Kit de injeção no .NET Framework e hooking de métodos gerenciados baseado em Frida para rastreamento em tempo de execução, resolução de pontos de entrada nativos e análise dinâmica de processos Windows.

Como Eles Funcionam Juntos (Fluxo de Dados)

InjectorCli (C#)

• cria Frida.DeviceManager e seleciona um dispositivo
• cria ou anexa a um processo
• cria um Frida.Script a partir do seu arquivo JavaScript e o carrega
• imprime mensagens do agente via script.Message

Agente (JavaScript)

• pode fazer hook em APIs Win32 normais diretamente (ex.: CreateFileW, MessageBoxW)
• pode opcionalmente Module.load() a DLL auxiliar gerenciada
• chama helpers exportados (ex.: ResolveMethod) via NativeFunction
• usa buffers UTF-16 auxiliares gerenciados (DescribeObjectUtf16 + FreeUtf16) em vez de parsing de layout de strings do CLR
• pode consultar diagnósticos auxiliares usando GetLastErrorUtf16 quando a resolução falha
• usa os endereços retornados para anexar hooks

ManagedHookHostProj (biblioteca de classe C# com exports)

• executa dentro do CLR do alvo
• usa reflexão para localizar o método desejado pelo nome (+ assinatura de sobrecarga opcional)
• força a compilação JIT e retorna o endereço do entrypoint nativo
• fornece exports seguros de leitura/escrita primitivos para valores por referência (ReadInt32 / WriteInt32 / WriteBool)
• expõe diagnósticos auxiliares com escopo de thread (GetLastErrorUtf16, ClearLastError)

Início Rápido (alvo de 32 bits)

Para ilustrar como tudo funciona, assumiremos que o processo alvo foi compilado para a arquitetura de CPU de 32 bits (WoW64).

1) Compilando frida-clr x86

• Você precisa de uma Frida.dll x86 para injetar em um processo alvo x86.
• Comandos de exemplo (a partir de um Prompt de Comando do Desenvolvedor do Visual Studio):

Confirme que você tem:

• dist-x86\bin\Frida.dll (PE32)

2) Compilar InjectorCli (x86)

• Você precisa abrir InjectorCli.sln no Visual Studio e definir o destino de build como Release | x86.

• Ou a partir de um Prompt de Comando do Desenvolvedor:

• Se sua Frida.dll não estiver em dist-x86\bin\Frida.dll, atualize a referência em InjectorCli.csproj adequadamente.

3) (Opcional) Compilar ManagedHookHostProj (x86)

• Você precisa abrir ManagedHookHostProj.sln no Visual Studio e definir o destino de build como Release | x86.

• Ou a partir de um Prompt de Comando do Desenvolvedor:

• Você pode então verificar os exports executando o seguinte comando no Prompt de Comando do Desenvolvedor:

Nota: em x86 + StdCall você pode ver nomes de exports decorados (ex.: _ResolveMethod@16). O script do agente fornecido inclui um fallback que localiza nomes decorados.

4) Executar: Rastreamento nativo (sem helper gerenciado necessário)

• Anexe a um PID existente:

• Crie suspenso, injete, retome:

5) Executar: Resolução de método gerenciado + rastreamento (usa a DLL helper)

• Você deve primeiro editar hook_managed.js, definindo:

  • helperDllPath para o caminho do ManagedHookHostProj.dll compilado
  • targetAssemblyPath, targetTypeName, targetMethodName, paramSig

• Em seguida, execute:

Limitações

• Inlining: métodos pequenos podem ser inlinados em builds Release, e seu hook não será acionado.
• Sobrecargas: use paramSig para selecionar a sobrecarga correta, caso contrário, você pode fazer hook na errada.
• A arquitetura deve coincidir: alvo x86 requer injetor x86 + Frida.dll x86 + DLL helper x86.
• Refs gerenciadas brutas são frágeis: exports auxiliares legados (MakeString/Box*/DescribeObject) devem ser tratados apenas para compatibilidade.

Mais Documentação

• Documentação do injetor:

  • README do Injetor
  • Como funciona
  • Solução de problemas

• Documentação da DLL helper:

  • README da DLL Helper
  • Como funciona
  • Solução de problemas de build

• Documentação do exemplo de alvo de teste:

  • README do TestTarget32
  • Executando casos de teste