抖音及其他app对xp框架的检测原理刨析和反制方法

不知道从哪个版本开始抖音加入了 Xposed 检测，但是这个检测并不影响 APP 的使用，只是简单的用 Toast 提示（但是每次进去看着也很不舒服），如果没有安装 Xposed 自然不会有任何的提示，那既然他是检测 Xposed 的，那我就用 Xposed 解决他。

 

 

下面是分析思路：
环境:      win10 x64
使用的工具:apkdb & jeb 2.2.7
1.尝试加载xposed的类,如果能加载则表示已经安装了。
XposedHelpers类中存在fieldCache methodCache constructorCache 这三个静态成员，都是hashmap类型，凡是需要被hook的且已经被找到的对象都会被缓存到这三个map里面。
我们通过便利这三个map来找到相关hook信息。
备注:方法a是检测xposed到底改了什么东西存放到a中。抖音似乎会收集相关信息并上报。

 public void b()
{
    try
    {
        Object localObject = ClassLoader.getSystemClassLoader()
                .loadClass("de.robv.android.xposed.XposedHelpers").newInstance();
        // 如果加载类失败 则表示当前环境没有xposed 
        if (localObject != null)
        {
            a(localObject, "fieldCache");
            a(localObject, "methodCache");
            a(localObject, "constructorCache");
        }
        return;
    }
    catch (Throwable localThrowable) {}
}
 
private void a(Object arg5, String arg6) {
    try {
        // 从XposedHelpers中读取相关的hook信息
        Field v0_1 = arg5.getClass().getDeclaredField(arg6);
        v0_1.setAccessible(true);
        Set v0_2 = v0_1.get(arg5).keySet();
        if(v0_2 == null) {
            return;
        }
        if(v0_2.isEmpty()) {
            return;
        }
        Iterator v1 = v0_2.iterator();
        // 排除无关紧要的类
        while(v1.hasNext()) {
            Object v0_3 = v1.next();
            if(v0_3