告别零散教程：用Frida+Objection玩转Android应用动态分析（实战内存搜索与Hook）-程序员充电站

Frida+Objection实战：从内存搜索到动态Hook的Android逆向进阶指南

在逆向工程的世界里，静态分析只能揭示冰山一角，真正的秘密往往隐藏在运行时行为中。本文将带您深入Frida+Objection工具链的实战应用，通过一个完整的Android系统设置应用分析案例，掌握从内存搜索到动态Hook的高级技巧。

1. 环境准备与目标设定

工欲善其事，必先利其器。在开始实战前，确保您已配置好以下环境：

Frida 14.2.14+Objection 1.11.0（版本匹配至关重要）
Android测试设备（真机或模拟器，建议使用x86_64架构）
目标应用：com.android.settings（系统设置）

提示：使用adb shell getprop ro.product.cpu.abi确认设备架构，下载对应版本的frida-server

启动frida-server并验证连接：

adb push frida-server /data/local/tmp/ adb shell "chmod 755 /data/local/tmp/frida-server" adb shell "/data/local/tmp/frida-server -l 0.0.0.0:8888" frida-ps -H 设备IP:8888 # 验证连接

2. Objection基础操作与内存漫游

Objection作为Frida的"瑞士军刀"，提供了REPL环境下的强大交互能力。启动探索模式：

objection -N -h 设备IP -p 8888 -g com.android.settings explore

进入REPL后，我们可以开始内存探索：

常用内存操作命令：

命令	功能	示例
`android heap search instances`	搜索类实例	`android heap search instances com.android.settings.DisplaySettings`
`android heap evaluate`	执行JS代码	`android heap evaluate 实例ID "console.log(clazz)"`
`memory list modules`	列出加载的so库	`memory list modules`
`memory dump all from_base`	完整内存转储	`memory dump all from_base`

实战示例：搜索DisplaySettings类实例并检查方法

# 搜索实例 [objection] android heap search instances com.android.settings.DisplaySettings Found 1 instance of com.android.settings.DisplaySettings --> 36485274 # 查看实例方法 [objection] android heap execute 36485274 getPreferenceScreenResId (int) 2132082976

3. 动态Hook技术实战

动态Hook是逆向分析的核心技术，Objection提供了多种Hook方式：

3.1 基础Hook方法

Hook单个类方法：

android hooking watch class_method com.android.settings.DisplaySettings.onCreate --dump-args --dump-backtrace --dump-return

Hook所有重载方法：

android hooking watch class com.android.settings.DisplaySettings

3.2 自动化Hook脚本生成

Objection可以自动生成Hook脚本，大幅提升效率：

android hooking generate simple com.android.settings.DisplaySettings

生成的脚本包含类所有方法的Hook模板，可直接修改使用。

3.3 Wallbreaker插件高级内存操作

Wallbreaker是Objection的增强插件，提供更强大的内存分析能力：

plugin load Wallbreaker plugin wallbreaker classdump --fullname com.android.settings.DisplaySettings

Wallbreaker核心功能对比：

功能	原生Objection	Wallbreaker增强
类信息转储	基础方法列表	完整类结构+继承关系
字段访问	不支持	支持字段读取/修改
内存搜索	基础字符串搜索	支持正则表达式
对象图	不支持	生成对象引用关系图

4. 综合实战：逆向显示设置流程

让我们通过一个完整案例，分析Android显示设置的关键流程：

4.1 定位关键类

android hooking search classes display android hooking list class_methods com.android.settings.DisplaySettings

4.2 Hook亮度调节逻辑

// brightness_hook.js Java.perform(function() { var DisplaySettings = Java.use('com.android.settings.DisplaySettings'); DisplaySettings.onPreferenceTreeClick.implementation = function(preference) { var key = preference.getKey(); if (key.indexOf("brightness") !== -1) { console.log("亮度设置被触发: " + key); console.log("当前调用栈: " + Java.use("android.util.Log").getStackTraceString( Java.use("java.lang.Throwable").$new())); } return this.onPreferenceTreeClick(preference); }; });

注入脚本：

frida -H 设备IP:8888 -f com.android.settings -l brightness_hook.js --no-pause

4.3 内存修改实战

发现亮度值存储在SharedPreferences后，我们可以动态修改：

var SharedPreferences = Java.use('android.content.SharedPreferences$Editor'); SharedPreferences.putInt.overload('java.lang.String', 'int').implementation = function(key, value) { if (key === "screen_brightness") { console.log("修改亮度值: " + value); value = 150; // 强制设置为中等亮度 } return this.putInt(key, value); };

5. 高级技巧与问题排查

在实际分析中，您可能会遇到以下挑战及解决方案：

常见问题排查表：

问题现象	可能原因	解决方案
Hook失败	类未加载	先触发目标功能再Hook
方法参数显示不全	混淆或泛型	使用Wallbreaker分析类结构
性能下降严重	Hook点过多	精确过滤目标方法
应用崩溃	JS异常未捕获	添加try-catch块