WSA - root，frida与ida测试

本文主要是介绍WSA - root，frida与ida测试，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

本文旨在配置windows subsystem for android(win安卓子系统)来作为win在开启了hyper-v的情况下的一种轻量的安卓模拟器方案。使用MagiskOnWsa设置root权限，最终使其正常与开发环境、frida、ida打通。[部分微调过的版本同步发布在看雪，内容差不多]

1. Root的WSA

常用的Wsa版本在目前是没有默认root的。在物理机上要解决这一情况就需要刷机，而模拟器显然是不具备刷机的条件的 —— 要么就直接下载带root的系统镜像，或者自己魔改一个带root的——Wsa的root方案和这个思路类似，在Github的LSPosed仓库里有MagiskOnWsa方案，利用其可以编译出自带Magisk的WSA系统。

步骤：

重要如果使用wsl虚拟机进行制作，请务必使用ubuntu 16虚拟机。高版本（截止2023.7.11的最新版本）下的MagiskOnWsa的run.sh、install.sh有解析磁盘文件不正确的问题。

安装16.04版本

wsl --install -d Ubuntu

git配置：

# fatal: unable to connect to github.com
git config --global url."https://github.com".insteadOf git://github.com
# fatal: unable to access ‘https://github.com/robbyrussell/oh-my-zsh.git/’: LibreSSL SSL_connect: SSL_ERROR_SYSCALL in connection to github.com:443git config --global --unset http.proxy
git config --global --unset https.proxy
# OpenSSL SSL_read: Connection was reset, errno 10054
git init

build

git clone https://github.com/LSPosed/MagiskOnWSALocal.git --depth 1
cd MagiskOnWSALocal
./scripts/run.sh

install

PowerShell.exe -ExecutionPolicy Bypass -File .\Install.ps1

记得开启开发模式

connect

adb connect 127.0.0.1:58526#may failed,continue
adb shell
redfin:/ $ su
redfin:/ #

WSA安装完成后会弹出Magisk界面，如果点那个安装，安装失败了也无所谓，不影响。

2. Frida On WSA

开始测试之前，我们需要简单检查一下WSA的设置：
在这里插入图片描述

这里一定要关闭高级网络。WSA的高级网络的级别和WSL相似，甚至可以说更高。开启WSA后其可以直接探测、同步物理机wifi，可以说这二者用的是同一张网卡。几个作证是①开启高级网络后安卓虚拟机更改连接的wifi会同步更改物理机wifi②安卓虚拟机的ip和物理机一致。
这里的作证②也直接导致了一点：端口冲突。

通常的frida链接情景可以说默认是“两台机器”—— 无论是物理链接还是模拟器、远程链接都是两台机器，这也意味着这里至少会有“两个ip”。在这个情况下，adb需要为目标机器的frida_server和开发机器的frida-tools之间做端口转发。如adb forward tcp:27043 tcp:27043。但是当WSA是处于高级网络这种，共用一张网卡，甚至ip都一样的情况下，端口冲突问题就显然而然的出现了。（甚至WSA需要通过127.0.0.1:58526来链接，普通的修改链接端口并不能很好地解决这个问题）

此外，注意这个选项是会影响到系统服务的。建议资源富余就开始终分配，不富余就部分运行中+使用时挂起一个应用
在这里插入图片描述

那么关闭了这个问题之后剩下的就很好做了，先简单测试Frida可用：

adb push frida_android_x64_server /data/local/tmp
adb connect 127.0.0.1:58526
adb shell
redfin:/ $ su root
redfin:/ # cd /data/local/tmp
redfin:/ # chmod 777 frida-server-16.0.19-android-x86_64
redfin:/data/local/tmp # ./frida-server-16.0.19-android-x86_64

frida-ps -UaPID  Name            Identifier
4  --------------  ---------------------------------------
4139  Google          com.google.android.googlequicksearchbox
4139  Google          com.google.android.googlequicksearchbox
4231  Magisk          com.topjohnwu.magisk
2150  My Application  com.example.myapplication

用AS写一个测试demo,这里我使用了有点击选项的样例，添加了hook目标函数knockKnock：

.
.
.
binding.fab.setOnClickListener(new View.OnClickListener() {  @Override  public void onClick(View view) {  Snackbar.make(view, "Replace with your own action", Snackbar.LENGTH_LONG)  .setAction("Action", null).show();  konckKnock();  }  
});
.
.
.
public void konckKnock(){  Log.d("123","123");  
}
.
.
.

可以注意到调试机器选择里默认脸上了我们的wsa系统：
在这里插入图片描述

frida测试脚本，缝缝补补得来的：

function hook1(clz) {console.log("234");//var MainActivity = Java.use("com.example.myapplication");console.log("456");var konckKnock = clz.konckKnock;konckKnock.implementation = function () {var result = this.konckKnock()console.log("GetTime called", ',result =>', result)return result}}Java.perform(function () {Java.choose("dalvik.system.PathClassLoader", {onMatch: function (instance) {console.log(instance)console.log(Java.ClassFactory)var factory = Java.ClassFactory.get(instance)console.log(factory)try {var myClass = factory.use("com.example.myapplication.MainActivity")hook1(myClass)console.log("stop")return "stop"} catch (e) {console.log("next")// console.log(e)}},onComplete: function () {console.log("Done")}})})

结果（记得点按钮）

frida -U 'My Application' -l .\enmuClass.js____/ _  |   Frida 16.0.19 - A world-class dynamic instrumentation toolkit| (_| |> _  |   Commands:/_/ |_|       help      -> Displays the help system. . . .       object?   -> Display information about 'object'. . . .       exit/quit -> Exit. . . .. . . .   More info at https://frida.re/docs/home/. . . .. . . .   Connected to Pixel 5 (id=127.0.0.1:58526)
Attaching...
dalvik.system.PathClassLoader[DexPathList[[zip file "/system/framework/android.hidl.manager-V1.0-java.jar"],nativeLibraryDirectories=[/system/lib64, /system_ext/lib64]]]
function k() {[native code]
}
[object Object]
next
dalvik.system.PathClassLoader[DexPathList[[directory "."],nativeLibraryDirectories=[/system/lib64, /system_ext/lib64, /system/lib64, /system_ext/lib64]]]
function k() {[native code]
}
[object Object]
next
dalvik.system.PathClassLoader[DexPathList[[zip file "/system/framework/android.hidl.base-V1.0-java.jar"],nativeLibraryDirectories=[/system/lib64, /system_ext/lib64]]]
function k() {[native code]
}
[object Object]
next
dalvik.system.PathClassLoader[DexPathList[[zip file "/system/framework/android.test.base.jar"],nativeLibraryDirectories=[/system/lib64, /system_ext/lib64]]]
function k() {[native code]
}
[object Object]
next
dalvik.system.PathClassLoader[DexPathList[[dex file "/data/data/com.example.myapplication/code_cache/.overlay/base.apk/classes4.dex", zip file "/data/app/~~ZuASwv4tbYUhGso4vQY7Ng==/com.example.myapplication-wE3oqwa5449uXSAVac29jg==/base.apk"],nativeLibraryDirectories=[/data/app/~~ZuASwv4tbYUhGso4vQY7Ng==/com.example.myapplication-wE3oqwa5449uXSAVac29jg==/lib/x86_64, /data/app/~~ZuASwv4tbYUhGso4vQY7Ng==/com.example.myapplication-wE3oqwa5449uXSAVac29jg==/base.apk!/lib/x86_64, /system/lib64, /system_ext/lib64]]]
function k() {[native code]
}
[object Object]
234
456
stop
Done
[Pixel 5::My Application ]-> GetTime called ,result => undefined

3. Ida On WSA

server：

adb push .\android_x64_server /data/local/tmp
redfin:/data/local/tmp # chmod 777 android_x64_server
redfin:/data/local/tmp # ./android_x64_server
IDA Android x86 64-bit remote debug server(ST) v7.7.27. Hex-Rays (c) 2004-2022
Listening on 0.0.0.0:23946...