index-login / frida-mobile-security

Frida Mobile Security — 逆向分析总控

模块优先，决策树驱动。 本文件是总控：任务路由 + 决策树导航 + 模块目录。各技巧域的详细打法在项目根 references/ 分域文件（全量索引 references/_index.md），按需读取。

路径基准：references/* 相对项目根；scripts/* 相对本文件所在目录（.kilo/skill/frida-mobile-security/）。给用户的 frida CLI 命令必须写全路径（如 -l .kilo/skill/frida-mobile-security/scripts/core/utils.js），或让用户先 cd .kilo/skill/frida-mobile-security；tools/frida_run.py -l scripts/... 短路径自动解析（实测：短路径直接跑 frida CLI 会 Errno 2）。

硬性规则：scripts/core/utils.js 必须作为第一个 -l 参数加载。

快速命令卡片

# 从项目根执行：先 cd .kilo/skill/frida-mobile-security，或把 scripts/ 展开为 .kilo/skill/frida-mobile-security/scripts/
# 例：frida -U -f com.app -l .kilo/skill/frida-mobile-security/scripts/core/utils.js -l .kilo/skill/frida-mobile-security/scripts/monitors/crypto_monitor.js

# 加解密自吐
frida -U -f com.app -l scripts/core/utils.js -l scripts/monitors/crypto_monitor.js

# 行为摸底
frida -U -f com.app -l scripts/core/utils.js -l scripts/monitors/file_monitor.js -l scripts/monitors/network_monitor.js -l scripts/monitors/thread_monitor.js

# 反检测 Phase 1 (保活 + 定位检测 so)
frida -U -f com.app -l scripts/core/utils.js -l scripts/bypass/exit_blocker.js -l scripts/bypass/so_loader_tracer.js

# HTTP 明文拦截
frida -U -f com.app -l scripts/core/utils.js -l scripts/monitors/ssl_plaintext.js

# SSL Pinning 通用绕过（Java 多栈；native/国密 TLS 另配 native_hooker）
frida -U -f com.app -l scripts/core/utils.js -l scripts/bypass/ssl_unpinning.js

# Native 函数发现
frida -U -f com.app -l scripts/core/utils.js -l scripts/monitors/native_hooker.js

# 跨组件 Intent 污点追踪
frida -U -f com.app -l scripts/core/utils.js -l scripts/monitors/intent_tracker.js

# 内存敏感数据扫描 + 密码输入监听
frida -U -f com.app -l scripts/core/utils.js -l scripts/monitors/memory_scanner.js

通道说明：-U 是 USB 直连；走端口转发时换成 -H 127.0.0.1:8888（先 adb forward tcp:8888 tcp:8888）。
Agent 无人值守运行用 tools/frida_run.py（非交互：加载 → 观察 N 秒 → 存活报告 → detach）；也可直接用原生 frida -F -q -t N -o log（静默、定时退出、落盘）。frida CLI 是 REPL，stdin EOF 会自动退出，不能直接在后台跑。Windows 控制台打印非 UTF-8 payload 会崩输出线程：优先 -o 落盘或设 PYTHONIOENCODING=utf-8。
设备操控用 tools/device_ui.py：元素树 elements、按文本/ID 点击 tap --text/--id（现 dump 现定位，无 ref 失效问题）、等待 wait-for、常亮 stayon、清空 clear。

运行时配置通过 -e 'var CONFIG_OVERRIDE={...}' 注入，见 §五。

〇、环境自检（连设备后先跑，三条）

adb devices -l                                               # 1. 设备在线
adb shell su -c "ps -A | grep -i frida"                      # 2. server 是否在跑
adb forward tcp:8888 tcp:8888; frida-ps -H 127.0.0.1:8888    # 3. 通道验证（有进程列表即通）

启动 frida-server 用 nohup ... &（-D 会挂住 adb shell 不返回，容易误判未启动）。server 版本需与本地 frida CLI 一致：

adb shell "su -c 'nohup <设备上 frida-server 路径> -l 127.0.0.1:8888 > /dev/null 2>&1 &'"

一、任务路由

匹配用户意图 → 加载对应 references 分域 → 按决策树执行。不要逐章浏览。

前置判断：检测是否已绕过

用户是否已能稳定挂载 Frida？
├─ [否] "挂上就闪退" → 加载 anti-detection.md
├─ [是] 已用 hluda/魔改 frida/已跑过 exit_blocker → 跳过反检测，直接匹配任务
└─ [不确定] → 快速探路：utils + exit_blocker + so_loader_tracer
     ├─ exit_blocker 有 BLOCKED → 存在检测但已被保活 → 可继续
     └─ exit_blocker 无日志且进程正常 → 无检测 → 可继续

二、决策树导航

每种技巧在对应 references 有完整决策树，此处只给入口：

三、模块目录

scripts/ 下全部模块，按用途分类。utils.js 始终首个加载。

core/

monitors/（被动观察，不修改行为）

bypass/（主动干预，修改行为）

utils/（Frida 内存工具，JS）

tools/（项目根：独立工具，无 Frida 依赖）

按 python3 tools/<工具> ... 直接跑（工作目录 = 项目根）。检测项（注入/调试/Janus）见 §六。

templates/ + checklist/

四、分层分析原则

当上层 hook 失效时，按此递推下钻（完整方法见 native-analysis.md）：

Java/ObjC → JNI/Runtime → Native .so → libc → syscall → SVC #0

常见下钻：cryptomonitor 无输出→nativehooker；filemonitor 无输出→syscalltracer；networkmonitor 无 connect→检查 recvfrom；dlmonitor 无输出→syscalltracer(mmap+PROTEXEC)。

五、运行时配置（CONFIG_OVERRIDE）

所有模块接受 CONFIG_OVERRIDE，通过 -e 或 Python dict 注入：

var CONFIG_OVERRIDE = {
    file_monitor:     { filterPath: ["/data/data/com.target/"] },
    network_monitor:  { showPayload: true },
    crypto_monitor:   { showStack: true },
    native_hooker:    { targetLibs: ["libencrypt.so"] },
    ssl_plaintext:    { urlFilter: ["api.example.com"] },
    exit_blocker:     { showBacktrace: false },
    init_hook:        { onModuleInit: [{ moduleName: "libDetect.so" }], probeCallers: true, autoHideFrida: true },
    thread_blocker:   { blockCallers: ["libmsaoaidsec.so"] },
    frida_feature_hider: { indirectHook: true },
};

各模块特有配置见对应 references 文件。

六、独立检测工具（前置，无需 Frida）

项目根 tools/ 下 bat 脚本，Agent 不能代跑，输出命令让用户自行执行（方便截图取证）。Python 工具可直接跑（python3 tools/janus_check.py ...、py -3 tools/debug-gdb.py ...，本机 python 可能是 Python 2）。

首次分析新 App：check-janus → debug-gdb → check-anti-inject → Frida Phase 1。所有工具前置条件：root + SELinux Permissive。注意 debug-gdb.py 附加成功后目标若被反调试杀死，属于检测到反调试（正结论），非工具失败。

GetAPKInfo.jar 解析失败（爱加密等魔改 Manifest，报 0x000c0003）时，直接用 janus_check.py——经 apksigner 验证签名方案（V1+V2 通过 = Janus 安全），效果与 GetAPKInfo.jar 一致。

冒烟自检（可选，验证整套链路）：L2/L3 回归与离线复算的预期结果见 references/smoke-test.md。

七、交互式协作流程

需要用户在 app 上手动操作时（点击按钮/切换页面触发行为）：

配置 analysis.py（TIMEOUT=0 手动停止、LOG_TO_FILE=True 日志落盘）
→ 运行 → 用户操作 app → 停止 → 读日志 → 改 CUSTOM_HOOK_SCRIPT → 再运行

日志分析：读 .txt 日志，按时间戳锚定用户操作窗口，关联多模块信号。详见 references/behavior-analysis.md 交叉分析。

references 指引（全量索引：references/_index.md）