1
2

# 查看所有网络接口
ip addr show

1
2
3
4
5

# 启动 radio0 接口
ip link set radio0 up

# 再次检查接口状态
ip addr show radio0

1
2
3
4
5

# 添加默认网关（模拟器的网关通常是 10.0.2.2）
ip route add default via 10.0.2.2 dev radio0

# 检查路由表
ip route

1
2
3
4
5
6

# 设置 DNS 服务器
setprop net.dns1 8.8.8.8
setprop net.dns2 8.8.4.4

# 验证 DNS 设置
getprop | grep dns

1
2

# 在主机命令提示符中执行
adb emu kill

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

cd /d "D:\CyberSec\Reverse\AndroidRe\AndroidSDK\emulator"

# 尝试1：使用 virtio 网络设备
emulator -avd Pixel_API_29 -no-snapshot -wipe-data -gpu host -qemu -netdev user,id=mynet0 -device virtio-net-pci,netdev=mynet0

# 尝试2：使用 e1000 网络设备
emulator -avd Pixel_API_29 -no-snapshot -wipe-data -gpu host -qemu -netdev user,id=mynet0 -device e1000,netdev=mynet0

# 尝试3：使用默认网络但强制初始化
emulator -avd Pixel_API_29 -no-snapshot -wipe-data -no-boot-anim -netdelay none -netspeed full -dns-server 8.8.8.8,8.8.4.4

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

# 等待模拟器完全启动
timeout /t 60

# 检查 adb 连接
adb devices

# 进入 shell 并检查网络
adb shell
>>
su
ip link show
ip addr show
ping -c 2 10.0.2.2

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19

APK文件（.apk）
├── AndroidManifest.xml          # 应用清单文件（二进制）
├── classes.dex                  # 可执行字节码文件
├── resources.arsc               # 编译后的资源文件
├── META-INF/                    # 签名和验证信息
│   ├── MANIFEST.MF
│   ├── CERT.SF
│   └── CERT.RSA
├── res/                         # 未编译的资源文件
│   ├── drawable/
│   ├── layout/
│   ├── values/
│   └── ...
├── assets/                      # 原始资源文件
├── lib/                         # 原生库文件
│   ├── armeabi-v7a/
│   ├── arm64-v8a/
│   └── x86/
└── kotlin/                      # Kotlin 相关类（可选）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57

plugins {
    id 'com.android.application' // 声明这是一个Android应用项目
}

android {
    compileSdkVersion 29 // 编译SDK版本
    buildToolsVersion "30.0.3" // 构建工具版本

    defaultConfig {
        applicationId "com.example.myapplication" // 应用包名
        minSdkVersion 16 // 最低支持的Android版本
        targetSdkVersion 29 // 目标SDK版本
        versionCode 1 // 内部版本号
        versionName "1.0" // 显示给用户的版本号

        testInstrumentationRunner "androidx.test.runner.AndroidJUnitRunner" // 测试运行器
        externalNativeBuild {
            cmake {
                cppFlags '-std=c++11' // C++编译参数
            }
        }
    }

    buildTypes {
        release {
            minifyEnabled false // 是否启用代码混淆
            proguardFiles getDefaultProguardFile('proguard-android-optimize.txt'), 'proguard-rules.pro' // 混淆规则文件
        }
    }
    compileOptions {
        sourceCompatibility JavaVersion.VERSION_1_8 // Java源代码兼容性
        targetCompatibility JavaVersion.VERSION_1_8 // 生成的字节码兼容性
    }
    externalNativeBuild {
        cmake {
            path file('src/main/cpp/CMakeLists.txt') // CMake构建脚本路径
            version '3.10.2' // CMake版本
        }
    }
    buildFeatures {
        viewBinding true // 启用视图绑定
    }
}

dependencies {
    // AndroidX支持库
    implementation 'androidx.appcompat:appcompat:1.2.0'
    // Material Design组件
    implementation 'com.google.android.material:material:1.2.1'
    // 约束布局
    implementation 'androidx.constraintlayout:constraintlayout:2.0.1'
    // 单元测试
    testImplementation 'junit:junit:4.+'
    // Android测试支持
    androidTestImplementation 'androidx.test.ext:junit:1.1.2'
    androidTestImplementation 'androidx.test.espresso:espresso-core:3.3.0'
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59

<?xml version="1.0" encoding="utf-8"?>
<!-- 
    AndroidManifest.xml - Android应用的清单文件
    这是Android应用的核心配置文件，定义了应用的基本信息、组件和权限
-->

<manifest xmlns:android="http://schemas.android.com/apk/res/android"
    package="com.example.myapplication"> <!-- 应用的包名，在整个Android系统中唯一标识你的应用 -->
    
    <!-- 
        application 节点 - 应用的整体配置
        这里定义了应用的基本属性和包含的组件
    -->
    <application
        android:allowBackup="true"          <!-- 是否允许应用数据备份到云端 -->
        android:icon="@mipmap/ic_launcher"  <!-- 应用图标，显示在手机桌面 -->
        android:label="@string/app_name"    <!-- 应用名称，显示在手机桌面 -->
        android:roundIcon="@mipmap/ic_launcher_round"  <!-- 圆形应用图标（部分系统使用） -->
        android:supportsRtl="true"          <!-- 是否支持从右到左的布局（如阿拉伯语） -->
        android:theme="@style/Theme.MyApplication">  <!-- 应用的主题样式 -->
        
        <!-- 
            activity 节点 - 定义一个活动（Activity）
            每个活动代表应用中的一个屏幕或界面
        -->
        <activity android:name=".MainActivity">  <!-- 活动类名，.MainActivity 表示 com.example.myapplication.MainActivity -->
            <!-- 
                intent-filter 节点 - 意图过滤器
                定义了此活动可以响应的系统或应用内的操作
            -->
            <intent-filter>
                <!-- 
                    action 节点 - 指定此活动能响应的操作
                    MAIN 表示这是应用的主入口点
                -->
                <action android:name="android.intent.action.MAIN" />
                
                <!-- 
                    category 节点 - 指定活动的类别
                    LAUNCHER 表示这个活动应该显示在应用启动器中（手机桌面）
                -->
                <category android:name="android.intent.category.LAUNCHER" />
            </intent-filter>
        </activity>
        
        <!-- 
            注意：这里只有一个活动，实际应用中可能会有多个活动
            每个活动都需要在这里声明才能使用
        -->
        
    </application>
    
    <!-- 
        注意：这里没有声明任何权限
        如果应用需要访问网络、存储、摄像头等，需要在此处添加权限声明
        例如：<uses-permission android:name="android.permission.INTERNET" />
    -->
    
</manifest>

1
2
3
4
5
6

manifest (整个应用)
└── application (应用配置)
    └── activity (一个界面)
        └── intent-filter (这个界面的作用)
            ├── action: MAIN (主要入口)
            └── category: LAUNCHER (显示在桌面)

1

用户点击图标 → Application.onCreate() → MainActivity.onCreate() → 显示界面

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21

<?xml version="1.0" encoding="utf-8"?>
<manifest xmlns:android="http://schemas.android.com/apk/res/android"
    package="com.example.myapplication">

    <application
        android:allowBackup="true"
        android:icon="@mipmap/ic_launcher"
        android:label="@string/app_name"
        android:roundIcon="@mipmap/ic_launcher_round"
        android:supportsRtl="true"
        android:theme="@style/Theme.MyApplication"
        android:name=".myapplication">//注意：这里的android:name=".myapplication"表示：系统会先加载并执行com.example.myapplication.myapplication类
        <activity android:name=".MainActivity">//再加载com.example.myapplication.MainActivity类
            <intent-filter>
                <action android:name="android.intent.action.MAIN" />
                <category android:name="android.intent.category.LAUNCHER" />
            </intent-filter>
        </activity>
    </application>

</manifest>

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17

// 1. VERBOSE（详细） - 黑色
Log.v(TAG, "最详细的日志信息");  // 通常用于大量调试信息

// 2. DEBUG（调试） - 蓝色 ★最常用★
Log.d(TAG, "调试信息");  // 开发时最常用的级别

// 3. INFO（信息） - 绿色
Log.i(TAG, "一般信息");  // 正常运行的重要信息

// 4. WARN（警告） - 黄色
Log.w(TAG, "警告信息");  // 有问题但不影响程序运行

// 5. ERROR（错误） - 红色
Log.e(TAG, "错误信息");  // 程序出错，需要修复

// 6. ASSERT（断言） - 红色
Log.wtf(TAG, "严重错误");  // "What a Terrible Failure" 非常严重的错误

1
2
3
4
5
6
7
8

// 显示一个简单的 Toast
Toast.makeText(this, "这是一个提示", Toast.LENGTH_SHORT).show();

// 分解说明：
// 1. this: 当前 Context（上下文）
// 2. "这是一个提示": 要显示的文字
// 3. Toast.LENGTH_SHORT: 显示时长（短时间）
// 4. .show(): 显示 Toast

1
2
3
4
5

// 短时间（约 2 秒）
Toast.makeText(this, "短提示", Toast.LENGTH_SHORT).show();

// 长时间（约 3.5 秒）
Toast.makeText(this, "长提示", Toast.LENGTH_LONG).show();

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37

import android.os.Bundle;
import android.view.View;
import android.widget.Button;
import android.widget.Toast;
import androidx.appcompat.app.AppCompatActivity;

public class MainActivity extends AppCompatActivity {
    
    @Override
    protected void onCreate(Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        setContentView(R.layout.activity_main);
        
        Button btnShort = findViewById(R.id.btn_short);
        Button btnLong = findViewById(R.id.btn_long);
        
        // 短时间 Toast
        btnShort.setOnClickListener(new View.OnClickListener() {
            @Override
            public void onClick(View v) {
                Toast.makeText(MainActivity.this, 
                    "操作成功", 
                    Toast.LENGTH_SHORT).show();
            }
        });
        
        // 长时间 Toast
        btnLong.setOnClickListener(new View.OnClickListener() {
            @Override
            public void onClick(View v) {
                Toast.makeText(MainActivity.this, 
                    "文件已保存到相册，请注意查看", 
                    Toast.LENGTH_LONG).show();
            }
        });
    }
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34

<LinearLayout
    xmlns:android="http://schemas.android.com/apk/res/android"
    android:layout_width="match_parent"
    android:layout_height="match_parent"
    android:orientation="vertical"
    android:padding="16dp">
	<!-- vertical:垂直布局 -->
    <!-- TextView -->
    <TextView
        android:id="@+id/myTextView"
        android:layout_width="wrap_content"
        android:layout_height="wrap_content"
        android:text="显示文本"
        android:textSize="18sp" />

    <!-- EditText -->
    <EditText
        android:id="@+id/myEditText"
        android:layout_width="match_parent"
        android:layout_height="wrap_content"
        android:hint="输入内容"
        android:layout_marginTop="10dp" />

    <!-- Button -->
    <Button
        android:id="@+id/myButton"
        android:layout_width="wrap_content"
        android:layout_height="wrap_content"
        android:text="点击我"
        android:layout_marginTop="10dp"
        android:onClick="testButton"/>

</LinearLayout>
<!-- LinearLayout标签:线性布局 -->

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53

import android.os.Bundle;
import android.view.View;
import android.widget.Toast;
import androidx.appcompat.app.AppCompatActivity;
import com.example.myapplication.databinding.ActivityMainBinding;

public class MainActivity extends AppCompatActivity {
    private ActivityMainBinding binding;
    
    @Override
    protected void onCreate(Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        
        // 1. 初始化绑定
        binding = ActivityMainBinding.inflate(getLayoutInflater());
        setContentView(binding.getRoot());
        
        // 2. 绑定并设置控件
        
        // TextView 绑定：设置文本
        binding.myTextView.setText("欢迎使用App");
        
        // EditText 绑定：设置事件监听
        binding.myEditText.setOnFocusChangeListener(new View.OnFocusChangeListener() {
            @Override
            public void onFocusChange(View v, boolean hasFocus) {
                if (!hasFocus) {
                    // 失去焦点时处理
                    String input = binding.myEditText.getText().toString();
                    Toast.makeText(MainActivity.this, "输入了: " + input, Toast.LENGTH_SHORT).show();
                }
            }
        });
        
        // Button 绑定：设置点击事件
        binding.myButton.setOnClickListener(new View.OnClickListener() {
            @Override
            public void onClick(View v) {
                // 获取 EditText 的内容
                String input = binding.myEditText.getText().toString();
                
                // 更新 TextView 显示
                binding.myTextView.setText("你输入了: " + input);
                
                // 清空 EditText
                binding.myEditText.setText("");
                
                // 显示提示
                Toast.makeText(MainActivity.this, "按钮被点击", Toast.LENGTH_SHORT).show();
            }
        });	//匿名类
    }
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84

package com.example.myapplication;

import androidx.appcompat.app.AppCompatActivity;

import android.os.Bundle;
import android.util.Log;
import android.view.View;
import android.widget.Button;
import android.widget.EditText;
import android.widget.TextView;
import android.widget.Toast;

import com.example.myapplication.databinding.ActivityMainBinding;

public class MainActivity extends AppCompatActivity implements View.OnClickListener {

    // Used to load the 'native-lib' library on application startup.
    static {
        Log.d("example","MainAcivity static");
        System.loadLibrary("native-lib");
    }

    private ActivityMainBinding binding;
    private TextView tv;
    private EditText et;

    @Override
    protected void onCreate(Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        Log.d("example","MainAcivity onCreate");
        binding = ActivityMainBinding.inflate(getLayoutInflater());
        setContentView(binding.getRoot());
        Button button = binding.button;
        tv = binding.sampleText;
        et = binding.editTextTextPersonName;

        button.setOnClickListener(this);    //method 1
        //button.setOnClickListener(new MainActivity());
        //button.setOnClickListener(MainActivity.this);

        //button.setOnClickListener(new MyClick()); //method 2
//        button.setOnClickListener(new View.OnClickListener(){ //method 3
//            @Override
//            public void onClick(View v) {
//                Log.d("example","onClick");
//            }
//        });

        // Example of a call to a native method
    //    TextView tv = binding.sampleText;
    //    tv.setText(stringFromJNI());
    }

    /**
     * A native method that is implemented by the 'native-lib' native library,
     * which is packaged with this application.
     */
    public native String stringFromJNI();

    public void testButton(View view) {
        Log.d("example","This is a button");
    }   //method 4

    @Override
    public void onClick(View v) {
        switch (v.getId()) {
            case R.id.button:
                Log.d("example","onClick");
                Toast.makeText(MainActivity.this,"szh",Toast.LENGTH_SHORT).show();
                tv.setText(R.string.lhq);
                Log.d("example",et.getText().toString());
                et.setText(R.string.lhq);

                break;
        }
    }
}

class MyClick implements View.OnClickListener {
    @Override
    public void onClick(View v) {
        Log.d("example","onClick");
    }
}

1
2

# 查看原来的系统证书目录
ls -la /system/etc/security/cacerts/

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

# 1. 清空我们之前创建的目录
rm -rf /data/local/cacerts/*
# 或者创建一个新目录
mkdir -p /data/local/full_cacerts

# 2. 复制原来的系统证书（如果有的话）
# 注意：原来的系统证书目录可能为空或只有少数几个证书
cp /system/etc/security/cacerts/* /data/local/full_cacerts/ 2>/dev/null

# 3. 复制HttpCanary证书（需要移动的用户证书）
cp /data/media/0/HttpCanary/certs/87bc3517.0 /data/local/full_cacerts/

# 4. 设置正确权限
chmod 644 /data/local/full_cacerts/*

1
2
3
4
5

# 使用新的包含所有证书的目录进行bind mount
mount --bind /data/local/full_cacerts /system/etc/security/cacerts

# 验证
ls -la /system/etc/security/cacerts/ | wc -l

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20

### 直接复制证书文件到目录 ###
# 1. 确保在挂载状态下
mount | grep cacerts

# 2. 将用户证书复制到目录
# 假设用户证书在 /sdcard/user_cert.0
cp /sdcard/user_cert.0 /data/local/full_cacerts/

# 3. 设置正确的权限
chmod 644 /data/local/full_cacerts/user_cert.0

# 4. 验证证书已添加
ls -la /system/etc/security/cacerts/ | grep user_cert

### 添加多个证书 ###
# 批量添加证书
for cert in /sdcard/certs/*.0; do
    cp "$cert" /data/local/full_cacerts/
    chmod 644 "/data/local/full_cacerts/$(basename "$cert")"
done

1
2
3
4
5

# 解除bind mount
umount /system/etc/security/cacerts

# 验证是否已解除
ls -la /system/etc/security/cacerts/

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46

// 如果是java hook代码 都放到 Java.perform 中
Java.perform(function () { });

Java.perform(function () {
    // 普通方法
    var jsonRequest = Java.use("com.dodonew.online.http.JsonRequest");
    console.log("jsonRequest:", jsonRequest);
    jsonRequest.paraMap.implementation = function(a){
        console.log("params1: ", a);
        this.paraMap(a);
    }
    // overload函数重载
    jsonRequest.addRequestMap.overload('java.util.Map', 'int').implementation = function (a, b) {
        //console.log("addRequestMap params: ", a, b);
        //console.log("addRequestMap params1: ", a.get("username"));
        //console.log("addRequestMap params2: ", a.get("userPwd"));
        // 获取参数值_Java.cast向下转型，使用HashMap重写的toString方法
        var bb = Java.cast(a, Java.use("java.util.HashMap"));
        console.log("addRequestMap params: ", bb.toString());
        this.addRequestMap(a, b);
    }
    var utils = Java.use("com.dodonew.online.util.Utils");
    utils.md5.implementation = function (a) {
        console.log("md5 params: ", a);
        var retval = this.md5(a);
        console.log("md5 retval: ", retval);
        return retval;
    }
    var requestUtil = Java.use("com.dodonew.online.http.RequestUtil");
    requestUtil.encodeDesMap.overload('java.lang.String', 'java.lang.String', 'java.lang.String').implementation = function (a, b, c) {
        console.log("encodeDesMap params: ", a);
        console.log("encodeDesMap key: ", b);
        console.log("encodeDesMap iv: ", c);
        var retval = this.encodeDesMap(a, b, c);
        console.log("encodeDesMap retval:", retval);
        return retval;
    }
    // 主动调用（自动判断重载函数）
    var base64 = Java.use("android.util.Base64");
    // 构造函数->$init
    var dESKeySpec = Java.use("javax.crypto.spec.DESKeySpec");
    dESKeySpec.$init.overload('[B').implementation = function (a) {
        console.log("DESKeySpec params: ", base64.encodeToString(a, 0));
        this.$init(a);
    }
});

1
2

pip install requests
pip install PyExecJS

  1
  2
  3
  4
  5
  6
  7
  8
  9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210

1. HashMap的put方法
    var hashMap = Java.use("java.util.HashMap");
    hashMap.put.implementation = function (a, b) {
        if(a.equals("username")){
            showStacks();
            console.log("hashMap.put: ", a, b);
        }
        return this.put(a, b);
    }

HashMap、LinkedHashMap(HashSet、LinkedHashSet)
java.util.concurrent.ConcurrentHashMap put

2. Java和Frida代码的互相翻译
    function showStacks() {
        console.log(
            Java.use("android.util.Log")
                .getStackTraceString(
                    Java.use("java.lang.Throwable").$new()
                )
        );
    }

3. ArrayList的add、addAll、set方法等
var arrayList = Java.use("java.util.ArrayList");
arrayList.add.overload('java.lang.Object').implementation = function (a) {
   if(a.equals("username=15968079477")){
        showStacks();
        console.log("arrayList.add: ", a);
    }
    //console.log("arrayList.add: ", a);
    return this.add(a);
}
arrayList.add.overload('int', 'java.lang.Object').implementation = function (a, b) {
    console.log("arrayList.add: ", a, b);
    return this.add(a, b);
}

Vector
LinkedList

4. TextUtils的isEmpty方法
    var textUtils = Java.use("android.text.TextUtils");
    textUtils.isEmpty.implementation = function (a) {
        if(a == "2v+DC2gq7RuAC8PE5GZz5wH3/y9ZVcWhFwhDY9L19g9iEd075+Q7xwewvfIN0g0ec/NaaF43/S0="){
            showStacks();
            console.log("textUtils.isEmpty: ", a);
        }
        //console.log("textUtils.isEmpty: ", a);
        return this.isEmpty(a);
    }

5. Log
    var log = Java.use("android.util.Log");
    log.w.overload('java.lang.String', 'java.lang.String')
.implementation = function (tag, message) {
        showStacks();
        console.log("log.w: ", tag, message);
        return this.w(tag, message);
    }

6. Collections的sort方法
    var collections = Java.use("java.util.Collections");
    collections.sort.overload('java.util.List').implementation = function (a) {
        showStacks();
        var result = Java.cast(a, Java.use("java.util.ArrayList"));
        console.log("collections.sort List: ", result.toString());
        return this.sort(a);
    }
    collections.sort.overload('java.util.List', 'java.util.Comparator')
.implementation = function (a, b) {
        showStacks();
        var result = Java.cast(a, Java.use("java.util.ArrayList"));
        console.log("collections.sort List Comparator: ", result.toString());
        return this.sort(a, b);
    }

java.util.Arrays sort toString

7. JSONObject的put、getString方法等
    var jSONObject = Java.use("org.json.JSONObject");
    jSONObject.put.overload('java.lang.String', 'java.lang.Object')
.implementation = function (a, b) {
        showStacks();
        //var result = Java.cast(a, Java.use("java.util.ArrayList"));
        console.log("jSONObject.put: ", a, b);
        return this.put(a, b);
    }
    jSONObject.getString.implementation = function (a) {
        //showStacks();
        //var result = Java.cast(a, Java.use("java.util.ArrayList"));
        console.log("jSONObject.getString: ", a);
        var result = this.getString(a);
        console.log("jSONObject.getString result: ", result);
        return result;
    }

8. Toast的show方法
    var toast = Java.use("android.widget.Toast");
    toast.show.implementation = function () {
        showStacks();
        console.log("toast.show: ");
        return this.show();
    }

9. Base64
    var base64 = Java.use("android.util.Base64");
    base64.encodeToString.overload('[B', 'int').implementation = function (a, b) {
        showStacks();
        console.log("base64.encodeToString: ", JSON.stringify(a));
        var result = this.encodeToString(a, b);
        console.log("base64.encodeToString result: ", result)
        return result;
    }

java.net.URLEncoder
java.util.Base64
okio.Base64
okio.ByteString

10. String的getBytes、isEmpty方法
    var str = Java.use("java.lang.String");
    str.getBytes.overload().implementation = function () {
        showStacks();
        var result = this.getBytes();
        var newStr = str.$new(result);
        console.log("str.getBytes result: ", newStr);
        return result;
    }
    str.getBytes.overload('java.lang.String').implementation = function (a) {
        showStacks();
        var result = this.getBytes(a);
        var newStr = str.$new(result, a);
        console.log("str.getBytes result: ", newStr);
        return result;
    }

11. String构造函数的Hook（实例化字符串）
    var stringFactory = Java.use("java.lang.StringFactory");
    stringFactory.newStringFromString.implementation = function (a) {
        showStacks();
        var retval = this.newStringFromString(a);
        console.log("stringFactory.newStringFromString: ", retval);
        return retval;
    }
    stringFactory.newStringFromChars.overload('[C').implementation = function (a) {
        showStacks();
        var retval = this.newStringFromChars(a);
        console.log("stringFactory.newStringFromChars: ", retval);
        return retval;
    }

 newStringFromBytes、newStringFromChars
 newStringFromString、newStringFromStringBuffer、  newStringFromStringBuilder

12. StringBuilder、StringBuffer的Hook（拼接字符串）
    var sb = Java.use("java.lang.StringBuilder");
    sb.toString.implementation = function () {
        var retval = this.toString();
        if (retval.indexOf("Encrypt") != -1) {
            showStacks();
        }
        console.log("StringBuilder.toString: ", retval);
        return retval;
    }
    var sb = Java.use("java.lang.StringBuffer");
    sb.toString.implementation = function () {
        var retval = this.toString();
        if (retval.indexOf("username") != -1) {
            showStacks();
        }
        console.log("StringBuffer.toString: ", retval);
        return retval;
    }

13. findViewById 找控件id(打印R$id的属性)
a) Java.enumerateLoadedClassesSync枚举所有已加载的类
    如果不知道类路径，可以用这个方法，然后过滤一下类名
b) frida -U -f com.dodonew.online -l HookDemo.js -o log.txt --no-pause
启动注入，findViewById在界面创建时已调用
-f 代码让frida帮我们重新启动app，一开始就注入js
--no-pause 直接运行主线程，中途不暂停
c) R$id 内部类的访问
d) R$id.btn_login.value 类的属性的访问

var btn_login_id = Java.use("com.dodonew.online.R$id").btn_login.value;
console.log("btn_login_id", btn_login_id);
var appCompatActivity = Java.use("android.support.v7.app.AppCompatActivity");
appCompatActivity.findViewById.implementation = function (a) {
    if(a == btn_login_id){
        showStacks();
        console.log("appCompatActivity.findViewById: ", a);
    }
    return this.findViewById(a);
}

14. setOnClickListener
    hook这个函数，比对控件id，打印函数栈
var btn_login_id = Java.use("com.dodonew.online.R$id").btn_login.value;
console.log("btn_login_id", btn_login_id);

var view = Java.use("android.view.View");
view.setOnClickListener.implementation = function (a) {
    if(this.getId() == btn_login_id){
        showStacks();
        console.log("view.id: " + this.getId());
        console.log("view.setOnClickListener is called");
    }
    return this.setOnClickListener(a);
}

  1
  2
  3
  4
  5
  6
  7
  8
  9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
312
313
314
315
316
317
318
319
320
321
322
323
324
325
326
327
328
329
330
331
332
333
334
335
336
337
338
339
340
341
342
343
344
345
346
347
348
349
350
351
352
353
354
355
356
357
358
359
360
361
362
363
364
365
366
367
368
369
370
371
372
373
374
375
376
377
378
379
380
381
382
383
384
385
386
387
388
389
390
391
392
393
394
395
396
397
398
399
400
401
402
403
404
405
406
407
408
409
410
411
412
413
414
415
416
417
418
419
420
421

1. 静态方法和实例方法的hook
    //不需要区分修饰符，也不需要区分静态和实例方法，hook代码的写法都是一样的
    //得到Money类对象
    var money = Java.use("com.xiaojianbang.hook.Money");
    //hook实例方法
    money.getInfo.implementation = function () {
        var result = this.getInfo();
        console.log("money.getInfo result: ", result)
        return result;
    }
    //hook静态方法
    money.setFlag.implementation = function (a) {
        console.log("money.setFlag param: ", a);
        return this.setFlag(a);
    }

2. 函数参数和返回值的修改
    var money = Java.use("com.xiaojianbang.hook.Money");
    var str = Java.use("java.lang.String");
    money.getInfo.implementation = function () {
        var result = this.getInfo();
        console.log("money.getInfo result: ", result);
        return str.$new("xiaojianbang");
        //上述字符串"xiaojianbang"是JS的string，而被hook的Java方法返回值是Java的String
        //因此，可以主动调用Java方法转成Java的String
        //但是为了方便起见，通常会直接直接返回JS的string，这时frida会自动处理，代码类似如下
        //return "xiaojianbang";
        //Java的类型可以调用Java的方法，JS的类型可以调用JS的方法
        //区分清楚何时是Java的类型，何时是JS的类型，有助于代码的编写
        //frida在参数传递的处理上也类似
    }
    money.setFlag.implementation = function (a) {
        console.log("money.setFlag param: ", a);
        return this.setFlag("xiaojianbang");
    }

3. 构造方法的hook $init
    var money = Java.use("com.xiaojianbang.hook.Money");
    money.$init.implementation = function (a, b) {
        console.log("money.$init param: ", a, b);
        return this.$init("美元", 200);
    }

4. 对象参数的构造与修改 $new
    var wallet = Java.use("com.xiaojianbang.hook.Wallet");
    var money = Java.use("com.xiaojianbang.hook.Money");
    wallet.deposit.implementation = function (a) {
        console.log("wallet.deposit param: ", a.getInfo());
        return this.deposit(money.$new("美元", 200));
    }

    var wallet = Java.use("com.xiaojianbang.hook.Wallet");
    wallet.deposit.implementation = function (a) {
        a.setAmount(2000);
        console.log("wallet.deposit param: ", a.getInfo());
        return this.deposit(a);
    }

5. HashMap的打印
    var utils = Java.use("com.xiaojianbang.hook.Utils");
    var stringBuilder = Java.use("java.lang.StringBuilder");
    utils.shufferMap.implementation = function (a) {
        var key = a.keySet();
        var it = key.iterator();
        var result = stringBuilder.$new();
        while(it.hasNext()){
            var keystr = it.next();
            var valuestr = a.get(keystr);
            result.append(valuestr);
        }
        console.log("utils.shufferMap param: ", result.toString());
        var result = this.shufferMap(a);
        console.log("utils.shufferMap result: ", result);
        return result;
    }

6. 重载方法的hook
    var utils = Java.use("com.xiaojianbang.hook.Utils");
    utils.getCalc.overload('int', 'int').implementation = function (a, b) {
        console.log("utils.getCalc param: ", a, b);
        return this.getCalc(a, b);
    }
    utils.getCalc.overload('int', 'int', 'int').implementation = function (a, b, c) {
        console.log("utils.getCalc param: ", a, b, c);
        return this.getCalc(a, b, c);
    }
    utils.getCalc.overload('int', 'int', 'int', 'int').implementation = function (a, b, c, d) {
        console.log("utils.getCalc param: ", a, b, c, d);
        return this.getCalc(a, b, c, d);
    }

7. hook方法的所有重载
    var utils = Java.use("com.xiaojianbang.hook.Utils");
    var overloadsArr = utils.getCalc.overloads;
    for (var i = 0; i < overloadsArr.length; i++) {
        overloadsArr[i].implementation = function () {
            showStacks();
            var params = "";
            for (var j = 0; j < arguments.length; j++) {
                params += arguments[j] + " ";
            }
            console.log("utils.getCalc is called! params is: ", params);
            // if(arguments.length == 2){
            //     return this.getCalc(arguments[0], arguments[1]);
            // }else if(arguments.length == 3){
            //     return this.getCalc(arguments[0], arguments[1], arguments[2]);
            // }else if(arguments.length == 4){
            //     return this.getCalc(arguments[0], arguments[1], arguments[2], arguments[3]);
            // }
            console.log(this);
            return this.getCalc.apply(this, arguments);
        }
    }

8. 主动调用
    a) 静态方法
    var money = Java.use("com.xiaojianbang.hook.Money");
    money.setFlag("xiaojianbang");
    b) 实例方法 创建新对象
    var moneyObj = money.$new("卢布", 1000);
    console.log(moneyObj.getInfo());
    c) 实例方法 获取已有对象(Java.choose)
    Java.choose("com.xiaojianbang.hook.Money", {
        onMatch: function (obj){
            console.log(obj.getInfo());
        },
        onComplete: function (){
            console.log("内存中的Money对象搜索完毕");
        }
    });

	d) android Context的获取
    var current_application = Java.use('android.app.ActivityThread').currentApplication();
	var context = current_application.getApplicationContext();

9. 获取和修改类的字段
        // a) 静态字段
        var money = Java.use("com.xiaojianbang.hook.Money");
        console.log(money.flag.value);
        money.flag.value = "VX: xiaojianbang8888";
        console.log(money.flag.value);
        // b) 实例字段 创建新对象
        var moneyObj = money.$new("欧元", 2000);
        console.log(moneyObj.currency.value);
        moneyObj.currency.value = "xiaojianbang currency";
        console.log(moneyObj.currency.value);
        // c) 实例字段(获取已有对象)
        Java.choose("com.xiaojianbang.hook.Money", {
            onMatch: function (obj) {
                console.log("Java.choose Money: ", obj.currency.value);
            }, onComplete: function () {

            }
        });
        // 如果字段名和方法名一样 需要加下划线前缀
        Java.choose("com.xiaojianbang.hook.BankCard", {
            onMatch: function (obj) {
                console.log("Java.choose BankCard: ", obj._accountName.value);
            }, onComplete: function () {

            }
        });

10. Hook内部类与匿名类
        Java.choose("com.xiaojianbang.hook.Wallet$InnerStructure", {
            onMatch: function (obj) {
				console.log(
                    "Java.choose Wallet$InnerStructure: ", obj.bankCardsList.value
                );
            }, onComplete: function () {

            }
        });
        var money$1 = Java.use("com.xiaojianbang.app.MainActivity$1");
        money$1.getInfo.implementation = function () {
            var result = this.getInfo();
            console.log("money.getInfo result: ", result);
            return result;
        }

11. 枚举所有已加载的类与枚举类的所有方法
        // 1. 枚举的是已经加载的类，没有加载的类不会出现
        // 2. 出现的类，你也不一定能够hook到，原因是类加载器的关系
        //console.log(Java.enumerateLoadedClassesSync().join("\n"));
        var wallet = Java.use("com.xiaojianbang.hook.Wallet");
        var methods = wallet.class.getDeclaredMethods();
        var constructors = wallet.class.getDeclaredConstructors();
        var fields = wallet.class.getDeclaredFields();
        var classes = wallet.class.getDeclaredClasses();

        for (let i = 0; i < methods.length; i++) {
            console.log(methods[i].getName());
        }
        console.log("============================");
        for (let i = 0; i < constructors.length; i++) {
            console.log(constructors[i].getName());
        }
        console.log("============================");
        for (let i = 0; i < fields.length; i++) {
            console.log(fields[i].getName());
        }
        console.log("============================");
        for (let i = 0; i < classes.length; i++) {
            console.log(classes[i].getName());
            //classes[i] 这里得到的已经是类的字节码，不需要再.calss
            var Wallet$InnerStructure = classes[i].getDeclaredFields();
            for (let j = 0; j < Wallet$InnerStructure.length; j++) {
                console.log(Wallet$InnerStructure[j].getName());
            }
        }

12. hook类的所有方法
    function hookFunc(methodName) {
        console.log(methodName);
        var overloadsArr = utils[methodName].overloads;
        for (var j = 0; j < overloadsArr.length; j++) {
            overloadsArr[j].implementation = function () {
                var params = "";
                for (var k = 0; k < arguments.length; k++) {
                    params += arguments[k] + " ";
                }
                console.log("utils." + methodName + " is called! params is: ", params);
                return this[methodName].apply(this, arguments);
            }
        }
    }

    var utils = Java.use("com.xiaojianbang.hook.Utils");
    var methods = utils.class.getDeclaredMethods();
    for (var i = 0; i < methods.length; i++) {
        var methodName = methods[i].getName();
        hookFunc(methodName);
    }

13. Java.registerClass
    frida的官方JavaScriptAPI
https://frida.re/docs/javascript-api/

    const MyWeirdTrustManager = Java.registerClass({
        name: 'com.xiaojianbang.app.MyRegisterClass',
        implements: [Java.use("com.xiaojianbang.app.TestRegisterClass")],
        fields: {
            description: 'java.lang.String',
            limit: 'int',
        },
        methods: {
            $init() {
                console.log('Constructor called');
            },
            test1: [{
                returnType: 'void',
                argumentTypes: [],
                implementation() {
                    console.log('test1 called');
                }
            }, {
                returnType: 'void',
                argumentTypes: ['java.lang.String', 'int'],
                implementation(str, num) {
                    console.log('test1(str, num) called', str, num);
                }
            }],
            test2(str, num) {
                console.log('test2(str, num) called', str, num);
                return null;
            },
        }
    });
    var myObj = MyWeirdTrustManager.$new();
    myObj.test1();
    myObj.test1("xiaojianbang1", 100);
    myObj.test2("xiaojianbang2", 200);
    myObj.limit.value = 10000;
    console.log(myObj.limit.value);

14. Frida注入dex
    Java.openClassFile("/data/local/tmp/patch.dex").load();
    var test = Java.use("com.xiaojianbang.myapplication.Test");
    var utils = Java.use("com.xiaojianbang.hook.Utils");
    utils.shufferMap.implementation = function (map) {
        var result = test.print(map);
        console.log(result);
        return result;
    }

15. hook枚举类(Java.choose)
    Java.choose("com.xiaojianbang.app.Season", {
        onMatch: function (obj) {
            console.log(obj.ordinal());
        }, onComplete: function () {

        }
    })
    console.log(Java.use("com.xiaojianbang.app.Season").values());

16. Frida写文件
var ios = new File("/sdcard/xiaojianbang.txt", "w");
ios.write("xiaojianbang is very good!!!\n");
ios.flush();
ios.close();

17. Java.cast
    向上转型的，不能用toString直接得到结果，比如Map、List类型的打印
    var utils = Java.use("com.xiaojianbang.hook.Utils");
    utils.shufferMap2.implementation = function (map) {
        console.log("map: ", map);
        var result = Java.cast(map, Java.use("java.util.HashMap"));
        console.log("map: ", result);
        return this.shufferMap2(result);
    }

18. 数组的构建
//Java.array("Ljava.lang.Object;", ...)
var utils = Java.use("com.xiaojianbang.hook.Utils");
//console.log(
//	utils.myPrint(["xiaojianbang", "QQ：24358757", "VX：xiaojianbang8888", "公众号：非攻code"])
//);
var strarr = Java.array(
	"Ljava.lang.String;", 
	["xiaojianbang", "QQ：24358757", "VX：xiaojianbang8888", "公众号：非攻code"]
);
console.log(utils.myPrint(strarr));

19. Object数组的构建
    可变参数本质上就是数组，按数组处理即可
    只需要处理基本数据类型的包装，其他的Frida会处理
var utils = Java.use("com.xiaojianbang.hook.Utils");
var bankCard = Java.use("com.xiaojianbang.hook.BankCard");
var bankCardObj = bankCard.$new("xiaojianbang", "123456789", "CBDA", 1, "15900000000");
var integer = Java.use("java.lang.Integer");
var boolean = Java.use("java.lang.Boolean");
//var objarr = Java.array(
//	"Ljava.lang.Object;", 
//	["xiaojianbang", integer.$new(30), boolean.$new(true), bankCardObj]
//);
console.log(
utils.myPrint(["xiaojianbang", integer.$new(30), boolean.$new(true), bankCardObj])
);

20. ArrayList的主动调用
    var arrayList = Java.use("java.util.ArrayList").$new();
    var integer = Java.use("java.lang.Integer");
    var boolean = Java.use("java.lang.Boolean");
    var bankCard = Java.use("com.xiaojianbang.hook.BankCard");
    var bankCardObj = bankCard.$new("xiaojianbang", "123456789", "CBDA", 1, "15900000000");
    arrayList.add("xiaojianbang");
    arrayList.add(integer.$new(30));
    arrayList.add(boolean.$new(true));
    arrayList.add(bankCardObj);
    var utils = Java.use("com.xiaojianbang.hook.Utils");
    console.log(utils.myPrint(arrayList));

21. hook动态加载的dex(Java.enumerateClassLoaders)
Java.enumerateLoadedClassesSync()枚举已加载类的结果中有，但是hook报错找不到类，可以尝试枚举ClassLoader，切换ClassLoader来hook
可以查看加载的dex所在路径
Java.enumerateClassLoaders({
    onMatch: function (loader) {
        try {
            Java.classFactory.loader = loader;
            var dynamic = Java.use("com.xiaojianbang.app.Dynamic");
            console.log("dynamic: ", dynamic);
            //console.log(dynamic.$new().sayHello());
            dynamic.sayHello.implementation = function () {
                console.log("hook dynamic.sayHello is run!");
                return "xiaojianbang";
            }
        } catch (e) {
            console.log(loader);
        }
    },
    onComplete: function () {}
});

22. 让hook只在指定函数内生效
    var mainActivity = Java.use("com.xiaojianbang.app.MainActivity");
    var stringBuilder = Java.use('java.lang.StringBuilder');
    mainActivity.generateAESKey.implementation = function () {
        console.log("mainActivity.generateAESKey is called!");
        stringBuilder.toString.implementation = function () {
            var result = this.toString();
            console.log(result);
            return result;
        };
        var result = this.generateAESKey.apply(this, arguments);
        stringBuilder.toString.implementation = null;  //取消hook
        return result;
    };

23. hook定位接口的实现类
    var classes = Java.enumerateLoadedClassesSync();
    for (const index in classes) {
        let className = classes[index];
        if(className.indexOf("com.xiaojianbang") === -1) continue;
        try {
            let clazz = Java.use(className);
            let resultArr = clazz.class.getInterfaces();
            console.log("resultArr: ", resultArr);
            if(resultArr.length === 0) continue;
            for (let i = 0; i < resultArr.length; i++) {
                if(resultArr[i].toString().indexOf("com.xiaojianbang.app.TestRegisterClass") !== -1){
                    console.log(className, resultArr);
                }
            }
        }catch (e) {console.log("Didn't find class: " + className);}
    }

24. hook定位抽象类的实现类
    var classes = Java.enumerateLoadedClassesSync();
    for (const index in classes) {
        let className = classes[index];
        if(className.indexOf("com.xiaojianbang") === -1) continue;
        try {
            let clazz = Java.use(className);
            let resultClass = clazz.class.getSuperclass();
            console.log("resultClass: ", className, resultClass);
            if(resultClass == null) continue;
            if(resultClass.toString().indexOf("com.xiaojianbang.app.TestAbstract") !== -1){
                console.log(className, resultClass);
            }
        } catch (e) {}
    }