xposed 原理分析
阅读原文时间:2023年07月13日阅读:1

1.添加hook方法

首先是init进程打开 app_process,然后进入XposedInit.java main() - > initForZygote() 加入对ActivityThread.handleBindApplication() 的hook,找到Method对象

XposedBridge.hookMethod(method,callback) 加入到一个  key=method val=callbacks 的map中 sHookedMethodCallbacks

Native 方法 hookMethodNative(),当前在zygote中,zygote的app_process被xposed修改过,加载过这个方法。

然后是loadModules() 加载所有模块app

App_process

先加载/system/framework/XposedBridge.jar 到 env CLASSPATH 中

然后启动虚拟机,调用onVmCreatedCommon()加载native方法

加载jar路径成功后到 de.robv.android.xposed.XposedBridge main() 中

ArtMethod* artMethod = ArtMethod::FromReflectedMethod(soa, javaReflectedMethod); //(soa = Method = jobject)

该方法根据 soa对象里的 artMethod int值经过一系列操作,asArtMethod()

得到artMethod,然后执行hook

artMethod->EnableXposedHook(soa, javaAdditionalInfo);  //EnableXposedHook 找不到定义

ArtMethod定义在android源码中

class MANAGED ArtMethod FINAL : public Object

看dvm的实现

Method* method = dvmSlotToMethod(declaredClass, slot);  //return &clazz->virtualMethods[slot];

保存原先的method副本到XposedHookInfo中。

method->nativeFunc = &hookedMethodCallback

method->insns = (const u2*) hookInfo;  //表示让dvm判为内部native方法 = DalvikNativeFunc  =  typedef void (*DalvikNativeFunc)(const u4* args, JValue* pResult);

method->registersSize = method->insSize;

最主要的一个操作是 nativeFunc 指向自己的方法

完成HOOK

Method结构

struct Method {

ClassObject*    clazz;

u4              accessFlags;

u2             methodIndex;  //在虚方法表中的下标

508    u2              registersSize;  /* ins + locals , 需要的寄存器数量  smali: .register */

509    u2              outsSize;

510    u2              insSize;

513    const char*     name; //方法名

523    DexProto        prototype;  //方法签名  smali: (I[I)V     = void xxxxx(int,int[])

525    const char*     shorty;  /* short-form method descriptor string */

535    const u2*       insns;          /* 1.指令,在内存中映射的.dex   2.JNI 会把这里用作方法指针。 3.内部本地方法这里是null*/

536

537    /* JNI: cached argument and return-type hints */

538    int             jniArgInfo;

547    DalvikBridgeFunc nativeFunc;  //Jni方法指针,可以是具体方法或者JNIbridge 。DalvikBridgeFunc / DalvikNativeFunc ,insns == null 代表Jni方法(DalvikBridgeFunc ),否则等于内部方法(DalvikNativeFunc),

。。。

577    const RegisterMap* registerMap; //方法中用到的寄存器

。。。

581};

触发

之后当这个方法被虚拟机调用时会调用 hookedMethodCallback()

然后会调用 java层的 handleHookedMethod()方法。

然后的主要流程是取出在hook时给的additionalInfo.callbacks 中的所有XC_MethodHook,调beforeHookedMethod(),invokeOriginalMethodNative()调原来的方法,然后是调用afterHookedMethod(),最后返回方法返回值。

invokeOriginalMethodNative() 通过 dvmInvokeMethod()调用原生方法

Art是 用 InvokeMethod() 调用原生方法

EableXposedHook  等 ArtMehtod 修改后的方法在这个修改后的 art 虚拟机工程里

用xposedInstaller 安装框架的时候,除了下载xposedBrage.jar 更换 app_Process 等,还从这个项目中下载 libart.so

1.挂载入口

xposedInitLib = dlsym(xposedLibHandle, "xposedInitLib") //根据 dvm 或 art 动态加载函数地址

xposedInitLib()

xposed->onVmCreated = &onVmCreatedCommon;

2.根据生命周期进入

虚拟机onVmCreated()

Xposed::onVmCreated() -》 onVmCreatedCommon()

onVmCreatedCommon()

initXposedBridge()

register_natives_XposedBridge()-》 注册hookMethodNative native方法