Grapefruit: Open-Source-Suite für Mobile-Sicherheitstests

Laufzeit-Toolkit zur Instrumentierung mobiler Anwendungen, angetrieben von Frida. Inspiziere, hooke und modifiziere mobile Apps über eine webbasierte Oberfläche.

Jetzt werden sowohl iOS als auch Android unterstützt!

Schnellstart

Erfordert einen laufenden Frida-Server auf deinem Gerät. Folge zuerst den offiziellen Einrichtungsanleitungen(Android).

npm (empfohlen, erfordert Node.js 22.18+)

npm install -g igf
igf

Oder ohne Installation ausführen (erfordert Node.js 22.18+)

npx igf

Vorgefertigte Binärdateien für macOS, Linux und Windows sind auf GitHub Releases verfügbar. Sowohl die Quellcode-Entwicklung als auch vorgefertigte ausführbare Dateien verwenden Node.js; siehe den Entwicklungsleitfaden für den npm-Workflow.

Verwendung

igf [options]           Start the server (default)

Options:
  --frida <16 | 17>      Frida version to use (default: 17)
  --host <host>          Host to bind (default: 127.0.0.1)
  --port <port>          Port to bind (default: 31337)
  --project <path>       Project directory for data/cache/logs (default: .igf in cwd)
  --no-open              Do not open browser on startup
  --help, -h             Show help message

Umgebungsvariablen

Variable	Beschreibung	Standard
`HOST`	Server-Bindungsadresse	`127.0.0.1`
`PORT`	Server-Port	`31337`
`FRIDA_VERSION`	Frida-Hauptversion (`16` oder `17`)	`17`
`FRIDA_TIMEOUT`	Frida-Operations-Timeout (ms)	`1000`
`PROJECT_DIR`	Projektverzeichnis für Daten/Cache/Logs	`.igf` im aktuellen Arbeitsverzeichnis
`LLM_PROVIDER`	KI-Anbieter (`anthropic`, `openai`, `gemini`, `openrouter`)
`LLM_API_KEY`	API-Schlüssel für den LLM-Anbieter
`LLM_MODEL`	Modellname (z. B. `claude-sonnet-4-20250514`)
`LLM_BASE_URL`	Benutzerdefinierter Endpunkt (überschreibt den Standard des Anbieters)

Kommandozeilen-Flags haben Vorrang vor Umgebungsvariablen, wenn beide gesetzt sind.

Funktionen

Laufzeit-Method-Hooking – Abfangen nativer und verwalteter Funktionen mit strukturiertem Logging
Kryptografische API-Interception – Überwachung von Ver- und Entschlüsselungsvorgängen mit Datenerfassung
Dateisystem-Browser – Navigieren, Hochladen, Herunterladen und Inspizieren von Dateien mit Hex-/Textvorschau
SQLite-Datenbankinspektion – Durchsuchen von Tabellen, Ausführen von Abfragen und Anzeigen von Ergebnissen
Syslog-Streaming – Echtzeit-Überwachung von System- und Agent-Logs
Prozessabsturzberichte – Exception-Handler mit Register-Dump und Backtrace
Flutter-Unterstützung – Überwachung von Plattform-Method-Channels und Erkundung von Dart-AOT-Snapshots, Funktionen, Klassen, Strings, Referenzen und wiederhergestellten Komponenten
React-Native-Unterstützung – Bridge-Inspektor und JavaScript-Injection-REPL
Speicherscanner – Durchsuchen und Inspizieren des Prozessspeichers
Datenschutz-Monitor – Verfolgung sensibler API-Zugriffe (Kamera, Mikrofon, Standort, Sensoren usw.)
Thread-Inspektor – Anzeigen und Verwalten von Prozess-Threads
Modul-/Symbol-Browser – Inspizieren geladener Module und exportierter Symbole
Analyse & Dekompilierung – DEX, Flutter AOT, Hermes-Bytecode und nativer Code. KI-Unterstützung für die Generierung von Hook-Skripten verfügbar

iOS

Keychain-Zugriff und -Änderung
NSURL-Session-Traffic-Erfassung (HTTP/HTTPS/WebSocket)
WebView- und JSContext-Inspektion mit JavaScript-Ausführung
UI-Hierarchie-Dump und Element-Hervorhebung
Info.plist-, Entitlements- und Binary-Cookie-Viewer
Biometrie-Bypass (Touch ID / Face ID)
UserDefaults-Browser
Überwachung von Pasteboard- und Dateioperationen
Geolocation-Spoofing
Geräte-ID-Spoofing
Inspektion von Objective-C-Klassen und -Methoden
Offene Dateihandles und Netzwerkverbindungen (lsof)
Sicherheitsanalyse (PIE, ARC, Stack Canaries, Verschlüsselung)
Asset-Katalog-Viewer (Assets.car)
XPC/NSXPC-Nachrichteninspektion

Android

AndroidManifest.xml-Decoder und Komponenten-Browser (Activities, Services, Receiver, Provider)
Android-Keystore-Inspektion mit Schlüsselattributen
Content-Provider-Abfrage, -Einfügung, -Aktualisierung und -Löschung
JNI-Aufrufverfolgung mit Argumenten, Rückgabewerten und Backtraces
Java-Klasseninspektion (Methoden, Felder, Interfaces)
Intent-Erstellung und -Start
Offene Dateihandles und Netzwerkverbindungen (lsof)
HTTP-Traffic-Erfassung (OkHttp, Volley, URLConnection)
Ressourcen-Browser
Überwachung von Clipboard und SharedPreferences
Broadcast-Receiver-Überwachung

Dokumentation

Umfang und Nicht-Ziele

Dieses Projekt enthält keine integrierten Bypässe für Anti-Tampering-Schutzmaßnahmen:

Frida-Erkennungs-Bypass
SSL/TLS-Zertifikats-Pinning-Bypass
Jailbreak- oder Root-Erkennungs-Bypass

Begründung: RASP-Lösungen (Runtime Application Self-Protection) entwickeln sich kontinuierlich weiter, um Instrumentierungs-Frameworks zu erkennen. Die Pflege effektiver Bypässe erfordert kontinuierlichen Aufwand, um mit neuen Erkennungsmethoden Schritt zu halten, was einen erheblichen Wartungsaufwand und potenzielle Stabilitätsprobleme mit sich bringt. Diese Bypässe sind zudem stark anwendungsspezifisch, was allgemeine Lösungen fragil macht.

Anstatt brüchige integrierte Bypässe bereitzustellen, konzentriert sich Grapefruit auf Instrumentierungs- und Inspektionsfähigkeiten, die sich gut mit spezialisierten Bypass-Tools kombinieren lassen.

Empfohlene Ansätze für autorisierte Assessments, bei denen ein RASP-Bypass erforderlich ist:

Frida Syscall Tracer — Verwende frida-strace (Frida 17.8.0+), um Systemaufrufe im Zielprozess zu verfolgen. Dies hilft, Erkennungsartefakte zu identifizieren und festzustellen, welche Patches vor dem Anhängen von Grapefruit erforderlich sind:

Beliebteste

grapefruit