Frida在小米8上的踩坑全记录——从内核崩溃到spawn失败#

症状#

手机不定时重启，last_kmsg里全是这个：

1
class_find_device+0x28/0xd8
2
device_destroy+0x4c/0x6c
3
dispatch_open+0x18/0x30

翻了10条崩溃记录（从2025年5月到7月），全是同一个位置崩的。

排查过程#

1. 看崩溃栈，是device_destroy传了空指针进去
2. 翻logcat，发现/data/load.sh在开机时自动执行
3. load.sh加载了/data/4.9.186.ko这个第三方内核模块
4. 这个模块来自前任机主装的游戏外挂工具GT V1.5

根本原因#

前任机主在手机里留了一堆外挂工具：

• /data/4.9.186.ko — 第三方内核模块，dispatch_open有bug
• /data/load.sh — 开机自动加载内核模块的脚本
• GT V1.5文件夹 — 游戏外挂
• Google PUBG文件夹 — 吃鸡辅助

这些模块的dispatch_open函数调用device_destroy时传了NULL，直接空指针解引用导致kernel panic。

解决#

1
adb shell "su -c 'rm /data/4.9.186.ko'"
2
adb shell "su -c 'rm /data/load.sh'"
3
adb shell "su -c 'rm -rf /data/GT*'"
4
# 删除所有外挂相关文件

教训：买二手手机一定要检查/data目录下有没有前任机主留的垃圾！

症状#

删完外挂文件后手机不崩了，但是开了Zygisk后，system_server偶尔会崩：

1
jit-zygisk-cache空指针
2
IPackageManager$Stub.onTransact

排查过程#

• 关掉Zygisk → system_server不再崩溃
• 但关掉Zygisk后frida spawn又用不了了（当时以为是这个原因，后来证明不是）

教训#

Zygisk和某些Magisk模块组合使用时可能会出问题。如果遇到system_server崩溃，先试试关掉Zygisk排查。

症状#

1
frida -U -f com.fatdog.reverse -l main.js
2
# → Failed to spawn: process not found

attach模式能用，spawn死活不行。我当时一度以为是Zygisk的锅。

真正的原因#

旧进程没有退出！

frida spawn的原理是：frida-server告诉Android的ActivityManager启动一个新app进程。但如果这个app已经有一个实例在运行，系统就会拒绝再启动一个，frida就报”process not found”。

复现步骤#

1
# 第1次：spawn成功
2
frida -U -f com.fatdog.reverse -l main.js
3
# ...用完直接关掉frida客户端（app进程还活着）
4

5
# 第2次：spawn失败
6
frida -U -f com.fatdog.reverse -l main.js
7
# → Failed to spawn: process not found
8

9
# 第3次：先杀进程，再spawn，又成功了
10
adb shell "su -c 'am force-stop com.fatdog.reverse'"
11
frida -U -f com.fatdog.reverse -l main.js
12
# → Spawned! Resuming main thread!

正确用法#

spawn模式（自动启动app）：

1
# 每次spawn前先杀旧进程！
2
adb shell "su -c 'am force-stop com.fatdog.reverse'"
3
frida -U -f com.fatdog.reverse -l main.js

attach模式（app已在运行）：

1
# 先手动启动app
2
adb shell am start -n com.fatdog.reverse/.MainActivity
3

4
# 然后用PID或进程名attach
5
frida -U <PID> -l main.js
6
frida -U 胖狗逆向靶场 -l main.js
7
frida -U com.fatdog.reverse -l main.js