在Frida里面做http请求: 聊聊jar to dex

一、目标

李老板: 奋飞呀，你hook这个App之后拿到token，然后上报给我的服务器好不好？

奋飞: 木问题。

二、步骤

gumjs-http

在frida里面做http请求，最根正苗红的必须是 gumjs-http ，大胡子出品，有保障

https://github.com/frida/gumjs-http

可惜的是我没有搞明白，李老板催的紧，木有时间去慢慢研究了。

先搞个Server测试

子曾经曰过：人生苦短，快用Python。

不过最近发现go更适合我们这些C/C++老江湖。先撸个测试的Http Server出来

package main

import "github.com/gin-gonic/gin"

func main() {
        // https://geektutu.com/post/quick-go-gin.html
        r := gin.Default()
        r.GET("/", func(c *gin.Context) {
                c.String(200, "Hello World")
        })
        r.Run() // listen and serve on 0.0.0.0:8080
}

老朋友AndroidAsync

http://91fans.com.cn/post/fridarpctwo/

之前我们在Frida RPC的时候介绍过用 AndroidAsync 来做httpServer。既然能做Server，那么大概率也能做HttpClient吧？

https://github.com/koush/AndroidAsync

// url is the URL to download.
AsyncHttpClient.getDefaultInstance().getString(url, new AsyncHttpClient.StringCallback() {
    // Callback is invoked with any exceptions/errors, and the result, if available.
    @Override
    public void onCompleted(Exception e, AsyncHttpResponse response, String result) {
        if (e != null) {
            e.printStackTrace();
            return;
        }
        System.out.println("I got a string: " + result);
    }
});

查了一下它的文档，果然有戏。

那就这么玩

var url = "http://192.168.2.103:8080/?tk=123456";

Java.openClassFile("/data/local/tmp/androidAsync.dex").load();

var AsyncHttpClient = Java.use("com.koushikdutta.async.http.AsyncHttpClient");

var androidClent = AsyncHttpClient.getDefaultInstance().execute(url,null);

是的，我嫌 AsyncHttpClient.StringCallback 初始化太麻烦，反正李老板只要我上报，没说要检查结果。

[GIN] 2022/05/25 - 10:33:12 | 200 |      35.119µs |   192.168.2.105 | GET      /?tk=123456

没问题，上报成功，可以收工干鲜啤去了。

jar to dex 打开新世界的大门

事情还没结束，老板这种生物果然不能用常理推测。李老板居然要我判断下返回值和提交失败的情况。

有了 AndroidAsync 的经验，对于咱们这种二把刀java程序员来说，有个更帅的解决方案，我拿java写好一个http函数，然后直接编译成dex来给frida调用不就行了。

说干就干，打开idea，写个http请求的函数。

package com.fenfei.http;

public class Main {
    public static String doGet(String httpurl) {...}
    public static String doPost(String httpUrl, String param) {...}

    public static void main(String[] args) {
            System.out.println(doGet("http://192.168.2.103:8080/?tk=8976"));
    }
}

然后编译成jar包

我们得到了 fridaHttp.jar

然后需要一个dx命令来把 jar转成 dex

dx命令一般生活在你装的Android SDK的 build-tools 目录下面

比如我的在

/Users/fenfei/Library/Android/sdk/build-tools/23.0.2

然后执行，(我把fridaHttp.jar文件直接拷到dx同一目录了)

./dx --dex --output=fridaHttp.dex fridaHttp.jar

果不其然，报错了，

java.lang.RuntimeException: Exception parsing classes

这个不要慌，谷哥会告诉我们原因，我本机编译jar包用的jdk版本是1.8。而Android貌似最高只支持jdk 1.7。

所以需要把编译的jdk版本改成1.7

重新编译一下，再跑一下dx命令，完美生成 fridaHttp.dex

adb push扔到手机里面，开始重写js

var url = "http://192.168.2.103:8080/?tk=123456";

Java.openClassFile("/data/local/tmp/fridaHttp.dex").load();

var MainHttpCls = Java.use("com.fenfei.http.Main");

var rc = MainHttpCls.doGet(url);
console.log(rc);

跑一下，没天理呀，还报错

Error: android.os.NetworkOnMainThreadException

唉，作为一个二把刀java程序员太难了。

继续问谷哥吧，哥说了，java不让在主线程里面做http请求，你为啥不早说。

class sendHttpCls implements Runnable{
        public void run(){
                doGet(url);
        }
}

public class RunnableDemo{
        public static void main(String[] args){
                sendHttpCls my = new sendHttpCls();
                new Thread(my).start();
        }
}

解决办法炒鸡Easy，起个线程包起来就行了。不过我dex好不容易编译好了，舍不得改了。

试试在Frida里面起多线程吧。

var Thread = Java.use("java.lang.Thread");
var Runnable = Java.use("java.lang.Runnable");
var sendHttpCls = Java.registerClass({ //注册一个类
    name: "com.example.fenfei",   //包名
    implements: [Runnable], //实现Runnable
    methods: {
        run: function () {
            var rc = MainHttpCls.doGet(url);
            console.log(rc);
        }
    }
});

var uHttp = sendHttpCls.$new();
Thread.$new(uHttp).start();

再跑一下，完美搞定，排队买鲜啤去了~

三、总结

实现很重要，实现的原理更重要，了解原理了，就可以举一反三。

搞Android逆向，可以不懂java，但是要有借助谷哥搞明白的能力。有问题先问谷哥，再问飞哥。

从理论上说，理论与实践没有不同，但是到了实践中，二者却有天壤之别

关注微信公众号，最新技术干货实时推送