突破Android P非SDK API限制的幾種代碼實現

前言

Android P對非SDK API的使用作了限制，致使在Android P上會出現一些情況。在很早前預覽版本剛出來的時候，360團隊就出了兩篇文章。 Android P 調用隱藏API限制原理 以及 突破Android P(Preview 1)對調用隱藏API限制的方法

限制方式三種：

• 反射
• 直接調用
• jni調用

這一篇文章就是根據上面的文章來的。

方法一(不建議)

使用Provided(CompileOnly)的方式去解決調用限制，只能解決反射調用的問題，而沒法解決直接調用或者jni調用的方式。不建議使用

方法二(不建議)

這個方法二對應的是360文章中的方法三。主要代碼以下。

class ObjPtr {
 public:
  uintptr_t reference_;
};

ObjPtr
(*sys_GetDeclaredMethodInternal)(void *self, jobject kclass, jstring name, jobjectArray args);

void *(*executableGetArtMethod)(void *ex);

ObjPtr myGetDeclaredMethodInternal(void *self, jobject kclass, jstring name, jobjectArray args) {
  ObjPtr res = sys_GetDeclaredMethodInternal(self, kclass, name, args);
  if (res.reference_ != 0) {
    void *pMethod = executableGetArtMethod((void *) (res.reference_));
    reinterpret_cast<uint32_t *>(pMethod)[1] &= 0xcfffffff;
  }
  return res;
}


extern "C" int hookForPMethod() {
  void *libc = fake_dlopen("/system/lib/libart.so", RTLD_NOW);
  if (libc != NULL) {
    void *p = fake_dlsym(libc, "_ZN3art6mirror5Class25GetDeclaredMethodInternalILNS_11Poin"
        "terSizeE4ELb0EEENS_6ObjPtrINS0_6MethodEEEPNS_6ThreadENS4_IS1_EENS4_INS0_6StringEEEN"
        "S4_INS0_11ObjectArrayIS1_EEEE");
    if (p != NULL) {
      MSHookFunction(p,
                     reinterpret_cast<void *>(myGetDeclaredMethodInternal),
                     reinterpret_cast<void **>(&sys_GetDeclaredMethodInternal));
    }
    *(void **) (&executableGetArtMethod) =
        fake_dlsym(libc, "_ZN3art6mirror10Executable12GetArtMethodEv");
    fake_dlclose(libc);

  } //if

  return 1;
}
複製代碼

其中，fake_dlopen、fake_dlsym 使用的是Nougat_dlfunctions,主要是Android 7.0以上對dlopen、dlsym等函數作了限制。所以用這個庫。而MSHookFunction，則是大名鼎鼎的cydiasubstrate。

上面的代碼只解決了反射方法的問題。我按照這種思路去解決字段問題的時候發現。

GetDeclaredField是inline的，沒法切入。而CreateFromArtField又是hidden的，也很差切入。

所以，放棄了這種方法。

方法三(可用，可是有更好的)

這裏對應的方法三，對應的是360文章中的方法二，也就是修改classloader的方式。代碼以下。

void (*setClassLoader)(void *pClass, void *new_cl);
ObjPtr (*toClass)(jclass global_jclss);

extern "C" void makeHiddenApiAccessable(JNIEnv *env) {
  void *libart = fake_dlopen("/system/lib/libart.so", RTLD_NOW);
  if (libart != NULL) {
    *(void **) (&toClass) = fake_dlsym(libart, "_ZN3art16WellKnownClasses7ToClassEP7_jclass");
    *(void **) (&setClassLoader) =
        fake_dlsym(libart, "_ZN3art6mirror5Class14SetClassLoaderENS_6ObjPtrINS0_11ClassLoaderEEE");
    jclass cls = env->FindClass("com/example/support_p/ReflectionHelper");
    ObjPtr op = toClass(cls);
    setClassLoader((void *) op.reference_, NULL);
  }
}

複製代碼

沒錯，代碼就是這麼點。這樣，咱們就能夠在ReflectionHelper中調用非公開API了。可是這裏會依賴Nougat_dlfunctions這個庫。

方法四(超級好)

既然是修改classloader，那麼咱們爲何不在java層修改呢。代碼以下。

private void testJavaPojie() {
    try {
      Class reflectionHelperClz = Class.forName("com.example.support_p.ReflectionHelper");
      Class classClz = Class.class;
      Field classLoaderField = classClz.getDeclaredField("classLoader");
      classLoaderField.setAccessible(true);
      classLoaderField.set(reflectionHelperClz, null);
    } catch (Exception e) {
      e.printStackTrace();
    }
  }
複製代碼

而這裏用的相關反射只是light級別的，沒有什麼影響。反而代碼量超小，也不依賴其餘。

方法五(超級好+1)

這個方案來自 @區長 大神

方法四仍是存在一點問題。若是之後把classloader加入到深灰或者黑名單，那就僵硬了。因此，咱們不用反射，直接用unsafe去修改。代碼這就不貼了。爲了獲得classloader的偏移量，咱們寫一個和Class結構同樣的類，用這個類獲得的classLoader的偏移量和Class是同樣的。

注意：

若是咱們用修改ClassLoader的方式的話，那麼ReflectionHelper類中只能反射調用非公開API，注意了。

代碼在這裏，以爲好的給個star吧