Grapefruit: suite open-source per il test di sicurezza mobile

Toolkit di strumentazione runtime per applicazioni mobile basato su Frida. Ispeziona, intercetta e modifica app mobile tramite un'interfaccia web.

Ora supporta sia iOS che Android!

Avvio rapido

Richiede il server Frida in esecuzione sul tuo dispositivo. Segui prima le guide ufficiali di configurazione(Android).

npm (consigliato, richiede Node.js 22.18+)

npm install -g igf
igf

Oppure esegui senza installare (richiede Node.js 22.18+)

npx igf

Binari precompilati per macOS, Linux e Windows sono disponibili su GitHub Releases. Sia lo sviluppo da sorgente che gli eseguibili precompilati utilizzano Node.js; consulta la guida allo sviluppo per il flusso di lavoro npm.

Utilizzo

igf [options]           Start the server (default)

Options:
  --frida <16 | 17>      Frida version to use (default: 17)
  --host <host>          Host to bind (default: 127.0.0.1)
  --port <port>          Port to bind (default: 31337)
  --project <path>       Project directory for data/cache/logs (default: .igf in cwd)
  --no-open              Do not open browser on startup
  --help, -h             Show help message

Variabili d'ambiente

Variabile	Descrizione	Predefinito
HOST	Indirizzo di bind del server	127.0.0.1
PORT	Porta del server	31337
FRIDA_VERSION	Versione principale di Frida (16 o 17)	17
FRIDA_TIMEOUT	Timeout delle operazioni Frida (ms)	1000
PROJECT_DIR	Directory del progetto per dati/cache/log	.igf nella cwd
LLM_PROVIDER	Provider AI (anthropic, openai, gemini, openrouter)
LLM_API_KEY	Chiave API per il provider LLM
LLM_MODEL	Nome del modello (es. claude-sonnet-4-20250514)
LLM_BASE_URL	Endpoint personalizzato (sovrascrive il predefinito del provider)

I flag da riga di comando hanno precedenza sulle variabili d'ambiente quando entrambi sono impostati.

Funzionalità

• Hooking dei metodi a runtime - Intercetta funzioni native e gestite con logging strutturato
• Intercettazione delle API crittografiche - Monitora le operazioni di cifratura/decifratura con cattura dei dati
• Browser del filesystem - Naviga, carica, scarica e ispeziona file con anteprima hex/testo
• Ispezione di database SQLite - Sfoglia tabelle, esegui query e visualizza i risultati
• Streaming Syslog - Monitoraggio in tempo reale dei log di sistema e dell'agente
• Segnalazione dei crash dei processi - Gestore delle eccezioni con dump dei registri e backtrace
• Supporto Flutter - Monitora i canali dei metodi della piattaforma ed esplora gli snapshot Dart AOT, funzioni, classi, stringhe, riferimenti e componenti recuperati
• Supporto React Native - Ispettore del bridge e REPL per l'iniezione di JavaScript
• Scanner di memoria - Cerca e ispeziona la memoria dei processi
• Monitor della privacy - Traccia l'accesso ad API sensibili (fotocamera, microfono, posizione, sensori, ecc.)
• Ispettore dei thread - Visualizza e gestisci i thread dei processi
• Browser di moduli/simboli - Ispeziona i moduli caricati e i simboli esportati
• Analisi e decompilazione - DEX, Flutter AOT, bytecode Hermes e codice nativo. Assistenza AI disponibile per la generazione di script di hook

iOS

• Accesso e modifica del Keychain
• Cattura del traffico delle sessioni NSURL (HTTP/HTTPS/WebSocket)
• Ispezione di WebView e JSContext con esecuzione di JavaScript
• Dump della gerarchia UI ed evidenziazione degli elementi
• Visualizzatori di Info.plist, entitlements e cookie binari
• Bypass biometrico (Touch ID / Face ID)
• Browser di UserDefaults
• Monitoraggio degli appunti e delle operazioni sui file
• Spoofing della geolocalizzazione
• Spoofing dell'ID del dispositivo
• Ispezione di classi e metodi Objective-C
• Handle di file aperti e connessioni di rete (lsof)
• Analisi di sicurezza (PIE, ARC, stack canaries, cifratura)
• Visualizzatore del catalogo asset (Assets.car)
• Ispezione dei messaggi XPC/NSXPC

Android

• Decoder di AndroidManifest.xml e browser dei componenti (activity, service, receiver, provider)
• Ispezione di Android Keystore con attributi delle chiavi
• Query, insert, update e delete sui content provider
• Tracciamento delle chiamate JNI con argomenti, valori di ritorno e backtrace
• Ispezione delle classi Java (metodi, campi, interfacce)
• Creazione e avvio di Intent
• Handle di file aperti e connessioni di rete (lsof)
• Cattura del traffico HTTP (OkHttp, Volley, URLConnection)
• Browser delle risorse
• Monitoraggio di Clipboard e SharedPreferences
• Monitoraggio dei broadcast receiver

Documentazione

• CLI e Daemon
• Sviluppo
• Architettura
• RPC
• Riconoscimenti

Ambito e obiettivi non perseguiti

Questo progetto non include bypass integrati per le protezioni anti-manomissione:

• Bypass del rilevamento di Frida
• Bypass del certificate pinning SSL/TLS
• Bypass del rilevamento di jailbreak o root

Motivazione: Le soluzioni RASP (Runtime Application Self-Protection) si evolvono continuamente per rilevare i framework di strumentazione. Mantenere bypass efficaci richiede uno sforzo costante per stare al passo con i nuovi metodi di rilevamento, introducendo un onere di manutenzione significativo e potenziali problemi di stabilità. Questi bypass sono inoltre altamente specifici per ogni applicazione, rendendo le soluzioni generiche fragili.

Invece di fornire bypass integrati fragili, Grapefruit si concentra su capacità di strumentazione e ispezione che si integrano bene con strumenti di bypass dedicati.

Approcci consigliati per valutazioni autorizzate in cui è richiesto il bypass di RASP:

1. Frida Syscall Tracer — Usa frida-strace (Frida 17.8.0+) per tracciare le chiamate di sistema nel processo target. Questo aiuta a identificare gli artefatti di rilevamento e a determinare quali patch sono necessarie prima di collegare Grapefruit: