1.hook?逆向逆???Դ??
2.pyd文件逆向（二）
3.apihook到底和逆向工程有什么联系?
4.详解Hook框架frida，让你在逆向工作中效率成倍提升
5.注入挂hook是源码什么
6.JS逆向快速定位关键点之9大通用hook脚本

hook????Դ??

       在微信公众号 K哥爬虫（关注获取更多技术干货）和QQ交流群中，我们探讨了如何通过浏览器插件技术实现JS逆向中的技术Hook实战，以分析亚航加密参数为例。逆向逆目标是源码解析航班查询时的参数，尽管该参数在清除cookie或更换浏览器时保持不变，技术卖出源码我们通过编写插件来追踪其生成过程。逆向逆

       首先，源码了解了逆向目标和抓包分析过程，技术我们发现查询接口的逆向逆URL结构为xxx/MFM/KUL//0...，其中authorization参数不易改变。源码文章之前的技术文章《JS 逆向之Hook》提供了更多关于Hook的基础知识。为了 Hook 这个参数，逆向逆我们选择了使用浏览器插件，源码尤其是技术Chrome的扩展，因为其跨浏览器兼容性较好。

       浏览器插件，即扩展，可增强浏览器功能，如广告拦截和代理管理。要编写插件，需遵循Chrome扩展规范，通常包括manifest.json和JavaScript脚本。manifest.json配置了插件的基本信息，而Hook代码则在javascript_hook.js中实现，通过重写XMLHttpRequest.setRequestHeader方法来拦截并观察Authorization参数。

       在Chrome中，通过开发者模式加载插件，而在Firefox中，需要将插件压缩成.xpi格式并调试安装。完成插件后，我们能在航班查询页面看到Hook成功工作，接下来是逆向分析加密过程，通过Call Stack定位参数生成位置，如在t.getData函数中找到"Bearer " + r.accessToken。

       这个案例展示了Hook技术在复杂情况下的去哪里下载源码应用，尤其是在参数难以直接搜索或定位时，浏览器插件提供了有力的工具。如果你对完整代码感兴趣，可以参考K哥的GitHub代码库。

pyd文件逆向（二）

       前言：本文旨在阐述如何使用hook模块对python打包的exe文件进行逆向分析，以实现对pyd文件的深入理解。众所周知，未加密的python打包exe文件易于逆向分析，故开发者会将python代码封装为pyd文件，以增加破解难度。

       1. hook模块

       首先，我们以一个简单的例子展示如何对输入的字符串进行base编码与比较。将此示例打包为pyd文件，测试其逆向分析情况。

       结果示例包括成功与失败两种状态。

       接下来，我们将尝试hook base模块。对于自己编写的代码，我们知道引用了哪些模块，而对于其他代码，通常我们无法知晓。因此，我们如何进行hook操作？

       将pyd文件导入IDA进行分析，发现其中包含的字符串甚至密码信息。虽然例子简单，但我们怀疑pyd文件可能引用了base模块。通过修改名称并引入自定义模块进行测试。

       在与pyd文件同一目录下创建自定义模块base.py，不添加任何代码。运行代码后，发现报错提示未找到base模块。接下来，我们定义base模块，并实现base编码功能，从而成功hook目标模块。红警1源码分析

       2. 修改if返回

       pyd文件的验证过程通常涉及if语句判断。我们能否修改if语句的返回值？答案是肯定的。参考相关文章，了解py编译成pyd时生成的c文件结构。

       在IDA中找到与if判断相关的函数__Pyx_PyUnicode_Equals，进行汇编语言修改。将if分支的跳转指令从jz改为jmp，使if语句始终返回true。此操作后，无论输入何种参数，验证结果均为成功。

       至此，本文介绍的两种方法成功实现对pyd文件的逆向分析与hook操作。如遇疑问，可加入指定群组交流。

apihook到底和逆向工程有什么联系?

       本篇文章分享的全部技术仅用于学习交流，请勿用于非法活动。如有错漏，欢迎读者留言交流指正。

       API Hook技术主要涉及三步骤：R3 Hook、DLL开发与使用。其中，DLL开发包括DLL工程的创建、DllMain函数与导出/导出符号的编写。在完成编译后，生成的文件为DLL类型。通过在MFC测试工程中导入DLL，可以实现全局Hook，如键盘和鼠标事件的控制。

       在防御中加入Hook技术的防护措施，实现DLL的注入与劫持。DLL注入有多种方式，包括注入共享节。注入技术的详细原理与编程实现可参考相关论坛资料。

       在实现Hook技术时，产品追溯码源码主要分为R3 HOOK、MHOOK、NTHook等，使用HookEngine等工具实现跨进程的HOOK。通过SSDT函数、ZW与NT的区别实现目标函数的定位与替换，以及恢复目标函数的机制。此外，需要实现进程创建监控，防止恶意进程的创建。

       在保护自身进程免受攻击时，关注应用层与驱动加载的监控。对于应用层，防止调用TerminateProcess结束进程，避免通过结束任务（任务管理器）进行的进程结束。对于驱动加载监控，主要关注其进入内核的路径，通过特定的判断机制识别SCM加载变化。

       注册表操作监控也至关重要，通过特定的策略防止对注册表的非法访问。同时，可以采用ShadowSSDT HOOK技术保护主页，通过截屏监控与INLINE原理实现hook机制，以及SwapContext demo示例展示hook技术的实际应用。在实现IRPIDTOBJECT功能时，需要深入理解其原理与步骤，确保技术应用的精确性与有效性。

       请注意，技术分享需在合法合规的框架下进行，确保知识的正确传播与应用。

详解Hook框架frida，让你在逆向工作中效率成倍提升

       详解Hook框架frida，让你在逆向工作中效率成倍提升

       一、frida简介

       frida是一款基于python + javascript的hook框架，支持运行在各种平台如android、demo怎么下载源码ios、linux、win、osx等。主要通过动态二进制插桩技术实现代码注入，收集运行时信息。

       插桩技术分为两种：源代码插桩和二进制插桩。源代码插桩是将额外代码注入到程序源代码中；二进制插桩则是将额外代码注入到二进制可执行文件中。其中，静态二进制插桩在程序执行前插入额外代码和数据，生成永久改变的可执行文件；动态二进制插桩则在程序运行时实时插入额外代码和数据，对可执行文件无永久改变。

       二、frida的安装

       frida框架包括frida CLI和frida-server两部分。frida CLI是用于系统交互的工具，frida-server则用于目标机器上的代码注入。

       1. frida CLI安装要求包括系统环境（Windows、macOS、GNU/Linux）、Python（最新3.x版本）等。通过pip安装frida CLI，frida CLI是frida的主要交互工具。

       2. 分别下载frida-server文件（格式为frida-server-(version)-(platform)-(cpu).xz），并根据设备类型选择对应的版本。下载文件后解压，将frida-server文件推送到Android设备，添加执行权限并运行（需要root权限）。

       3. frida还提供了其他工具，如frida-ps用于列出进程，frida-trace、frida-discover、frida-ls-devices、frida-kill等。这些工具用于不同场景，具体使用可参考frida官网。

       三、frida Hook实战

       通过制作类似微信抢红包的插件来演示frida的使用。首先拦截微信信息持久化到本地的接口（com.tencent.wcdb.database.SQLiteDatabase的insert()方法），解析获取每条信息的内容、发送者等信息。

       抢红包流程分析：点击打开红包时，执行请求（ad类）发送抢红包的请求。需要的参数包括头像、昵称、发送者信息等，参数主要来自luckyMoneyReceiveUI.kRG类。通过解析解析参数，发送com.tencent.mm.plugin.luckymoney.b.ag类请求，并获取timingIdentifier，最后发送com.tencent.mm.plugin.luckymoney.b.ad类请求即可抢到红包。

       四、模拟请求

       分析微信的请求发送方法，通过frida实现请求发送。主要通过反射获取发送请求的Network，然后调用其a方法发送请求。解析红包信息，发送ag请求并获取timingIdentifier，改造SQL的insert方法，实现抢红包插件。

       附录

       实验环境包括微信版本6.6.7、frida版本.0.、frida-server版本、Android版本7.0等。ISEC实验室作为网络安全服务提供商，专注于网络安全技术研究，提供全面的网络安全服务和解决方案。

注入挂hook是什么

       注入挂hook，简称Hook，中文译为“挂钩”或“钩子”，是一种在程序运行中改变原有执行流程的技术。具体来说，Hook技术通过“钩住”程序中的某个函数或方法，用自定义的函数或代码将其替换，使程序在执行到该点时转而执行自定义的代码。这种技术广泛应用于逆向工程、安全分析、软件测试等领域。

       在编程实践中，Hook可以通过多种方式实现，如修改函数指针、内存注入、利用操作系统提供的Hook API等。以Android平台为例，进程注入和Hook插件常用于在目标应用程序的进程中执行自定义代码，从而改变其行为或拦截特定函数的调用。这种技术使得开发者或安全研究人员能够深入分析和修改应用程序的内部逻辑。

       需要注意的是，Hook技术的使用应遵守相关法律法规和道德规范，不得用于非法目的或侵犯他人权益。

JS逆向快速定位关键点之9大通用hook脚本

       在JavaScript逆向工程中，快速定位关键点是至关重要的。这里有九种通用的hook脚本策略，帮助我们深入分析代码行为：

       首先，Cookie Hook帮助我们定位Cookie中与关键字"v"相关的参数生成位置，一旦匹配，就会自动设置断点。

       对于HTTP头部参数，header参数Hook可以用于跟踪请求中特定字段的变化。

       通过简单地在代码中插入debugger，Hook过debugger方法为我们提供了一个直观的检查点，便于调试。

       URL Hook专注于URL中的关键参数，当遇到包含"login"的请求时，会自动设立断点，便于追踪网络请求。

       在处理加密的站点时，hook JSON.stringify和 JSON.parse可以让我们洞察数据在字符串和对象间的转换过程。

       JavaScript的eval 功能，通过提前设置的hook，hook eval可以记录下所有动态执行的JS代码，便于分析。

       同样，hook Function会捕获所有函数的执行，让我们看到将要运行的JS源码。

       最后，别忘了防范反调试，确保在执行过程中不会被检测到，这是逆向工程中必不可少的通用反调试技巧。

       这些脚本工具为深入JavaScript代码提供了强大的支持，帮助我们轻松定位关键逻辑点。

JS 逆向之 Hook，吃着火锅唱着歌，突然就被麻匪劫了！

       JavaScript逆向与Hook技术

       Hook概念与过程

       Hook，中文译为钩子，在Windows系统中，实际上是一种用于替换DOS下“中断”的系统机制，尤其在桌面软件开发中常见，用于响应特定的系统事件。理解为“劫持”，通过Hook技术可以控制程序间的交互，将某个对象的程序替换成自定义的代码片段，修改参数或替换返回值。

       JavaScript逆向中的Hook

       在JavaScript逆向中，Hook主要指替换原函数的过程。例如，通过覆盖原函数，实现功能的修改或扩展。通过使用中间变量存储原函数，实现调用时的替换，如：

       js

       function a() { return 'I am a.'; }

       a = function() { return 'I am b.'; }

       console.log(a()); // 输出I am b.

       console.log(c()); // 输出I am a.

       高级Hook技术：Object.defineProperty()

       Object.defineProperty()方法用于直接定义或修改对象属性。它接收三个参数：对象、属性名和描述符，描述符可以设置属性的访问方式，如getter和setter。通过设置描述符，可以在属性访问时增加额外逻辑，用于调试或功能扩展。

       注入Hook代码的方法

       以某奇艺网站为例，展示如何通过Fiddler插件、TamperMonkey和浏览器插件注入Hook代码。例如，使用Fiddler插件拦截请求，插入自执行函数以断点定位关键参数生成位置。在TamperMonkey中编写脚本，动态插入Hook代码，实现功能监控。浏览器插件同样能够实现Hook功能，增强浏览器功能，用于网站逆向调试。

       Hook代码总汇

       汇总常见Hook代码应用，包括Hook Cookie、Header、URL、JSON.stringify、JSON.parse、eval和Function操作。通过这些Hook代码，可以在特定场景下进行功能扩展、调试或加密分析，实现逆向工程中的关键功能控制。

初识Frida--Android逆向之Java层hook

       文中用到的工具

       Frida官网提供了CTF示例，以此为例学习Frida在Android逆向的使用。下载apk：rps.apk。

       安装与分析

       使用genymotion等模拟器安装，发现是一个简单的石头剪刀布游戏。直接分析代码，反编译后发现app未加壳和混淆。主要分析java代码，如MainActivity中的OnCreate()方法和button的onclick方法。跟进分析showMessageTask，发现获胜逻辑。

       获取flag条件

       通过分析总结出3种获取flag的方法。接下来，使用Frida实现实现思路二和三。

       Frida自带的Messages机制

       学习Frida的Messages机制，了解如何通过Python脚本发送和接收消息。使用frida.get_usb_device()获取设备，实例化DeviceManager类并调用enumerate_devices()方法。代码示例展示了获取设备实例和设备列表。

       深入代码解析

       具体解析代码片段，如ListView1SelectItem()函数。该函数处理列表项的选择，与ZoneManager、SecManager等类交互，获取规则和策略信息。通过调用相关方法，如GetZoneAt()、GetZoneMappings()、GetZoneActionPolicy()等，实现对规则和策略的检索和显示。

       结束

       代码结束处理，如释放资源、调用DestroyZoneEnumerator()等方法。Button1Click()函数处理关闭操作。