不反编译、无逆向基础也能轻松编写Android App Hook插件？ Xposed的远房表弟，Hookworm来也！

前言

Xposed的大名相信很多同学都不陌生，它提供了一种能力，可以在不修改原apk的情况下，以插件的方式改变目标App的某些行为。
但随着Android系统版本的迭代，原来的Xposed已经不适合在高版本的系统上运行了，原Xposed作者也在3年前就停止了更新，取而代之的是Magisk + Riru + EdXposed这一套组合。不过，基于此类框架开发Hook插件，是需要掌握一定的逆向知识的，比如你在进行Hook之前，首先要知道方法签名以及其执行时机，在没有源代码的情况下，这些信息只能从反编译的目标apk的smali(或转jar)代码中获取，如果目标apk加了壳的话，还要先脱壳……
而本篇文章将结合一个实践案例，给大家介绍无需反编译，对无逆向基础的同学非常友好的一个库：Hookworm（钩虫）。

诞生背景

前段时间在WanAndroid每日一问里有个问题：“应用进程中那4个Binder线程分别是跟谁通讯？”
一番简单分析无果后，就想着写个Xposed插件来hook Thread对象的创建，但是看到有同学提醒：“Xposed插件的handleLoadPackage方法是在handleBindApplication时才回调的！”。 没办法，只能找其他的方案了。
忽然想到了Magisk，可是我又不会做Magisk插件……
第二天看了下自己一直在用的那个【微信指纹支付】的Magisk模块源码（其实之前也看过好多遍了，一直没看懂，一头雾水），发现核心代码其实就是libs下面的那个apk的dex！
反编译看了下，大概摸清了思路，但是想到用这种方式（先手动打包成apk放在插件项目libs下）开发起来太繁琐了，而且维护起来成本又高，还没有一个规范的模板，这样就很难抽出来为大家所用。
于是心有不甘的我又继续在github上面搜Riru相关的模块，看到一个叫【QQ Simplify】的项目，是用来阉割QQ一些 “花里胡哨” 的功能的，看了下代码，它是在进程Fork之后，用反射把ServiceFetcher里面的LayoutInflater对象换成自己的代理类，这样就可以在布局inflate时，选择性地把一些View的宽高set为0，达到隐藏的效果。
结合这两个项目的部分代码以及思路，我封装出来一个入侵程度非常低的Module，开发新的插件的话，只需要添加这个Module的依赖，然后在module.properties中配置一下模块属性就行了，非常简单！

Hello Hookworm

那么接下来就跟大家一起编写一个寄生插件版的Hello World，以便大家对Hookworm有个大致的了解。
编写和安装寄生插件，有几个前提：

1. 目标手机系统版本至少是6.0（API 23）；

2. 目标手机已正确安装 Magisk （无从下手的同学可以搜索引擎搜一下: “【目标手机型号】Magisk 安装” 等字眼，相关资料挺多）；

3. 目标手机已刷入 Riru 模块（这个简单，只要成功安装Magisk之后，在Magisk APP里面就能直接搜索和刷入）；

4. Android Studio已升级到4.1或以上（因为Hookworm用到了Gradle Plugin4.1.1的一些新功能，需要更高版本的Android Studio才支持）；

5. 最好会一点Kotlin语法（Hookworm的核心代码基本都是用Kotlin编写的，会Kotlin的话能帮助你更好地编写寄生插件）；

好，那我们开始吧。
首先创建一个新项目：

新建项目的时候，注意Language要选Kotlin，还有Minimum SDK选API 23，因为等下依赖的Module，都是以这个为基准的。
项目初始化完成后，打开 File -> Project Structure ：

检查下当前的Gradle Plugin和Gradle版本是不是 >=4.1.1 和 >=6.5，如果不是请手动更正。

接着来创建一个入口类，名字随便，只要有：

public static void main(String processName);

这个方法就行。（注意main方法的参数processName是String而不是String数组哦）
看下用Kotlin是怎么写的：

object HelloHookworm {

    @JvmStatic
    fun main(processName: String) {

    }
}

好，现在把Hookworm Clone下来，Github地址在这里： https://github.com/wuyr/HookwormForAndroid 。
然后导入到项目中，并在app模块的build.gradle中添加Hookworm的依赖：

dependencies {

    ......

    implementation project(path: ':HookwormForAndroid')

}

同步一下，会发现报错了：

Please copy "module.properties.sample" and rename to "module.properties" and fill in the module information!

这是插件信息还没有完善的原因。
切换到Project视图，把HookwormForAndroid/module.properties.sample复制一份，并改名为module.properties，然后编辑插件信息：

# 模块唯一标识，只能使用字母 + 下划线组合，如：my_module_id
moduleId=hello_hookworm

# 模块名称
moduleName=Hello Hookworm

# 模块作者
moduleAuthor=Demo

# 模块描述
moduleDescription=Hello World for Hookworm

# 版本名
moduleVersion=v1.0.0

# 版本号，只能填数字
moduleVersionCode=1

上面这几个属性都很好理解，可以随便填写，只要保证moduleId不跟其他已安装的模块有冲突就行了。
还有几个比较重要的属性：

# 主入口类名，例：com.demo.ModuleMain
moduleMainClass=com.demo.hellohookworm.HelloHookworm

# 目标进程名/包名，即要寄生的目标。
targetProcessName=com.tencent.mm

# 自动安装模块
automaticInstallation=1

# 免重启安装
debug=1

第一个moduleMainClass是入口类的类名，在宿主进程启动时，这里填写的类里面的public static void main(String processName)方法就会被调用。我们就把刚刚创建的那个HelloHookworm的完整类名填上去；
targetProcessName就是要寄生的目标，emmmm。。。。就选择微信吧，好记一点；
automaticInstallation，编译后自动安装，肯定开着更好啦；
最后一个debug属性，开启后会提供一种最小化安装的能力，也就是免重启安装，可以用来快速测试模块（注意，在正式发布时需要关闭）。

嗯，配置好属性之后，回到刚刚创建的HelloHookworm，随便写点代码：

object HelloHookworm {

    private const val TAG = "HelloHookworm"

    @JvmStatic
    fun main(processName: String) {
        Log.i(TAG, processName)

        //监听宿主应用初始化
        Hookworm.onApplicationInitializedListener = { application ->
            Log.i(TAG, "Application initialized！")
            Toast.makeText(application, "Hello Hookworm！", Toast.LENGTH_SHORT).show()
        }
    }
}

可以看到这里第一时间打印了宿主的进程名，然后监听宿主初始化，在初始化完成时打印log并且show了一个 “Hello Hookworm” 的Toast。

好啦，现在属性配置好了，代码也写好了，来看下效果吧。
不过，因为寄生插件的特殊性，它并不是通过常规方式去安装的，所以在打包的时候也会跟平时有点不同：

就像上图一样，寄生插件它是通过Project的assemble这个Task来打包的，只需要双击一下就ok啦。
在打包之前，可以先连上测试手机的adb，等打包完成后就会自动安装并重启了~


。。。。。。。。。。。。。。。。。。。。。。


如果过程顺利的话，手机自动重启后，点开微信：

哈哈哈，看到刚刚我们添加的Toast了没！！！
再看下log：

2021-02-01 09:52:26.956 21929-21929/? I/HelloHookworm: com.tencent.mm
2021-02-01 09:52:27.802 21929-21929/? I/HelloHookworm: Application initialized！

成功了！！！
接下来开始hook实战。

Hook实战

为避免侵犯他人利益，我们决定选一个非商用的开源项目来作为这次的Hook目标：WanAndroid客户端 （选第二个）。
安装打开看下：

首页的结构大致就是Banner + 文章列表，底部有4个导航按钮，用来切换Fragment。
emmmm。。。。这个Banner图片就有点不好看，先把它换成好看的。
想一想，如何在不修改apk代码的前提下，替换掉图片呢？
要知道，寄生插件的代码是运行在宿主进程中的，也就是只要拿到对应的Banner对象，就能给它重新指定图片Url，或者换成自己的Adapter。

那怎么才能拿到这个Banner对象？
刚刚做Hello World的Demo时，不是可以监听到Application的初始化嘛？
既然有Application对象，那就能通过registerActivityLifecycleCallbacks方法，监听到所有Activity的生命周期，从而拿到目标Activity对象！然后就可以通过findViewById获取到想要的Banner对象啦！
监听Activity生命周期这一步，Hookworm也已经做了封装：

// Activity完整类名
val mainActivity = "com.demo.MainActivity"

// 监听目标Activity onCreate
Hookworm.registerOnActivityCreated(mainActivity) { activity, savedInstanceState ->
    Log.i(TAG, "Activity ${activity.javaClass.simpleName} created")
}

// 监听目标Activity onResume
Hookworm.registerOnActivityResumed(mainActivity) { activity ->
    Log.i(TAG, "Activity ${activity.javaClass.simpleName} resumed")
}

// 监听目标Activity onDestroy
Hookworm.registerOnActivityDestroyed(mainActivity) { activity ->
    Log.i(TAG, "Activity ${activity.javaClass.simpleName} destroyed")
}

不过，【监听Activity生命周期 + findViewById】这个方法，是明显存在问题的，因为我们不能确定目标View的attach时机，如果目标View在findViewById之后才加载，这个方法就失效了。
那有没有办法监听到目标View加载呢？ 要是可以的话，问题就解决了。
有，可以用反射把Activity对应的LayoutInflater替换成自己做过手脚的类。
这一步Hookworm也已经帮我们实现了：

// Activity完整类名
val mainActivity = "com.demo.MainActivity"

//劫持Activity布局加载
Hookworm.registerPostInflateListener(mainActivity) { resourceId, resourceName, rootView ->
    // do something…
}

Hookworm的registerPostInflateListener方法会在目标Activity每次加载布局资源时回调后面的lambda。
lambda的三个参数分别是：

• resourceId: 目标Activity正在加载的布局资源id；

• resourceName: 目标Activity正在加载的布局资源名称；

• rootView: inflate完成后的View对象；

我们可以通过这个方法来监听首页Activity的布局加载，在它每次inflate布局之后去查找Banner的实例。
不过在此之前，需要先知道对应Activity完整类名和Banner的id值或id名称。

获取Activity类名有很多种方式，我就比较喜欢用shell命令：

adb shell
dumpsys activity activities top | grep "Hist #" | awk 'NR==1{print $6}'&&exit

打开WanAndroid应用首页，然后在终端里执行上面的命令：

类名就出来了：per.goweii.wanandroid/.module.main.activity.MainActivity（注意这里多了个/符号，等下用到的时候要删掉）。

至于Banner的id值，是需要反编译才能看到的，既然文章标题说了不用反编译，那就换一种方式——借助Android SDK提供的***UIAutomatorViewer***来获取它的id资源名称。

布局分析

uiautomatorviewer工具位于sdk/tools/bin目录下（Windows系统是bat文件），把它拖到终端里enter就能运行了：

左上角四个功能按钮分别是：打开、获取屏幕当前页面布局信息、获取精简(去掉多余嵌套)后的页面布局信息、保存。

它获取布局信息其实是借助***uiautomator***命令来完成的，这个uiautomator内部会通过AccessibilityService把视图层级信息dump出来。

手机再次打开WanAndroid应用首页，然后点一下获取屏幕当前页面布局信息按钮：

通过右边的布局信息可以知道，这个Banner原来是个ViewPager，id名称是bannerViewPager，还可以看到它的Item也只是ImageView而已。
有了id名称，就能通过Hookworm提供的扩展函数findViewByIDName来获取到这个ViewPager对象，ViewPager里刚好有个监听Adapter变更的方法：addOnAdapterChangeListener，我们可以借助这个方法，在ViewPager的Adapter变更时将目标Adapter替换掉，这样就能确保Banner总是能显示修改后的图片了。

编写Hook代码

像前面创建Hello Hookworm那样，先创建一个Hookworm For WanAndroid项目，并配置插件信息（目标应用包名记得要改成WanAndroid应用的包名）。
然后编写代码：

object Main {

    private fun Any?.logD() = Log.d("Main", toString())

    @JvmStatic
    fun main(processName: String) {
        // 首页Activity类名
        val mainActivity = "per.goweii.wanandroid.module.main.activity.MainActivity"

        // 拦截mainActivity的布局加载
        Hookworm.registerPostInflateListener(mainActivity) { _, resourceName, rootView ->
            rootView?.apply {
                hookBanner(resourceName)
            }
        }
    }

    private fun View.hookBanner(resourceName: String) {
        // 根据id名称: "bannerViewPager" 查找ViewPager
        findViewByIDName<ViewPager>("bannerViewPager")?.let { viewPager ->
            // 打印布局名称和查找到的ViewPager对象实例
            "bannerViewPager所在布局：$resourceName".logD()
            viewPager.logD()
        }
    }
}

在找到ViewPager之后打印所在布局名称和ViewPager的实例，运行看下效果：

java.lang.ClassCastException: com.youth.banner.view.BannerViewPager cannot be cast to androidx.viewpager.widget.ViewPager
        at com.wuyr.hookwormforwanandroid.Main$main$1.invoke(Main.kt:24)
        at com.wuyr.hookwormforwanandroid.Main$main$1.invoke(Main.kt:13)
        at com.wuyr.hookworm.extensions.PhoneLayoutInflater.inflate(PhoneLayoutInflater.kt:66)
        at android.view.LayoutInflater.inflate(LayoutInflater.java:532)
        at com.wuyr.hookworm.extensions.PhoneLayoutInflater.inflate(PhoneLayoutInflater.kt:57)
        at com.youth.banner.Banner.initView(Banner.java:102)
        at com.youth.banner.Banner.<init>(Banner.java:96)
        at com.youth.banner.Banner.<init>(Banner.java:84)
        at com.youth.banner.Banner.<init>(Banner.java:80)
        at per.goweii.wanandroid.module.home.fragment.HomeFragment.createHeaderBanner(HomeFragment.java:395)
        at per.goweii.wanandroid.module.home.fragment.HomeFragment.initView(HomeFragment.java:300)
        ......

咦？为什么会报强转失败呢？这个Banner不就是ViewPager嘛？！
其实是因为寄生插件的DexClassLoader和宿主的PathClassLoader都分别加载了ViewPager这个Class造成的，就像这样：

通俗地说，寄生插件的DexClassLoader跟宿主的PathClassLoader是属于叔侄关系，并不是直系亲属，不能进行Parent-Delegation，所以才会各自加载一次ViewPager类。
要解决这个问题也很简单，把寄生插件的DexClassLoader转接到宿主的PathClassLoader下面（强制户口迁移），让它们变成直系亲属：

这样寄生插件在使用到ViewPager时就会优先让宿主的PathClassLoader去加载了。

具体要怎么做呢：
在调用registerPostInflateListener之前，加上这句代码：

Hookworm.transferClassLoader = true

再修改一下build.gradle，把几个相关的依赖库从implementation改成compileOnly（只编译，不打包）：

dependencies {
    compileOnly 'androidx.core:core-ktx:1.3.2'
    compileOnly 'androidx.appcompat:appcompat:1.2.0'
    compileOnly 'com.google.android.material:material:1.2.1'
}

就行了，编译运行看下log（如果编译时报错的话，直接删掉对应文件即可，比如：AAPT: error: style attribute 'attr/colorPrimary xxx' not found.之类的错误，可以把themes.xml删掉，还有Manifest里面的android:theme也去掉）：

D/Main: bannerViewPager所在布局：banner
D/Main: com.youth.banner.view.BannerViewPager{3b21ab4 VFED..... ......I. 0,0-0,0 #7f080071 app:id/bannerViewPager}

成功打印了！
接下来开始替换图片。

替换Banner图片

就按照之前说的那样做：借助addOnAdapterChangeListener方法在ViewPager的Adapter变更时将目标Adapter替换掉，这样就能确保Banner总是能显示修改后的图片了。
看看代码要怎么写：

object Main {
    
    ......

    private fun View.hookBanner(resourceName: String) {
        // 根据id名称: "bannerViewPager" 查找ViewPager
        findViewByIDName<ViewPager>("bannerViewPager")?.let { viewPager ->
            // 打印布局名称和查找到的ViewPager对象实例
            "bannerViewPager所在布局：$resourceName".logD()
            viewPager.logD()

            // 监听Adapter变更，在每次Adapter变更时替换掉目标Adapter
            viewPager.addOnAdapterChangeListener(object : ViewPager.OnAdapterChangeListener {

                // 自己的Adapter
                private val adapter = ImageAdapter(context)

                override fun onAdapterChanged(
                    viewPager: ViewPager, oldAdapter: PagerAdapter?, newAdapter: PagerAdapter?
                ) {
                    // 先移除监听避免递归调用
                    viewPager.removeOnAdapterChangeListener(this)
                    viewPager.adapter = adapter
                    viewPager.addOnAdapterChangeListener(this)
                }
            })
        }
    }
}

好，现在就差一个加载自己的图片的Adapter了。
不过我们这次并不打算直接依赖图片加载框架，而是先看宿主依赖了哪个，我们直接拿来用。。。

借用宿主类库

刚刚通过Hookworm.transferClassLoader = true把插件ClassLoader转接到了宿主ClassLoader下面，这样就已经能直接使用宿主里面的资源了。
比如加载图片的类库，我们可以先测试下宿主有没有使用一些常见的图片加载框架：

object Main {

    private fun Any?.logD() = Log.d("Main", toString())

    @JvmStatic
    fun main(processName: String) {
        Hookworm.transferClassLoader = true

        ......

        Hookworm.onApplicationInitializedListener = {

            fun String.classExists() = runCatching { Class.forName(this) }.isSuccess

            when {
                "com.facebook.drawee.view.SimpleDraweeView".classExists() -> "正在使用Fresco".logD()

                "com.squareup.picasso3.Picasso".classExists() -> "正在使用Picasso".logD()

                "com.bumptech.glide.Glide".classExists() -> "正在使用Glide".logD()

                else -> "没有使用常见的图片加载框架".logD()
            }
        }
    }

    ......

}

只要调用Class.forName后不报NoClassDefFoundError就说明宿主添加了对应类库的依赖。
编译运行，会看到打印的是"正在使用Glide"这句log，那现在可以直接在插件里使用Glide了。

先给build.gradle加上glide的依赖（注意使用的是compileOnly而非implementation）：

compileOnly 'com.github.bumptech.glide:glide:4.11.0'

准备几张图片：
https://c-ssl.duitang.com/uploads/item/201708/13/20170813095305_FSQhj.thumb.700_0.jpeg
https://c-ssl.duitang.com/uploads/item/201512/05/20151205212633_nFx3d.thumb.700_0.jpeg
https://c-ssl.duitang.com/uploads/item/201606/12/20160612235102_z3dja.thumb.700_0.jpeg
https://c-ssl.duitang.com/uploads/item/201707/27/20170727121828_Z5TRA.thumb.700_0.png
https://c-ssl.duitang.com/uploads/item/201707/27/20170727122213_3HBaN.thumb.700_0.png
https://c-ssl.duitang.com/uploads/item/201512/04/20151204202153_nEUMt.thumb.700_0.jpeg

扩展一个PagerAdapter：

class ImageAdapter(context: Context) : PagerAdapter() {

    private val imageUrls = arrayOf(
        "https://c-ssl.duitang.com/uploads/item/201708/13/20170813095305_FSQhj.thumb.700_0.jpeg",
        "https://c-ssl.duitang.com/uploads/item/201512/05/20151205212633_nFx3d.thumb.700_0.jpeg",
        "https://c-ssl.duitang.com/uploads/item/201606/12/20160612235102_z3dja.thumb.700_0.jpeg",
        "https://c-ssl.duitang.com/uploads/item/201707/27/20170727121828_Z5TRA.thumb.700_0.png",
        "https://c-ssl.duitang.com/uploads/item/201707/27/20170727122213_3HBaN.thumb.700_0.png",
        "https://c-ssl.duitang.com/uploads/item/201512/04/20151204202153_nEUMt.thumb.700_0.jpeg"
    )

    private val imageViews = ArrayList<ImageView>().apply {
        imageUrls.forEach { url ->
            add(ImageView(context).apply {
                scaleType = ImageView.ScaleType.CENTER_CROP
                Glide.with(context).load(url).into(this)
            })
        }
    }

    override fun instantiateItem(container: ViewGroup, position: Int) =
        imageViews[position].also { container.addView(it) }

    override fun destroyItem(container: ViewGroup, position: Int, `object`: Any) =
        container.removeView(imageViews[position])

    override fun getCount() = imageUrls.size

    override fun isViewFromObject(view: View, `object`: Any) = view == `object`
}

编译运行，看下效果：

哈哈哈哈，成功替换了！
那接下来试着拦截首页文章列表的Item点击吧。

拦截点击事件

有同学可能会想：不就是给Item重新设置一个OnClickListener嘛，这有什么的。
emmmm，如果只是粗暴地直接给Item重新setOnClickListener，那就不能保留宿主原来的点击逻辑了，这确实没什么可说的，不过我们要的是可以随心所欲地控制每一次的点击事件。
比如只把文章标题含有 “每日一问” 字眼的交给宿主去处理，其余的Item在点击时都弹出一个 “禁止点击” 的Dialog。
这就需要先拿到Item原来的OnClickListener，但是View的OnClickListener都是不公开的，只能用反射来获取，再加上一个列表那么多Item，难道还要用List装起来？这也太麻烦了叭！
还好Hookworm替我们做了这个事情，有个叫setOnClickProxy的扩展方法，它会在回调时把旧的（原来的）OnClickListener实例也传回来，像这样：

view.setOnClickProxy { targetView, oldListener -> 
    if (xxx) {
        // Do something...
    } else {
        // 交给宿主原有listener去处理
        oldListener?.onClick(targetView)
    }
}

好，那现在来看看首页的文章列表是个什么View，打开UIAutomatorViewer，dump一下视图：

是RecyclerView，id名就叫rv。
在开始hook之前，有一个问题需要解决：
因为RecyclerView的Item都是会复用的，每个Item复用时，都会经过一次onBindViewHolder方法，通常Item的点击事件都会在这里去设置。如果插件的点击代理是在onBindViewHolder调用前设置的，那就不起作用了（Listener会被覆盖），要是在View显示出来之后才设置，也有可能Item会先被点击，那时候走的还是原来的点击逻辑。
所以必须找到一个时机：在onBindViewHolder执行之后，在Item显示出来之前。
有没有想到呢？
RecyclerView有个addOnChildAttachStateChangeListener方法，可以监听到每个Item的Attached和Detached！我们可以在Item Attached时给它设置点击代理！
看看代码怎么写：

object Main {

    @JvmStatic
    fun main(processName: String) {

        ......        

        Hookworm.registerPostInflateListener(mainActivity) { _, resourceName, rootView ->
            rootView?.apply {
                if (resourceName == "banner") {
                    hookBanner(resourceName)
                }
                hookArticleItem(resourceName)
            }
        }
    }

    private fun View.hookArticleItem(resourceName: String) {
        // 根据id名“rv” 找到首页文章列表RecyclerView实例
        findViewByIDName<RecyclerView>("rv")?.let { recyclerView ->
            // 监听Item的attach状态
            recyclerView.addOnChildAttachStateChangeListener(object :
                RecyclerView.OnChildAttachStateChangeListener {

                private val dialog = AlertDialog.Builder(context).setMessage("禁止点击！").create()

                private val onClickProxy: (view: View, oldListener: View.OnClickListener?) -> Unit =
                    { view, oldListener ->
                        // 查找id名为“tv_title”的TextView
                        view.findViewByIDName<TextView>("tv_title")?.let { titleView ->
                            // 检查是否包含 “每日一问” 字眼
                            if (titleView.text.toString().contains("每日一问")) {
                                // 有则交给宿主处理
                                oldListener?.onClick(view)
                            } else {
                                // 没有就弹出dialog
                                dialog.show()
                            }
                        } ?: oldListener?.onClick(view) // 没找到，交给宿主去处理
                    }

                override fun onChildViewAttachedToWindow(child: View) {
                    // 在Item每次attach之后重新设置点击代理
                    child.setOnClickProxy(onClickProxy)
                }

                override fun onChildViewDetachedFromWindow(child: View) {
                }
            })
        }
    }

    ......

}

看看效果怎么样：

可以了，现在只有点击 “每日一问” 的Item才会跳转Web页面，点击其他的Item都会弹出 “禁止点击” Dialog，跟预期的一样。

隐藏多余模块

前面几个小节都只是直接调用目标对象原有的api来实现UI的修改，看上去好像有点过于简单了，那现在就试着结合反射来把4个导航页改成2个。
先把底部的第3，第4个Tab移除掉吧，打开UIAutomatorViewer：

可以看到底部的导航栏是一个LinearLayout，4个子View都是RelativeLayout。分别点一下这4个子View，会发现它们的id名称都是相同的，都叫ll_ltab，这说明了什么？说明它们很有可能都是来自同一个独立的xml布局，这样我们要在它inflate时移除掉后面两个的话，就必须加一个变量去记录当前inflate的数量，有点麻烦，干脆换一个方式吧：
我们可以监听它父容器的子View添加，在它的子View数量大于2的时候，移除掉后面的子View：

object Main {

    @JvmStatic
    fun main(processName: String) {
        
        ......

        Hookworm.registerPostInflateListener(mainActivity) { _, resourceName, rootView ->
            rootView?.apply {
                ......
                removeTabs(resourceName)
            }
        }
    }

    private fun View.removeTabs(resourceName: String) {
        // 查找ll_bb，监听其子View的添加
        findViewByIDName<ViewGroup>("ll_bb")?.setOnHierarchyChangeListener(
            object : ViewGroup.OnHierarchyChangeListener {
                override fun onChildViewAdded(parent: View, child: View) {
                    // 转成ViewGroup
                    (parent as ViewGroup).run {
                        // 当子View数量大于2时移除最后一个
                        if (childCount > 2) {
                            removeViewAt(2)
                        }
                    }
                }

                override fun onChildViewRemoved(parent: View?, child: View?) {
                }
            })
    }
}

看看效果：

嗯，现在底部的Tab是移除了，但实际的页面还没移除，向右滑动还是能看到。
回到UIAutomatorViewer窗口，翻一下右边视图层级信息，会发现这个切换页面的View其实也是ViewPager，id名称是vp_tab，那移除它的页面，我们可以从Adapter下手。
先看一下它设置的Adapter里面都有些什么：

private fun View.removeTabs(resourceName: String) {

    ......

    // 查找id名为“vp_tab”的ViewPager
    findViewByIDName<ViewPager>("vp_tab")?.let { viewPager ->
        // 监听Adapter变更
        viewPager.addOnAdapterChangeListener { _, _, newAdapter ->
            // 遍历Adapter所有变量
            newAdapter?.javaClass?.declaredFields?.forEach { f ->
                f.isAccessible = true
                // 分别打印变量修饰符、变量类型、变量名、变量值
                ("${Modifier.toString(f.modifiers)} ${f.type.simpleName} ${f.name} = ${f.get(newAdapter)};").logD()
            }
        }
    }
}

编译运行，看下log：

D/Main: private Page[] mPages = null;
D/Main: private final LinearLayout mTabContainer = android.widget.LinearLayout{5cfd786 V.E...... ......I. 0,0-0,0 #7f080172 app:id/ll_bb};
D/Main: private final int mTabItemRes = 2131427509;
D/Main: private final ViewPager mViewPager = androidx.viewpager.widget.ViewPager{c8e1874 VFED..... ......I. 0,0-0,0 #7f0802b4 app:id/vp_tab};

第一个数组mPages，估计就是页面Item了，不过现在是null可能是打印的时候数据还没有准备好，我们可以套一个post，等它显示出来的时候再打印：

private fun View.removeTabs(resourceName: String) {

    ......

    // 查找id名为“vp_tab”的ViewPager
    findViewByIDName<ViewPager>("vp_tab")?.let { viewPager ->
        // 监听Adapter变更
        viewPager.addOnAdapterChangeListener { _, _, newAdapter ->
            viewPager.post {
                // 遍历Adapter所有变量
                newAdapter?.javaClass?.declaredFields?.forEach { f ->
                    f.isAccessible = true
                    // 分别打印变量修饰符、变量类型、变量名、变量值
                    ("${Modifier.toString(f.modifiers)} ${f.type.simpleName} ${f.name} = ${
                        // 如果变量类型是数组，则直接打印数组内容
                        if (f.type.isArray) (f.get(newAdapter) as Array<*>).contentToString()
                        else f.get(newAdapter)
                    };").logD()
                }
            }
        }
    }
}

编译运行，看下log：

D/Main: private Page[] mPages = [per.goweii.basic.core.adapter.TabFragmentPagerAdapter$Page@efc18e5, per.goweii.basic.core.adapter.TabFragmentPagerAdapter$Page@70a8fba, per.goweii.basic.core.adapter.TabFragmentPagerAdapter$Page@b260e6b, per.goweii.basic.core.adapter.TabFragmentPagerAdapter$Page@95aedc8];
D/Main: private final LinearLayout mTabContainer = android.widget.LinearLayout{da5e61 V.E...... ........ 0,1749-1080,1878 #7f080172 app:id/ll_bb};
D/Main: private final int mTabItemRes = 2131427509;
D/Main: private final ViewPager mViewPager = androidx.viewpager.widget.ViewPager{5c1ed86 VFED..... .......D 0,0-1080,1878 #7f0802b4 app:id/vp_tab};

可以看到mPages里有四个元素，刚好对应了四个导航页，可以断定它储存的就是导航页的Item实例了，那现在试试用反射把最后2个元素移除掉：

private fun View.removeTabs(resourceName: String) {

    ......

    // 查找id名为“vp_tab”的ViewPager
    findViewByIDName<ViewPager>("vp_tab")?.let { viewPager ->
        // 监听Adapter变更
        viewPager.addOnAdapterChangeListener { _, _, newAdapter ->
            viewPager.post {
                newAdapter?.let { adapter ->
                    // 取出Adapter变量mPages
                    adapter::class.get<Array<*>>(adapter, "mPages")?.let { pages ->
                        // 只保留前2个元素
                        val newPages = pages.filterIndexed { index, _ -> index < 2 }.toTypedArray()
                        // 重新赋值
                        adapter::class.set(adapter, "mPages", newPages)
                    }
                    // 通知Adapter数据变更
                    adapter.notifyDataSetChanged()
                }
            }
        }
    }
}

运行看看：

java.lang.IllegalArgumentException: field per.goweii.basic.core.adapter.TabFragmentPagerAdapter.mPages has type per.goweii.basic.core.adapter.TabFragmentPagerAdapter$Page[], got java.lang.Object[]
        at java.lang.reflect.Field.set(Native Method)
        at com.wuyr.hookworm.utils.ReflectUtilKt.set(ReflectUtil.kt:35)
        at com.wuyr.hookworm.utils.ReflectUtilKt.set(ReflectUtil.kt:207)
        at com.wuyr.hookwormforwanandroid.Main$removeTabs$2$1$1.run(Main.kt:72)
        at android.os.Handler.handleCallback(Handler.java:938)
        at android.os.Handler.dispatchMessage(Handler.java:99)
        at android.os.Looper.loop(Looper.java:223)
        at per.goweii.ponyo.crash.Crash$Companion$initialize$1.run(Crash.kt:23)
        at android.os.Handler.handleCallback(Handler.java:938)
        at android.os.Handler.dispatchMessage(Handler.java:99)
        at android.os.Looper.loop(Looper.java:223)
        at android.app.ActivityThread.main(ActivityThread.java:7656)
        at java.lang.reflect.Method.invoke(Native Method)
        at com.android.internal.os.RuntimeInit$MethodAndArgsCaller.run(RuntimeInit.java:592)
        at com.android.internal.os.ZygoteInit.main(ZygoteInit.java:947)

额，报错了，我们给的是Object数组，它要的是per.goweii.basic.core.adapter.TabFragmentPagerAdapter$Page数组。
这个也不难解决，直接用反射创建对应类型的数组就行了：

private fun View.removeTabs(resourceName: String) {

    ......

    // 查找id名为“vp_tab”的ViewPager
    findViewByIDName<ViewPager>("vp_tab")?.let { viewPager ->
        // 监听Adapter变更
        viewPager.addOnAdapterChangeListener { _, _, newAdapter ->
            viewPager.post {
                newAdapter?.let { adapter ->
                    // 取出Adapter变量mPages
                    adapter::class.get<Array<*>>(adapter, "mPages")?.let { pages ->
                        // 通过反射创建长度为2的数组
                        val newPages = java.lang.reflect.Array.newInstance(
                            Class.forName("per.goweii.basic.core.adapter.TabFragmentPagerAdapter\$Page"),
                            2
                        ) as Array<Any?>
                        // 只取前面2个元素
                        newPages[0] = pages[0]
                        newPages[1] = pages[1]
                        // 重新赋值
                        adapter::class.set(adapter, "mPages", newPages)
                    }
                    // 通知Adapter数据变更
                    adapter.notifyDataSetChanged()
                }
            }
        }
    }
}

里面的class.get、class.set是Hookworm的ReflectUtil里面的扩展函数，借助它们可以很方便地使用反射操作。
好了，运行看下效果：

怎么滑都滑不到第3页，证明后2页的Item实例已经成功被移除。

那么，本次的Hook实战也就告一段落了，回顾一下：
我们替换了目标应用的Banner图片、拦截了首页文章列表的Item点击、移除了多余的导航页，一共只用了100多行的代码哦~

能力扩展

整篇文章看下来，貌似Hookworm最多也只能通过反射和动态代理之类的方式来进行一些浅层次的Hook操作，没办法像Xposed那样可以随意拦截任何方法。
Hookworm的能力还可以再强大一点吗？
当然可以！Hookworm内部已经对寄生插件带有so的依赖库做了处理，也就是说，你现在可以直接在插件里依赖一些诸如epic 、 SandHook 、 YAHFA等ART Hook框架，让你的寄生插件马上拥有像Xposed一样的能力！，如果你会JS，还可以在插件中直接使用frida！

好啦，文章到此结束，有错误的地方请指出，谢谢大家！

免责声明： 文章所介绍知识点仅用于学习研究，利用本文知识进行非法行为造成的一切后果自负！

Github地址：https://github.com/wuyr/HookwormForAndroid 欢迎Star