现

以下是经过实战检验的完整解决方案：

function createFilteredMaps() { const originalMaps = "/proc/self/maps"; const filteredPath = "/data/data/" + Process.getEnviron()["USER"] + "/maps"; const fd = File.open(originalMaps, "r"); const filteredFile = new File(filteredPath, "w"); let line; while ((line = File.readString(fd)) !== null) { if (!line.includes("/data/local/tmp")) { filteredFile.write(line); } } File.close(fd); File.close(filteredFile); return filteredPath; } const openPtr = Module.getExportByName('libc.so', 'open'); const open = new NativeFunction(openPtr, 'int', ['pointer', 'int']); Interceptor.replace(openPtr, new NativeCallback((pathPtr, flags) => { const path = pathPtr.readUtf8String(); if (path.endsWith("maps")) { const cleanPath = createFilteredMaps(); const newPath = Memory.allocUtf8String(cleanPath); return open(newPath, flags); } return open(pathPtr, flags); }, 'int', ['pointer', 'int']));

关键优化点：

使用应用私有目录存储过滤后文件
保持原始文件权限不变
最小化性能开销

4. 多版本Android适配策略

不同Android版本对系统调用的实现有所差异，需要特别注意：

Android版本	变化点	适配方案
7.0及以下	直接使用libc.so	标准实现
8.0-9.0	引入namespace隔离	获取进程特定libc
10.0+	系统调用重定向	使用dlopen获取地址

针对Android 10+的改进代码：

function getSyscallAddress() { const linker = Process.findModuleByName("linker"); const dlopen = Module.findExportByName("libdl.so", "dlopen"); const openSym = "_open"; const handle = Memory.alloc(Process.pointerSize); // 获取libc真实句柄 const libcName = Memory.allocUtf8String("libc.so"); const libcHandle = new NativeFunction(dlopen, 'pointer', ['pointer', 'int'])(libcName, 1); // 通过dlsym获取地址 const dlsym = Module.findExportByName("libdl.so", "dlsym"); const symName = Memory.allocUtf8String(openSym); return new NativeFunction(dlsym, 'pointer', ['pointer', 'pointer'])(libcHandle, symName); }