作者zyqqyz业内大神,不过我还是想发表下自己的看法。
作者自己也说了:
把一些class_data_item拆走了,同时它还会抹去dex文件的头部;选择个别方法重新包装,达到调用前还原,调用后抹去的效果。我们可以通过对DoInvoke (ART)和dvmMterp_invokeMethod (DVM)监控来获取到相关代码。
但dexhunter中并没有相关的代码实现,所以这是一个可以提升的很大的点。如果这里实现了,估计目前只要不是虚拟化的壳,dexhunter将会是无所不能的存在。
换一个帅一点的姿势实现dexhunter 这是一个不错的思路,不过我看了下作者在获取dex结构字节的时候犯了一个错误。
ClassObject *clazz = (ClassObject *) dvmFunctionTables.dvmDecodeIndirectRef(
dvmFunctionTables.dvmThreadSelf(),
loader);
DvmDex *dvm_dex = clazz->pDvmDex;
这里根据acitivity.class加载的类加载器获取所属的dex内存。但,作者忽略了dex文件加载可能不止一个。
libcore\dalvik\src\main\java\dalvik\system\BaseDexClassLoader.java这个类里面有一个 BaseDexClassLoader的构造方法中,有一个重要的类DexPathList, 其中private Element[] dexElements数组。
在DexFile中有两个openDexFile方法,一个是传递文件名称,一个是传递文件字节码,同时这两个方法是native层的。
只要我们获取这个数组,就能得到所有dex内存。
BaseDexClassLoader—>DexPathList—>makeDexElements----->loadDexFile---->loadDex----->DexFile---->openDexFile
DexClassLoader—>ClassLoader---->findClass---->DexPathList.findClass----->loadClassBinaryName—>dfineClass
dex加载和替换
默认的DexClassLoader类加载一个类的流程是什么?
DexClassLoader的loadClass方法=》BaseDexClassLoader的findClass方法=》DexPathList的findClass方法=》DexFile的loadClassBinaryName方法=》DexFile的defineClass方法
我这里采用hook BaseDexClassLoader类的初始化函数,也可以hook DexPathList的初始化函数,这样我们就得到了Element[]。这之后的操作可以参考上面仁兄的思路,加载dex。不过我不建议把大量的重组工作放在java层,因为会变的复杂。我们直接按照dexhunter原来的思路,大部分放在c层。
接下来就是把验证的代码敲一下。