個人手機憑什麼不給我爽——Xposed Hook混淆且加固後的APP

時間  2019-11-06
標籤 個人 手機 憑什麼 不給 xposed hook 混淆 加固 app 简体版
原文   原文鏈接

前陣子剛從總公司擼了一臺Google親兒子Nexus 6，Root後並刷了Xposed，剛想爽一把，結果其中一個APP打開後就這幅德行了。 java

沒辦法，既然不讓我爽，我本身親自動手擼。

分析APK

最基本的分析能夠用Android Studio，咱們將安裝包拷貝到Android Studio打開的工程目錄下，粗略查看下 android

dex文件中居然沒有 com.huimai365的包，並且lib下面的so文件居然佔比達到了50%多。內心頓時涼了半截，我擦，這是加固了呀！
不行，做爲一線程序猿，怎麼能輕言放棄！

脫殼

通過百般思考(google)，我終於找到了一個傻瓜式脫殼工具dumpDex,沒想到還挺好用的 git

咱們「點擊脫殼」後，在 /data/data/com.huimai365/dump文件夾下發現了不少dex文件，感受離成功又進了一步！
接下來就是體力活了，咱們把dex所有pull下來，逐個用dex2jar工具將dex轉爲jar。爲此我寫了一個批量操做的腳本，「xxx」目錄存放的是全部的dex文件 

dir=../xxx/
 
for file in $dir/*; do
    ./d2j-dex2jar.sh $file
done
複製代碼

而後用JD-GUI尋找咱們須要的包名com.huimai365，幸運的是我終於終於找到了，不幸的是特麼代碼混淆。小夥子能夠呀！ github

分析代碼

咱們先用腳指頭分析下，這種檢測Xposed基本在Application的onCreate方法中去執行，而後進行彈窗。好，那咱們就尋找下他們本身實現的Application類。 apache

而後分析 onCreate中的方法
我發現有個 ar.a();的方法，點進去一看，果真！（這裏只是展現部分代碼）這裏不只檢測Xposed，居然還想關閉Xposed，沃日！ 

public class ar
{
  public static void a()
  {
    try
    {
      Field localField = ClassLoader.getSystemClassLoader().loadClass("de.robv.android.xposed.XposedBridge").getDeclaredField("disableHooks");
      localField.setAccessible(true);
      localField.set(null, Boolean.valueOf(true));
      return;
    }
    catch (Throwable localThrowable) {}
  }
  
  public static boolean a(Context paramContext)
  {
    return (b(paramContext)) || (c(paramContext)) || (b()) || (c());
  }
  
  private static boolean b(Context paramContext)
  {
    paramContext = paramContext.getPackageManager().getInstalledApplications(128);
    if (paramContext == null) {
      return false;
    }
    paramContext = paramContext.iterator();
    boolean bool = false;
    if (paramContext.hasNext())
    {
      ApplicationInfo localApplicationInfo = (ApplicationInfo)paramContext.next();
      if (localApplicationInfo.packageName.equals("de.robv.android.xposed.installer"))
      {
        ac.d("HookDetection", "Xposed found on the system.");
        bool = true;
      }
      if (!localApplicationInfo.packageName.equals("com.saurik.substrate")) {
        break label92;
      }
      ac.d("HookDetection", "Substrate found on the system.");
      bool = true;
    }
    label92:
    for (;;)
    {
      break;
      return bool;
    }
  }
  
  private static boolean c()
  {
    try
    {
      Object localObject = ClassLoader.getSystemClassLoader().loadClass("de.robv.android.xposed.XposedHelpers").newInstance();
      if (localObject != null) {
        if ((!a(localObject, "fieldCache")) && (!a(localObject, "methodCache")))
        {
          boolean bool = a(localObject, "constructorCache");
          if (!bool) {}
        }
        else
        {
          return true;
        }
      }
    }
    catch (Throwable localThrowable) {}
    return false;
  }
}
複製代碼

Hook方法

從上面的分析看，咱們只要Hook ar中的a()和a(Context paramContext)方法就好了。那麼就動手吧！bash

public class XposedHookInit implements IXposedHookLoadPackage {
    private static final String TAG = "XposedHookInit";

    @Override
    public void handleLoadPackage(XC_LoadPackage.LoadPackageParam lpparam) throws Throwable {

        if ("com.huimai365".equals(lpparam.packageName)) {
            Log.e(TAG, "Find 優品惠 " + lpparam.packageName);
            hookCheckoutXposed(lpparam.classLoader);
        }
    }

    private void hookCheckoutXposed(ClassLoader classLoader) {
        XposedHelpers.findAndHookMethod("com.huimai365.util.ar", classLoader, "a", new XC_MethodReplacement() {
            @Override
            protected Object replaceHookedMethod(MethodHookParam param) throws Throwable {
                Log.e(TAG, "Replace close xposed");
                return null;
            }
        });

        XposedHelpers.findAndHookMethod("com.huimai365.util.ar", classLoader, "a", Context.class, new XC_MethodReplacement() {
            @Override
            protected Object replaceHookedMethod(MethodHookParam param) throws Throwable {
                Log.e(TAG, "Replace find xposed");
                return false;
            }
        });
    }
}
複製代碼

但是事情並無想象的那麼簡單，報錯了 app

2019-01-17 12:46:17.038 5888-5888/? E/Xposed: de.robv.android.xposed.XposedHelpers$ClassNotFoundError: java.lang.ClassNotFoundException: com.huimai365.util.ar
        at de.robv.android.xposed.XposedHelpers.findClass(XposedHelpers.java:71)
        at de.robv.android.xposed.XposedHelpers.findAndHookMethod(XposedHelpers.java:260)
        at com.example.xposeddemo.XposedHookInit.hookCheckoutXposed(XposedHookInit.java:35)
        at com.example.xposeddemo.XposedHookInit.handleLoadPackage(XposedHookInit.java:20)
        at de.robv.android.xposed.IXposedHookLoadPackage$Wrapper.handleLoadPackage(IXposedHookLoadPackage.java:34)
        at de.robv.android.xposed.callbacks.XC_LoadPackage.call(XC_LoadPackage.java:61)
        at de.robv.android.xposed.callbacks.XCallback.callAll(XCallback.java:106)
        at de.robv.android.xposed.XposedInit$2.beforeHookedMethod(XposedInit.java:134)
        at de.robv.android.xposed.XposedBridge.handleHookedMethod(XposedBridge.java:340)
        at android.app.ActivityThread.handleBindApplication(<Xposed>)
        at android.app.ActivityThread.-wrap2(ActivityThread.java)
        at android.app.ActivityThread$H.handleMessage(ActivityThread.java:1546)
        at android.os.Handler.dispatchMessage(Handler.java:102)
        at android.os.Looper.loop(Looper.java:154)
        at android.app.ActivityThread.main(ActivityThread.java:6121)
        at java.lang.reflect.Method.invoke(Native Method)
        at com.android.internal.os.ZygoteInit$MethodAndArgsCaller.run(ZygoteInit.java:889)
        at com.android.internal.os.ZygoteInit.main(ZygoteInit.java:779)
        at de.robv.android.xposed.XposedBridge.main(XposedBridge.java:107)
     Caused by: java.lang.ClassNotFoundException: com.huimai365.util.ar
        at java.lang.Class.classForName(Native Method)
        at java.lang.Class.forName(Class.java:400)
        at external.org.apache.commons.lang3.ClassUtils.getClass(ClassUtils.java:823)
複製代碼

分析問題

爲何明明有這個類，卻ClassNotFoundError呢？去了解下加固原理，才知道原來APP加殼以後，更改了classloader，所以咱們用本來的classloader是會報類沒法被找到的異常的。該APP使用的是騰訊的樂固，咱們看到AndroidManifest.xml裏面的application已經被替換爲com.tencent.StubShell.TxAppEntry ide

那咱們再來看看 TxAppEntry這個類，就在沒有加殼的 classes.dex文件中。 

protected void attachBaseContext(Context paramContext)
  {
    super.attachBaseContext(paramContext);
    SystemClassLoaderInjector.fixAndroid(paramContext, this);
    if (!b(this)) {
      return;
    }
    d(paramContext);
    a(this);
  }
複製代碼

原來就在這裏更改了classloader，那咱們獲取更改後classloader，而後再Hook不就好了？！OK，OK，OK，咱們換個姿式再來一次工具

public class XposedHookInit implements IXposedHookLoadPackage {
    private static final String TAG = "XposedHookInit";

    @Override
    public void handleLoadPackage(XC_LoadPackage.LoadPackageParam lpparam) throws Throwable {

        if ("com.huimai365".equals(lpparam.packageName)) {
            Log.e(TAG, "Find 優品惠 " + lpparam.packageName);
            XposedHelpers.findAndHookMethod("com.tencent.StubShell.TxAppEntry", lpparam.classLoader,
                    "attachBaseContext", Context.class, new XC_MethodHook() {
                        @Override
                        protected void afterHookedMethod(MethodHookParam param) throws Throwable {
                            super.afterHookedMethod(param);
                            //獲取到Context對象，經過這個對象來獲取classloader
                            Context context = (Context) param.args[0];
                            //獲取classloader，以後hook加固後的就使用這個classloader
                            ClassLoader realClassLoader = context.getClassLoader();
                            //下面就是將classloader修改爲殼的classloader就能夠成功的hook了
                            hookCheckoutXposed(realClassLoader);

                        }
                    });
        }
    }

    private void hookCheckoutXposed(ClassLoader classLoader) {
        XposedHelpers.findAndHookMethod("com.huimai365.util.ar", classLoader, "a", new XC_MethodReplacement() {
            @Override
            protected Object replaceHookedMethod(MethodHookParam param) throws Throwable {
                Log.e(TAG, "Replace close xposed");
                return null;
            }
        });

        XposedHelpers.findAndHookMethod("com.huimai365.util.ar", classLoader, "a", Context.class, new XC_MethodReplacement() {
            @Override
            protected Object replaceHookedMethod(MethodHookParam param) throws Throwable {
                Log.e(TAG, "Replace find xposed");
                return false;
            }
        });

    }
}
複製代碼

結局

啊，整個世界清靜了。隨着身體的一陣哆嗦，這個APP變得索然無味……

總結

其實本人在這裏也只是將各類工具整合起來，大部分的知識都是從網上獲取的。但願能有個拋磚引玉的做用，讓各位讀者能有一點收穫。再者，真心膜拜這些造工具的大牛，看來我還有很長的路要走呀！oop

其實這也是我第一次寫技術文章，我特地放在了掘金上，由於這是我最喜歡的一個國內平臺(沒有之一)，但願掘金愈來愈好，勿忘初心！

參考資料

抱歉，Xposed真的能夠隨心所欲——5.我本身刷的Xposed憑什麼不給我用

dumpDex-Android脫殼

Android逆向之路---脫殼360加固

相關文章
相關標籤/搜索
每日一句
    每一个你不满意的现在，都有一个你没有努力的曾经。
本站公眾號
   歡迎關注本站公眾號,獲取更多信息
聯繫我們 最近搜索 最新文章 沪ICP备13005482号-10 MyBatis教程 SQL 教程 MySQL教程 Java 教程 Thymeleaf 教程 Hibernate教程 Spring教程 Redis教程