Frida_BehaviorTrace

KO | EN

gitlite — search

#svg #swift #automation #data-science #list #nlp #pytorch #html #http #shell

(★ 11)

安卓逆向：当分析一个复杂的native层函数时，这个脚本可以辅助分析调用的libc函数和jni函数的层级，帮助理解这个复杂函数在做什么。

Frida_BehaviorTrace 최신버젼 다운로드

ZIP 다운로드

jsDelivr

jsDelivr는 공개 GitHub 리포지토리를 별도 설정 없이 CDN으로 즉시 서빙합니다. 버전과 파일을 고르면 웹페이지에 바로 붙일 수 있는 링크와 예시 코드가 만들어집니다.

버전

파일 경로 직접 입력

링크

예시

// repository documentation

★ 0 (0 ratings)

场景：在native层遇到一个特别复杂的函数时，比方说被vmp保护的函数，若是难以通过静态分析工具去分析它的逻辑，那可以尝试hook一些libc的函数、JNI的函数观察它的行为。ps：这个脚本就做了这么一个事情。

# 使用方法
1.根据自己的需求，修改hook时机，当前脚本的hook时机是：linker64的call_constructor执行前。

2.选定完hook时机后，调用hook_main_target_function_for_tracing()。ps：我之所以选择在执行完sub_88060再执行，是因为sub_88060会对某些函数进行解密，请大家自行修改。

3.修改目标so和目标函数————修改TARGET_MODULE_NAME和TARGET_FUNCTION_OFFSET。

4.添加要关注的自定义函数的偏移————往CUSTOM_FUNCTION_OFFSETS添加想要关注的自定义函数。

5.添加要关注的libc的函数，修改参数解析的代码————往LIBC_FUNCTIONS_TO_HOOK添加要关注的libc函数，同时修改参数解析。

6.添加要关注的JNI函数，修改参数解析部分的代码———往函数hook_libart()中添加要关注的JNI函数，同样，注意修改参数解析。

7.启动脚本————frida -U -f <包名> -l trace_behavior.js

# 使用案例

比方说，我要追踪libbaiduprotect.so的sub_409E0，追踪它的行为。

![image-20250519141642616](https://raw.githubusercontent.com/X14Nuy/Frida_BehaviorTrace/main/assets/image-20250519141642616.png)

sub_409E0调用了sub_29030、sub_290DC...还调用了一些JNI函数。

在我根据使用方法修改了脚本后，执行的效果是这样的。

![image-20250519142250215](https://raw.githubusercontent.com/X14Nuy/Frida_BehaviorTrace/main/assets/image-20250519142250215.png)

**缩进**代表函数调用的**层级关系**，这样子可以清晰看见目标函数执行了哪些**自定义函数、Libc、JNI函数**。

# 结语

大模型真厉害，一下子把我的思路变成代码了，哈哈哈。