Frida 17.24.1：符号没变，内部 Swift 函数为什么突然可见？

今天的增量：补上符号表这条观察路径

Frida 17.24.1 的官方 GitHub 发布时间为 2026-10-17 11:42:50 UTC，即北京时间 19:42:50；官网当天说明新增 Swift 符号表遍历。对于仍保留相应符号的模块，内部方法、自由函数和值类型初始化器可以进入 functions: 查询结果。变化发生在分析工具，不是应用突然新增了这些函数；本文也没有把前一天的 17.24.0 当成今天发布。

先区分“没导出”“没列出”与“不存在”

以下是本站的防御性评测分析，不是上游给任何应用作出的安全结论。导出列表、完整符号信息和运行时类型信息不是同一个观察面。若一份未变的发布包在新版工具里显示更多名称，首先应记录“观察覆盖扩大”，而不是“这版加固失效”或“旧版加固成功”。反过来，列出函数名也不等于取得完整源码、还原所有业务行为或完成可运行复刻。

建立一个不会把工具盲区算成胜利的对照

建议只用自有、无敏感内容的小型 Swift 测试工程：保留一个无业务含义的内部方法和一个自由函数作为已知阳性对照，再保留功能相同的发布候选。固定每份产物的摘要、平台、架构、构建配置和工具版本；在隔离评估环境中比较同一份产物在升级前后的结果。先确认工具能识别本应可见的对照，再解释候选中的缺失。若对照也不可见，结果记为工具或环境覆盖不足，不进入防护成功率。本文仅提出这套方法，没有运行这些实验。

把结论绑定到真正交付的包

检查最终分发包中的主程序、嵌入框架和插件，而不是只检查一个本地 Debug 文件或单张导出截图。将每个组件的摘要、必要公开接口、保留名称和私有诊断资料分别归档。若调整剥离或混淆配置，应重新签名并执行自己的功能与崩溃诊断回归；不要手工删除运行时必需信息，也不要为了隐藏名称丢掉私有符号备份。工具版本变化后，重新检查同一份存档包，才能判断是产物变了还是观察者变了。

发现名称之后，还要验证行为

Frida 的 API 文档明确说，可用解析器取决于平台及当前进程加载的运行时；一次查询失败需要先排查这个前提。对独立开发者，更有用的报告应分开记录名称或结构暴露、能够解释的规则、在固定隐藏测试上通过的行为，以及工具失败或未知。敏感授权和付款判定仍应由可信服务端核验，不能用“解析器没有输出”替代权限边界。本文不提供针对他人应用的注入或绕过步骤，不宣称已复现本次变化，也不提供新的安全分数。

行动清单

• 先固定最终分发包及每个组件的摘要，再比较工具版本。
• 用自有测试工程中的已知阳性对照验证观察覆盖，失败就记未知。
• 分别记录导出、保留符号、运行时信息与功能复刻结果。
• 私有保管诊断符号；修改构建后重新签名并回归功能与诊断。
• 不要把旧工具未列出名称计为加固成功，也不要把名称可见当成完整复刻。