14.2.2 常用Hook模式

在实际工作中，我总结了几种最常用的Hook模式：

你想想看，有了这四种模式，基本上你能想到的任何Hook需求都能满足了。特别是「调用原方法」这个模式，我经常用它来打印函数的入参和返回值，用来分析App的通信协议。

14.2.3 动态加载与时机问题

这里有个坑，我必须提醒你。Frida的Hook脚本是在App启动之后才注入的。如果App在启动的瞬间就完成了证书校验，你的脚本可能还没来得及Hook上去，校验就已经结束了。

我曾经在一个金融App上遇到过这个问题。App在Application的onCreate里就做了证书绑定，我的脚本还没加载完，它就已经校验失败了。怎么办？

解决方案是：使用Frida的延迟加载机制。你可以让脚本等待目标类加载完成后再进行Hook：

// 等待类加载完成
Java.perform(function() {
    // 延迟100ms，确保类已经加载
    setTimeout(function() {
        var TargetClass = Java.use('com.example.MyTrustManager');
        TargetClass.checkServerTrusted.implementation = function() {
            console.log('[+] 延迟Hook成功！');
            return;
        };
    }, 100);
});

或者更稳妥的做法，是用Java.enumerateLoadedClasses配合回调，等目标类出现时再Hook。嗯，这里要注意，时机问题是Frida使用中最容易翻车的地方，没有之一。

14.3 Frida绕过证书绑定脚本

好了，理论知识讲完了。咱们直接上干货——一个完整的、经过实战检验的Frida绕过证书绑定脚本。

这个脚本我用了很久，从Android 6到Android 14，从OkHttp到HttpsURLConnection，基本上通吃。它的核心思路是：Hook所有可能做证书校验的地方，一个都不放过。

// 通用Frida绕过证书绑定脚本
// 作者：资深移动安全工程师
// 适用：Android 6 - 14，OkHttp / HttpsURLConnection / WebView

Java.perform(function() {
    console.log('[+] 开始绕过证书绑定...');

    // ========== 1. 绕过 TrustManager 校验 ==========
    try {
        var TrustManagerImpl = Java.use('com.android.org.conscrypt.TrustManagerImpl');
        TrustManagerImpl.checkServerTrusted.implementation = function(certs, authType) {
            console.log('[+] 绕过 TrustManagerImpl.checkServerTrusted');
            return;
        };
        console.log('[✓] TrustManagerImpl 已Hook');
    } catch(e) {
        console.log('[-] TrustManagerImpl 未找到: ' + e);
    }

    // ========== 2. 绕过 X509TrustManager 校验 ==========
    try {
        var X509TrustManager = Java.use('javax.net.ssl.X509TrustManager');
        X509TrustManager.checkServerTrusted.implementation = function(chain, authType) {
            console.log('[+] 绕过 X509TrustManager.checkServerTrusted');
            return;
        };
        X509TrustManager.checkClientTrusted.implementation = function(chain, authType) {
            console.log('[+] 绕过 X509TrustManager.checkClientTrusted');
            return;
        };
        console.log('[✓] X509TrustManager 已Hook');
    } catch(e) {
        console.log('[-] X509TrustManager 未找到: ' + e);
    }

    // ========== 3. 绕过 HostnameVerifier 校验 ==========
    try {
        var HostnameVerifier = Java.use('javax.net.ssl.HostnameVerifier');
        HostnameVerifier.verify.implementation = function(hostname, session) {
            console.log('[+] 绕过 HostnameVerifier.verify: ' + hostname);
            return true;
        };
        console.log('[✓] HostnameVerifier 已Hook');
    } catch(e) {
        console.log('[-] HostnameVerifier 未找到: ' + e);
    }

    // ========== 4. 绕过 OkHttp 的 CertificatePinner ==========
    try {
        var CertificatePinner = Java.use('okhttp3.CertificatePinner');
        CertificatePinner.check.implementation = function(hostname, peerCertificates) {
            console.log('[+] 绕过 OkHttp CertificatePinner: ' + hostname);
            return;
        };
        console.log('[✓] OkHttp CertificatePinner 已Hook');
    } catch(e) {
        console.log('[-] OkHttp CertificatePinner 未找到: ' + e);
    }

    // ========== 5. 绕过 WebView 的 SSL 校验 ==========
    try {
        var WebViewClient = Java.use('android.webkit.WebViewClient');
        WebViewClient.onReceivedSslError.implementation = function(view, handler, error) {
            console.log('[+] 绕过 WebView SSL错误: ' + error);
            handler.proceed();  // 继续加载，忽略错误
        };
        console.log('[✓] WebView SSL 已Hook');
    } catch(e) {
        console.log('[-] WebView SSL 未找到: ' + e);
    }

    console.log('[✓] 所有证书绑定绕过完成！');
});

14.3.1 脚本使用方式

把这个脚本保存为bypass_ssl.js，然后在命令行里执行：

# 1. 启动frida-server（在手机上）
adb shell su -c '/data/local/tmp/frida-server &'

# 2. 运行脚本（在电脑上）
frida -U -f com.target.app -l bypass_ssl.js --no-pause

参数说明：

• -U：连接USB设备
• -f com.target.app：启动目标App的包名
• -l bypass_ssl.js：加载我们的脚本
• --no-pause：不暂停，直接运行

14.3.2 脚本设计思路

你可能会问：「为什么要Hook这么多地方？只Hook一个TrustManager不行吗？」

答案是：不行。不同的App用了不同的网络库。有的用OkHttp，有的用原生的HttpsURLConnection，有的用WebView。甚至同一个App里，不同的网络请求可能走了不同的校验路径。

我记得有一次，我帮一个朋友分析某个社交App。我Hook了TrustManager，抓包工具能抓到登录接口的数据了。但到了图片上传接口，死活抓不到。后来才发现，图片上传用的是OkHttp的CertificatePinner，我根本没Hook它。加上之后，一切正常。

所以，我的经验是：宁可多Hook，不可漏Hook。把所有可能做证书校验的地方全部覆盖，这样不管App走哪条路，都会被我们拦截。

14.4 常见问题与避坑指南

最后，分享几个我在实战中踩过的坑，希望能帮你少走弯路。

我曾经在一个Android 14的设备上折腾了整整两天，就是因为frida-server版本太旧。升级到最新版后，问题迎刃而解。所以，保持工具版本更新，是安全工程师的基本素养。

好了，关于Frida绕过证书绑定，我们就聊到这里。你把这个脚本保存好，以后遇到大部分App的证书绑定，都能用得上。记住，工具是死的，思路是活的。理解了Frida的Hook原理，你就能举一反三，应对各种奇奇怪怪的校验逻辑。

公众号:蓝海资料掘金营，微信deep3321