当前位置：首页 > news >正文

【Frida Android】实战篇：Java层Hook进阶——拦截与篡改普通方法参数

news 2026/3/26 23:35:08

1. 从基础到进阶：为什么需要拦截方法参数？

在之前的Frida基础教程中，我们已经学会了如何Hook普通方法并修改其返回值。但实际逆向工程中，仅仅修改返回值往往不够——我们需要更深入地干预方法的执行流程，而拦截并篡改方法参数就是其中最关键的一环。

想象这样一个场景：你正在分析一个电商APP的优惠券验证模块。基础Hook可以让你绕过简单的有效性检查，但如果这个验证逻辑涉及多层参数传递（比如优惠券ID、用户设备指纹、时间戳等复合校验），单纯修改返回值就会失效。这时候，参数拦截技术就能让你在数据流转的早期阶段就掌控全局。

我在分析某社交APP的登录模块时就遇到过这种情况。它的验证流程分为三个阶段：参数预处理→加密传输→服务端校验。如果只在最后阶段Hook，前两个阶段的参数校验就会失败。而通过拦截processLoginParams()方法的输入参数，我成功构造了合法的加密前数据，最终绕过了整个验证链条。

2. 逆向分析：定位关键参数的技术要点

2.1 静态分析与动态调试的结合

以文章提到的登录模块为例，使用Jadx反编译后，我们首先关注所有包含"login"、"auth"、"verify"等关键词的类。重点查找带有@NonNull注解的参数——这通常是必填字段的标志。

// 典型登录方法结构示例 public void doLogin( @NonNull String username, @NonNull String password, @Nullable String captcha ) { // 验证逻辑 }

动态分析时，我会先用Frida枚举所有重载方法：

Java.perform(() => { let LoginClass = Java.use('com.example.app.AuthService'); // 打印所有doLogin重载方法 LoginClass.doLogin.overloads.forEach(m => { console.log(m.argumentTypes.map(t => t.className).join(', ')); }); });

2.2 参数特征提取技巧

通过交叉验证静态反编译代码和运行时参数值，可以快速识别关键参数。例如发现某个deviceId参数总是以"AND_"开头，后面跟着32位十六进制数，这很可能就是设备指纹的生成规则。

我常用的参数标记方法是在Hook脚本中添加特征打印：

LoginClass.doLogin.implementation = function(...args) { console.log(`参数列表：${JSON.stringify(args)}`); console.log(`参数类型：${args.map(arg => arg ? arg.getClass().getName() : 'null').join(', ')}`); return this.doLogin(...args); };

3. 实战：构建参数拦截Hook脚本

3.1 基础拦截模板

下面是一个完整的参数拦截示例，以修改登录用户名和密码为例：

Java.perform(() => { const AuthService = Java.use('com.example.app.AuthService'); AuthService.doLogin.overload( 'java.lang.String', 'java.lang.String', 'java.lang.String' ).implementation = function(username, password, captcha) { // 原始参数记录 console.log(`原始参数：${username}/${password}/${captcha}`); // 参数篡改 const fakeUsername = "admin"; const fakePassword = "p@ssw0rd"; // 调用原方法 return this.doLogin(fakeUsername, fakePassword, captcha); }; });

3.2 复杂参数处理技巧

当遇到对象类型参数时，需要先获取类引用再构造实例。比如修改用户信息对象：

const UserInfo = Java.use('com.example.model.UserInfo'); const newUser = UserInfo.$new(); newUser.setUid(10086); newUser.setVIP(true); ServiceApi.updateInfo.implementation = function(user) { return this.updateInfo(newUser); // 替换为构造的假对象 };

对于数组参数，可以使用Java.array辅助创建：

const String = Java.use('java.lang.String'); const strArray = Java.array('java.lang.String', ['a', 'b', 'c']); Utils.checkList.implementation = function(arr) { return this.checkList(strArray); // 替换字符串数组 };

4. 高级应用场景与避坑指南

4.1 多线程环境下的参数竞争

在Hook涉及多线程的方法时，我曾遇到参数被意外覆盖的情况。解决方案是使用线程局部存储：

const threads = new Map(); TargetClass.method.implementation = function(param) { const threadId = Java.threadId(); if (!threads.has(threadId)) { threads.set(threadId, generateFakeParam()); } return this.method(threads.get(threadId)); };

4.2 参数加密对抗策略

很多应用会对关键参数进行加密或签名。针对这种情况，我通常采用"先解密→修改→再加密"的策略：

const crypto = Java.use('com.example.crypto.AESUtil'); Service.sendData.implementation = function(encrypted) { // 1. 解密原始数据 const raw = crypto.decrypt(encrypted); // 2. 修改明文字段 const modified = raw.replace('"valid":false', '"valid":true'); // 3. 重新加密 return this.sendData(crypto.encrypt(modified)); };

5. 调试技巧与效果验证

5.1 参数修改验证方案

为确保Hook生效，我设计了一套验证流程：

在修改前打印原始参数
在修改后立即打印新参数
捕获方法返回值/异常
监控后续相关方法调用

Target.method.implementation = function(param) { console.log('[Before]', param); param = modify(param); console.log('[After]', param); try { const result = this.method(param); console.log('[Result]', result); return result; } catch (e) { console.error('[Error]', e); throw e; } };