保姆级教程：在Ubuntu上配置Frida环境，搞定Android App的IO重定向与签名绕过-开发者社区

在Ubuntu上构建Android逆向工程环境：Frida实战与IO重定向技术解析

对于习惯Linux环境的安全研究人员而言，Windows-centric的逆向工具链往往带来诸多不便。本文将系统性地介绍如何在Ubuntu上搭建完整的Android逆向环境，并深入探讨如何利用Frida实现高级Hook技巧，特别是针对getPackageCodePath()等关键方法的拦截与重定向。

1. 环境准备与工具链配置

1.1 基础依赖安装

在Ubuntu上开展Android逆向工作，首先需要确保以下基础组件就位：

sudo apt update && sudo apt install -y \ android-tools-adb \ python3-pip \ git \ openjdk-11-jdk \ wget \ unzip

关键组件说明：

android-tools-adb：Android Debug Bridge工具套件
openjdk-11-jdk：Java开发环境（建议使用OpenJDK 11以兼容多数逆向工具）
python3-pip：Python包管理工具（Frida依赖）

1.2 ADB配置与设备连接

配置USB调试权限后，通过以下命令验证设备连接：

adb devices # 预期输出示例 List of devices attached emulator-5554 device

若遇到设备未授权问题，可尝试：

adb kill-server && adb start-server

1.3 Frida生态部署

Frida环境需要客户端与服务端组件协同工作：

安装Python客户端：

pip3 install frida-tools --user

部署Android端Server：

查询设备CPU架构：
```
adb shell getprop ro.product.cpu.abi
```

下载对应版本的Frida-server：

wget https://github.com/frida/frida/releases/download/16.0.8/frida-server-16.0.8-android-arm64.xz unxz frida-server-*.xz

推送到设备并启动：

adb push frida-server-* /data/local/tmp/frida-server adb shell "chmod 755 /data/local/tmp/frida-server" adb shell "/data/local/tmp/frida-server &"

验证安装：

frida-ps -U

2. Android签名校验机制深度解析

2.1 常见校验类型与技术原理

校验类型	实现方式	典型特征
基础签名校验	`PackageInfo.signatures`	比对APK签名证书哈希值
V2+签名校验	`SigningInfo.getApkContentsSigners`	Android 9+新增API
CRC校验	`ZipEntry.getCrc()`	校验DEX文件完整性
SO文件校验	`System.loadLibrary`	Native层实现的复杂校验逻辑

2.2 典型校验代码反编译示例

// 新API签名校验实现 public final boolean useNewAPICheck() { String str; Signature[] signatureArr; try { if (Build.VERSION.SDK_INT >= 28) { signatureArr = getPackageManager() .getPackageInfo(getPackageName(), 134217728) .signingInfo.getApkContentsSigners(); } else { signatureArr = getPackageManager() .getPackageInfo(getPackageName(), 64) .signatures; } str = MD5Utils.INSTANCE.MD5( Base64Utils.INSTANCE.encodeToString( signatureArr[0].toByteArray() ) ); } catch (Exception e) { str = ""; } return str.equals("074f64af5821ae6aa1ac1779ad5687ad"); }

3. Frida高级Hook技术实战

3.1 基础Hook模式对比

返回值覆写：直接修改函数返回值为预期值
参数篡改：拦截并修改传入参数
流程劫持：完全接管函数执行逻辑
IO重定向：修改文件路径相关操作

3.2 针对getPackageCodePath的Hook实现

创建redirect.js脚本：

Java.perform(function () { const ContextWrapper = Java.use("android.content.ContextWrapper"); ContextWrapper.getPackageCodePath.implementation = function () { const originalPath = this.getPackageCodePath(); console.log(`Original path: ${originalPath}`); // 重定向到备用APK路径 const newPath = "/data/local/tmp/original.apk"; console.log(`Redirecting to: ${newPath}`); return newPath; }; });

执行脚本：

frida -U -l redirect.js -f com.target.app --no-pause

3.3 复合Hook策略应对多重校验

对于同时存在签名校验和CRC校验的场景，可采用分层拦截策略：

Java.perform(function () { // 第一层：签名校验绕过 Java.use("com.target.app.SignatureChecker").verify.overload().implementation = function() { return true; }; // 第二层：CRC校验重定向 Java.use("android.app.ApplicationPackageManager").getPackageInfo.overload('java.lang.String', 'int').implementation = function(pkg, flags) { const info = this.getPackageInfo(pkg, flags); if (pkg === "com.target.app") { info.signatures[0] = ... // 伪造签名数据 } return info; }; });

4. 实战案例：完整绕过流程演示

4.1 目标APK分析准备

提取目标APK：

adb shell pm path com.target.app adb pull /data/app/~~.../base.apk

反编译分析：
```
apktool d base.apk -o decompiled
```

4.2 多维度校验绕过方案

方案对比表：

方法类型	实施难度	通用性	隐蔽性	适用场景
返回值强制修改	★★☆	高	低	简单校验
签名数据伪造	★★★☆	中	中	V1/V2签名校验
IO重定向	★★★★	高	高	文件完整性校验
Native层Hook	★★★★☆	低	高	SO文件校验

4.3 自动化Hook脚本开发

创建auto_hook.py控制脚本：

import frida import sys def on_message(message, data): if message['type'] == 'send': print(f"[*] {message['payload']}") else: print(message) device = frida.get_usb_device() pid = device.spawn(["com.target.app"]) session = device.attach(pid) with open("hook_script.js") as f: script = session.create_script(f.read()) script.on("message", on_message) script.load() device.resume(pid) sys.stdin.read()

配套的hook_script.js应包含针对目标应用的特化Hook逻辑。

5. 高级技巧与疑难排解

5.1 常见问题解决方案

Frida-server无法保持运行：

adb shell "nohup /data/local/tmp/frida-server &"

Hook失效的可能原因：
1. 目标方法已被混淆
2. 存在反调试检测
3. 架构不匹配（如误将x86脚本用于arm设备）

动态加载代码的Hook策略：

Java.enumerateClassLoaders({ onMatch: function(loader) { try { Java.classFactory.loader = loader; const DynamicClass = Java.use("dynamic.ClassName"); // Hook逻辑... } catch(e) {} }, onComplete: function() {} });