Android Hook技术

http://blog.csdn.net/u011068702/article/details/53208825

第一步、先爆项目demo照片，代码不多，不要怕

第二步、应该知道Java反射相关知识

第三步、应该知道Java静态代理知识

第四部、应该知道Java动态代理知识

第五步、应该知道Android里面的ActivityThread类和Instrumentation类

第六步、理解hook，并且分析源码

1、hook一般在哪里hook?

[html] view plain copy

 

 print?

1. @Override  
2. public void startActivity(Intent intent, Bundle options) {  
3.     warnIfCallingFromSystemProcess();  
4.     if ((intent.getFlags()&Intent.FLAG_ACTIVITY_NEW_TASK) == 0) {  
5.         throw new AndroidRuntimeException(  
6.                 "Calling startActivity() from outside of an Activity "  
7.                 + " context requires the FLAG_ACTIVITY_NEW_TASK flag."  
8.                 + " Is this really what you want?");  
9.     }  
10.     mMainThread.getInstrumentation().execStartActivity(  
11.         getOuterContext(), mMainThread.getApplicationThread(), null,  
12.         (Activity)null, intent, -1, options);  
13. }  

我们可以看到startActivity方法最后还是通过Instrumentation对象来执行execStartActivity来实现的,如果你认真看了《Android插件化开发之AMS与应用程序(客户端ActivityThread、Instrumentation、Activity)通信模型分析 》上面这篇博客，我们知道ActivityThread就是主线程，也就是我们常说的UI线程，可以去更新UI，一个进程只有一个主线程，我们可以在这里hook.
我们需要Hook掉我们的主线程对象，把主线程对象里面的mInstrumentation给替换成我们修改过的代理对象；要替换主线程对象里面的字段

1）首先我们得拿到主线程对象的引用，如何获取呢？ActivityThread类里面有一个静态方法currentActivityThread可以帮助我们拿到这个对象类；但是ActivityThread是一个隐藏类，我们需要用反射去获取，代码如下：

[html] view plain copy

 

 print?

1. // 先获取到当前的ActivityThread对象  
2. Class<?> activityThreadClass = Class.forName("android.app.ActivityThread");  
3. Method currentActivityThreadMethod = activityThreadClass.getDeclaredMethod("currentActivityThread");  
4. currentActivityThreadMethod.setAccessible(true);  
5. Object currentActivityThread = currentActivityThreadMethod.invoke(null);  

2）拿到这个currentActivityThread之后，我们需要修改它的mInstrumentation这个字段为我们的代理对象，我们先实现这个代理对象，由于JDK动态代理只支持接口，而这个Instrumentation是一个类，我们可以手动写静态代理类，覆盖掉原始的方法，代码如下

[html] view plain copy

 

 print?

1. package com.example.hookstartactivity;  
2.   
3. import java.lang.reflect.Method;  
4.   
5. import android.app.Activity;  
6. import android.app.Instrumentation;  
7. import android.app.Instrumentation.ActivityResult;  
8. import android.content.Context;  
9. import android.content.Intent;  
10. import android.os.Bundle;  
11. import android.os.IBinder;  
12. import android.util.Log;  
13.   
14.   
15. public class InstrumentationProxy extends Instrumentation {  
16.   
17.   
18.      public static final String TAG = "InstrumentationProxy";  
19.      public static final String EXEC_START_ACTIVITY = "execStartActivity";  
20.        
21.      // ActivityThread里面原始的Instrumentation对象,这里千万不能写成mInstrumentation,这样写  
22.      //抛出异常，已亲测试，所以这个地方就要注意了  
23.      public Instrumentation oldInstrumentation;  
24.        
25.      //通过构造函数来传递对象  
26.      public InstrumentationProxy(Instrumentation mInstrumentation) {  
27.          oldInstrumentation = mInstrumentation;  
28.      }  
29.   
30.   
31.      //这个方法是由于原始方法里面的Instrumentation有execStartActivity方法来定的  
32.      public ActivityResult execStartActivity(Context who, IBinder contextThread, IBinder token, Activity target,  
33.              Intent intent, int requestCode, Bundle options) {  
34.          Log.d(TAG, "\n打印调用startActivity相关参数: \n" + "who = [" + who + "], " +  
35.               "\ncontextThread = [" + contextThread + "], \ntoken = [" + token + "], " +  
36.               "\ntarget = [" + target + "], \nintent = [" + intent +  
37.               "], \nrequestCode = [" + requestCode + "], \noptions = [" + options + "]");  
38.   
39.   
40.         Log.i(TAG, "------------hook  success------------->");  
41.         Log.i(TAG, "这里可以做你在打开StartActivity方法之前的事情");  
42.         Log.i(TAG, "------------hook  success------------->");  
43.         Log.i(TAG, "");  
44.               
45.         //由于这个方法是隐藏的，所以需要反射来调用，先找到这方法  
46.         try {  
47.             Method execStartActivity = Instrumentation.class.getDeclaredMethod(  
48.                     EXEC_START_ACTIVITY,  
49.                     Context.class, IBinder.class, IBinder.class, Activity.class,   
50.                     Intent.class, int.class, Bundle.class);  
51.             execStartActivity.setAccessible(true);  
52.             return (ActivityResult) execStartActivity.invoke(oldInstrumentation, who,   
53.                         contextThread, token, target, intent, requestCode, options);  
54.             } catch (Exception e) {  
55.                 //如果你在这个类的成员变量Instrumentation的实例写错mInstrument,代码讲会执行到这里来  
56.                 throw new RuntimeException("if Instrumentation paramerter is mInstrumentation, hook will fail");  
57.             }  
58.      }  
59. }  

3）然后用代理对象替换，代码如下

[html] view plain copy

 

 print?

1. package com.example.hookstartactivity;  
2.   
3.   
4. import java.lang.reflect.Field;  
5. import java.lang.reflect.Method;  
6.   
7.   
8. import android.app.Application;  
9. import android.app.Instrumentation;  
10. import android.util.Log;  
11.   
12.   
13. public class MyApplication extends Application {  
14.   
15.   
16.     public static final String TAG = "MyApplication";  
17.     public static final String ACTIVIT_THREAD = "android.app.ActivityThread";  
18.     public static final String CURRENT_ACTIVITY_THREAD = "currentActivityThread";  
19.     public static final String INSTRUMENTATION = "mInstrumentation";  
20.       
21.     @Override  
22.     public void onCreate() {  
23.         try {  
24.              //这个方法一般是写在Application的oncreate函数里面，如果你写在activity里面的oncrate函数里面就已经晚了  
25.              attachContext();  
26.         } catch (Exception e) {  
27.              e.printStackTrace();  
28.         }  
29.     }  
30.       
31.     public static void attachContext() throws Exception{  
32.           
33.         //获取当前的ActivityThread对象  
34.         Class<?> activityThreadClass = Class.forName(ACTIVIT_THREAD);  
35.         Method currentActivityThreadMethod = activityThreadClass.getDeclaredMethod(CURRENT_ACTIVITY_THREAD);  
36.         currentActivityThreadMethod.setAccessible(true);  
37.         Object currentActivityThread = currentActivityThreadMethod.invoke(null);  
38.   
39.   
40.         //拿到在ActivityThread类里面的原始mInstrumentation对象  
41.         Field mInstrumentationField = activityThreadClass.getDeclaredField(INSTRUMENTATION);  
42.         mInstrumentationField.setAccessible(true);  
43.         Instrumentation mInstrumentation = (Instrumentation) mInstrumentationField.get(currentActivityThread);  
44.   
45.   
46.         //构建我们的代理对象  
47.         Instrumentation evilInstrumentation = new InstrumentationProxy(mInstrumentation);  
48.           
49.         //通过反射，换掉字段，注意，这里是反射的代码，不是Instrumentation里面的方法  
50.         mInstrumentationField.set(currentActivityThread, evilInstrumentation);  
51.           
52.         //做个标记，方便后面查看  
53.         Log.i(TAG, "has go in MyApplication attachContext method");  
54.     }  
55. }  

要注意这个替换要在Application里面的oncreate方法里面去执行，如果到Activity方法里面去执行的话就晚了，程序不会报错，但是hook不到。


然后我是在主页面写了一个按钮，点击来触发startActivity的。
MainActivity.java 文件如下

[html] view plain copy

 

 print?

1. package com.example.hookstartactivity;  
2.   
3.   
4. import android.content.Intent;  
5. import android.os.Bundle;  
6. import android.support.v7.app.ActionBarActivity;  
7. import android.util.Log;  
8. import android.view.Menu;  
9. import android.view.MenuItem;  
10. import android.view.View;  
11. import android.view.View.OnClickListener;  
12. import android.widget.TextView;  
13.   
14.   
15. public class MainActivity extends ActionBarActivity {  
16.       
17.     public static final String TAG  =  "MainActivity";  
18.     public TextView tv;  
19.     @Override  
20.     protected void onCreate(Bundle savedInstanceState) {  
21.         super.onCreate(savedInstanceState);  
22.         setContentView(R.layout.activity_main);  
23.         tv = (TextView)findViewById(R.id.start);  
24.         tv.setOnClickListener(new OnClickListener(){  
25.             @Override  
26.             public void onClick(View v) {  
27.                 try {  
28.                     Intent intent = new Intent(MainActivity.this, SecondActivity.class);   
29.                     Bundle bundle = new Bundle();  
30.                     Log.i(TAG, "-------------------------------->");  
31.                     Log.i(TAG, "startActivity before");  
32.                     Log.i(TAG, "-------------------------------->");  
33.                       
34.                     startActivity(intent, bundle);  
35.                       
36.                     Log.i(TAG, "-------------------------------->");  
37.                     Log.i(TAG, "startActivity after");  
38.                     Log.i(TAG, "-------------------------------->");  
39.                 } catch (Exception e) {  
40.                     e.printStackTrace();  
41.                 }  
42.             }  
43.         } );  
44.     }  
45. }  

跳转到的Second.java文件如下

[html] view plain copy

 

 print?

1. package com.example.hookstartactivity;  
2.   
3.   
4. import android.os.Bundle;  
5. import android.support.v7.app.ActionBarActivity;  
6.   
7.   
8. public class SecondActivity extends ActionBarActivity{  
9.       
10.     @Override  
11.     protected void onCreate(Bundle savedInstanceState) {  
12.         super.onCreate(savedInstanceState);  
13.         setContentView(R.layout.activity_second);  
14.     }  
15. }  

第七步、运行代码

[html] view plain copy

 

 print?

1. pidcat.py 包名  

第八步、总结

Android Hook技术

原文：http://www.cnblogs.com/wytiger/p/6136093.html