1. 项目概述为什么我们需要动态修改APK逻辑在移动安全研究、应用逆向分析或者功能测试的领域里我们常常会遇到一个核心需求在不修改原始应用安装包APK源代码的情况下实时地观察、拦截甚至篡改其运行时的行为。比如你想知道某个游戏应用在点击某个按钮时内部调用了哪个方法、传递了什么参数或者你想绕过某个应用的本地授权验证逻辑又或者你作为开发者想在不重新编译打包的情况下快速测试某个函数在不同输入下的表现。传统的静态反编译、修改smali代码、再回编译的方式流程繁琐、容易出错且无法应对复杂的运行时状态。这时“动态插桩”技术就成了利器。而Frida正是这个领域的“瑞士军刀”。它允许你将一段JavaScript或Python代码注入到目标进程无论是Android、iOS还是Windows、macOS中在内存层面直接与应用程序交互实现函数Hook、内存读写、动态调试等高级操作。本项目标题“Android Frida Hook实战从零构建APK并实现动态修改逻辑”正是要带你完整走通这个流程从一个最简单的“Hello World” Android应用开始一步步构建出可被Hook的靶场APK然后使用Frida编写脚本在应用运行时动态修改其内部逻辑。这个过程不仅是为了掌握一个工具更是为了理解Android应用运行时架构、Java Native InterfaceJNI交互以及动态分析的核心思想。无论你是安全研究员、逆向工程师还是对底层技术感兴趣的开发者这套方法论都将为你打开一扇新的大门。2. 环境准备与靶场APK构建工欲善其事必先利其器。在开始Hook之前我们需要搭建一个稳定、可复现的实验环境。这个环境分为两部分一是用于编写和构建靶场APK的Android开发环境二是用于运行Frida进行动态插桩的测试环境。2.1 开发与测试环境搭建对于开发环境我强烈推荐使用Android Studio的最新稳定版。它集成了SDK、模拟器和构建工具一站式解决所有问题。安装时务必勾选“Android SDK”、“Android SDK Platform”以及对应你目标API级别的系统镜像例如API 33。同时安装一个性能还不错的模拟器比如Pixel 5 with API 33。使用模拟器而非真机进行初学练习可以避免很多驱动和兼容性问题尤其是USB调试和端口转发环节。Frida环境则分为PC端Client和移动端Server。在PC上通过Python的pip包管理器安装Frida和Frida-tools即可pip install frida frida-tools。安装完成后在命令行输入frida --version能显示版本号即表示成功。移动端需要安装与PC端Frida版本匹配的frida-server。你需要根据你的模拟器或真机的架构通常是x86_64对应模拟器arm64对应现代真机去Frida的GitHub Release页面下载对应的二进制文件。这是一个关键点Client和Server的版本必须严格一致否则连接时会报错。下载后通过adb push命令将frida-server文件推送到设备的/data/local/tmp/目录并赋予其可执行权限chmod 755最后在后台运行它./frida-server 。为了验证连接你可以在PC上运行frida-ps -U如果能看到设备上的进程列表说明环境搭建成功。注意很多新手会在adb设备连接上栽跟头。确保你的模拟器已开启USB调试Developer options - USB debugging并且通过adb devices命令能看到设备序列号且状态为device。如果是无线连接需要先通过USB线执行adb tcpip 5555再adb connect。2.2 构建一个简单的靶场APK我们的目标是创建一个包含明确“钩子点”的简单应用。这里设计一个经典的场景一个登录验证逻辑。应用有一个输入框和一个按钮点击按钮后应用会检查输入是否等于硬编码的密码“123456”如果正确则显示“登录成功”否则显示“密码错误”。使用Android Studio新建一个Empty Activity项目语言选择Java为了更清晰地展示Hook点Kotlin亦可但原理一致。在MainActivity.java中核心代码如下public class MainActivity extends AppCompatActivity { private EditText passwordInput; private TextView resultText; Override protected void onCreate(Bundle savedInstanceState) { super.onCreate(savedInstanceState); setContentView(R.layout.activity_main); passwordInput findViewById(R.id.et_password); resultText findViewById(R.id.tv_result); Button loginButton findViewById(R.id.btn_login); loginButton.setOnClickListener(new View.OnClickListener() { Override public void onClick(View v) { attemptLogin(); } }); } // 这是我们主要的Hook目标验证逻辑 private void attemptLogin() { String input passwordInput.getText().toString(); // 硬编码的密码逻辑很简单 if (checkPassword(input)) { resultText.setText(登录成功); resultText.setTextColor(Color.GREEN); } else { resultText.setText(密码错误); resultText.setTextColor(Color.RED); } } // 一个独立的校验函数非常适合作为Hook点 private boolean checkPassword(String input) { // 模拟一个简单的密码校验 return 123456.equals(input); } // 另一个可能被Hook的函数返回一些信息 private String getWelcomeMessage() { return Welcome, User!; } }布局文件activity_main.xml很简单包含一个EditText、一个Button和一个TextView。构建并运行这个APK到你的模拟器上确保基础功能正常输入“123456”显示成功输入其他内容显示失败。这个APK虽然简单但包含了几个清晰的Hook目标checkPassword(String)方法我们可以Hook它让它永远返回true从而绕过密码验证。getWelcomeMessage()方法我们可以Hook它修改其返回值。onClick监听器我们甚至可以Hook整个点击事件的处理流程。为什么要自己构建靶场APK直接拿网上未知的APK练习可能会遇到混淆、加固、反调试等复杂情况对初学者极不友好。从自己编写的简单APK开始你能百分百确定代码结构和函数签名这对于理解Hook原理和脚本编写至关重要。这是从“知其然”到“知其所以然”的关键一步。3. Frida Hook核心原理与脚本编写在成功运行靶场APK后我们进入核心环节编写Frida脚本。Frida的核心是一个注入到目标进程中的“引擎”它能够在运行时创建JavaScript执行环境并提供了强大的API来操作该进程的运行时状态。3.1 Frida JavaScript API 精要Frida的JavaScript API是其灵魂主要分为几个模块Java模块用于Hook Java包括Android的Java层代码。这是Android逆向中最常用的部分。Java.perform(fn)确保你的脚本在Java虚拟机JVM上下文中执行。所有Java层的Hook操作都必须包裹在这个函数调用内。Java.use(className)获取一个指向指定类className需要完整的包名类名的“包装器”。通过这个包装器你可以访问类的静态方法、Hook实例方法等。Java.choose(className, callbacks)在堆上枚举已存在的该类实例并对每个实例执行回调函数。常用于Hook已经创建好的对象。Interceptor模块更底层的插桩常用于Hook NativeC/C函数。通过替换函数在内存中的入口点来实现。Memory模块用于进程内存的读写、分配和查询。对于我们的Java靶场APK重点就是Java模块。一个最基本的Hook脚本结构如下Java.perform(function () { // 1. 获取要Hook的类 var TargetClass Java.use(com.example.myapplication.MainActivity); // 2. Hook类中的方法 TargetClass.checkPassword.implementation function (input) { // 3. 打印日志查看原始参数 console.log([*] checkPassword called with input: input); // 4. 调用原始方法可选并获取其结果 // var originalResult this.checkPassword(input); // 5. 篡改逻辑直接返回true绕过验证 var modifiedResult true; // 6. 打印并返回篡改后的结果 console.log([] Hooked! Returning: modifiedResult); return modifiedResult; }; });这段脚本做了以下几件事首先通过Java.perform进入Java上下文然后使用Java.use获取我们的MainActivity类接着重写implementation了checkPassword方法的实现。在新的实现里我们打印了传入的参数然后无视原始逻辑直接返回true。3.2 实战脚本编写与注入现在让我们将理论付诸实践。将上面的脚本保存为hook.js。接下来我们需要将它注入到正在运行的靶场应用中。首先在模拟器上打开我们的“登录验证”应用。然后在PC的命令行中使用Frida的命令行工具frida -U进行连接和注入。我们需要找到目标应用的进程名。通常进程名就是应用包名package name你可以在app/build.gradle文件的applicationId字段找到或者通过adb shell ps | grep your.app查找。假设我们的包名是com.example.myapplication注入命令如下frida -U -l hook.js -f com.example.myapplication --no-pause-U: 连接到USB设备模拟器。-l hook.js: 加载我们的JavaScript脚本文件。-f com.example.myapplication: 启动spawn这个包名的应用。--no-pause参数表示启动后立即执行脚本而不是停留在启动阶段。执行命令后Frida会启动应用并注入脚本。此时在应用界面输入任意密码比如“wrong”点击登录按钮。神奇的事情发生了尽管密码错误屏幕上却显示了“登录成功”。同时在你的命令行终端里应该能看到[*] checkPassword called with input: wrong和[] Hooked! Returning: true这两条日志输出。这就是一次成功的动态Hook我们没有修改APK文件的一行代码没有重新安装应用仅仅是通过注入一段运行时的脚本就彻底改变了程序的执行逻辑。3.3 进阶Hook技巧基本的Hook已经实现但实际场景往往更复杂。下面介绍几个必备的进阶技巧Hook重载方法Java支持方法重载。如果checkPassword有另一个接收int参数的重载版本你需要明确指定参数类型来Hook。TargetClass.checkPassword.overload(java.lang.String).implementation function(...){...}; TargetClass.checkPassword.overload(int).implementation function(...){...};修改方法参数与返回值你不仅可以修改返回值还可以在调用原始方法前修改其参数。TargetClass.checkPassword.implementation function (input) { console.log(Original input: input); // 修改参数比如在原始输入后追加字符串 var newInput input _hacked; // 用修改后的参数调用原方法如果需要 // var result this.checkPassword(newInput); // 或者直接返回我们想要的结果 return true; };Hook构造函数与静态方法Hook构造函数使用$initHook静态方法直接通过类调用。// Hook构造函数 TargetClass.$init.overload(android.os.Bundle).implementation function(bundle) { console.log([*] MainActivity is being created!); // 调用原始构造函数 this.$init(bundle); }; // Hook静态方法如果存在 TargetClass.someStaticMethod.implementation function(...){...};调用原始方法有时我们不想完全替换而是想在原始方法执行前后添加一些逻辑。这时需要使用this.methodName.apply(this, arguments)来调用原始方法。TargetClass.checkPassword.implementation function (input) { console.log(Before original call, input is: input); // 调用原始方法并获取结果 var originalResult this.checkPassword(input); console.log(Original result was: originalResult); // 在原始结果上做修改 var finalResult true; // 或者 !originalResult 进行取反 console.log(After hook, returning: finalResult); return finalResult; };这里有一个关键细节在implementation函数内部this指向的是当前被Hook的对象实例如果是实例方法。通过this.checkPassword(...)可以调用到该实例上未被Hook的原始方法。但要注意避免递归调用如果直接写this.checkPassword(input)实际上调用的是已经被我们重写的implementation函数自身会导致栈溢出。正确做法是在重写前先保存原始方法的引用。保存并调用原始方法引用避免递归Java.perform(function () { var TargetClass Java.use(com.example.myapplication.MainActivity); // 在重写implementation之前先获取原始方法的引用 var originalCheckPassword TargetClass.checkPassword; TargetClass.checkPassword.implementation function (input) { console.log([*] Input: input); // 通过保存的引用调用原始方法 var origResult originalCheckPassword.call(this, input); console.log([*] Original returned: origResult); // 篡改结果 return true; }; });使用originalCheckPassword.call(this, input)来调用其中this确保上下文正确input是参数。4. 动态修改逻辑的多种场景与脚本实战掌握了基础Hook后我们可以尝试更丰富的动态修改场景。这些场景模拟了真实逆向工程和安全测试中的常见需求。4.1 场景一无条件通过验证这是我们刚才已经实现的最简单场景。脚本核心就是让验证函数始终返回true。这个场景的变体包括修改返回的字符串、整数值等。关键在于准确找到负责验证决策的那个函数返回值点。4.2 场景二篡改返回信息与UI内容假设我们想修改getWelcomeMessage()函数的返回值从而改变应用界面上的欢迎文本。我们可以在onCreate或某个按钮点击后触发这个函数的调用。Hook脚本如下Java.perform(function () { var MainActivity Java.use(com.example.myapplication.MainActivity); MainActivity.getWelcomeMessage.implementation function () { var originalMessage this.getWelcomeMessage(); // 调用原函数 console.log([*] Original welcome message: originalMessage); var hackedMessage Welcome, Hacker! (Hooked); console.log([] Returning modified message: hackedMessage); return hackedMessage; }; });为了让效果可见你需要在靶场APK的onCreate方法里添加一行代码比如Toast.makeText(this, getWelcomeMessage(), Toast.LENGTH_SHORT).show();。注入脚本后重启应用弹出的Toast信息就会被我们篡改。4.3 场景三拦截与修改网络请求模拟很多应用的核心逻辑与网络交互有关。虽然Frida本身不直接处理网络但可以Hook发起网络请求的库函数例如Android常用的OkHttp、HttpURLConnection或Volley。这里以OkHttp的Call.execute()为例进行模拟 假设靶场应用使用OkHttp我们可以这样Hook来查看和修改请求与响应Java.perform(function () { // 找到OkHttp的Call类 var OkHttpCall Java.use(okhttp3.Call); OkHttpCall.execute.implementation function () { console.log([*] OkHttp Call.execute() is being called!); // 获取当前的Request对象 var request this.request(); var url request.url().toString(); var method request.method(); console.log([*] Request: ${method} ${url}); // 调用原始execute方法获取响应 var response this.execute(); var code response.code(); var bodyString response.body().string(); // 注意这会使body流被消费一次 console.log([*] Original Response: Code${code}, Body${bodyString.substring(0, 100)}...); // 创建一个伪造的响应体 var ResponseBody Java.use(okhttp3.ResponseBody); var MediaType Java.use(okhttp3.MediaType); var fakeBody {\status\: \hacked\, \data\: \injected by frida\}; var contentType MediaType.parse(application/json; charsetutf-8); var newResponseBody ResponseBody.create(contentType, fakeBody); // 构建一个新的Response这里简化实际需要构建完整的Response对象 // 通常更安全的做法是修改bodyString然后用它构建新的ResponseBody。 // 直接替换整个Response对象比较复杂需要用到Builder。 console.log([] Response body has been hooked.); // 返回原始响应或修改后的响应 // 为了演示这里返回原始响应但打印了信息。实际修改需要构造新Response。 return response; }; });重要提示网络请求的Hook在实际应用中非常复杂需要仔细处理响应体的流、克隆响应对象等否则容易导致应用崩溃。上述代码主要是展示思路实际使用时需要更严谨的构造。4.4 场景四绕过简单反调试与检测一些应用会尝试检测是否被调试或注入。常见的检测点包括检查android.os.Debug.isDebuggerConnected()、TracerPid等。我们可以Hook这些检测函数让它们返回“安全”的值。Java.perform(function () { // 示例Hook Debug.isDebuggerConnected() var Debug Java.use(android.os.Debug); Debug.isDebuggerConnected.implementation function () { console.log([*] Anti-debug check: isDebuggerConnected() called.); // 永远返回false欺骗应用 return false; }; // 示例Hook 检查特定关键词的函数假设存在 var SomeSecurityClass Java.use(com.example.app.SecurityUtil); SomeSecurityClass.detectFrida.implementation function () { console.log([*] Frida detection function called.); return false; // 返回未检测到 }; });这种“兵来将挡水来土掩”式的Hook是动态对抗的基础。你需要根据目标应用的具体检测代码来定制Hook点。5. 问题排查、性能优化与脚本工程化在实际操作中你绝不会一帆风顺。脚本注入失败、应用崩溃、Hook不到函数是家常便饭。下面分享一些我踩过坑后总结的排查经验和进阶实践。5.1 常见问题与排查清单问题现象可能原因排查步骤与解决方案frida-ps -U看不到进程/连接失败1.adb devices无设备。2.frida-server未运行或版本不匹配。3. 模拟器网络或端口问题。1. 确认adb devices列出设备且状态为device。2. 检查frida-server是否已chmod 755并用在后台运行。用ps | grep frida查看。3. 重启adb服务(adb kill-server adb start-server)重启模拟器。注入时提示Unable to find application with identifier xxx1. 包名错误。2. 应用未安装或未启动。1. 用frida-ps -U确认准确的进程名包名。2. 使用-f参数让Frida自动启动应用或先手动启动应用再用-n参数附加。注入后应用立即崩溃1. Hook了不正确的函数签名重载问题。2. 脚本中有语法错误或逻辑错误如递归调用。3. 目标函数是Native函数需用Interceptor。1. 使用.overload()明确指定参数类型。2. 在脚本开头加try-catch用console.log(e.stack)打印错误。3. 简化脚本逐一排查Hook的函数。先注释掉所有Hook再逐个启用。Hook成功但无日志输出1.console.log输出到了其他位置如adb logcat。2. 脚本未成功注入到目标进程。1. Frida默认输出到其控制台。确保你正在查看运行frida命令的终端。2. 在脚本最开始加console.log([*] Script loaded successfully!);验证注入。无法Hook系统类或第三方库类1. 类名不正确混淆、ProGuard。2. 类尚未被加载。1. 使用frida-trace快速追踪方法调用帮助确定准确类名和方法名frida-trace -U -i 函数名 包名。2. 将Hook代码包裹在setTimeout或使用Java.choose等待类被加载。Java.use返回undefined类路径错误或类不存在于当前ClassLoader。1. 确认完整类名包括包名。使用adb shell dumpsys package your.package.name查看应用信息。2. 枚举所有ClassLoader来查找类Java.enumerateClassLoaders({ onMatch: function(l){ console.log(l); }, onComplete: function(){}});一个极其有用的调试技巧在脚本开头加入全局异常捕获并将错误打印出来。Java.perform(function () { // 全局try-catch防止脚本错误导致静默失败 try { // 你的Hook代码... } catch (e) { console.log([!] Script error: e); console.log(e.stack); } });5.2 脚本性能与稳定性优化当Hook的函数被高频调用时如游戏循环中的函数糟糕的脚本会导致应用卡顿甚至崩溃。减少console.logconsole.log是同步I/O操作非常耗时。在高频Hook点可以改为条件打印或者将信息缓存到数组定期输出。var logCache []; TargetClass.frequentMethod.implementation function() { // 避免每次都打印 // console.log(Called); // 坏 logCache.push(Called at Date.now()); // 好一点 if (logCache.length 100) { // 积累一定数量再打印 console.log([*] logCache.join(\n)); logCache []; } return this.frequentMethod(); };使用NativeFunction高效调用Native API如果需要在JS中频繁调用同一个Native函数应缓存NativeFunction对象而不是每次都通过Module.getExportByName查找。var nativeFuncPtr Module.getExportByName(libc.so, strlen); var strlen new NativeFunction(nativeFuncPtr, int, [pointer]); // 后续重复使用 strlen 这个变量避免阻塞主线程如果你的Hook逻辑需要执行耗时操作如网络请求务必将其放入setTimeout或创建新的线程中执行否则会阻塞应用主线程导致ANRApplication Not Responding。5.3 脚本工程化模块化与重用随着Hook脚本越来越复杂将其拆分为模块是必然选择。Frida脚本本质是JavaScript可以利用其模块化特性。使用include语句Frida的JavaScript引擎支持require吗不完全一样但你可以用eval来加载其他脚本文件。更常见的做法是使用构建工具如webpack将多个JS文件打包成一个。封装通用Hook函数将常用的Hook模式写成函数。function hookAlwaysTrue(className, methodName) { var clazz Java.use(className); var originalMethod clazz[methodName]; if (originalMethod) { originalMethod.implementation function () { console.log([*] ${className}.${methodName} hooked.); return true; }; console.log([] Successfully hooked ${className}.${methodName}); } else { console.log([!] Method ${methodName} not found in ${className}); } } Java.perform(function () { hookAlwaysTrue(com.example.myapplication.MainActivity, checkPassword); // 可以继续Hook其他... });配置文件将需要Hook的类名、方法名、参数等写入一个JSON配置文件脚本读取配置并自动执行Hook。这使得脚本更加灵活可以快速适配不同的目标应用。从写一个简单的几行脚本到构建一个健壮、可配置、可复用的Hook框架是Frida技能从入门到精通的标志。这不仅能提升效率也能让你更好地应对大型、复杂的分析目标。记住动态修改的逻辑背后是对目标应用行为深刻的理解而Frida是你达成这一理解最强大的探针和手术刀。