如何在Frida-gadget命令行内复制文件？（非Root安卓场景）

在非Root环境中，adb shell无法直接访问应用私有目录（比如/data/data/[包名]下的文件），结合Frida调试场景，以下是几种可行的复制方案：

方法一：利用run-as命令（仅适用于Debuggable应用） #

如果目标应用是Debug签名或开启了android:debuggable="true"，可以通过run-as切换到应用权限上下文操作：

1. 确定目标应用包名，比如com.example.targetapp
2. 执行命令进入应用权限环境：

   adb shell run-as com.example.targetapp
   

3. 在该环境下，将私有目录的文件复制到全局可访问的外部存储路径（注意安卓版本权限限制，安卓10+建议用应用专属外部目录）：

   # 复制到应用专属外部存储（安卓10+推荐）
   cp /data/data/com.example.targetapp/files/secret.log /sdcard/Android/data/com.example.targetapp/files/
   # 或复制到公共Download目录（部分安卓版本可能需要存储权限）
   cp /data/data/com.example.targetapp/files/secret.log /sdcard/Download/
   

4. 退出run-as环境后，将文件拉到本地：

   adb pull /sdcard/Download/secret.log ./local-copy.log
   

方法二：通过Frida脚本读取并导出（适配Frida-gadget场景） #

如果已经在用Frida-gadget调试应用，可以直接用Frida脚本读取文件内容并输出到本地：

1. 编写Frida脚本copy-file.js：

   const targetFile = "/data/data/com.example.targetapp/files/config.json";
   const fs = require('fs');
   
   try {
       // 读取文件内容
       const fileContent = fs.readFileSync(targetFile, 'utf8');
       // 输出到控制台，后续可重定向到本地文件
       console.log(fileContent);
   } catch (err) {
       console.error('读取失败:', err.message);
   }
   

2. 运行脚本并将输出重定向到本地文件：

   # 如果是attach到已运行的gadget进程
   frida -U com.example.targetapp -l copy-file.js > local-config.json
   # 如果是启动应用并加载gadget
   frida -U -f com.example.targetapp -l copy-file.js --no-pause > local-config.json
   

   这种方式不需要依赖外部存储权限，直接通过Frida的进程权限读取文件。

方法三：借助应用自身的Content Provider（通用性较弱） #

如果目标应用暴露了可读写的Content Provider，可通过content命令读取：

1. 找到对应文件的Content URI（需分析应用Manifest或通过逆向获取）
2. 执行命令读取内容并导出：

   adb shell content query --uri content://com.example.targetapp.fileprovider/files/info.txt --projection _data | grep "value=" | cut -d'=' -f2 > local-info.txt
   

   此方法需应用主动配置Provider并开放权限，仅适用于特定场景。

注意事项 #

• run-as仅对Debuggable应用生效，Release签名且关闭Debuggable的应用无法使用
• Frida方法要求应用已注入Frida-gadget或允许Frida attach（非Root下需应用Debuggable）
• 安卓10及以上版本对外部存储权限限制严格，复制时优先选择应用专属外部目录/sdcard/Android/data/[包名]/files/

内容的提问来源于stack exchange，提问作者Howard Jack