如何用Frida Hook安卓Native库中被嵌套调用的子导入函数？

一、锁定目标函数的真实信息 #

• 用动态追踪工具直接捕获调用：
  • 追踪LibA的y()：执行frida-trace -U -n "LibA!y"，不管调用链层级，只要y()执行就会被捕获，同时能看到完整调用栈，确认是否来自LibB的z()。
  • 若函数被混淆无符号，用偏移追踪：先获取LibA的基地址，再执行frida-trace -U -a "LibA基地址+函数偏移量"。
• 静态分析补全细节：把LibA、LibB拖进IDA或Ghidra，查找z()调用y()的关联，确认函数的参数、返回值签名，避免Hook错同名函数。

二、针对嵌套调用的Hook实现 #

直接Hook LibA的y() #

不管调用链有多深，只要y()被执行就能拦截，用Frida的示例代码：

const libA = Process.getModuleByName("LibA.so");
const yFunc = libA.getExportByName("y");
Interceptor.attach(yFunc, {
    onEnter(args) {
        // 打印调用栈，验证是否是LibB的z()触发的调用
        console.log("调用栈:", Thread.backtrace(this.context, Backtracer.ACCURATE).map(DebugSymbol.fromAddress).join("\n"));
    },
    onLeave(retval) {
        // 在这里修改返回值或注入自定义逻辑
    }
});

拦截LibB的z()间接控制y() #

如果需要在z()调用y()前做干预，直接Hook z()：

const libB = Process.getModuleByName("LibB.so");
const zFunc = libB.getExportByName("z");
Interceptor.attach(zFunc, {
    onEnter(args) {
        // 修改z()的输入参数，影响后续y()的执行
    },
    onLeave(retval) {
        // 修改z()的返回值，间接控制y()的结果
    }
});

三、常见问题排查 #

• 函数混淆问题：如果函数名被改成sub_XXXX这类无意义名称，放弃符号名，用IDA找到的偏移量结合模块基地址进行Hook。
• 动态加载模块：如果LibA/LibB不是启动时加载，要监听模块加载事件，确保Hook时机正确：

  Process.on("module-load", (module) => {
      if (module.name.includes("LibA.so")) {
          // 模块加载完成后再Hook y()
          const yFunc = module.getExportByName("y");
          Interceptor.attach(yFunc, {/* 逻辑 */});
      }
  });
  

• 调用栈验证：Hook后打印调用栈，确认是目标调用链（z()→y()），避免误Hook其他地方的同名函数。

内容的提问来源于stack exchange，提问作者hegzploit