当前位置： 首页 > article >正文

使用 jnitrace 分析 native 方法调用过程

article 2024/10/28 8:09:59

版权归作者所有，如有转发，请注明文章出处：https://cyrus-studio.github.io/blog/

jnitrace

jnitrace 可以动态跟踪 Java 层通过 JNI 接口调用 native 层（C/C++）代码的过程。它会记录并显示每一个 JNI 函数的调用，包括方法签名、参数、返回值等详细信息。

项目地址：https://github.com/chame1eon/jnitrace

安装 jnitrace

jnitrace 的使用依赖于 Frida。在使用 jnitrace 之前，需要确保 Frida 和 Python 环境已安装。可以参考下面两篇文章：

  • 使用 Frida Hook Android App

  • 使用Miniconda管理Python环境

通过下面的命令安装 jnitrace

pip install jnitrace

解决 frida.NotSupportedError

运行 jnitrace 报错如下

jnitrace -l libnative-lib.so com.cyrus.exammple

Traceback (most recent call last):
  File "D:\App\Miniconda3\envs\anti-app\lib\runpy.py", line 194, in _run_module_as_main
    return _run_code(code, main_globals, None,
  File "D:\App\Miniconda3\envs\anti-app\lib\runpy.py", line 87, in _run_code
    exec(code, run_globals)
  File "D:\App\Miniconda3\envs\anti-app\Scripts\jnitrace.exe\__main__.py", line 7, in \<module>
  File "D:\App\Miniconda3\envs\anti-app\lib\site-packages\jnitrace\jnitrace.py", line 584, in main
    pid = device.spawn([args.target], **aux_kwargs)
  File "D:\App\Miniconda3\envs\anti-app\lib\site-packages\frida\core.py", line 26, in wrapper
    return f(*args, **kwargs)
  File "D:\App\Miniconda3\envs\anti-app\lib\site-packages\frida\core.py", line 140, in spawn
    return self._impl.spawn(program, argv, envp, env, cwd, stdio, aux_options)
frida.NotSupportedError: need Gadget to attach on jailed Android; its default location is: C:\Users\cyurs\AppData\Local\Microsoft\Windows\INetCache\frida\gadget-android-arm64.so

看报错信息是缺少 gadget-android-arm64.so 文件导致的，去 frida releases 中下载对应 frida 版本的 gadget 文件。
image.png

下载完成后解压到 C:\Users\cyurs\AppData\Local\Microsoft\Windows\INetCache\frida\gadget-android-arm64.so 就解决了。

使用 jnitrace 进行 JNI 跟踪

注意：在使用 jnitrace 之前需要先启动 frida-server。

1. jnitrace 跟踪 JNI 函数调用

执行下面命令附加到包名为 com.cyrus.exammple 的应用程序中，并开始跟踪 libnative-lib.so 中所有的 JNI 调用。
jnitrace -l libnative-lib.so com.cyrus.exammple

通过 -R host:port 自定义 firda-server 的端口号

jnitrace -R 127.0.0.1:1234 -l libnative-lib.so com.cyrus.example

Tracing. Press any key to quit...
Traced library "libnative-lib.so" loaded from path "/data/app/com.cyrus.example-Jh9YgSVDqZ5bKxgv0f1E6w==/base.apk!/lib/arm64-v8a".

           /* TID 13912 */
   5973 ms [+] JNIEnv->NewStringUTF
   5973 ms |- JNIEnv*          : 0x7292c3c180
   5973 ms |- char*            : 0x7fc2a5b5d1
   5973 ms |:     Hello From Native
   5973 ms |= jstring          : 0x71    { Hello From Native }

   5973 ms ------------------------------------Backtrace------------------------------------
   5973 ms |->       0x719d3b1080: libnative-lib.so!0x25080 (libnative-lib.so:0x719d38c000)
   
    

Stopping application (name=com.cyrus.example, pid=13912)...stopped.

2. 自定义跟踪特定的 JNI 函数

如果只想跟踪特定的 JNI 函数，例如 RegisterNatives，可以通过以下方式实现

jnitrace -R 127.0.0.1:1234 -l libGameVMP.so -i RegisterNatives com.shizhuang.duapp

这个命令会仅跟踪 RegisterNatives 调用，从而帮助找到动态注册的 native 方法。

Tracing. Press any key to quit...
Traced library "libGameVMP.so" loaded from path "/data/app/com.shizhuang.duapp-fTxemmnM8l6298xbBELksQ==/lib/arm64".

           /* TID 26932 */
    478 ms [+] JNIEnv->RegisterNatives
    478 ms |- JNIEnv*          : 0x757bdfe180
    478 ms |- jclass           : 0xe9    { lte/NCall }
    478 ms |- JNINativeMethod* : 0x7fc96e3128
    478 ms |:     0x747e51293c - dI(I)I
    478 ms |- jint             : 1
    478 ms |= jint             : 0

    478 ms --------------------------------Backtrace--------------------------------
    478 ms |->       0x747e50d998: libGameVMP.so!0x6998 (libGameVMP.so:0x747e507000)


           /* TID 26932 */
    493 ms [+] JNIEnv->RegisterNatives
    493 ms |- JNIEnv*          : 0x757bdfe180
    493 ms |- jclass           : 0xe9    { lte/NCall }
    493 ms |- JNINativeMethod* : 0x7fc96e3140
    493 ms |:     0x747e512aec - dS(Ljava/lang/String;)Ljava/lang/String;
    493 ms |- jint             : 1
    493 ms |= jint             : 0

    493 ms --------------------------------Backtrace--------------------------------
    493 ms |->       0x747e50d998: libGameVMP.so!0x6998 (libGameVMP.so:0x747e507000)


           /* TID 26932 */
    508 ms [+] JNIEnv->RegisterNatives
    508 ms |- JNIEnv*          : 0x757bdfe180
    508 ms |- jclass           : 0xe9    { lte/NCall }
    508 ms |- JNINativeMethod* : 0x7fc96e3158
    508 ms |:     0x747e512ad0 - dL(J)J
    508 ms |- jint             : 1
    508 ms |= jint             : 0

    508 ms --------------------------------Backtrace--------------------------------
    508 ms |->       0x747e50d998: libGameVMP.so!0x6998 (libGameVMP.so:0x747e507000)


           /* TID 26932 */
    522 ms [+] JNIEnv->RegisterNatives
    522 ms |- JNIEnv*          : 0x757bdfe180
    522 ms |- jclass           : 0xe9    { lte/NCall }
    522 ms |- JNINativeMethod* : 0x7fc96e3170
    522 ms |:     0x747e514fa8 - IV([Ljava/lang/Object;)V
    522 ms |- jint             : 1
    522 ms |= jint             : 0

    522 ms --------------------------------Backtrace--------------------------------
    522 ms |->       0x747e50d998: libGameVMP.so!0x6998 (libGameVMP.so:0x747e507000)


           /* TID 26932 */
    537 ms [+] JNIEnv->RegisterNatives
    537 ms |- JNIEnv*          : 0x757bdfe180
    537 ms |- jclass           : 0xe9    { lte/NCall }
    537 ms |- JNINativeMethod* : 0x7fc96e3188
    537 ms |:     0x747e514fa8 - IZ([Ljava/lang/Object;)Z
    537 ms |- jint             : 1
    537 ms |= jint             : 0

    537 ms --------------------------------Backtrace--------------------------------
    537 ms |->       0x747e50d998: libGameVMP.so!0x6998 (libGameVMP.so:0x747e507000)


           /* TID 26932 */
    551 ms [+] JNIEnv->RegisterNatives
    551 ms |- JNIEnv*          : 0x757bdfe180
    551 ms |- jclass           : 0xe9    { lte/NCall }
    551 ms |- JNINativeMethod* : 0x7fc96e31a0
    551 ms |:     0x747e514fa8 - IB([Ljava/lang/Object;)B
    551 ms |- jint             : 1
    551 ms |= jint             : 0

    551 ms --------------------------------Backtrace--------------------------------
    551 ms |->       0x747e50d998: libGameVMP.so!0x6998 (libGameVMP.so:0x747e507000)


           /* TID 26932 */
    566 ms [+] JNIEnv->RegisterNatives
    566 ms |- JNIEnv*          : 0x757bdfe180
    566 ms |- jclass           : 0xe9    { lte/NCall }
    566 ms |- JNINativeMethod* : 0x7fc96e31b8
    566 ms |:     0x747e514fa8 - IC([Ljava/lang/Object;)C
    566 ms |- jint             : 1
    566 ms |= jint             : 0

    566 ms --------------------------------Backtrace--------------------------------
    566 ms |->       0x747e50d998: libGameVMP.so!0x6998 (libGameVMP.so:0x747e507000)


           /* TID 26932 */
    580 ms [+] JNIEnv->RegisterNatives
    580 ms |- JNIEnv*          : 0x757bdfe180
    580 ms |- jclass           : 0xe9    { lte/NCall }
    580 ms |- JNINativeMethod* : 0x7fc96e31d0
    580 ms |:     0x747e514fa8 - IS([Ljava/lang/Object;)S
    580 ms |- jint             : 1
    580 ms |= jint             : 0

    580 ms --------------------------------Backtrace--------------------------------
    580 ms |->       0x747e50d998: libGameVMP.so!0x6998 (libGameVMP.so:0x747e507000)


           /* TID 26932 */
    594 ms [+] JNIEnv->RegisterNatives
    594 ms |- JNIEnv*          : 0x757bdfe180
    594 ms |- jclass           : 0xe9    { lte/NCall }
    594 ms |- JNINativeMethod* : 0x7fc96e31e8
    594 ms |:     0x747e514fa8 - II([Ljava/lang/Object;)I
    594 ms |- jint             : 1
    594 ms |= jint             : 0

    594 ms --------------------------------Backtrace--------------------------------
    594 ms |->       0x747e50d998: libGameVMP.so!0x6998 (libGameVMP.so:0x747e507000)


           /* TID 26932 */
    609 ms [+] JNIEnv->RegisterNatives
    609 ms |- JNIEnv*          : 0x757bdfe180
    609 ms |- jclass           : 0xe9    { lte/NCall }
    609 ms |- JNINativeMethod* : 0x7fc96e3200
    609 ms |:     0x747e514fe8 - IF([Ljava/lang/Object;)F
    609 ms |- jint             : 1
    609 ms |= jint             : 0

    609 ms --------------------------------Backtrace--------------------------------
    609 ms |->       0x747e50d998: libGameVMP.so!0x6998 (libGameVMP.so:0x747e507000)


           /* TID 26932 */
    623 ms [+] JNIEnv->RegisterNatives
    623 ms |- JNIEnv*          : 0x757bdfe180
    623 ms |- jclass           : 0xe9    { lte/NCall }
    623 ms |- JNINativeMethod* : 0x7fc96e3218
    623 ms |:     0x747e514fa8 - IJ([Ljava/lang/Object;)J
    623 ms |- jint             : 1
    623 ms |= jint             : 0

    623 ms --------------------------------Backtrace--------------------------------
    623 ms |->       0x747e50d998: libGameVMP.so!0x6998 (libGameVMP.so:0x747e507000)


           /* TID 26932 */
    637 ms [+] JNIEnv->RegisterNatives
    637 ms |- JNIEnv*          : 0x757bdfe180
    637 ms |- jclass           : 0xe9    { lte/NCall }
    637 ms |- JNINativeMethod* : 0x7fc96e3230
    637 ms |:     0x747e515028 - ID([Ljava/lang/Object;)D
    637 ms |- jint             : 1
    637 ms |= jint             : 0

    637 ms --------------------------------Backtrace--------------------------------
    637 ms |->       0x747e50d998: libGameVMP.so!0x6998 (libGameVMP.so:0x747e507000)


           /* TID 26932 */
    652 ms [+] JNIEnv->RegisterNatives
    652 ms |- JNIEnv*          : 0x757bdfe180
    652 ms |- jclass           : 0xe9    { lte/NCall }
    652 ms |- JNINativeMethod* : 0x7fc96e3248
    652 ms |:     0x747e514fa8 - IL([Ljava/lang/Object;)Ljava/lang/Object;
    652 ms |- jint             : 1
    652 ms |= jint             : 0

    652 ms --------------------------------Backtrace--------------------------------
    652 ms |->       0x747e50d998: libGameVMP.so!0x6998 (libGameVMP.so:0x747e507000)

3. 附加到正在运行的应用上

通过 -m <spawn|attach> 指定 Frida 附加方式，默认为 spawn（创建新的进程来启动目标应用程序并进行注入）。

执行下面命令通过 -m attach 附加到正在运行的应用上

jnitrace -R 127.0.0.1:1234 -m attach -l libnative-lib.so com.cyrus.example

4. 详细参数说明

参数说明：

  • -l <library>：指定要追踪的库，可以使用多次，例如 -l libnative-lib.so -l libanother-lib.so，或使用 -l * 追踪所有库。

  • <package>：目标应用的包名，必须已安装在设备上。

可选参数：

  • -R <host>:<port>：指定远程 Frida server 的位置（默认是 localhost:27042）。

  • -m <spawn|attach>：指定 Frida 附加方式，默认为 spawn，推荐使用。

  • -b <fuzzy|accurate|none>：控制追踪输出的堆栈信息，默认 accurate，可以选择 fuzzy 或 none 禁用。

  • -i <regex>：指定方法名称的正则表达式进行追踪，可以多次使用，如 -i Get -i RegisterNatives。

  • -e <regex>：排除指定方法名称的正则表达式，如 -e ^Find -e GetEnv。

  • -I <string>：指定库中的导出方法进行追踪，适用于只追踪部分导出方法，如 -I stringFromJNI。

  • -E <string>：排除指定导出方法的追踪，如 -E JNI_OnLoad -E nativeMethod。

  • -o <path/output.json>：指定追踪数据保存路径，以 JSON 格式存储。

  • -p <path/to/script.js>：加载自定义 Frida 脚本，jnitrace 加载前执行，用于绕过反调试。

  • -a <path/to/script.js>：加载自定义 Frida 脚本，jnitrace 加载后执行。

  • –hide-data：减少输出，隐藏 hexdump 和字符串引用。

  • –ignore-env：隐藏通过 JNIEnv 的调用。

  • –ignore-vm：隐藏通过 JavaVM 的调用。

  • –aux <name=(string|bool|int)value>：传递自定义参数，例如 --aux=‘uid=(int)10’。

输出说明

Traced library "libGameVMP.so" loaded from path "/data/app/com.xxx.duapp-fTxemmnM8l6298xbBELksQ==/lib/arm64".

           /* TID 9541 */ # 表示线程 ID（TID）为 9541，当前的 JNI 调用是在这个线程上执行的。
    613 ms [+] JNIEnv->RegisterNatives # 表示在 613 ms 时间点调用了 JNIEnv->RegisterNatives 方法
    613 ms |- JNIEnv*          : 0x757bdfe180 # 参数，JNIEnv 指针，0x757bdfe180 是该指针的内存地址。
    613 ms |- jclass           : 0xe9    { lte/NCall } # 参数，0xe9 为传递的 Java 类对象的句柄
    613 ms |- JNINativeMethod* : 0x7fc96e3128 # 参数，指向 JNINativeMethod 数组的指针 0x7fc96e3128，这个数组定义了要注册的本地方法。
    613 ms |:     0x747e54d93c - dI(I)I # 这是 JNINativeMethod 数组中的一项数据细节。0x747e54d93c 是本地函数的地址，dI(I)I 是方法的签名
    613 ms |- jint             : 1 # 参数，表示要注册的本地方法数量
    613 ms |= jint             : 0 # RegisterNatives 方法的返回值

    613 ms --------------------------------Backtrace--------------------------------
    613 ms |->       0x747e548998: libGameVMP.so!0x6998 (libGameVMP.so:0x747e542000) # 这是调用 RegisterNatives 方法时的调用堆栈信息。
    # 0x747e548998 是调用地址。
    # libGameVMP.so!0x6998 表示 libGameVMP.so 库中的偏移地址 0x6998。
    # (libGameVMP.so:0x747e542000) 指示库的基地址 0x747e542000。

http://www.kler.cn/news/368438.html

相关文章：

  • Java | ReentrantLock 锁和 synchronized 锁的区别和共同特点是什么？
  • B端产品常用组件及设计规则 原型图 Axure原型图 交互设计
  • [Python学习日记-57] 常用模块的练习（答案更新中）
  • c++编解码封装
  • 图层之间的加减法
  • 量子变分算法 （python qiskit）
  • 容器化与微服务
  • Elasticsearch的实战应用
  • 从k8s的事件聊聊for循环
  • openEuler 逻辑卷操作案例
  • Oracle SQL语句 某字段重复数据只取一条
  • 大数据湖仓一体架构未来思考
  • 形象地说明Chubby分布式锁服务的工作原理
  • Tomcat隐藏版本号和报错信息
  • 文本编辑器的解压和使用
  • windows SVN 忘记账号密码
  • SPI总线入门
  • Python中的变量有哪些类型？
  • 超全（OD逆向常用断点）包括多个语言，易语言也有
  • 人工智能的未来：重塑生活与工作的变革者
  • 高效租房流程管理：Spring Boot租房系统解析
  • 聚簇索引和非聚簇索引B+树的关系
  • 研发效能DevOps: Vite 使用 Vue Router
  • Echarts_柱状图属性汇总
  • 数据分析每周挑战——睡眠质量影响因素研究
  • 《YOLO 目标检测》—— YOLO v3 详细介绍