Grapefruit: Open-Source-Suite für Mobile-Sicherheitstests

Toolkit zur Laufzeit-Instrumentierung mobiler Anwendungen, basierend auf Frida. Untersuchen, hooken und modifizieren Sie mobile Apps über eine webbasierte Oberfläche.

Jetzt werden sowohl iOS als auch Android unterstützt!

Schnellstart

Erfordert einen auf Ihrem Gerät laufenden Frida-Server. Befolgen Sie zuerst die offiziellen Einrichtungsanleitungen(Android).

npm (empfohlen, erfordert Node.js 22.18+)

npm install -g igf
igf

Oder ohne Installation ausführen (erfordert Node.js 22.18+)

npx igf

Vorgefertigte Binärdateien für macOS, Linux und Windows sind auf GitHub Releases verfügbar. Sowohl die Quellcode-Entwicklung als auch die vorgefertigten ausführbaren Dateien verwenden Node.js; siehe den Entwicklungsleitfaden für den npm-Workflow.

Verwendung

igf [options]           Start the server (default)

Options:
  --frida <16 | 17>      Frida version to use (default: 17)
  --host <host>          Host to bind (default: 127.0.0.1)
  --port <port>          Port to bind (default: 31337)
  --project <path>       Project directory for data/cache/logs (default: .igf in cwd)
  --no-open              Do not open browser on startup
  --help, -h             Show help message

Umgebungsvariablen

Variable	Beschreibung	Standard
HOST	Server-Bindeadresse	127.0.0.1
PORT	Server-Port	31337
FRIDA_VERSION	Frida-Hauptversion (16 oder 17)	17
FRIDA_TIMEOUT	Frida-Timeout für Operationen (ms)	1000
PROJECT_DIR	Projektverzeichnis für Daten/Cache/Logs	.igf in cwd
LLM_PROVIDER	KI-Anbieter (anthropic, openai, gemini, openrouter)
LLM_API_KEY	API-Schlüssel für den LLM-Anbieter
LLM_MODEL	Modellname (z. B. claude-sonnet-4-20250514)
LLM_BASE_URL	Benutzerdefinierter Endpunkt (überschreibt den Anbieterstandard)

Befehlszeilen-Flags haben Vorrang vor Umgebungsvariablen, wenn beide gesetzt sind.

Funktionen

• Laufzeit-Methoden-Hooking - Native und verwaltete Funktionen mit strukturierter Protokollierung abfangen
• Abfangen kryptografischer APIs - Verschlüsselungs-/Entschlüsselungsvorgänge mit Datenerfassung überwachen
• Dateisystem-Browser - Dateien durchsuchen, hochladen, herunterladen und mit Hex-/Textvorschau untersuchen
• SQLite-Datenbank-Inspektion - Tabellen durchsuchen, Abfragen ausführen und Ergebnisse anzeigen
• Syslog-Streaming - Echtzeitüberwachung von System- und Agent-Protokollen
• Prozess-Crash-Reporting - Ausnahmehandler mit Register-Dump und Backtrace
• Flutter-Unterstützung - Kommunikation über Plattform-Methodenkanäle auf beiden Plattformen überwachen
• React-Native-Unterstützung - Bridge-Inspektor und JavaScript-Injektions-REPL
• Speicher-Scanner - Prozessspeicher durchsuchen und untersuchen
• Datenschutz-Monitor - Zugriff auf sensible APIs verfolgen (Kamera, Mikrofon, Standort, Sensoren usw.)
• Thread-Inspektor - Prozessthreads anzeigen und verwalten
• Modul-/Symbol-Browser - Geladene Module und exportierte Symbole untersuchen
• Analyse & Dekompilierung - DEX-, Hermes-Bytecode und nativer Code. KI-Unterstützung für die Erstellung von Hook-Skripten verfügbar

iOS

• Keychain-Zugriff und -Änderung
• Erfassung von NSURL-Session-Traffic (HTTP/HTTPS/WebSocket)
• WebView- und JSContext-Inspektion mit JavaScript-Ausführung
• UI-Hierarchie-Dump und Element-Hervorhebung
• Viewer für Info.plist, Entitlements und binäre Cookies
• Biometrie-Bypass (Touch ID / Face ID)
• UserDefaults-Browser
• Überwachung von Pasteboard- und Dateioperationen
• Geolocation-Spoofing
• Geräte-ID-Spoofing
• Inspektion von Objective-C-Klassen und -Methoden
• Offene Datei-Handles und Netzwerkverbindungen (lsof)
• Sicherheitsanalyse (PIE, ARC, Stack-Canaries, Verschlüsselung)
• Asset-Katalog-Viewer (Assets.car)
• Inspektion von XPC/NSXPC-Nachrichten

Android

• AndroidManifest.xml-Decoder und Komponenten-Browser (Activities, Services, Receiver, Provider)
• Android-Keystore-Inspektion mit Schlüsselattributen
• Query-, Insert-, Update- und Delete-Operationen für Content-Provider
• JNI-Call-Tracing mit Argumenten, Rückgabewerten und Backtraces
• Java-Klassen-Inspektion (Methoden, Felder, Schnittstellen)
• Erstellen und Starten von Intents
• Offene Datei-Handles und Netzwerkverbindungen (lsof)
• Erfassung von HTTP-Traffic (OkHttp, Volley, URLConnection)
• Ressourcen-Browser
• Überwachung von Zwischenablage und SharedPreferences
• Überwachung von Broadcast-Receivern

Dokumentation

• CLI und Daemon
• Entwicklung
• Architektur
• RPC
• Danksagungen

Umfang und Nicht-Ziele

Dieses Projekt enthält keine integrierten Bypasses für Anti-Tampering-Schutzmaßnahmen:

• Frida-Erkennungs-Bypass
• SSL/TLS-Zertifikats-Pinning-Bypass
• Jailbreak- oder Root-Erkennungs-Bypass

Begründung: RASP-Lösungen (Runtime Application Self-Protection) werden kontinuierlich weiterentwickelt, um Instrumentierungs-Frameworks zu erkennen. Die Aufrechterhaltung wirksamer Bypasses erfordert kontinuierlichen Aufwand, um mit neuen Erkennungsmethoden Schritt zu halten, was einen erheblichen Wartungsaufwand und potenzielle Stabilitätsprobleme mit sich bringt. Diese Bypasses sind zudem stark anwendungsspezifisch, was Allzwecklösungen fragil macht.

Statt fragiler integrierter Bypasses liegt der Fokus von Grapefruit auf Instrumentierungs- und Inspektionsfunktionen, die sich gut mit speziellen Bypass-Werkzeugen kombinieren lassen.

Empfohlene Ansätze für autorisierte Bewertungen, bei denen ein RASP-Bypass erforderlich ist:

1. Frida-Syscall-Tracer — Verwenden Sie frida-strace (Frida 17.8.0+), um Systemaufrufe im Zielprozess zu verfolgen. Dies hilft, Erkennungsartefakte zu identifizieren und festzustellen, welche Patches erforderlich sind, bevor Sie Grapefruit anhängen:

   frida-strace -U -f com.example.app