Frida (Dynamic Instrumentation)

# ฝั่งเครื่องเรา
pip install frida-tools          # ได้ frida, frida-trace, frida-ps

# Android (ต้อง root): ดาวน์โหลด frida-server ตรง arch + version
#   https://github.com/frida/frida/releases  (เช่น frida-server-16.x-android-arm64)
adb push frida-server /data/local/tmp/
adb shell "chmod 755 /data/local/tmp/frida-server"
adb shell "su -c /data/local/tmp/frida-server &"

# ตรวจว่าเชื่อมได้ + list process บนอุปกรณ์
frida-ps -U
frida-ps -Uai            # -a เฉพาะแอป, -i รวมที่ยังไม่รัน

# spawn แอปแล้ว attach script
frida -U -f com.target.app -l hook.js --no-pause

// hook by export name — เห็นค่าที่ strcmp เทียบ (มัก = password/flag)
Interceptor.attach(Module.getExportByName(null, 'strcmp'), {
  onEnter(args) {
    this.a = args[0].readUtf8String();
    this.b = args[1].readUtf8String();
    console.log('[strcmp]', this.a, 'vs', this.b);
  },
  onLeave(retval) {
    // บังคับให้ strcmp คืน 0 (=เท่ากัน) เสมอ → ผ่าน check
    retval.replace(0);
  }
});

// hook by base + offset (offset จาก Ghidra ของฟังก์ชัน check)
const base = Module.getBaseAddress('target');    // หรือ 'libnative.so'
Interceptor.attach(base.add(0x1234), {
  onEnter(args) {
    console.log('arg0 =', args[0].readUtf8String());
    // แก้ argument: ชี้ไป buffer ใหม่
    args[0] = Memory.allocUtf8String('forced_input');
  },
  onLeave(retval) {
    console.log('ret =', retval);
    retval.replace(1);            // บังคับ return 1 (bypass bool check)
  }
});

// อ่าน/dump memory ที่ pointer
Interceptor.attach(Module.getExportByName(null, 'memcpy'), {
  onEnter(args) {
    const len = args[2].toInt32();
    if (len < 64) console.log(hexdump(args[1], { length: len }));
  }
});

// สร้าง NativeFunction เรียก function ในโปรแกรมเอง (เช่น decrypt(idx))
const base = Module.getBaseAddress('target');
const decrypt = new NativeFunction(base.add(0x1500), 'pointer', ['int']);
for (let i = 0; i < 10; i++)
  console.log(i, decrypt(i).readUtf8String());   // ดึงทุก string ที่ decrypt

// แทนที่ทั้งฟังก์ชัน (เช่น anti-debug ให้ return 0 เสมอ)
Interceptor.replace(base.add(0x1600), new NativeCallback(function () {
  return 0;                       // is_debugger_present() → false
}, 'int', []));

Java.perform(function () {
  // 1) hook method ตรวจ license/flag → บังคับ return true
  const Check = Java.use('com.target.app.LicenseCheck');
  Check.isValid.implementation = function (input) {
    console.log('[isValid] input =', input);
    const orig = this.isValid(input);      // เรียกของเดิมดูผลจริง
    console.log('[isValid] orig =', orig);
    return true;                            // บังคับผ่านเสมอ
  };

  // 2) ดักค่าที่ method คำนวณ (เช่น flag ที่ประกอบ runtime)
  const Crypto = Java.use('com.target.app.Crypto');
  Crypto.decrypt.overload('java.lang.String').implementation = function (s) {
    const out = this.decrypt(s);
    console.log('[decrypt]', s, '=>', out);
    return out;
  };

  // 3) hook overload หลายตัว: ระบุ .overload(types...)
  const Str = Java.use('java.lang.String');
  Str.equals.overload('java.lang.Object').implementation = function (o) {
    console.log('[String.equals] this =', this.toString(), ' arg =', o);
    return this.equals(o);
  };

  // 4) enumerate instance ที่มีอยู่ใน heap (ดึง object ที่ถือ key อยู่)
  Java.choose('com.target.app.Session', {
    onMatch: function (inst) { console.log('token =', inst.token.value); },
    onComplete: function () {}
  });
});

Java.perform(function () {
  // 1) OkHttp CertificatePinner.check() → ไม่ทำอะไร (ผ่าน pinning)
  try {
    const CP = Java.use('okhttp3.CertificatePinner');
    CP.check.overload('java.lang.String', 'java.util.List').implementation =
      function () { console.log('[pinning] bypassed'); return; };
  } catch (e) {}

  // 2) แทน TrustManager ให้ยอมรับทุก cert (SSLContext)
  const X509 = Java.use('javax.net.ssl.X509TrustManager');
  const SSLContext = Java.use('javax.net.ssl.SSLContext');
  const TM = Java.registerClass({
    name: 'org.pwn.TrustAll',
    implements: [X509],
    methods: {
      checkClientTrusted: function () {},
      checkServerTrusted: function () {},
      getAcceptedIssuers: function () { return []; }
    }
  });
  const init = SSLContext.init.overload(
    '[Ljavax.net.ssl.KeyManager;', '[Ljavax.net.ssl.TrustManager;',
    'java.security.SecureRandom');
  init.implementation = function (km, tm, sr) {
    init.call(this, km, [TM.$new()], sr);   // ยัด TrustManager ที่ยอมรับทุกอย่าง
  };
});
// รัน: frida -U -f com.target.app -l ssl-bypass.js --no-pause
// หรือใช้ objection: android sslpinning disable

Java.perform(function () {
  // root check ที่เช็คไฟล์ su
  const File = Java.use('java.io.File');
  File.exists.implementation = function () {
    const p = this.getAbsolutePath();
    if (p.indexOf('su') !== -1 || p.indexOf('magisk') !== -1) return false;
    return this.exists();
  };
});

// native ptrace anti-debug: ptrace(PTRACE_TRACEME) → บังคับ return 0
Interceptor.attach(Module.getExportByName(null, 'ptrace'), {
  onLeave(retval) { retval.replace(0); }
});

# native: hook ทุก function ที่ match pattern (สร้าง stub ให้แก้)
frida-trace -p <PID> -i 'strcmp'
frida-trace -f ./binary -i 'check*' -i '*decrypt*'   # spawn + หลาย pattern

# Android: hook Java method (-U USB, -j = Java)
frida-trace -U -f com.target.app -j 'com.target.app.*!*'
frida-trace -U com.target.app -j '*!*decrypt*'

# frida-trace สร้างไฟล์ __handlers__/<fn>.js ให้แก้ log ได้เอง
# เช่นเติม console.log(args[0].readUtf8String()) ใน onEnter แล้ว save (hot-reload)