JsHook for Android

Sto curiosando con l'analisi delle app Android da un po' e, onestamente, la maggior parte degli strumenti richiede troppa configurazione o sembra che siano del 2012. JsHook per Android è stata una boccata d'aria fresca quando l'ho trovato. Stavo cercando di modificare il modo in cui un gioco gestiva i dati locali senza toccare l'APK e questo mi ha permesso di farlo in meno di dieci minuti semplicemente scrivendo un semplice script. Nessuna compilazione, nessuna configurazione complessa: basta inserire il tuo JS e partire.

La roba buona

Ciò che ha davvero funzionato è stata la semplicità con cui è stato possibile collegare sia Java che il codice nativo. Si è verificato uno strano arresto anomalo in una libreria di terze parti e ho utilizzato JsHook per intercettare la chiamata al metodo subito prima che fallisse. Ho appena aggiunto un'istruzione di registro e all'improvviso ho capito esattamente quale parametro stava causando il problema. L'interfaccia è minima, ma è carina. Non cerca di essere fantasioso. Carichi il tuo script, eseguilo su un'app di destinazione e vedi i risultati in tempo reale. Se conosci JavaScript di base e hai già svolto qualche lavoro su Frida, sei già a metà strada. Non è un IDE completo, ma è sufficiente per portare a termine le cose velocemente.

Il non-così-buono

Sicuramente non è adatto ai principianti se non hai mai toccato Frida o il debug Android prima. Non esiste un tutorial integrato, nessuno script di esempio, niente. Ho dovuto dare la caccia ai vecchi repository GitHub solo per capire la sintassi. Inoltre, la mancanza di informazioni sulla versione o di numeri di download lo fa sembrare impreciso. Nessun nome dello sviluppatore? Questa è una bandiera rossa se stai facendo qualcosa di sensibile alla sicurezza. E sì, è gratuito, ma ciò significa anche nessun supporto. Se qualcosa si rompe, sei da solo. Non è il tipo di strumento che vorresti utilizzare in un pentest di produzione a meno che tu non sia molto a tuo agio con la tecnologia sottostante.

In conclusione

Se hai già familiarità con Frida e hai bisogno di un modo leggero per inserire hook nelle app Android, vale la pena scaricare JsHook per Android. Non è appariscente, ma fa bene una cosa. Saltalo se sei nuovo in queste cose o hai bisogno di una mano. Ma se stai armeggiando con le app per divertimento o per testarle, è un piccolo aiuto valido. Gratuito, funzionale e porta a termine il lavoro: esattamente quello che desideri da uno strumento di nicchia come questo.