Hook 技术初探

Hook 的这个本领，使它能够将自身的代码「融入」被勾住（Hook）的程序的进程中，成为目标进程的一个部分。

在 Android 系统中使用了沙箱机制，普通用户程序的进程空间都是独立的，程序的运行彼此间都不受干扰。根据 Hook 对象与 Hook 后处理的事件方式不同， Hook 还分为不同的种类，如消息 Hook 、API Hook 等。

从 Android 的开发来说，Android 系统本身就提供给了我们两种开发模式，基于 Android SDK 的 Java 语言开发，基于 AndroidNDK 的 Native C/C++ 语言开发。所以，我们在讨论 Hook 的时候就必须在两个层面上来讨论。

Java Hook

---

通过对 Android 平台的虚拟机注入与 Java 反射的方式，来改变 Android 虚拟机调用函数的方式（ClassLoader），从而达到 Java 函数重定向的目的，这里我们将此类操作称为 Java API Hook。

下面通过 Hook View 的 OnClickListener 来说明 Hook 的使用方法。

btn_test.setOnClickListener(new View.OnClickListener() {

@Override

public void onClick(View v) {

Toast.makeText(v.getContext(), “Button Click”,

Toast.LENGTH_SHORT).show();

}

});

首先进入 View 的 setOnClickListener 方法，我们看到 OnClickListener 对象被保存在了一个叫做 ListenerInfo 的内部类里，其中 mListenerInfo 是 View 的成员变量。

public void setOnClickListener(@Nullable OnClickListener l) {

if (!isClickable()) {

setClickable(true);

}

getListenerInfo().mOnClickListener = l;

}

ListenerInfo getListenerInfo() {

if (mListenerInfo != null) {

return mListenerInfo;

}

mListenerInfo = new ListenerInfo();

return mListenerInfo;

}

ListeneInfo 里面保存了 View 的各种监听事件，比如 OnClickListener、OnLongClickListener、OnKeyListener 等等。

static class ListenerInfo {

//…

public OnClickListener mOnClickListener;

protected OnLongClickListener mOnLongClickListener;

private OnKeyListener mOnKeyListener;

private OnTouchListener mOnTouchListener;

private OnHoverListener mOnHoverListener;

private OnGenericMotionListener mOnGenericMotionListener;

private OnDragListener mOnDragListener;

//…

}

我们的目标是 Hook OnClickListener，所以就要在给 View 设置监听事件后，替换 OnClickListener 对象，注入自定义的操作。

public class HookView {

public static void hookOnClickListener(View view) {

try {

// 通过反射获取到 getListenerInfo() 方法

@SuppressLint(“DiscouragedPrivateApi”)

Method getListenerInfo = View.class.getDeclaredMethod(“getListenerInfo”);

// 设置访问权限

getListenerInfo.setAccessible(true);

// 调用 view 的 getListenerInfo() 获取到 ListenerInfo

Object listenerInfo = getListenerInfo.invoke(view);

// 通过反射获取到 ListenerInfo 的 Class 对象

@SuppressLint(“PrivateApi”)

Class<?> listenerInfoClass = Class.forName(“android.view.View$ListenerInfo”);

// 获取到 mOnClickListener 成员变量

Field mOnClickListener = listenerInfoClass.getDeclaredField(“mOnClickListener”);

// 设置访问权限

mOnClickListener.setAccessible(true);

// 获取 mOnClickListener 属性的值

View.OnClickListener originOnClickListener = (View.OnClickListener) mOnClickListener.get(listenerInfo);

// 创建 OnClickListener 代理对象

HookedOnClickListener hookedOnClickListener = new HookedOnClickListener(originOnClickListener);

// 为 mOnClickListener 属性重新赋值

mOnClickListener.set(listenerInfo, hookedOnClickListener);

} catch (NoSuchMethodException | IllegalAccessException | InvocationTargetException | ClassNotFoundException | NoSuchFieldException e) {

e.printStackTrace();

}

}

static class HookedOnClickListener implements View.OnClickListener {

private final View.OnClickListener origin;

HookedOnClickListener(View.OnClickListener origin) {

this.origin = origin;

}

@Override

public void onClick(View v) {

Log.e(“HookedOnClickListener”, “onClick”);

if (origin != null) {

origin.onClick(v);

}

}

}

}

到这里，我们成功 Hook 了 OnClickListener，在点击之前和点击之后可以执行某些操作，达到了我们的目的。下面是调用的部分，在给 Button 设置 OnClickListener 后，执行 Hook 操作。

btn_test.setOnClickListener(new View.OnClickListener() {

@Override

public void onClick(View v) {

Toast.makeText(v.getContext(), “Button Click”, Toast.LENGTH_SHORT).show();

}

});

HookView.hookOnClickListener(btn_test);

Native Hook

---

Android Native Hook 主要分为两种：PLT Hook、Inline Hook。

我对 Native 开发不熟，这里仅仅做下了解。以下章节摘自Android Native Hook技术路线概述。

PLT Hook

先来介绍一下 Android PLT Hook 的基本原理。Linux 在执行动态链接的 ELF 的时候，为了优化性能使用了一个叫延时绑定的策略。

延时绑定的策略是为了解决原本静态编译时要把各种系统 API 的具体实现代码都编译进当前 ELF 文件里导致文件巨大臃肿的问题。所以当在动态链接的 ELF 程序里调用共享库的函数时，第一次调用时先去查找 PLT 表中相应的项目，而 PLT 表中再跳跃到 GOT 表中希望得到该函数的实际地址，但这时 GOT 表中指向的是 PLT 中那条跳跃指令下面的代码，最终会执行 _dl_runtime_resolve() 并执行目标函数。

第二次调用时也是 PLT 跳转到 GOT 表，但是 GOT 中对应项目已经在第一次 _dl_runtime_resolve() 中被修改为函数实际地址，因此第二次及以后的调用直接就去执行目标函数，不用再去执行 _dl_runtime_resolve() 了。

因此，PLT Hook 通过直接修改 GOT 表，使得在调用该共享库的函数时跳转到的是用户自定义的 Hook 功能代码。

了解 PLT Hook 的原理后，可以进一步分析出这种技术的特点：

• 由于修改的是 GOT 表中的数据，因此修改后，所有对该函数进行调用的地方就都会被 Hook 到。这个效果的影响范围是该 PLT 和 GOT 所处的整个 so 库。因此，当目标 so 库中多行被执行代码都调用了该 PLT 项所对应的函数，那它们都会去执行 Hook 功能。

文末

当你打算跳槽的时候，应该把“跳槽成功后，我能学到什么东西？对我的未来发展有什么好处”放在第一位。这些东西才是真正引导你的关键。在跳槽之前尽量“物尽其用”，把手头上的工作做好，最好是完成了某个项目或是得到提升之后再走。跳槽不是目的，而是为了达到最终职业目标的手段

最后祝大家工作升职加薪，面试拿到心仪Offer

《Android学习笔记总结+移动架构视频+大厂面试真题+项目实战源码》，点击传送门，即可获取！
展有什么好处”放在第一位。这些东西才是真正引导你的关键。在跳槽之前尽量“物尽其用”，把手头上的工作做好，最好是完成了某个项目或是得到提升之后再走。跳槽不是目的，而是为了达到最终职业目标的手段**

最后祝大家工作升职加薪，面试拿到心仪Offer

[外链图片转存中…(img-otGXtuZv-1715708893572)]
[外链图片转存中…(img-MVkxdKXZ-1715708893575)]
《Android学习笔记总结+移动架构视频+大厂面试真题+项目实战源码》，点击传送门，即可获取！