android hook 模拟点击_Android Hook 机制之实战模拟

简介

什么是 Hook

Hook 又叫“钩子”，它可以在事件传送的过程中截获并监控事件的传输，将自身的代码与系统方法进行融入。这样当这些方法被调用时，也就可以执行我们自己的代码，这也是面向切面编程的思想(AOP)。

Hook 分类

1.根据Android开发模式，Native模式(C/C++)和Java模式(Java)区分，在Android平台上Java层级的Hook；

Native层级的Hook；

2.根 Hook 对象与 Hook 后处理事件方式不同，Hook还分为：消息Hook；

API Hook；

3.针对Hook的不同进程上来说，还可以分为：全局Hook；

单个进程Hook；

常见 Hook 框架

在Android开发中，有以下常见的一些Hook框架：Xposed

通过替换 /system/bin/app_process 程序控制 Zygote 进程，使得 app_process 在启动过程中会加载 XposedBridge.jar 这个 Jar 包，从而完成对 Zygote 进程及其创建的 Dalvik 虚拟机的劫持。

Xposed 在开机的时候完成对所有的 Hook Function 的劫持，在原 Function 执行的前后加上自定义代码。

Cydia Substrate

Cydia Substrate 框架为苹果用户提供了越狱相关的服务框架，当然也推出了 Android 版 。Cydia Substrate 是一个代码修改平台，它可以修改任何进程的代码。不管是用 Java 还是 C/C++(native代码)编写的，而 Xposed 只支持 Hook app_process 中的 Java 函数。

Legend

Legend 是 Android 免 Root 环境下的一个 Apk Hook 框架，该框架代码设计简洁，通用性高，适合逆向工程时一些 Hook 场景。大部分的功能都放到了 Java 层，这样的兼容性就非常好。

原理是这样的，直接构造出新旧方法对应的虚拟机数据结构，然后替换信息写到内存中即可。

Hook 必须掌握的知识反射

如果你对反射还不是很熟悉的话，建议你先复习一下 java 反射的相关知识。

动态代理是指在运行时动态生成代理类，不需要我们像静态代理那个去手动写一个个的代理类。在 java 中，我们可以使用 InvocationHandler 实现动态代理。

本文的主要内容是讲解单个进程的 Hook，以及怎样 Hook。

Hook 使用实例

Hook 选择的关键点Hook 的选择点：尽量静态变量和单例，因为一旦创建对象，它们不容易变化，非常容易定位。

Hook 过程：寻找 Hook 点，原则是尽量静态变量或者单例对象，尽量 Hook public 的对象和方法。

选择合适的代理方式，如果是接口可以用动态代理。

偷梁换柱——用代理对象替换原始对象。Android 的 API 版本比较多，方法和类可能不一样，所以要做好 API 的兼容工作。

简单案例一: 使用 Hook 修改 View.OnClickListener 事件

首先，我们先分析 View.setOnClickListener 源码，找出合适的 Hook 点。可以看到 OnClickListener 对象被保存在了一个叫做 ListenerInfo 的内部类里，其中 mListenerInfo 是 View 的成员变量。ListeneInfo 里面保存了 View 的各种监听事件。因此，我们可以想办法 hook ListenerInfo 的 mOnClickListener 。public void setOnClickListener(@Nullable OnClickListener l) {    if (!isClickable()) {

setClickable(true);

}

getListenerInfo().mOnClickListener = l;

}static class ListenerInfo {

---    ListenerInfo getListenerInfo() {        if (mListenerInfo != null) {            return mListenerInfo;

}

mListenerInfo = new ListenerInfo();        return mListenerInfo;

}

---

}

接下来，让我们一起来看一下怎样 Hook View.OnClickListener 事件？

大概分为三步：第一步：获取 ListenerInfo 对象

从 View 的源代码，我们可以知道我们可以通过 getListenerInfo 方法获取，于是，我们利用反射得到 ListenerInfo 对象第二步：获取原始的 OnClickListener事件方法

从上面的分析，我们知道 OnClickListener 事件被保存在 ListenerInfo 里面，同理我们利用反射获取第三步：偷梁换柱，用 Hook代理类 替换原始的 OnClickListenerpublic static void hookOnClickListener(View view) throws Exception {    // 第一步：反射得到 ListenerInfo 对象

Method getListenerInfo = View.class.getDeclaredMethod("getListenerInfo");

getListenerInfo.setAccessible(true);

Object listenerInfo = getListenerInfo.invoke(view);    // 第二步：得到原始的 OnClickListener事件方法