Grapefruit: Suíte de testes de segurança móvel de código aberto

Kit de ferramentas de instrumentação de aplicativos móveis em tempo de execução, desenvolvido com Frida. Inspecione, hooke e modifique aplicativos móveis por meio de uma interface web.

Agora ele suporta iOS e Android!

Início Rápido

Requer o servidor Frida em execução no seu dispositivo. Siga primeiro os guias oficiais de configuração(Android).

npm (recomendado, requer Node.js 22.18+)

npm install -g igf
igf

Ou execute sem instalar (requer Node.js 22.18+)

npx igf

Binários pré-compilados para macOS, Linux e Windows estão disponíveis nas GitHub Releases. Tanto o desenvolvimento a partir do código-fonte quanto os executáveis pré-compilados usam Node.js; consulte o guia de desenvolvimento para o fluxo de trabalho npm.

Uso

igf [options]           Start the server (default)

Options:
  --frida <16 | 17>      Frida version to use (default: 17)
  --host <host>          Host to bind (default: 127.0.0.1)
  --port <port>          Port to bind (default: 31337)
  --project <path>       Project directory for data/cache/logs (default: .igf in cwd)
  --no-open              Do not open browser on startup
  --help, -h             Show help message

Variáveis de Ambiente

Os argumentos de linha de comando têm precedência sobre as variáveis de ambiente quando ambos estão definidos.

Recursos

• Hook de Métodos em Tempo de Execução - Intercepte funções nativas e gerenciadas com registro estruturado
• Interceptação de API Criptográfica - Monitore operações de criptografia/descriptografia com captura de dados
• Navegador de Sistema de Arquivos - Navegue, envie, baixe e inspecione arquivos com pré-visualização em hex/texto
• Inspeção de Banco de Dados SQLite - Navegue por tabelas, execute consultas e visualize resultados
• Streaming de Syslog - Monitoramento em tempo real de logs do sistema e do agente
• Relatório de Crash de Processos - Manipulador de exceções com despejo de registradores e backtrace
• Suporte a Flutter - Monitore a comunicação do canal de métodos da plataforma em ambas as plataformas
• Suporte a React Native - Inspetor de bridge e REPL de injeção de JavaScript
• Scanner de Memória - Pesquise e inspecione a memória do processo
• Monitor de Privacidade - Rastreie acessos a APIs sensíveis (câmera, microfone, localização, sensores, etc.)
• Inspetor de Threads - Visualize e gerencie threads do processo
• Navegador de Módulos/Símbolos - Inspecione módulos carregados e símbolos exportados
• Análise e Decompilação - DEX, bytecode Hermes e código nativo. Assistência de IA disponível para geração de scripts de hook

iOS

• Acesso e modificação ao Keychain
• Captura de tráfego de sessão NSURL (HTTP/HTTPS/WebSocket)
• Inspeção de WebView e JSContext com execução de JavaScript
• Despejo da hierarquia de UI e destaque de elementos
• Visualizadores de Info.plist, entitlements e cookies binários
• Bypass biométrico (Touch ID / Face ID)
• Navegador de UserDefaults
• Monitoramento de pasteboard e operações de arquivo
• Spoofing de geolocalização
• Spoofing de ID do dispositivo
• Inspeção de classes e métodos Objective-C
• Manipuladores de arquivo abertos e conexões de rede (lsof)
• Análise de segurança (PIE, ARC, stack canaries, criptografia)
• Visualizador de catálogo de assets (Assets.car)
• Inspeção de mensagens XPC/NSXPC

Android

• Decodificador de AndroidManifest.xml e navegador de componentes (activities, services, receivers, providers)
• Inspeção do Android Keystore com atributos de chave
• Consulta, inserção, atualização e exclusão de content providers
• Rastreamento de chamadas JNI com argumentos, valores de retorno e backtraces
• Inspeção de classes Java (métodos, campos, interfaces)
• Construção e lançamento de intents
• Manipuladores de arquivo abertos e conexões de rede (lsof)
• Captura de tráfego HTTP (OkHttp, Volley, URLConnection)
• Navegador de recursos
• Monitoramento da área de transferência e SharedPreferences
• Monitoramento de broadcast receivers

Documentação

• CLI e Daemon
• Desenvolvimento
• Arquitetura
• RPC
• Agradecimentos

Escopo e Não-Objetivos

Este projeto não inclui bypass integrados para proteções contra adulteração:

• Bypass de detecção do Frida
• Bypass de fixação de certificado SSL/TLS
• Bypass de detecção de jailbreak ou root

Justificativa: as soluções RASP (Runtime Application Self-Protection) evoluem continuamente para detectar frameworks de instrumentação. Manter bypass eficazes exige esforço contínuo para acompanhar novos métodos de detecção, introduzindo uma carga significativa de manutenção e possíveis problemas de estabilidade. Esses bypass também são altamente específicos de cada aplicação, o que torna frágeis as soluções de uso geral.

Em vez de fornecer bypass integrados frágeis, o Grapefruit concentra-se em capacidades de instrumentação e inspeção que se integram bem com ferramentas de bypass dedicadas.

Abordagens recomendadas para avaliações autorizadas em que o bypass de RASP é necessário:

1. Frida Syscall Tracer — Use frida-strace (Frida 17.8.0+) para rastrear chamadas de sistema no processo alvo. Isso ajuda a identificar artefatos de detecção e determinar quais patches são necessários antes de anexar o Grapefruit:

   root@kitploit:~

   frida-strace -U -f com.example.app
   

   Consulte as notas de versão do Frida 17.8.0 para obter detalhes.

2. Arquitetura de múltiplas sessões — O Frida suporta múltiplas sessões anexadas ao mesmo processo. Inicie primeiro uma sessão separada com seus scripts de bypass de RASP e depois lance o Grapefruit. Quando o Grapefruit detecta que o aplicativo alvo já está em execução, ele se anexa ao processo existente em vez de reiniciá-lo, preservando quaisquer bypass já em vigor.

Segurança

O Grapefruit vincula-se a 127.0.0.1 por padrão e não possui autenticação integrada. A interface web e a API são acessíveis a qualquer processo local. Embora requisições de origem cruzada sejam bloqueadas por padrão (sem cabeçalhos CORS, o Socket.IO rejeita conexões de origem cruzada), isso por si só não é suficiente para um ambiente compartilhado ou remoto.

Se você precisar de acesso remoto ou segurança multi-usuário, coloque o Grapefruit atrás de um proxy reverso autenticado, como o Caddy, para TLS, controle de acesso e registro de logs. Não exponha o Grapefruit diretamente à rede sem autenticação.

Licença

MIT