Xposed 框架检测机制

柔情只为你懂 2023-10-03 13:52 14阅读 0赞

### 一、Xposed 框架实现 Hook 的原理介绍 ###

Zygote是Android的核心，每运行一个app，Zygote就会fork一个虚拟机实例来运行app，
    	Xposed Framework深入到了Android核心机制中，通过改造Zygote来实现一些很牛逼的
    	功能。Zygote的启动配置在init.rc 脚 本 中，由系统启动的时候开启此进程，对应的
    	执行文件是/system/bin/app_process，这个文件完成类库加载及一些函数调用的工作。
    	当系统中安装了Xposed Framework之后，会对app_process进行扩展，也就是说，Xposed 
    	Framework 会拿自己实现的app_process覆盖掉Android原生提供的app_process文件，
    	当系统启动的时候，就会加载由 Xposed Framework 替换过的进程文件，并且，Xposed 
    	Framework 还定义了一个 jar 包，系统启动的时候，也会加载这个包：
    	/data/data/de.robv.android.xposed.installer/bin/XposedBridge.jar

### 二、常见检测 ###

import java.io.BufferedReader;
    import java.io.File;
    import java.lang.reflect.Method;
    import java.lang.reflect.Modifier;
    import java.util.Arrays;
    
    import android.annotation.SuppressLint;
    import de.robv.android.xposed.IXposedHookLoadPackage;
    import de.robv.android.xposed.XC_MethodHook;
    import de.robv.android.xposed.XposedHelpers;
    import de.robv.android.xposed.callbacks.XC_LoadPackage.LoadPackageParam;
    
    public class Module implements IXposedHookLoadPackage {
        
    
    	// 定义全局变量 modify
    	private int modify;
    	
    	@Override
    	public void handleLoadPackage(final LoadPackageParam lpparam) throws Throwable {
        
    		//通过 ClassLoader 的loadClass加载XposedHelper来修改一些局部变量值，阻止hook
    		//处理方式，通过Hook类加载修改加载的类名
    //		XposedHelpers.findAndHookMethod(ClassLoader.class, "loadClass", String.class, new XC_MethodHook() {
        
    //            @Override
    //            protected void beforeHookedMethod(MethodHookParam param) throws Throwable {
        
    //                super.beforeHookedMethod(param);
    //				  if(param.args != null && param.args[0] != null && 
    //					  param.args[0].toString().startsWith("de.robv.android.xposed.")){
        
    // 
    //                    // 改成一个不存在的类
    //                    param.args[0] = "de.robv.android.xposed.ThTest";
    //                }
    //                
    //            }
    //        });
    		
    		//通过代码抛出一个异常，在堆栈中，查找Xposed相关的内容，进行判定
    		//处理方式，通过Hook堆栈获取类名替换的方式进行阻止
    		XposedHelpers.findAndHookMethod(StackTraceElement.class, "getClassName", new XC_MethodHook() {
        
                @Override
                protected void afterHookedMethod(MethodHookParam param) throws Throwable {
        
                    String result = (String) param.getResult();
                    if (result != null){
        
                        if (result.contains("de.robv.android.xposed.")) {
        
                            param.setResult("");
                        }else if(result.contains("com.android.internal.os.ZygoteInit")){
        
                            param.setResult("");
                        }
                    }
                    super.afterHookedMethod(param);
                }
            });
    		
    		//通过读取 shell 命令 /proc/pid（应用进程id）/maps 可以拿到当前上下文的so和jar列表，查找Xposed相关
    		//处理方式，通过使用 BufferedReader进行读取命令的内容，过滤掉 XposedBridge.jar。
    		XposedHelpers.findAndHookMethod(BufferedReader.class, "readLine", new XC_MethodHook() {
        
                @SuppressLint("SdCardPath") @Override
                protected void afterHookedMethod(MethodHookParam param) throws Throwable {
        
                    String result = (String) param.getResult();
                    if(result != null) {
        
                        if (result.contains("/data/data/de.robv.android.xposed.installer/bin/XposedBridge.jar")) {
        
                            param.setResult("");
                            new File("").lastModified();
                        }
                    }
     
                    super.afterHookedMethod(param);
                }
            });
    		
    		//其它，由于Xposed的hook，是通过so修改被hook的方法为native来实现的，所以检测方也可以通过检测方法是否变成了native来达到检测的目的
    		//处理方式，对指定的方法，进行返回正常的值，来达到屏蔽的效果，这里用getDeviceId举例
    		// 定义全局变量 modify
    		XposedHelpers.findAndHookMethod(Method.class, "getModifiers", new XC_MethodHook() {
        
    			@Override
    			protected void afterHookedMethod(MethodHookParam param) throws Throwable {
        
    				Method method = (Method)param.thisObject;
    				String[] array = new String[]{
        "getDeviceId"};
    				String method_name = method.getName();
    				if(Arrays.asList(array).contains(method_name)){
        
    					modify = 0;
    				}else{
        
    					modify = (Integer) param.getResult();
    				}
    				super.afterHookedMethod(param);
    			}
    		});
    		 
    		XposedHelpers.findAndHookMethod(Modifier.class, "isNative", int.class, new XC_MethodHook() {
        
    			@Override
    			protected void beforeHookedMethod(MethodHookParam param) throws Throwable {
        
    				param.args[0] = modify;
    				super.beforeHookedMethod(param);
    			}
    		});
    	}
    }