Frida无法定位Android应用WebView实例的问题排查求助

问题原因 #

1. 多进程架构：Chrome、Facebook这类应用采用多进程设计，WebView实例通常运行在独立的渲染子进程中，而非主进程。默认情况下Frida仅附加主进程，因此无法扫到子进程中的WebView。
2. 类加载器限制：这类应用可能使用自定义类加载器加载WebView相关类，而Java.choose默认仅扫描系统类加载器，导致无法检测到自定义加载器中的WebView实例。
3. 类名混淆/自定义子类：部分应用会对WebView子类进行混淆，或使用自定义的WebView子类（而非直接使用android.webkit.WebView），虽然视图层级显示为WebView，但实际运行时的类名可能已被修改。

可行的定位方案 #

1. 附加到应用的所有进程 #

通过Frida枚举并附加应用的所有进程，确保覆盖WebView所在的子进程：

• 命令行方式：

# 附加Chrome的所有进程
frida -U -n chrome --no-pause -l your_script.js

• 脚本内自动枚举进程：

function attachToAllProcesses(packageName) {
    const processes = Process.enumerate().filter(p => p.name.includes(packageName));
    processes.forEach(p => {
        try {
            console.log(`Attaching to process ${p.pid} (${p.name})`);
            Script.load({ path: "your_webview_script.js" }, { session: Frida.attach(p.pid) });
        } catch (e) {
            console.log(`Failed to attach to ${p.pid}: ${e.message}`);
        }
    });
}

attachToAllProcesses("com.android.chrome");

2. 遍历所有类加载器查找WebView #

修改脚本，遍历应用内的所有类加载器，在每个加载器中执行Java.choose：

Java.perform(function() {
    Java.enumerateClassLoaders({
        onMatch: function(loader) {
            try {
                console.log(`Scanning class loader: ${loader}`);
                Java.choose("android.webkit.WebView", {
                    classLoader: loader,
                    onMatch: function(o) {
                        console.log(`Found WebView instance: ${o}`);
                    },
                    onComplete: function() {}
                });
            } catch (e) {
                console.log(`Error scanning loader: ${e.message}`);
            }
        },
        onComplete: function() {
            console.log("All class loaders scanned");
        }
    });
});

3. 遍历视图树查找WebView #

利用Android视图层级结构，从ViewRootImpl入手递归遍历所有视图，定位WebView实例：

Java.perform(function() {
    const ViewRootImpl = Java.use("android.view.ViewRootImpl");
    const WebView = Java.use("android.webkit.WebView");

    ViewRootImpl.getView.implementation = function() {
        const rootView = this.getView.call(this);
        if (rootView) {
            traverseView(rootView);
        }
        return rootView;
    };

    function traverseView(view) {
        try {
            if (WebView.cast(view)) {
                console.log(`Found WebView in view tree: ${view}`);
            }
            const childCount = view.getChildCount();
            for (let i = 0; i < childCount; i++) {
                const child = view.getChildAt(i);
                if (child) {
                    traverseView(child);
                }
            }
        } catch (e) {
            // 忽略非View类型的节点
        }
    }

    // 主动触发一次视图遍历
    Java.choose("android.view.ViewRootImpl", {
        onMatch: function(vri) {
            traverseView(vri.getView());
        },
        onComplete: function() {}
    });
});

4. 扫描所有继承自WebView的子类 #

如果应用使用了自定义WebView子类，可通过扫描所有View的子类并判断是否继承自WebView：

Java.perform(function() {
    const WebView = Java.use("android.webkit.WebView");
    const View = Java.use("android.view.View");

    Java.enumerateLoadedClasses({
        onMatch: function(className) {
            try {
                const cls = Java.use(className);
                if (cls.$extends === View && cls.class.isAssignableFrom(WebView.class)) {
                    Java.choose(className, {
                        onMatch: function(o) {
                            console.log(`Found WebView subclass instance: ${o}`);
                        },
                        onComplete: function() {}
                    });
                }
            } catch (e) {
                // 忽略无法加载的类
            }
        },
        onComplete: function() {
            console.log("Loaded classes scanned");
        }
    });
});

内容的提问来源于stack exchange，提问作者danest