利用Soot插装Android App

原文地址：点击打开链接

  在Soot里我们增加了对读写Dalvik bytecode的支持。主要包含两个模块，第一个称作Dexpler ，主要由Alexandre Bartel 团队开发，Ben Bellamy 、Eric Bodden、Frank Hartmann 和 Michael Market 对其做了增强。Dexpler将 Dalvik 字节码转换成 Jimple的三地址格式代码（three-address code）。

  如何插装

首先下载soot的最新版本，比如 soot 的nightly buid版本。同时查看https://github.com/Sable/android-platforms下的目录。这个目录包含不同版本的Android标准库，Soot需要利用这些来解析你分析或者插装的应用程序里的类型。接着我们实现一个驱动类（driver class），在这个类中有一个主方法包含以下代码：

//prefer Android APK files// -src-prec apk
Options.v().set_src_prec(Options.src_prec_apk);

//output as APK, too//-f J
Options.v().set_output_format(Options.output_format_dex);

// resolve the PrintStream and System soot-classes
Scene.v().addBasicClass("java.io.PrintStream",SootClass.SIGNATURES);
Scene.v().addBasicClass("java.lang.System",SootClass.SIGNATURES);

第一条操作告知Soot装载Android apk文件，第二条告知Soot输出一个Dex/APK 文件（理论上，你也可以将Java转换成Dex或者将Dex转换成Java等），最后两个操作告诉Soot装着两个类，我们在插装的时候需要这两个类，但可能被插装的APK不需要这两个类。

接着我们往Soot里添加一个Transform：

PackManager.v().getPack("jtp").add(new Transform("jtp.myInstrumenter", new BodyTransformer() {

    @Override
    protected void internalTransform(final Body b, String phaseName, @SuppressWarnings("rawtypes") Map options) {
        final PatchingChain units = b.getUnits();       
        //important to use snapshotIterator here
        for(Iterator iter = units.snapshotIterator(); iter.hasNext();) {
            final Unit u = iter.next();
            u.apply(new AbstractStmtSwitch() {

                public void caseInvokeStmt(InvokeStmt stmt) {
                    //code here
                }

            });
        }
    }
}));

这会遍历APK里所有Bodies里的所有Units并且对于每一个InvokeStmt将会调用标注"code here"里的代码。

在“code here”这个标注里面插入下面的代码：

InvokeExpr invokeExpr = stmt.getInvokeExpr();
if(invokeExpr.getMethod().getName().equals("onDraw")) {

    Local tmpRef = addTmpRef(b);
    Local tmpString = addTmpString(b);

      // insert "tmpRef = java.lang.System.out;" 
    units.insertBefore(Jimple.v().newAssignStmt( 
              tmpRef, Jimple.v().newStaticFieldRef( 
              Scene.v().getField("").makeRef())), u);

    // insert "tmpLong = 'HELLO';" 
    units.insertBefore(Jimple.v().newAssignStmt(tmpString, 
                  StringConstant.v("HELLO")), u);

    // insert "tmpRef.println(tmpString);" 
    SootMethod toCall = Scene.v().getSootClass("java.io.PrintStream").getMethod("void     println(java.lang.String)");                    
    units.insertBefore(Jimple.v().newInvokeStmt(
                  Jimple.v().newVirtualInvokeExpr(tmpRef, toCall.makeRef(), tmpString)), u);

    //check that we did not mess up the Jimple
    b.validate();
}

这使得Soot在方法调用之前插入 System.out.println("HELLO")，但是这个方法调用的目标必须是 onDraw方法。

最后，别忘了调用Soot的主方法：

soot.Main.main(args);

很简单不是吗？最后你只需要带以下参数来运行你的驱动类（driver class）：

-android-jars path/to/android-platforms -process-dir your.apk

这里，path/to/android-platforms 是你之前下载的Android 平台jar包路径，your.apk是你要插装的APK路径，选项 -process-dir告知Soot处理这个APK里所有的类。最后你会在目录 ./sootOutput里发现一个同名的APK。

完整代码如下：

import java.util.Iterator;
import java.util.Map;

import soot.Body;
import soot.BodyTransformer;
import soot.Local;
import soot.PackManager;
import soot.PatchingChain;
import soot.RefType;
import soot.Scene;
import soot.SootClass;
import soot.SootMethod;
import soot.Transform;
import soot.Unit;
import soot.jimple.AbstractStmtSwitch;
import soot.jimple.InvokeExpr;
import soot.jimple.InvokeStmt;
import soot.jimple.Jimple;
import soot.jimple.StringConstant;
import soot.options.Options;


public class AndroidInstrument {
	
	public static void main(String[] args) {
		
		//prefer Android APK files// -src-prec apk
		Options.v().set_src_prec(Options.src_prec_apk);
		
		//output as APK, too//-f J
		Options.v().set_output_format(Options.output_format_dex);
		
        // resolve the PrintStream and System soot-classes
		Scene.v().addBasicClass("java.io.PrintStream",SootClass.SIGNATURES);
        Scene.v().addBasicClass("java.lang.System",SootClass.SIGNATURES);

        PackManager.v().getPack("jtp").add(new Transform("jtp.myInstrumenter", new BodyTransformer() {

			@Override
			protected void internalTransform(final Body b, String phaseName, @SuppressWarnings("rawtypes") Map options) {
				final PatchingChain<Unit> units = b.getUnits();
				
				//important to use snapshotIterator here
				for(Iterator<Unit> iter = units.snapshotIterator(); iter.hasNext();) {
					final Unit u = iter.next();
					u.apply(new AbstractStmtSwitch() {
						
						public void caseInvokeStmt(InvokeStmt stmt) {
							InvokeExpr invokeExpr = stmt.getInvokeExpr();
							if(invokeExpr.getMethod().getName().equals("onDraw")) {

								Local tmpRef = addTmpRef(b);
								Local tmpString = addTmpString(b);
								
								  // insert "tmpRef = java.lang.System.out;" 
						        units.insertBefore(Jimple.v().newAssignStmt( 
						                      tmpRef, Jimple.v().newStaticFieldRef( 
						                      Scene.v().getField("<java.lang.System: java.io.PrintStream out>").makeRef())), u);

						        // insert "tmpLong = 'HELLO';" 
						        units.insertBefore(Jimple.v().newAssignStmt(tmpString, 
						                      StringConstant.v("HELLO")), u);
						        
						        // insert "tmpRef.println(tmpString);" 
						        SootMethod toCall = Scene.v().getSootClass("java.io.PrintStream").getMethod("void println(java.lang.String)");                    
						        units.insertBefore(Jimple.v().newInvokeStmt(
						                      Jimple.v().newVirtualInvokeExpr(tmpRef, toCall.makeRef(), tmpString)), u);
						        
						        //check that we did not mess up the Jimple
						        b.validate();
							}
						}
						
					});
				}
			}


		}));
		
		soot.Main.main(args);
	}

    private static Local addTmpRef(Body body)
    {
        Local tmpRef = Jimple.v().newLocal("tmpRef", RefType.v("java.io.PrintStream"));
        body.getLocals().add(tmpRef);
        return tmpRef;
    }
    
    private static Local addTmpString(Body body)
    {
        Local tmpString = Jimple.v().newLocal("tmpString", RefType.v("java.lang.String")); 
        body.getLocals().add(tmpString);
        return tmpString;
    }
}

下面说下译者在实践中运行的问题。

首先我配置Eclipse参数为

-android-jars D:\\android.jar -process-dir D:\\Eclipse\\SootTest\\SampleInfoSaveInSDcard.apk

其中D:\\android.jar是我用来测试的android标准库，但运行发现android.jar不存在

但事实上这个路径下是有android.jar这个文件的，后来查找soot官网的论坛发现不能这样指定，接着我配置参数为：

-android-jars D:\\Eclipse\\adt-bundle-windows-x86-20130917\\sdk\\platforms\\android-18\\
-process-dir D:\\Eclipse\\SootTest\\SampleInfoSaveInSDcard.apk

发现还是提示上面的错误，

把配置参数的第一行改为 -android-jars D:\\Eclipse\\adt-bundle-windows-x86-20130917\\sdk\\platforms\\

结果终于顺利运行成功，结果如图：

这是会在sootOutput目录下生成一个与你插装的apk同名的apk

这里说下我的android.jar目录结构

在D:\\...\\platforms 目录下有两个标准库 android-18目录和android-10目录，当不指定到android-18目录时soot能够正常运行，但当指定使用android-18目录下的标准库时，便会出现找不到android.jar的情况。

注意如果把设置soot选项的增加Options.v().set_force_android_jar()，则可以使用特定的android。jar