Android hook原理及APP安全

本文链接：https://blog.csdn.net/weixin_39079048/article/details/99703303

本文探讨了Android Hook原理，特别是Xposed的工作方式，并强调了如何确保APP的安全性，包括检测Hook的方法、混淆的重要性、防止应用被抓包的措施、签名验证策略以及加固方案。

摘要由CSDN通过智能技术生成

Xposed原理
如何保证APP最安全。

这篇文章不对逆向和hook进行分析，如有不知道的，请看我之前的文章。

介绍：

现在安装Xposed比较方便，因为Xposed作者开发了一个Xposed Installer App，下载后按照提示傻瓜式安装（前提是root手机）。其实它的安装过程是这个样子的：首先探测手机型号，然后按照手机版本下载不同的刷机包，最后把Xposed刷机包刷入手机重启就好。刷机包下载（https://dl-xda.xposed.info/framework/）里面有所有版本的刷机包。

刷机包解压打开里面的问件构成是这个样子的：

META-INF/    里面有文件配置脚本 flash-script.sh 配置各个文件安装位置。
system/bin/   替换zygote进程等文件
system/framework/XposedBridge.jar jar包位置
system/lib system/lib64 一些so文件所在位置
xposed.prop xposed版本说明文件

所以安装Xposed的过程就上把上面这些文件放到手机里相同文件路径下。
通过查看文件安装脚本发现：
system/bin/下面的文件替换了app_process等文件，app_process就是zygote进程文件。所以Xposed通过替换zygote进程实现了控制手机上所有app进程。因为所有app进程都是由Zygote fork出来的。

Xposed的基本原理是修改了ART/Davilk虚拟机，将需要hook的函数注册为Native层函数。当执行到这一函数是虚拟机会优先执行Native层函数，然后再去执行Java层函数，这样完成函数的hook。

通过读Xposed源码发现其启动过程：
1、手机启动时init进程会启动zygote这个进程。由于zygote进程文件app_process已被替换，所以启动的时Xposed版的zygote进程。
2、Xposed_zygote进程启动后会初始化一些so文件（system/lib system/lib64），然后进入XposedBridge.jar中的XposedBridge.main中初始化jar包完成对一些关键Android系统函数的hook。
3、Hook则是利用修改过的虚拟机将函数注册为native函数。
4、然后再返回zygote中完成原本zygote需要做的工作。