Frida

定义

Frida 是一款动态代码插桩工具包，其作用是在程序运行期间观察并改写程序内部行为^[3]。它与静态分析工具的区别在于工作时机：不依赖反汇编或反编译得到的代码清单，而是把插桩逻辑送进已经加载到内存里的进程，直接干预运行中的指令与数据^[2]。

Frida 的主要工作方式是脚本化。使用者用 JavaScript 编写插桩脚本，由 Frida 将其注入目标进程，脚本可以钩住任意函数、监听加密相关接口的调用，或跟踪闭源应用内部的执行路径^[1]。脚本修改后立即生效，整个过程不需要编译，也不需要重启被分析的程序^[1]。

原理

Frida 的核心分为若干组件。仪器化内核 Gum 用 C 语言编写，负责函数挂钩、代码改写、内存读写等底层操作；GumJS 则把这套能力包装成可供脚本调用的运行时，使几行 JavaScript 就能完成枚举已加载模块、查找导入导出函数、扫描内存特征等工作^[3]。负责注入与调度的 frida-core 会把 GumJS 打包成共享库送进目标软件，并在注入的代码与外部工具之间维持双向通信通道^[3]。

在常见的使用场景中，Frida 先借助 ptrace 劫持目标进程的一个线程，用该线程分配一块内存并写入一小段引导程序；引导程序再拉起新线程，连接设备上运行的调试服务端，加载包含 Frida 代理的共享库 frida-agent.so，由此建立与外部工具的双向通道，被劫持的线程随后恢复原状，进程继续正常执行^[2]。

具体到插桩手段，Frida 提供两类主要接口。Interceptor 在目标函数的序言处写入跳转指令形成内联钩子，把执行流导向自定义代码后再返回原函数^[2]。Stalker 则采用即时动态重编译的方式，在线程即将执行下一条指令时复制原始代码，并把自定义代码交织进副本中执行，原始代码保持不变，因而跟踪的粒度更高、性能开销更小^[2]。

除通用接口外，Frida 针对移动平台提供了专门的运行时桥接。在 Android 上可以通过 Java 接口枚举已加载的类与类加载器、创建类实例、扫描堆中的活动对象；在 iOS 上可以通过 ObjC 接口获取已注册类的映射、注册或使用特定的类与协议实例^[2]。

发展历程

Frida 起源于其作者 Ole André Vadla Ravnås 与同行的讨论，他们希望把繁琐的手工逆向工作变得更具交互性^[5]。作者最初先搭建了 frida-gum，这是一个用 C 编写的跨平台代码插桩库，早期功能局限于函数挂钩以及为内存泄漏检测和性能剖析提供细粒度测试辅助；在此基础上，负责注入共享库并维持双向通道的 frida-core 组件被逐步补齐，最终形成 Frida^[5]。

项目早期的另一项重要进展是代码跟踪引擎 Stalker，它由作者与 @karltk 在业余时间的编程活动中完成大幅改进；随后 Python 绑定被加入，项目也开始建立网站与配套文档^[5]。从版权声明看，Frida 相关组件的著作权登记时间可追溯至 2010 年^[6]。

此后 Frida 的绑定语言不断扩展。目前除 C 语言接口外，还提供 Node.js、Python、Swift、.NET、Qt/Qml 与 Go 的绑定，脚本运行时也先后使用过 V8、Duktape，现以 QuickJS 为主^[5][2]。Frida 17 版本移除了 GumJS 运行时中预捆绑的 Objective-C、Swift、Java 桥接，使用者需要显式安装所需的桥，同时该版本还调整了模块查询等原生接口^[2]。

应用

Frida 的部署方式分为三种模式。注入模式是最常见的用法，设备上以守护进程形式运行 frida-server，frida-core 通过 TCP 暴露，默认监听本地 27042 端口，但在未 root 或未越狱的设备上无法使用该模式^[2]。嵌入式模式面向未 root 或未越狱的设备，需要把 frida-gadget 共享库嵌入目标程序内部，加载后即可用 frida-trace 等既有工具远程交互^[3]。预加载模式与 LD_PRELOAD 或 DYLD_INSERT_LIBRARIES 类似，把 frida-gadget 配置为自主运行并从文件系统加载脚本^[3]。

在移动应用安全测试中，Frida 常用于绕过运行时的各类校验，例如钩住根环境检测、越狱检测与证书固定校验函数，使其返回预期结果^[7]。测试人员也可以在应用启动早期注入脚本，或附加到已经运行并处于特定状态的进程上，随时更新插桩代码而无需重启设备^[8]。这些用途使得该框架在移动应用加固评估中被广泛使用^[4]。

在移动平台逆向之外，Frida 也被用于软件互操作性测试。将闭源软件内部的函数与数据结构暴露出来后，原本需要依赖多个运行子系统的大型集成测试可以拆分为粒度更细的独立测试夹具^[9]。在取证与分析研究中，研究者还基于 Frida 构建框架，对应用层加密的即时通信软件进行动态插桩以获取密钥材料。

局限

Frida 的注入能力受到运行环境的限制。注入模式依赖 ptrace 劫持线程，在未 root 的 Android 设备或未越狱的 iOS 设备上无法以非特权用户身份完成这一操作，只能改用嵌入式或预加载模式^[2]。

插桩行为本身可能被目标程序察觉。Interceptor 会覆盖原始代码并在函数序言处留下跳转指令，其行为类似调试器下断点，因此可以通过定期校验自身代码等方式被检测到，且跳转与上下文切换会带来可观的开销^[2]。Stalker 虽然保留下原始代码，但 Frida 的进程、线程、端口与会话特征仍可能被识别，例如应用可以扫描进程内存映射中的相关字符串、探测监听端口，或校验关键代码段的完整性^[2][10]。

同类框架的对比也显示出能力边界。与 ElleKit 和 Xposed 相比，后两者分别只适用于 iOS 与 Android，而 Frida 可以在这两个平台注入 JavaScript 虚拟机，定位是涵盖代码注入、语言绑定与可注入脚本运行时的完整动态插桩框架^[4]。有早期技术材料指出，Frida 相比其他动态二进制插桩框架成熟度较低，存在部分功能缺失与粒度不足的问题^[11]。

版本演进也会带来兼容性问题。Frida 17 移除预捆绑运行时桥接并调整了模块查询接口，旧脚本中的部分调用在新版本中不再存在，需要按所使用的主版本号核对文档^[12]。

参见

• JavaScript —— Frida 编写插桩脚本所使用的主要语言。

• Android —— Frida 通过 Java 接口进行插桩的主要移动平台之一。

• iOS —— Frida 通过 ObjC 接口进行插桩的主要移动平台之一。

• 逆向工程 —— Frida 最典型的使用领域。

• ptrace —— Frida 在注入模式下劫持目标进程线程所依赖的系统调用。