无壳app的libmsaoaidsec.so frida反调试绕过姿势

文章预览

当前许多应用通过集成 libmsaoaidsec.so 实现针对 Frida 的反调试机制，其核心逻辑是在应用启动过程中，当加载 libmsaoaidsec.so 动态库时，会通过 pthread_create() 创建独立线程，并在该线程内执行反调试函数，主动扫描 Frida 进程、端口、内存特征等痕迹。若检测到 Frida 存在，则触发进程终止或崩溃。 针对这种机制的绕过思路可以从破坏反调试线程的加载或执行入手，文章会对不同的app进行测试，对于使用libmsaoaidsec.so来进行反调试的app，思路是一样的。 定位 通过hook dlopen()函数根据最后加载的so文件来确定程序是在加载哪个so之后退出的。 function hook_dlopen (){ //Android8.0之后加载so通过android_dlopen_ext函数 var android_dlopen_ext = Module . findExportByName ( null , "android_dlopen_ext" ); console . log ( "addr_android_dlopen_ext" ,android_dlopen_ext); Interceptor . attach (android_dlopen_ ………………………………