如何绕过Android中基于ptrace的双进程反调试机制？

问题分析 #

目标APK通过启动辅助进程并让其ptrace主进程，利用ptrace单进程独占特性阻止外部调试工具attach主进程；杀死辅助进程会触发主进程的退出逻辑，直接ptrace辅助进程会被SIGKILL终止；已尝试修改ptrace_scope和LD_PRELOAD替换ptrace，但LD_PRELOAD未作用于辅助进程，导致无效。

可行解决方案 #

1. 修复LD_PRELOAD的多进程生效问题 #

之前的LD_PRELOAD仅作用于主进程，辅助进程是后续fork生成的，未继承环境变量。需确保所有进程加载钩子库：

• 编译带完整逻辑的ptrace钩子库（需链接dl库）：

#include <dlfcn.h>
#include <sys/ptrace.h>

typedef long (*orig_ptrace_type)(int request, pid_t pid, void *addr, void *data);
orig_ptrace_type orig_ptrace;

long ptrace(int request, pid_t pid, void *addr, void *data) {
    // 拦截辅助进程对主进程的attach/seize请求
    if (request == PTRACE_ATTACH || request == PTRACE_SEIZE) {
        return 0; // 伪造成功返回，不执行实际ptrace操作
    }
    // 其他请求调用原ptrace函数
    return orig_ptrace(request, pid, addr, data);
}

__attribute__((constructor)) void init() {
    orig_ptrace = (orig_ptrace_type)dlsym(RTLD_NEXT, "ptrace");
}

编译命令：

gcc -shared -fPIC ptrace.c -o ptrace.so -ldl

• 将库放到可访问目录并设置权限：

adb push ptrace.so /data/local/tmp/
adb shell chmod 755 /data/local/tmp/ptrace.so

• 关闭SELinux并通过su传递全局环境变量启动应用：

adb shell su -c 'setenforce 0; LD_PRELOAD=/data/local/tmp/ptrace.so am start -n the.app.id/the.app.id.MainActivity'

2. 用Frida动态拦截辅助进程的ptrace调用 #

Frida能快速注入并拦截函数调用，避免复杂的ptrace操作：

• 启动Frida并附加到辅助进程（先通过ps | grep the.app.id找到辅助进程名称）：

frida -U -n helper_process_name -l hook_ptrace.js

• hook_ptrace.js脚本内容：

Interceptor.attach(Module.findExportByName(null, 'ptrace'), {
    onEnter: function(args) {
        const request = args[0].toInt32();
        // 判断是否是attach或seize请求
        if (request === 1 /* PTRACE_ATTACH */ || request === 0x4206 /* PTRACE_SEIZE */) {
            this.block = true;
        }
    },
    onLeave: function(retval) {
        if (this.block) {
            retval.replace(0); // 替换返回值为0，阻止实际ptrace
        }
    }
});

拦截后辅助进程无法成功ptrace主进程，此时即可用调试工具attach主进程。

3. 静态修改APK反调试逻辑 #

若能获取APK源码或smali代码，直接移除反调试逻辑：

• 用apktool反编译APK：

apktool d target.apk -o target_dir

• 在smali目录中搜索ptrace调用或辅助进程启动逻辑（如fork、startService等），注释掉相关代码
• 重新打包并签名：

apktool b target_dir -o modified.apk
apksigner sign --ks your_keystore.jks modified.apk

内容的提问来源于stack exchange，提问作者Lasnik