Frida 17.16.0：arm64e 注入修复与 spawn 加固

当天发生了什么

2026-07-17 22:20（UTC），Frida 在 GitHub 发布了 17.16.0，官网同日的新闻稿称这是一次包含安全加固、平台修复和 API 打磨的大版本。按发布说明，与 Apple 平台相关的变化包括：修复 arm64e 上的上传注入（在处理 threaded 与 chained fixups 之前先应用各段的内存保护，并且不再创建 RWX 映射）；在现代 iOS 上恢复 CodeSegment 的实现，并改为在运行时探测是否支持，而不是根据 XNU 版本推测；修复 arm64e 上 attach 时的崩溃；GumJS 的 V8 JIT 可以在 iOS 应用沙盒内工作。其他变化还有：spawn gating 改为可设定作用域并加入看门狗、Stalker 保存 AVX-512 状态、自动生成的 Python 绑定新增 asyncio 支持等。

对保护自家应用意味着什么

对保护自家 App 的开发者来说，这次发布的意义不在某个具体功能，而在方向：主流动态插桩框架持续跟进 arm64e 指针认证、代码签名格式等平台机制，并主动避免 RWX 映射这类明显痕迹。因此，「新系统版本让插桩变难」只能视为暂时状态，不能作为长期假设。威胁模型里应当默认：在攻击者完全控制的设备上，进程内的代码和数据最终可以被观察和修改。混淆和运行时检测能够提高成本、缩短可利用窗口，但不能把客户端变成可信环境。真正需要保密或不可篡改的判断，例如授权、计费和风控规则，仍应放在服务端。

可以在自己的构建上做的检查

第一，盘点 IPA 里实际随包分发的密钥、接口地址和业务规则，凡是泄露后会造成直接损失的，迁移到服务端或改用短期凭证。第二，如果依赖运行时完整性检测，把检测结果作为信号上报给服务端综合判断，而不是在客户端单点决定放行或拒绝；每次 iOS 大版本或主流工具链更新后，在自己的测试设备上复测检测与降级逻辑是否仍按预期工作。第三，把这类工具发布说明中「跟进了哪些平台机制」记入威胁模型的变更记录，用来校准对外措辞，避免承诺「无法调试」「无法注入」。

行动清单

• 盘点 IPA 中随包分发的密钥、接口与业务规则
• 把完整性检测结果作为服务端风控信号而非客户端单点判断
• 每次 iOS 大版本后在自有设备上复测保护与降级逻辑