frida-tracing-discovery

Frida トレースによる探索

対象の API、クラス、シンボル、または呼び出し経路が不明な場合に、このスキルを使用します。

広く調べてから絞り込む

1. Frida を使わずに、その動作が発生することを確認します。
2. 最も有効な境界を選びます。ネットワーク、暗号、ファイル、IPC、WebView、クラスの読み込み、ネイティブライブラリの読み込み、または UI 操作が候補です。
3. その境界の周辺をトレースまたは列挙します。
4. スタックトレースを追加して、アプリ側の呼び出し元を特定します。
5. 広範なプローブを、対象を絞ったフックに置き換えます。

CLI トレース

frida-trace -U -f com.example.app -j 'java.net.URL!*' --no-pause
frida-trace -U -f com.example.app -i 'open' -i 'connect' --no-pause
frida-trace -U -n target -m 'Module!*pattern*'

生成されたハンドラーは一時的な探索用成果物として扱い、実証できたロジックはレビュー済みのスクリプトに移します。

Android の探索

Java.perform(() => {
  const groups = Java.enumerateMethods("*crypto*!*/isu");
  console.log(JSON.stringify(groups, null, 2));
});

クラスローダーの確認：

Java.perform(() => {
  Java.enumerateClassLoaders({
    onMatch(loader) {
      try {
        Java.classFactory.loader = loader;
        Java.use("com.example.Target");
        console.log("loader", loader);
      } catch (_) {}
    },
    onComplete() {}
  });
});

ネイティブの探索

const mod = Process.getModuleByName("libtarget.so");
for (const e of mod.enumerateExports()) {
  if (e.name.includes("SSL") || e.name.includes("crypto")) console.log(e.name, e.address);
}

汎用的な境界でのバックトレース：

Interceptor.attach(Module.getGlobalExportByName("open"), {
  onEnter(args) {
    console.log(args[0].readUtf8String());
    console.log(Thread.backtrace(this.context, Backtracer.ACCURATE)
      .map(DebugSymbol.fromAddress).join("\n"));
  }
});

参考資料

対象に応じたトレース手順については、references/discovery-patterns.md を参照してください。