Frida实战：如何逆向分析某电商App的doCommandNative函数（附完整Hook脚本）
Frida高级逆向工程：深度解析电商App的doCommandNative函数
在移动应用安全研究领域，逆向分析JNI函数一直是技术难点与热点。本文将带您深入探索如何运用Frida这一动态插桩工具，对电商App中关键的doCommandNative函数进行全面剖析。不同于基础教程，我们更关注实战中的复杂场景处理，包括动态注册识别、SO加固对抗以及高效Hook脚本编写等高级技巧。
1. 逆向工程环境搭建与目标定位
逆向分析前的准备工作往往决定了后续工作的效率。对于Android原生层逆向，我们需要构建一个既能满足调试需求又能保持稳定性的环境。
基础环境配置清单：
- 已root的Android测试设备或模拟器（推荐Google Pixel系列真机）
- Frida 15.2.2及以上版本（支持最新Android运行时）
- IDA Pro 7.7+或Ghidra 10.3+（静态分析工具）
- adb工具链（版本31.0.3+）
- Python 3.8+环境（运行Frida脚本）
定位关键JNI函数时，可采用多维度交叉验证法：
// 类加载器枚举脚本示例 Java.enumerateClassLoaders({ onMatch: function(loader) { try { let loaderStr = loader.toString(); if (loaderStr.includes("security") || loaderStr.includes("JNI")) { console.log("[*] 发现可疑类加载器:", loaderStr); Java.classFactory.loader = loader; } } catch(e) { /* 异常处理 */ } }, onComplete: function() { console.log("[+] 类加载器枚举完成"); } });常见目标函数特征包括：
- 函数名包含
Native、JNI等关键字 - 位于安全相关包路径下（如
.security.） - 参数包含
int类型和Object[]数组
2. 动态注册JNI函数的识别与追踪
现代App普遍采用动态注册方式隐藏关键Native函数，极大增加了逆向难度。通过Frida可以高效突破这层防护。
动态注册的核心是RegisterNatives函数，我们可以通过Hook此函数获取关键信息：
// 注册函数追踪脚本 const regNatives = Module.findExportByName(null, "RegisterNatives"); Interceptor.attach(regNatives, { onEnter: function(args) { this.className = Java.vm.getEnv().getClassName(args[0]); this.methodName = args[1].readCString(); this.signature = args[2].readCString(); this.fnPtr = args[3]; }, onLeave: function(retval) { console.log(`[动态注册] 类: ${this.className}`); console.log(`[动态注册] 方法: ${this.methodName}`); console.log(`[动态注册] 签名: ${this.signature}`); console.log(`[动态注册] 函数指针: ${this.fnPtr}`); } });处理动态注册时常见问题及解决方案：
| 问题类型 | 表现特征 | 应对策略 |
|---|---|---|
| 指针混淆 | 函数地址动态计算 | 运行时内存dump |
| 自修改代码 | 指令段可写权限 | 设置内存断点 |
| 多重跳转 | 连续BR指令 | 寄存器值追踪 |
3. SO加固对抗与函数修复技术
面对加固后的SO文件，传统的静态分析方法往往失效。我们需要结合动态手段进行突破。
内存dump实战步骤：
- 使用
Process.enumerateModules()定位目标SO基地址 - 计算.text段范围（通过
Module.enumerateSections()） - 使用
Memory.readByteArray()完整dump关键段
# Frida Python脚本示例：内存dump session = frida.get_usb_device().attach("com.example.app") script = session.create_script(""" var module = Process.getModuleByName("libtarget.so"); var base = module.base; var size = module.size; send({base: base, size: size}); Memory.protect(ptr(base), size, 'rwx'); var buffer = Memory.readByteArray(ptr(base), size); send(buffer); """) def on_message(message, data): if message['type'] == 'send': with open("dump.so", "wb") as f: f.write(data) script.on('message', on_message) script.load()动态跳转修复技巧：
- 使用
Interceptor.attach()捕获跳转目标地址 - 通过
Memory.patchCode()修改指令为静态跳转 - 重建函数边界（IDA的
Edit > Functions > Create function）
4. 高级Hook脚本编写与参数解析
针对doCommandNative这类多功能JNI函数，需要精细化Hook策略才能有效获取目标数据。
参数智能过滤方案：
var targetCmd = 70102; // 目标命令码 var clsJNICLibrary = Java.use('com.txxxao.wireless.security.adapter.JNICLibrary'); clsJNICLibrary.doCommandNative.implementation = function(cmd, params) { // 前置过滤：仅处理目标命令 if (cmd === targetCmd) { console.log("\n[+] 捕获目标命令:", cmd); // 深度解析Object[]参数 let objArray = Java.cast(params, Java.use("[Ljava.lang.Object;")); let len = objArray.length; for (let i = 0; i < len; i++) { let item = objArray[i]; if (item) { console.log(` 参数[${i}]: ${item.toString()}`); // 类型敏感处理 if (item.getClass().getName().includes("String")) { console.log(` 字符串值: ${item}`); } } } } // 保持原始调用 return this.doCommandNative(cmd, params); };复杂场景处理技巧：
- 使用
Java.vm.tryGetEnv()处理多线程JNI环境 - 通过
Java.use("java.lang.reflect.Array")解析多维数组 - 结合
Thread.backtrace()记录完整调用栈
5. 逆向工程中的反调试对抗
在实际分析中，目标App往往会部署各种反调试措施，需要针对性应对。
常见反调试手段及破解方法：
| 反调试类型 | 检测原理 | Frida绕过方案 |
|---|---|---|
| 进程名检测 | 检查/proc/self/cmdline | 修改内存中的进程名 |
| TracePid检测 | 检查/proc/self/status | Hook相关系统调用 |
| 时间差检测 | 计算关键代码执行时间 | 修改时间相关函数返回值 |
| Frida特征检测 | 检测端口或内存特征 | 使用定制化frida-server |
// 反反调试脚本示例 const openPtr = Module.findExportByName(null, "open"); Interceptor.attach(openPtr, { onEnter: function(args) { let path = args[0].readCString(); if (path && path.includes("/proc/")) { console.log(`[反调试] 拦截proc访问: ${path}`); this.isProc = true; } }, onLeave: function(retval) { if (this.isProc) { retval.replace(-1); // 返回错误码 } } });在逆向分析过程中，建议采用渐进式策略：
- 先静态分析了解大体逻辑
- 使用Frida进行轻量级探测
- 针对关键函数进行深度Hook
- 最后结合IDA进行静态验证
6. 自动化分析与结果可视化
对于需要长期监控的场景，可以构建自动化分析系统提升效率。
日志结构化输出方案：
function logStructured(cmd, params, retval) { let timestamp = new Date().toISOString(); let stack = Thread.backtrace(this.context, Backtracer.ACCURATE) .map(DebugSymbol.fromAddress).join('\n\t'); let logEntry = { timestamp: timestamp, command: cmd, parameters: [], returnValue: retval, callStack: stack }; // 参数序列化 if (params) { let objArray = Java.cast(params, Java.use("[Ljava.lang.Object;")); let len = objArray.length; for (let i = 0; i < len; i++) { let item = objArray[i]; if (item) { logEntry.parameters.push({ index: i, type: item.getClass().getName(), value: item.toString() }); } } } console.log(JSON.stringify(logEntry, null, 2)); }数据分析建议：
- 使用ELK栈（Elasticsearch+Logstash+Kibana）处理大量日志
- 通过Python pandas进行数据统计和模式识别
- 对命令码频率进行可视化分析
在实际项目中，我们发现电商App的签名逻辑通常具有以下特点：
- 命令码70102通常对应商品详情页签名
- 参数数组第一个元素多为设备指纹信息
- 返回值为嵌套JSON结构，包含时间戳和动态token
- 签名算法每小时变化，但变化模式可预测