Android Hook 机制之简单实战

Hook 分类

1.根据Android开发模式，Native模式（C/C++）和Java模式（Java）区分，在Android平台上

• Java层级的Hook；

• Native层级的Hook；

2.根 Hook 对象与 Hook 后处理事件方式不同，Hook还分为：

• 消息Hook；

• API Hook；

3.针对Hook的不同进程上来说，还可以分为：

• 全局Hook；

• 单个进程Hook；

常见 Hook 框架

在Android开发中，有以下常见的一些Hook框架：

1. Xposed

通过替换 /system/bin/app_process 程序控制 Zygote 进程，使得 app_process 在启动过程中会加载 XposedBridge.jar 这个 Jar 包，从而完成对 Zygote 进程及其创建的 Dalvik 虚拟机的劫持。

Xposed 在开机的时候完成对所有的 Hook Function 的劫持，在原 Function 执行的前后加上自定义代码。

2. Cydia Substrate

Cydia Substrate 框架为苹果用户提供了越狱相关的服务框架，当然也推出了 Android 版 。Cydia Substrate 是一个代码修改平台，它可以修改任何进程的代码。

不管是用 Java 还是 C/C++（native代码）编写的，而 Xposed 只支持 Hook app_process 中的 Java 函数。

3. Legend

Legend 是 Android 免 Root 环境下的一个 Apk Hook 框架，该框架代码设计简洁，通用性高，适合逆向工程时一些 Hook 场景。大部分的功能都放到了 Java 层，这样的兼容性就非常好。

原理是这样的，直接构造出新旧方法对应的虚拟机数据结构，然后替换信息写到内存中即可。

Hook 必须掌握的知识

• 反射

如果你对反射还不是很熟悉的话，建议你先复习一下 java 反射的相关知识。有兴趣的，可以看一下我的这一篇博客 Java 反射机制详解

• java 的动态代理

动态代理是指在运行时动态生成代理类，不需要我们像静态代理那个去手动写一个个的代理类。在 java 中，我们可以使用 InvocationHandler 实现动态代理，有兴趣的，可以查看我的这一篇博客 java 代理模式详解

本文的主要内容是讲解单个进程的 Hook，以及怎样 Hook。有兴趣的可以关注我的微信公众号：程序员徐公

---

Hook 使用实例

---

Hook 选择的关键点

• Hook 的选择点：尽量静态变量和单例，因为一旦创建对象，它们不容易变化，非常容易定位。

• Hook 过程：

• 寻找 Hook 点，原则是尽量静态变量或者单例对象，尽量 Hook public 的对象和方法。

• 选择合适的代理方式，如果是接口可以用动态代理。

• 偷梁换柱——用代理对象替换原始对象。

• Android 的 API 版本比较多，方法和类可能不一样，所以要做好 API 的兼容工作。

简单案例一: 使用 Hook 修改 View.OnClickListener 事件

首先，我们先分析 View.setOnClickListener 源码，找出合适的 Hook 点。可以看到 OnClickListener 对象被保存在了一个叫做 ListenerInfo 的内部类里，其中 mListenerInfo 是 View 的成员变量。ListeneInfo 里面保存了 View 的各种监听事件。因此，我们可以想办法 hook ListenerInfo 的 mOnClickListener 。

public void setOnClickListener(@Nullable OnClickListener l) {

if (!isClickable()) {

setClickable(true);

}

getListenerInfo().mOnClickListener = l;

}

static class ListenerInfo {

---

ListenerInfo getListenerInfo() {

if (mListenerInfo != null) {

return mListenerInfo;

}

mListenerInfo = new ListenerInfo();

return mListenerInfo;

}

---

}

接下来，让我们一起来看一下怎样 Hook View.OnClickListener 事件？

大概分为三步：

• 第一步：获取 ListenerInfo 对象

从 View 的源代码，我们可以知道我们可以通过 getListenerInfo 方法获取，于是，我们利用反射得到 ListenerInfo 对象

• 第二步：获取原始的 OnClickListener事件方法

从上面的分析，我们知道 OnClickListener 事件被保存在 ListenerInfo 里面，同理我们利用反射获取

• 第三步：偷梁换柱，用 Hook代理类 替换原始的 OnClickListener

public static void hookOnClickListener(View view) throws Exception {

// 第一步：反射得到 ListenerInfo 对象

Method getListenerInfo = View.class.getDeclaredMethod(“getListenerInfo”);

getListenerInfo.setAccessible(true);

Object listenerInfo = getListenerInfo.invoke(view);

// 第二步：得到原始的 OnClickListener事件方法

Class<?> listenerInfoClz = Class.forName(“android.view.View$ListenerInfo”);

Field mOnClickListener = listenerInfoClz.getDeclaredField(“mOnClickListener”);

mOnClickListener.setAccessible(true);

View.OnClickListener originOnClickListener = (View.OnClickListener) mOnClickListener.get(listenerInfo);

// 第三步：用 Hook代理类 替换原始的 OnClickListener

View.OnClickListener hookedOnClickListener = new HookedClickListenerProxy(originOnClickListener);

mOnClickListener.set(listenerInfo, hookedOnClickListener);

}

public class HookedClickListenerProxy implements View.OnClickListener {

private View.OnClickListener origin;

public HookedClickListenerProxy(View.OnClickListener origin) {

this.origin = origin;

}

@Override

public void onClick(View v) {

Toast.makeText(v.getContext(), “Hook Click Listener”, Toast.LENGTH_SHORT).show();

if (origin != null) {

origin.onClick(v);

}

}

}

执行以下代码，将会看到当我们点击该按钮的时候，会弹出 toast “Hook Click Listener”

mBtn1 = (Button) findViewById(R.id.btn_1);

mBtn1.setOnClickListener(this);

try {

HookHelper.hookOnClickListener(mBtn1);

} catch (Exception e) {

e.printStackTrace();

}

简单案例二： HooK Notification

发送消息到通知栏的核心代码如下：

NotificationManager notificationManager = (NotificationManager) context.getSystemService(Context.NOTIFICATION_SERVICE);

notificationManager.notify(id, builder.build());

跟踪 notify 方法发现最终会调用到 notifyAsUser 方法

public void notify(String tag, int id, Notification notification)

{

notifyAsUser(tag, id, notification, new UserHandle(UserHandle.myUserId()));

}

而在 notifyAsUser 方法中，我们惊喜地发现 service 是一个单例，因此，我们可以想方法 hook 住这个 service，而 notifyAsUser 最终会调用到 service 的 enqueueNotificationWithTag 方法。因此 hook 住 service 的 enqueueNotificationWithTag 方法即可

public void notifyAsUser(String tag, int id, Notification notification, UserHandle user)

{

//

INotificationManager service = getService();

String pkg = mContext.getPackageName();

// Fix the notification as best we can.

Notification.addFieldsFromContext(mContext, notification);

if (notification.sound != null) {

notification.sound = notification.sound.getCanonicalUri();

if (StrictMode.vmFileUriExposureEnabled()) {

notification.sound.checkFileUriExposed(“Notification.sound”);

}

}

fixLegacySmallIcon(notification, pkg);

if (mContext.getApplicationInfo().targetSdkVersion > Build.VERSION_CODES.LOLLIPOP_MR1) {

if (notification.getSmallIcon() == null) {

throw new IllegalArgumentException("Invalid notification (no valid small icon): "

• notification);

}

}

if (localLOGV) Log.v(TAG, pkg + “: notify(” + id + ", " + notification + “)”);

final Notification copy = Builder.maybeCloneStrippedForDelivery(notification);

try {

service.enqueueNotificationWithTag(pkg, mContext.getOpPackageName(), tag, id,

copy, user.getIdentifier());

} catch (RemoteException e) {

throw e.rethrowFromSystemServer();

}

}

private static INotificationManager sService;

static public INotificationManager getService()

{

if (sService != null) {

return sService;

}

IBinder b = ServiceManager.getService(“notification”);

sService = INotificationManager.Stub.asInterface(b);

return sService;

}

综上，要 Hook Notification，大概需要三步：

• 第一步：得到 NotificationManager 的 sService

• 第二步：因为 sService 是接口，所以我们可以使用动态代理，获取动态代理对象

• 第三步：偷梁换柱，使用动态代理对象 proxyNotiMng 替换系统的 sService

于是，我们可以写出如下的代码

public static void hookNotificationManager(final Context context) throws Exception {

NotificationManager notificationManager = (NotificationManager) context.getSystemService(Context.NOTIFICATION_SERVICE);

Method getService = NotificationManager.class.getDeclaredMethod(“getService”);

getService.setAccessible(true);

// 第一步：得到系统的 sService

final Object sOriginService = getService.invoke(notificationManager);

Class iNotiMngClz = Class.forName(“android.app.INotificationManager”);

// 第二步：得到我们的动态代理对象

Object proxyNotiMng = Proxy.newProxyInstance(context.getClass().getClassLoader(), new

Class[]{iNotiMngClz}, new InvocationHandler() {

@Override

public Object invoke(Object proxy, Method method, Object[] args) throws Throwable {

Log.d(TAG, “invoke(). method:” + method);

String name = method.getName();

Log.d(TAG, “invoke: name=” + name);

if (args != null && args.length > 0) {

for (Object arg : args) {

Log.d(TAG, “invoke: arg=” + arg);

}

}

Toast.makeText(context.getApplicationContext(), “检测到有人发通知了”, Toast.LENGTH_SHORT).show();

// 操作交由 sOriginService 处理，不拦截通知

return method.invoke(sOriginService, args);

// 拦截通知，什么也不做

// return null;

// 或者是根据通知的 Tag 和 ID 进行筛选

}

});

// 第三步：偷梁换柱，使用 proxyNotiMng 替换系统的 sService

Field sServiceField = NotificationManager.class.getDeclaredField(“sService”);

sServiceField.setAccessible(true);

sServiceField.set(notificationManager, proxyNotiMng);

}

---

Hook 使用进阶

---

Hook ClipboardManager

第一种方法

从上面的 hook NotificationManager 例子中，我们可以得知 NotificationManager 中有一个静态变量 sService，这个变量是远端的 service。因此，我们尝试查找 ClipboardManager 中是不是也存在相同的类似静态变量。

查看它的源码发现它存在 mService 变量，该变量是在 ClipboardManager 构造函数中初始化的，而 ClipboardManager 的构造方法用 @hide 标记，表明该方法对调用者不可见。

而我们知道 ClipboardManager，NotificationManager 其实这些都是单例的，即系统只会创建一次。因此我们也可以认为

ClipboardManager 的 mService 是单例的。因此 mService 应该是可以考虑 hook 的一个点。

public class ClipboardManager extends android.text.ClipboardManager {

private final Context mContext;

private final IClipboard mService;

/** {@hide} */

public ClipboardManager(Context context, Handler handler) throws ServiceNotFoundException {

mContext = context;

mService = IClipboard.Stub.asInterface(

ServiceManager.getServiceOrThrow(Context.CLIPBOARD_SERVICE));

}

}

接下来，我们再来一个看一下 ClipboardManager 的相关方法 setPrimaryClip ， getPrimaryClip

public void setPrimaryClip(ClipData clip) {

try {

if (clip != null) {

clip.prepareToLeaveProcess(true);

}

mService.setPrimaryClip(clip, mContext.getOpPackageName());

} catch (RemoteException e) {

throw e.rethrowFromSystemServer();

}

}

/**

• Returns the current primary clip on the clipboard.

*/

public ClipData getPrimaryClip() {

try {

return mService.getPrimaryClip(mContext.getOpPackageName());

} catch (RemoteException e) {

throw e.rethrowFromSystemServer();

}

}

可以发现这些方法最终都会调用到 mService 的相关方法。因此，ClipboardManager 的 mService 确实是一个可以 hook 的一个点。

hook ClipboardManager.mService 的实现

大概需要三个步骤

• 第一步：得到 ClipboardManager 的 mService

• 第二步：初始化动态代理对象

• 第三步：偷梁换柱，使用 proxyNotiMng 替换系统的 mService

public static void hookClipboardService(final Context context) throws Exception {

ClipboardManager clipboardManager = (ClipboardManager) context.getSystemService(Context.CLIPBOARD_SERVICE);

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数初中级Android工程师，想要提升技能，往往是自己摸索成长或者是报班学习，但对于培训机构动则近万的学费，着实压力不小。自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年Android移动开发全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Android开发知识点，真正体系化！

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！

如果你觉得这些内容对你有帮助，可以扫码获取！！（备注：Android）

面试复习笔记：

这份资料我从春招开始，就会将各博客、论坛。网站上等优质的Android开发中高级面试题收集起来，然后全网寻找最优的解答方案。每一道面试题都是百分百的大厂面经真题+最优解答。包知识脉络 + 诸多细节。
节省大家在网上搜索资料的时间来学习，也可以分享给身边好友一起学习。

《960页Android开发笔记》

《1307页Android开发面试宝典》

包含了腾讯、百度、小米、阿里、乐视、美团、58、猎豹、360、新浪、搜狐等一线互联网公司面试被问到的题目。熟悉本文中列出的知识点会大大增加通过前两轮技术面试的几率。

《507页Android开发相关源码解析》

只要是程序员，不管是Java还是Android，如果不去阅读源码，只看API文档，那就只是停留于皮毛，这对我们知识体系的建立和完备以及实战技术的提升都是不利的。

真正最能锻炼能力的便是直接去阅读源码，不仅限于阅读各大系统源码，还包括各种优秀的开源库。

《互联网大厂面试真题解析、进阶开发核心学习笔记、全套讲解视频、实战项目源码讲义》点击传送门即可获取！

，可以扫码获取！！（备注：Android）**

面试复习笔记：

这份资料我从春招开始，就会将各博客、论坛。网站上等优质的Android开发中高级面试题收集起来，然后全网寻找最优的解答方案。每一道面试题都是百分百的大厂面经真题+最优解答。包知识脉络 + 诸多细节。
节省大家在网上搜索资料的时间来学习，也可以分享给身边好友一起学习。

《960页Android开发笔记》

[外链图片转存中…(img-qUgPf1MI-1712505387401)]

《1307页Android开发面试宝典》

包含了腾讯、百度、小米、阿里、乐视、美团、58、猎豹、360、新浪、搜狐等一线互联网公司面试被问到的题目。熟悉本文中列出的知识点会大大增加通过前两轮技术面试的几率。

[外链图片转存中…(img-mRy13Jp6-1712505387402)]

《507页Android开发相关源码解析》

只要是程序员，不管是Java还是Android，如果不去阅读源码，只看API文档，那就只是停留于皮毛，这对我们知识体系的建立和完备以及实战技术的提升都是不利的。

真正最能锻炼能力的便是直接去阅读源码，不仅限于阅读各大系统源码，还包括各种优秀的开源库。

《互联网大厂面试真题解析、进阶开发核心学习笔记、全套讲解视频、实战项目源码讲义》点击传送门即可获取！