android穿越之旅--如何弹出一个非比寻常的窗体

上一篇中介绍了一种闻所未闻在android执行java命令的方法,虽然这是一种非常"高级"的技术,然后并没有什么卵用,因此被移除了博客园首页。实际上也并不是一点用处也没有,对已立即安卓的原理还是很有帮助的。

这一篇继续介绍一种更加"高级"的技术,在android中弹出一个非同寻常的窗体,这个窗体可不是一般的窗体,因为已经穿越到了android fragment层了,因此称之为SupperWindows,没有apk文件,不经过安装,这个窗体将凭空出现!

 

之所以要弹这样的窗体是应为之前看到一篇介绍WindowManagerService的文章,通过这样的窗体来说面WindowManagerService的工作机制。

原文地址:http://blog.csdn.net/innost/article/details/47660193

由于使用了framework层的代码,文中的代码是在android源码环境下编译的。

由于编译android源码是一件非常麻烦的事,当时就想有没有其他的办法可以编译呢,因为之前搞代码注入的时候也用了fragment层,不用在源代码的环境也是可以编译的,并且执行代码的方式和我之前用的一样,同样是通过app_process。

在编写上一遍文的时候,我突然想到,为什么不测试一下看看呢。

一开始我想把系统目录下的jar吧拿出来反编译一下得到非dex格式的jar包,这样就可以加到lib里,这样依赖的函数就能找到。

但在android5.0的设备上我发现jar包里并没有内容,拿出也没什么用,于是又换了个android4.2的设备,4.2的/system/fragment目录下和jar同命的还有.odex的文件,于是通过.odex文件最终得到可以用的jar包。

之前正式通过这样的方式来操作的,但是编译弹出窗体的代码却不行,有一些接口类找不到,这些类是由aidl生产的反编译并不能得到这些类。

不过幸运的是,在搜索这些aidl文件的时候,看到了一个网站,可以直接下载内容比较全的fragment层代码包括aidl自动生成的接口类。

http://grepcode.com/snapshot/repository.grepcode.com/java/ext/com.google.android/android/4.2_r1/

选择"Binary download",下载后直接放到lib下就可以解决依赖的问题。上面的地址是4.2的源代码。


解决了依赖的问题,那么要如何编译呢。

新建一个java工程,建立SupperWindows.java类,package为com,把之前WindowManagerService文章中代码拷贝过来。

package com;

import android.content.Context;
import android.content.res.Configuration;
import android.graphics.*;
import android.hardware.display.IDisplayManager;
import android.os.*;
import android.view.*;

public class SuperWindows {

public static void main(String[] args) {
System.out.println("Hello SuperWindows");
try {
//SampleWindow.Run()是这个程序的主入口
new SuperWindows().Run();
} catch (Exception e) {
e.printStackTrace();
}
}
//IWindowSession 是客户端向WMS请求窗口操作的中间代理,并且是进程唯一的
IWindowSession mSession = null;
//InputChannel 是窗口接收用户输入事件的管道。在第5章中将对其进行详细的探讨
InputChannel mInputChannel = new InputChannel();

// 下面的三个Rect保存了窗口的布局结果。其中mFrame表示了窗口在屏幕上的位置与尺寸
// 在4.4中将详细介绍它们的作用以及计算原理
Rect mInsets = new Rect();
Rect mFrame = new Rect();
Rect mVisibleInsets = new Rect();

Configuration mConfig = new Configuration();
// 窗口的Surface,在此Surface上进行的绘制都将在此窗口上显示出来
Surface mSurface = new Surface();
// 用于在窗口上进行绘图的画刷
Paint mPaint = new Paint();
// 添加窗口所需的令牌,在4.2节将会对其进行介绍
IBinder mToken = new Binder();

// 一个窗口对象,本例演示了如何将此窗口添加到WMS中,并在其上进行绘制操作
MyWindow mWindow = new MyWindow();

//WindowManager.LayoutParams定义了窗口的布局属性,包括位置、尺寸以及窗口类型等
WindowManager.LayoutParams mLp = new WindowManager.LayoutParams();

Choreographer mChoreographer = null;
//InputHandler 用于从InputChannel接收按键事件做出响应
InputHandler mInputHandler = null;

boolean mContinueAnime = true;

public void Run() throws Exception{
Looper.prepare();
// 获取WMS服务
IWindowManager wms = IWindowManager.Stub.asInterface(
ServiceManager.getService(Context.WINDOW_SERVICE));

// 通过WindowManagerGlobal获取进程唯一的IWindowSession实例。它将用于向WMS
// 发送请求。注意这个函数在较早的Android版本(如4.1)位于ViewRootImpl类中
mSession= WindowManagerGlobal.getWindowSession(Looper.myLooper());

// 获取屏幕分辨率
IDisplayManager dm = IDisplayManager.Stub.asInterface(
ServiceManager.getService(Context.DISPLAY_SERVICE));
DisplayInfo di = dm.getDisplayInfo(Display.DEFAULT_DISPLAY);
Point scrnSize = new Point(di.appWidth, di.appHeight);
// 初始化WindowManager.LayoutParams
initLayoutParams(scrnSize);

// 将新窗口添加到WMS
installWindow(wms);

// 初始化Choreographer的实例,此实例为线程唯一。这个类的用法与Handler
// 类似,不过它总是在VSYC同步时回调,所以比Handler更适合做动画的循环器[1]
mChoreographer= Choreographer.getInstance();

// 开始处理第一帧的动画
scheduleNextFrame();

// 当前线程陷入消息循环,直到Looper.quit()
Looper.loop();

// 标记不要继续绘制动画帧
mContinueAnime= false;

// 卸载当前Window
uninstallWindow(wms);
}

public void initLayoutParams(Point screenSize) {
// 标记即将安装的窗口类型为SYSTEM_ALERT,这将使得窗口的ZOrder顺序比较靠前
mLp.type = WindowManager.LayoutParams.TYPE_SYSTEM_ALERT;
mLp.setTitle("SampleWindow");
// 设定窗口的左上角坐标以及高度和宽度
mLp.gravity = Gravity.LEFT | Gravity.TOP;
mLp.x = screenSize.x / 4;
mLp.y = screenSize.y / 4;
mLp.width = screenSize.x / 2;
mLp.height = screenSize.y / 2;
// 和输入事件相关的Flag,希望当输入事件发生在此窗口之外时,其他窗口也可以接受输入事件
mLp.flags = mLp.flags | WindowManager.LayoutParams.FLAG_NOT_TOUCH_MODAL;
}

public void installWindow(IWindowManager wms) throws Exception {
// 首先向WMS声明一个Token,任何一个Window都需要隶属与一个特定类型的Token
wms.addWindowToken(mToken,WindowManager.LayoutParams.TYPE_SYSTEM_ALERT);
// 设置窗口所隶属的Token
mLp.token = mToken;
// 通过IWindowSession将窗口安装进WMS,注意,此时仅仅是安装到WMS,本例的Window
// 目前仍然没有有效的Surface。不过,经过这个调用后,mInputChannel已经可以用来接受
// 输入事件了
mSession.add(mWindow,0, mLp, View.VISIBLE, mInsets, mInputChannel);
/*通过IWindowSession要求WMS对本窗口进行重新布局,经过这个操作后,WMS将会为窗口
创建一块用于绘制的Surface并保存在参数mSurface中。同时,这个Surface被WMS放置在
LayoutParams所指定的位置上 */
mSession.relayout(mWindow,0, mLp, mLp.width, mLp.height, View.VISIBLE,
0, mFrame, mInsets,mVisibleInsets, mConfig, mSurface);
if(!mSurface.isValid()) {
throw new RuntimeException("Failed creating Surface.");
}
// 基于WMS返回的InputChannel创建一个Handler,用于监听输入事件
//mInputHandler一旦被创建,就已经在监听输入事件了
mInputHandler= new InputHandler(mInputChannel, Looper.myLooper());
}

public void uninstallWindow(IWindowManager wms) throws Exception {
// 从WMS处卸载窗口
mSession.remove(mWindow);
// 从WMS处移除之前添加的Token
wms.removeWindowToken(mToken);
}

public void scheduleNextFrame() {
// 要求在显示系统刷新下一帧时回调mFrameRender,注意,只回调一次
mChoreographer.postCallback(Choreographer.CALLBACK_ANIMATION
, mFrameRender, null);
}

// 这个Runnable对象用以在窗口上描绘一帧
public Runnable mFrameRender = new Runnable() {
@Override
public void run() {
try{
// 获取当期时间戳
long time = mChoreographer.getFrameTime() % 1000;

// 绘图
if (mSurface.isValid()) {
Canvas canvas = mSurface.lockCanvas(null);
canvas.drawColor(Color.WHITE);
canvas.drawRect(2 * mLp.width / 1000
- mLp.width, 0, 2 *mLp.width
/ 1000, mLp.height,mPaint);
String text = "哈哈 这是一个非比寻常的窗体!";
canvas.drawText(text, 0, text.length(), 10, 20, mPaint);
mSurface.unlockCanvasAndPost(canvas);
mSession.finishDrawing(mWindow);
}

if(mContinueAnime)
scheduleNextFrame();
} catch (Exception e) {
e.printStackTrace();
}
}
};

// 定义一个类继承InputEventReceiver,用以在其onInputEvent()函数中接收窗口的输入事件
class InputHandler extends InputEventReceiver {
Looper mLooper = null;
public InputHandler(InputChannel inputChannel, Looper looper) {
super(inputChannel,looper);
mLooper= looper;
}
@Override
public void onInputEvent(InputEvent event) {
if(event instanceof MotionEvent) {
MotionEvent me = (MotionEvent)event;
if (me.getAction() ==MotionEvent.ACTION_UP) {
// 退出程序
mLooper.quit();
}
}
super.onInputEvent(event);
}
}

// 实现一个继承自IWindow.Stub的类MyWindow。
class MyWindow extends IWindow.Stub {
// 保持默认的实现即可
}
}

  

导入上面所说的android-4.2_r1.jar依赖包,解决依赖问题,编译就可以得到superwindows.jar文件。

当然原始的.jar在android下是不能运行的,要转成dex才可以,于是使用sdk中的dx命令将superwindows.jar转成superwindows.dex。dx程序位于sdk中build-tool目录下。

dx --dex --output=superwindows.dex superwindows.jar

将dex传送到安卓设备上:adb push SupperWindows.dex /data/local/tmp/

执行su命令 获得root权限,如果不是root执行下面命令的时候会提示没有权限。

执行 app_process -Djava.class.path=/data/local/tmp/superwindows.dex /system/bin com.SuperWindows ,运行SupperWindows。app_process的代码可以在app_main.cpp中看到。

第一次执行的时候不知道是什么原因程序会崩溃,再次执行命令就没有问题了,如果没有其他问题的话就可以看到弹出的SupperWindows窗体了。

执行su获取root权限后,在用app_process加载的代码同样是觉有root权限的,希望本文不要被恐怖分子看到。

更多内容请关注我的微信公众号:zhaojieTec

 

转载于:https://www.cnblogs.com/zhaojietec/p/4975840.html

  • 0
    点赞
  • 0
    评论
  • 0
    收藏
  • 扫一扫,分享海报

表情包
插入表情
评论将由博主筛选后显示,对所有人可见 | 还能输入1000个字符
©️2021 CSDN 皮肤主题: 大白 设计师:CSDN官方博客 返回首页
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、C币套餐、付费专栏及课程。

余额充值