本文转载自:xposed 的基本使用
一、原理
Android 运行的核心是 zygote 进程,所有 app 的进程都是通过 zygote fork 出来的。通过替换 system/bin/ 下面的 app_process 等文件,相当于替换了 zygote 进程,实现了控制手机上的所有 APP。基本原理是修改了 ART/Davilk 虚拟机,将需要 hook 的函数注册为 Native 层函数,当执行到该函数时,虚拟机会先执行 Native 层函数,然后执行 Java 层函数,这样完成 hook。
更详细的可以参考:https://blog.csdn.net/wxyyxc1992/article/details/17320911
二、Xposed 安装
环境:网易 mumu、Android Studio3.3.1
github 地址:https://github.com/rovo89/XposedInstaller
Xposedinstaller 的 apk:https://repo.xposed.info/module/de.robv.android.xposed.installer
在网易 mumu 中安装好 xposedinstaller apk 后,关闭应用兼容性 (不关闭的话安装 xposed 框架会出错),进去之后点击小云彩即可安装完成。
三、Xposed 代码编写
新建项目,选择
empty activity
,创建成功后,在AndroidManifest.xml
中添加如下代码
<meta-data
android:name="xposedmodule"
android:value="true" /> <!--告诉xposed框架这是一个xposed模块-->
<meta-data
android:name="xposeddescription"
android:value="这是一个Xposed例程" /> <!--模块描述-->
<meta-data
android:name="xposedminversion" <!--模块支持的最低版本-->
android:value="30" />
在 gradle 中配置 XposedbridgeApi,build.gradle 中配置
repositories {
jcenter()
}
dependencies {
...
compileOnly 'de.robv.android.xposed:api:82'
compileOnly 'de.robv.android.xposed:api:82:sources'
...
}
这是在网络通畅的情况下进行的, 网络不通畅的话,可以手动下载 XposedBridgeApi-82.jar,拖动到 /app/libs 中,删除上述 gradle 中配置的
jcenter
,右键 "Add As Library" 添加这个 jar 包。
在界面上画个按钮,并在
MainAcitiviy
中编写如下代码 (单纯写 hook 的话前面新建项目的时候可以 add no activity)
package com.example.myapplication;
import android.support.v7.app.AppCompatActivity;
import android.os.Bundle;
import android.widget.Button;
import android.widget.Toast;
import android.view.View;
public class MainActivity2 extends AppCompatActivity {
private Button button;
@Override
protected void onCreate(Bundle savedInstanceState) {
super.onCreate(savedInstanceState);
setContentView(R.layout.activity_main);
button = (Button) findViewById(R.id.button);
button.setOnClickListener(new View.OnClickListener() {
public void onClick(View v) {
Toast.makeText(MainActivity2.this, toastMessage(), Toast.LENGTH_SHORT).show();
}
});
}
public String toastMessage() {
return "我未被劫持";
}
}
编写 Hook 代码,在
MainActivity
同级目录下新建HookTest.java
,并且继承接口 IXposedHookLoadPackage 和重写 handleLoadPackage 方法
package com.example.myapplication;
import java.lang.reflect.Array;
import java.security.PublicKey;
import java.util.Arrays;
import java.util.Map;
import de.robv.android.xposed.IXposedHookLoadPackage;
import de.robv.android.xposed.XC_MethodHook;
import de.robv.android.xposed.XposedBridge;
import de.robv.android.xposed.XposedHelpers;
import de.robv.android.xposed.callbacks.XC_LoadPackage;
public class HookTest implements IXposedHookLoadPackage {
private static final String HOOK_APP_NAME = "APP名字";
public void handleLoadPackage(XC_LoadPackage.LoadPackageParam lpparam) throws Throwable {
//性能优化,避免操作无关app
if (!lpparam.packageName.equals(HOOK_APP_NAME))
return;
if (lpparam.packageName.equals("HOOK_APP_NAME")) {
XposedBridge.log(" 劫持成功!!!");
XposedBridge.log("XposedMainInit handleLoadPackage 执行");
XposedBridge.log("Loaded app: " + lpparam.packageName); XposedHelpers.findAndHookMethod("APP名字.MainActivity",//hook的类
lpparam.classLoader,
"toastMessage", // 被Hook的函数
//Map.class, 被Hook函数的第一个参数 (此处没有,只是举个例子)
//String.class, 被Hook函数的第二个参数String
new XC_MethodHook() {
protected void beforeHookedMethod(MethodHookParam param) throws Throwable {
super.beforeHookedMethod(param);
// 参数获取
XposedBridge.log("入口函数执行");
//参数1
XposedBridge.log("beforeHookedMethod map:" + param.args[0]);
//参数2
XposedBridge.log("beforeHookedMethod hash_key:" + param.args[1]);
//函数返回值
XposedBridge.log("beforeHookedMethod result:" + param.getResult());
}
protected void afterHookedMethod(MethodHookParam param) throws Throwable {
XposedBridge.log("afterHookedMethod result:" + param.getResult());
param.setResult("你已被劫持");
}
});
}
}
}
在 src/mian 目录下添加一个 assets 目录,目录下添加一个 xposed_init 文件,里面的代码是你的 Hook 类的包名 + 类名。
com.example.myapplication.HookTest
最后选择禁用 Instant Run: 单击 File -> Settings -> Build, Execution, Deployment -> Instant Run,把勾全部去掉。
这个时候钩子已经执行了,具体想钩什么,就看自己的需求了。
注:实际操作中,需要对 APP 先进行反编译 (反编译了才能知道要钩那个函数),反编译工具有很多,这里就不细说了。
四、面对加了壳的 APP
直接用反编译工具打开 apk,查看加的是哪种壳,寻找对应的函数,类似
attachBaseContext
这样的方法。
public class EncryptHook implements IXposedHookLoadPackage {
public void handleLoadPackage(LoadPackageParam loadPackageParam) throws Throwable {
if (!loadPackageParam.packageName.equals("app包名")) { return; }
XposedBridge.log("Start hook " + loadPackageParam.packageName);
XposedHelpers.findAndHookMethod("com.stub.StubApp", loadPackageParam.classLoader,
//com.stub.StubApp 加壳的类
"attachBaseContext", Context.class, new XC_MethodHook() {
// attachBaseContext 加壳的方法
@Override
protected void afterHookedMethod(MethodHookParam param) throws Throwable {
super.afterHookedMethod(param);
Context context = (Context) param.args[0];
ClassLoader classLoader = context.getClassLoader();
XposedBridge.log("Enter stubApp");
XposedHelpers.findAndHookMethod("com.huijiemanager.utils.t", classLoader,
"a", byte[].class, PublicKey.class, new XC_MethodHook() {
@Override
protected void beforeHookedMethod(MethodHookParam param) throws Throwable {
XposedBridge.log("rsa before params: " + new String(
(byte[]) param.args[0]) + "," + param.args[1]);
}
@Override
protected void afterHookedMethod(MethodHookParam param) throws Throwable {
XposedBridge.log("rsa after params: " + new String(
(byte[]) param.args[0]) + "," + param.args[1]);
}
});
}
});
}
}
注:反编译的代码不一定准确,逆向的时候最好对每个关键函数都挂上钩子,查看参数是否正确。
附上 xposedAPI 文档:https://api.xposed.info/reference/packages.html