1. 首页
  2. Security
  3. Android Reverse
  4. Xposed
  5. 正文

Android Xposed开发技巧

  • 内容
  • 评论
  • 相关

Xposed，大名鼎鼎得Xposed，是Android平台上最负盛名的一个框架。在这个框架下，我们可以加载很多插件App，这些插件App可以直接或间接操纵系统层面的东西，比如操纵一些本来只对系统厂商才open的功能（实际上是因为Android系统很多API是不公开的，而第三方APP又没有权限）。有了Xposed后，理论上我们的插件APP可以hook到系统任意一个Java进程（zygote，systemserver，systemui好不啦！）。

lpparam.classLoader hook

  1. 静态field变量

静态field变量sMoney的值的修改和获取，可以直接使用xposed提供的XposedHelpers类相关功能函数。具体操作可以类比以下示例代码片段：

Class clazz =XposedHelpers.findClass("com.example.inner_class_demo.demo",lpparam.classLoader);

XposedHelpers.setStaticObjectField(clazz,"sMoney",110);

Field sMoney =  clazz.getDeclaredField("sMoney");

sMoney.setAccessible(true);

System.out.println(sMoney.get(null));
  1. 隐藏函数hidden_fun

主动调用隐藏函数hidden_fun（这一类函数是指触发条件比较苛刻的函数，但是我们又需要了解它的输入、输出的大致关系），需要通过clazz来新建实例，最后将此实例与函数名组装成XposedHelpers.callMethod()的实参需求形式。具体操作可以类比以下示例代码片段：

Class clazz =XposedHelpers.findClass("com.example.inner_class_demo.demo",lpparam.classLoader);

XposedHelpers.callMethod(constructor.newInstance(),"hidden_fun");

以上代码仅适用于存在无参构造函数的类，如果目标类没有无参构造函数，那就麻烦一点了，需要根据构造函数参数类型，反射寻找构造函数，接着才能类似上述操作。具体操作可以类比以下示例代码片段：

假设此时的构造函数仅有以下函数，即public demo(){}不存在的情形：

public demo(String str){...}


Class clazz =XposedHelpers.findClass("com.example.inner_class_demo.demo",lpparam.classLoader);

Constructor constructor = clazz.getConstructor(String.class);

XposedHelpers.callMethod(constructor.newInstance("..."),"hidden_fun");
  1. 内部类inner_class
    内部类inner_class作为Android编程过程常见的一种编程方式，这里为了demo的全面，也将其列出。其实内部类整个处理过程与普通类极其相似，具体操作可以类比以下示例代码片段：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
XposedHelpers.findAndHookMethod("com.example.inner_class_demo.demo$inner_class",lpparam.classLoader,
"secret", String.class, boolean.class, new XC_MethodHook() {
protectedvoid beforeHookedMethod(MethodHookParam param) throws Throwable {
for (int i = 0; i < param.args.length; i++) {
XposedBridge.log(" argument is:" + param.args[i]);
}
int field_result = (int)XposedHelpers.getObjectField(param.thisObject,"pMoney");
XposedBridge.log(String.valueOf(field_result));
}
});

需要注意的是，这里打印目标函数参数列表的时候，用了XposedBridge.log()。这样的输出方式对日志的长度有限制，即长度不超过1024。特殊场合（比如：文件读取时，需要查看文件的内容）需要注意处理下，不然会出现截断的现象。

  1. 匿名内部类$inner

同内部类，一般是class_name$1之类，具体可以反编译目标程序查看下。常见的反编译工具，比如：apktool、jeb、baksmali均可以方便达到目的。

  1. 构造函数

构造函数demo()的处理，可以使用xposed提供的XposedHelpers类，具体操作可以类比以下示例代码片段：

Class clazz =XposedHelpers.findClass("com.example.inner_class_demo.demo",lpparam.classLoader);

XposedHelpers.findAndHookConstructor(clazz,  new XC_MethodHook() {

  ...

});

需要注意的是，由于构造函数不同于普通函数，函数名不需要提供（因为与类名相同，xposed框架处理函数名问题）。

  1. 同时监控多函数
    如果遇到某一类函数需要“批量”hook操作的时候，比如：需要同时监控多个构造函数、多个重载函数，我们此时不可能去挨个hook每个具体目标，那么应该怎么操作呢？我们可以这样来实现：
1
2
3
4
5
6
7
8
9
10
11
12
hookAllConstructors(clazz, new XC_MethodHook() {
...
});
hookAllMethods(clazz, new XC_MethodHook() {
...
});

hook重载函数时候，只需要忽略参数的具体类型即可。这种方式其实可以达到两种效果：1. 高效的处理函数重载问题 2.目标函数参数类型太复杂，自定义的类型太多。忽略参数类型，可以简化我们的hook工作。

  1. 替换方法
    只要改变一下回调方式就行了，原来是用XC_MethodHook()回调函数，实现在调用方法前和方法后执行hook代码,而只要把这个回调函数变成XC_MethodReplacement()回调函数，就可以实现直接替换原方法的目的，那么只要在这个回调函数里不加任何代码，就可以实现调用原方法，而不执行其代码的目的。

attachBaseContext.classloader hook

  1. Multidex勾住技术
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
findAndHookMethod(Application.class, "attach", Context.class, newXC_MethodHook() {
@Override
protectedvoid afterHookedMethod(MethodHookParam param) throws Throwable {
// place your hooks here, it should work with lpparam.classLoader
findAndHookMethod(class, lpparam.classLoader, method, arg1, arg2, …new XC_MethodHook() {
@Override
protectedvoid beforeHookedMethod(MethodHookParam param)throws Throwable {
// this will be called before the clock was updated by
// the original method
Log.d("xposed", "劫持开始了~");
}
@Override
protectedvoid afterHookedMethod(MethodHookParam param)throws Throwable {
// this will be called after the clock was updated by
// the original method
}
});
}
});
  1. 加固APP的勾住
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
if (lpparam.packageName.equals("com.XX.XXbank")) {
XposedBridge.log("定位到hook程序");
XposedHelpers.findAndHookMethod("com.secneo.apkwrapper.ApplicationWrapper", lpparam.classLoader,
"attachBaseContext", Context.class, new XC_MethodHook() {
@Override
protectedvoid afterHookedMethod(MethodHookParam param) throwsThrowable {
// TODO Auto-generated method stub
super.afterHookedMethod(param);
Context Ctx = (Context) param.args[0];
ClassLoader Clz = Ctx.getClassLoader();
XposedHelpers.findAndHookMethod("com.iss.sdpersonalbank.util.Log", Clz, "d", String.class,
String.class, new XC_MethodHook() {
@Override
protectedvoid beforeHookedMethod(MethodHookParam param) throws Throwable {
// TODO Auto-generated method stub
super.afterHookedMethod(param);
String Str1 = (String) param.args[0];
String Str2 = (String) param.args[1];
Log.e(TAG, Str1 + ":" + Str2);
}
});

转载自网络

相关文章

刷新

评论

124条评论