阅读 1207

春节福利-教你非Root手机实现微信抢红包

前提

写这篇的目的有两个,一个是想告诉广大还在坚持Android开发的小伙伴继续加油,还有就是给自己一个今年的技术产出画个句号吧。最重要的还是想把自己学到的东西开源供大家参考学习,共勉。

简述

那我们就进入主题吧,就目前的市场上看,通过Xpose实现这个功能居大多数,这篇文章也是基于Xpose,大家都知道,使用Xpose前提就是必须Root手机,现在也有一些Up主,完成了此项功能。大名鼎鼎的VirtualXpose通过内部模拟Android原生环境实现加载Xpose插件,已到达Root环境hook进程,但是还是有些不稳定的,技术难道更为复杂。还有个也是大家应该也有所了解太极Xposed,是通过二次打包Apk植入代码完成的。但是作者并没有公开源码,而且很多插件用不了,必须让作者给你发激活码才能调试自己的插件。我呢,也是个技术迷,就想自己是否可以也做一个这样的东西。也就有了现在的这篇文章。

原理

原理大概分为以下五个部分,下面不会细说具体实现过程,只会说核心内容,不然这篇文章就太长了,如果想了解具体细节可以文章评论区艾特我就行。

既然是非Root加载Xpose框架,那么我这边选择的是太极的实现方式,而非VirtualXpose构建虚拟Android环境,太极的方式即是二次打包Apk植入代码完成的。那么既然是选择二次打包完成这个功能,下面的五个部分其实就是我们这个过程的流程。

说了半天怎么还没有说道关于微信抢红包呢,微信抢红包无非就是写个Xpose插件,Hook微信内部代码实现红包自动领取。我们只要让微信加载Xpose框架,然后装个抢红包插件即可完成这项工作,但是如何在非Root的环境微信有这个功能呢!那就是修改微信源码,修改内部dex文件,让微信启动就加载Xpose框架,然后我们手机装个抢红包插件,二次打包后,微信冷启动后就会把Xpose框架拉起来,自然而然的就会加载抢红包的插件了。从而实现非Root手机微信抢红包。

如何让实现微信抢红包

其实说到这里,可能就有点偏离了,之前我有篇文章写道关于Hook微信朋友圈内容的。大家有兴趣可以了解下。里面就是教你如何一步步的找到源码,插入hook点,勾住数据。微信抢红包也是同理,只要我们找到微信领取红包代码的地方即可完成自动抢红包。下面我也会给大家提供一份源码,关于微信抢红包插件的,而且最新版本的微信也是支持的,这里就不过多的叙述了。

微信逆向之朋友圈

微信抢红包

如何加载Xpose框架

xpose 框架7.0之后作者就并没有对项目进行支吃

既然要说加载Xpose框架,必然我们要知道他的工作原理,这个框架的牛逼之处就是可以动态劫持Android平台。xpose框架的那么是如何做到动态劫持的呢,可过Xpose的安装方式和脚本,可以知道,他是通过替换我们手机里面的app_process程序控制到zygote进程(从这一点就知道他必须是root手机才可以进行替换),看过Android系统源码的兄弟应该知道,所有的App进程都是通过zygote fork出来的。既然Xpose都控制了zygote进程,那么抓住我们App进程页不足为怪。而且当app_process进程启动的时候会加载一个jar包(XposedBridge.jar)通过观察源码可以看到main()入口,做了哪些操作。

/**
	 * Called when native methods and other things are initialized, but before preloading classes etc.
	 * @hide
	 */
	@SuppressWarnings("deprecation")
	protected static void main(String[] args) {
		// Initialize the Xposed framework and modules
		try {
			if (!hadInitErrors()) {
				initXResources();

				SELinuxHelper.initOnce();
				SELinuxHelper.initForProcess(null);

				runtime = getRuntime();
				XPOSED_BRIDGE_VERSION = getXposedVersion();

				if (isZygote) {
					XposedInit.hookResources();
					XposedInit.initForZygote();
				}

				XposedInit.loadModules();
			} else {
				Log.e(TAG, "Not initializing Xposed because of previous errors");
			}
		} catch (Throwable t) {
			Log.e(TAG, "Errors during Xposed initialization", t);
			disableHooks = true;
		}

		// Call the original startup code
		if (isZygote) {
			ZygoteInit.main(args);
		} else {
			RuntimeInit.main(args);
		}
	}
复制代码

可以从上诉源码中看到,有一行代码**XposedInit.loadModules()**顾名思义就是加载我们手机安装的插件的。那么我们继续进入源码看看里面到底做了什么

/**
	 * Load a module from an APK by calling the init(String) method for all classes defined
	 * in <code>assets/xposed_init</code>.
	 */
	private static void loadModule(String apk, ClassLoader topClassLoader) {
		Log.i(TAG, "Loading modules from " + apk);

		if (!new File(apk).exists()) {
			Log.e(TAG, "  File does not exist");
			return;
		}

		DexFile dexFile;
		try {
			dexFile = new DexFile(apk);
		} catch (IOException e) {
			Log.e(TAG, "  Cannot load module", e);
			return;
		}

		if (dexFile.loadClass(INSTANT_RUN_CLASS, topClassLoader) != null) {
			Log.e(TAG, "  Cannot load module, please disable \"Instant Run\" in Android Studio.");
			closeSilently(dexFile);
			return;
		}

		if (dexFile.loadClass(XposedBridge.class.getName(), topClassLoader) != null) {
			Log.e(TAG, "  Cannot load module:");
			Log.e(TAG, "  The Xposed API classes are compiled into the module's APK.");
			Log.e(TAG, "  This may cause strange issues and must be fixed by the module developer.");
			Log.e(TAG, "  For details, see: http://api.xposed.info/using.html");
			closeSilently(dexFile);
			return;
		}

		closeSilently(dexFile);

		ZipFile zipFile = null;
		InputStream is;
		try {
			zipFile = new ZipFile(apk);
			ZipEntry zipEntry = zipFile.getEntry("assets/xposed_init");
			if (zipEntry == null) {
				Log.e(TAG, "  assets/xposed_init not found in the APK");
				closeSilently(zipFile);
				return;
			}
			is = zipFile.getInputStream(zipEntry);
		} catch (IOException e) {
			Log.e(TAG, "  Cannot read assets/xposed_init in the APK", e);
			closeSilently(zipFile);
			return;
		}

		ClassLoader mcl = new PathClassLoader(apk, XposedBridge.BOOTCLASSLOADER);
		BufferedReader moduleClassesReader = new BufferedReader(new InputStreamReader(is));
		try {
			String moduleClassName;
			while ((moduleClassName = moduleClassesReader.readLine()) != null) {
				moduleClassName = moduleClassName.trim();
				if (moduleClassName.isEmpty() || moduleClassName.startsWith("#"))
					continue;

				try {
					Log.i(TAG, "  Loading class " + moduleClassName);
					Class<?> moduleClass = mcl.loadClass(moduleClassName);

					if (!IXposedMod.class.isAssignableFrom(moduleClass)) {
						Log.e(TAG, "    This class doesn't implement any sub-interface of IXposedMod, skipping it");
						continue;
					} else if (disableResources && IXposedHookInitPackageResources.class.isAssignableFrom(moduleClass)) {
						Log.e(TAG, "    This class requires resource-related hooks (which are disabled), skipping it.");
						continue;
					}

					final Object moduleInstance = moduleClass.newInstance();
					if (XposedBridge.isZygote) {
						if (moduleInstance instanceof IXposedHookZygoteInit) {
							IXposedHookZygoteInit.StartupParam param = new IXposedHookZygoteInit.StartupParam();
							param.modulePath = apk;
							param.startsSystemServer = startsSystemServer;
							((IXposedHookZygoteInit) moduleInstance).initZygote(param);
						}

						if (moduleInstance instanceof IXposedHookLoadPackage)
							XposedBridge.hookLoadPackage(new IXposedHookLoadPackage.Wrapper((IXposedHookLoadPackage) moduleInstance));

						if (moduleInstance instanceof IXposedHookInitPackageResources)
							XposedBridge.hookInitPackageResources(new IXposedHookInitPackageResources.Wrapper((IXposedHookInitPackageResources) moduleInstance));
					} else {
						if (moduleInstance instanceof IXposedHookCmdInit) {
							IXposedHookCmdInit.StartupParam param = new IXposedHookCmdInit.StartupParam();
							param.modulePath = apk;
							param.startClassName = startClassName;
							((IXposedHookCmdInit) moduleInstance).initCmdApp(param);
						}
					}
				} catch (Throwable t) {
					Log.e(TAG, "    Failed to load class " + moduleClassName, t);
				}
			}
		} catch (IOException e) {
			Log.e(TAG, "  Failed to load module from " + apk, e);
		} finally {
			closeSilently(is);
			closeSilently(zipFile);
		}
	}
}
复制代码

上诉其实就是Xpose源码中加载module的源码,写过Xpose插件的小伙伴都知道,我们要把插件入口定义在项目中的assets/xposed_init中,这样Xpose框架在读取插件的时候就知道在何处了。上诉源码中也有这么一行来加载的。 ZipEntry zipEntry = zipFile.getEntry("assets/xposed_init") 那么我们也就按照这个操作,直接把这个源码搬下来,然后加载到我们普通的项目中,在我们App初始化的时候进行loadmodules,你会发现也是可以支持加载xpose插件的。如果说我们写一个xpose插件是给我们自己App用的,那么是不是就可以实现热修复功能呢。那当然是可以的。

首先我们遍历我们手机中装的App通过PMS拿到应用信息,找到那些是xposedmodule模块的App,App启动的时候加载这个apk。从而实现我们自己的项目加载xpose插件

    private void loadModulsFormApk(){
        final ArrayList<String> pathList = new ArrayList<>();
        for (PackageInfo next : context.getPackageManager().getInstalledPackages(FileUtils.FileMode.MODE_IWUSR)) {
            ApplicationInfo applicationInfo2 = next.applicationInfo;
            if (applicationInfo2.enabled && applicationInfo2.metaData != null && applicationInfo2.metaData.containsKey("xposedmodule")) {
                String str4 = next.applicationInfo.publicSourceDir;
                String charSequence = context.getPackageManager().getApplicationLabel(next.applicationInfo).toString();
                if (TextUtils.isEmpty(str4)) {
                    str4 = next.applicationInfo.sourceDir;
                }
                pathList.add(str4);
                Log.d("XposedModuleEntry", " query installed module path -> " + str4);
            }
        }

    }
复制代码

以上代码就可以找出哪些App是xpose插件。

说到这里是不是大家已经明白了些,只要微信在Application初始化的时候,也执行这段代码不就可以完成Xpose框架的加载了吗!然后手机装个微信抢红包插件就可以完成我们的目的了吗。但是如何进加载呢,那我们就需要修改微信内部的源码了,才能完成这一步操作。下面的环节会说道如何修改微信内部源码。

如何修改Dex包

既然大家通过上面的环节已经了解了大概原理。那么接下来就是修改源码了。大家也知道,我们下载下来的Apk是是已经打包签名过的。解压出来是一堆文件,还有很多dex文件,微信源码就是在dex文件中,我们只要修改dex文件中的源码然后替换原有的dex,然后打包二次签名就可以完成这个操作了。说起来容易那么如何修改dex文件源码呢。下面听我慢慢叙述!

Apk中植入代码有两种主流的方式,据我了解。

  • 通过dex2jar工程将dex转化成java代码,修改后,然后在通过jar2dex转化成dex文件。
  • 将Apk反编译成smali,修改smali文件,然后在把修改后的文件打包。

这里两种方式都有尝试:

dex2jar github

第一种dex2jar,我是通过xpatch作者的方式实现的。文章末尾会附上链接,这里我就简单叙述一下。修改dex2jar源码,操作dex文件植入代码。可以在dex2jar文件找到这个doTranslate()方法。这里面操作了我们dex文件所有的源码。植入过程也是在这个方法体中。至于如何编写smali代码可以通过Android studio下载个插件,ASM Bytecode Viewer然后自己写一段代码,然后转化一下即可。

我们可以在doTranslate()方法中看到这个ExDex2Asm类,他对每个类进行了处理,我们在入口判断是否是我们需要的类然后进行,然后把我们需要植入的代码copy进入即可。

 private void doTranslate(final Path dist) throws IOException {

        DexFileNode fileNode = new DexFileNode();
       ........

        new ExDex2Asm(exceptionHandler) {
            public void convertCode(DexMethodNode methodNode, MethodVisitor mv) {
                if (methodNode.method.getOwner().equals(Dex2jar.this.applicationName) && methodNode.method.getName().equals("<clinit>")) {
                    Dex2jar.this.isApplicationClassFounded = true;
                    mv.visitMethodInsn(184, XPOSED_ENTRY_CLASS_NAME, "initXpose", "()V", false);
                }

                if ((readerConfig & DexFileReader.SKIP_CODE) != 0 && methodNode.method.getName().equals("<clinit>")) {
                    // also skip clinit
                    return;
                }
                super.convertCode(methodNode, mv);
            }

            @Override
            public void addMethod(DexClassNode classNode, ClassVisitor cv) {
                if (classNode.className.equals(Dex2jar.this.applicationName)) {
                    Dex2jar.this.isApplicationClassFounded = true;
                    boolean hasFoundClinitMethod = false;
                    if (classNode.methods != null) {
                        Iterator var4 = classNode.methods.iterator();

                        while(var4.hasNext()) {
                            DexMethodNode methodNode = (DexMethodNode)var4.next();
                            if (methodNode.method.getName().equals("<clinit>")) {
                                hasFoundClinitMethod = true;
                                break;
                            }
                        }
                    }

                    if (!hasFoundClinitMethod) {
                        MethodVisitor mv = cv.visitMethod(8, "<clinit>", "()V", (String)null, (String[])null);
                        mv.visitCode();
                        mv.visitMethodInsn(184, XPOSED_ENTRY_CLASS_NAME, "initXpose", "()V", false);
                        mv.visitInsn(177);
                        mv.visitMaxs(0, 0);
                        mv.visitEnd();
                    }
                }

            }

           ...............
            @Override
            public void ir2j(IrMethod irMethod, MethodVisitor mv) {
                new IR2JConverter(0 != (V3.OPTIMIZE_SYNCHRONIZED & v3Config)).convert(irMethod, mv);
            }
        }.convertDex(fileNode, cvf);

    }
    
复制代码

这样我们就完成了代码的植入,这是第一种方式,通过dex2jar工程完成对dex文件代码的植入。但是这个仅仅可以在macos或者windows上操作。这个jar移植到Android设备上是无法运行的,会报错。之后观察无极代码及xpatch提供的apk,看看他们怎么在Android设备上对dex文件修改的,反编译并没有得到结果。但是功夫不负有心人,无意阅读到一篇技术文章,才有了这个灵感,也就是接下来的第二种修改dex文件的方法

第二种也通过修改smali代码完成代码植入的。这个也是我在不停的寻找发现的方法。

smali github

首先我们可以看到这个仓库中有这么一个项目dexlib2,也就是这个项目让我完成了在Android设备上修改dex源码的功能。首先带大家看一下这个类

smali

可以发现这个名字很有意思dexrewrite,我在反编译无极的代码的时候也发现了这个类,但是被混淆根本无法下手。同样可以理解为这是个修改dex类方法的实现体。虽然这个类不论是看起来还是听起来都是个关键。但是并非我们所想。网上有很多关于这个的方法。使用说明。


public void modifyDexFile(String filePath){
        DexRewriter dexRewriter = new DexRewriter(new RewriterModule(){
            @Nonnull
            @Override
            public Rewriter<Method> getMethodRewriter(@Nonnull Rewriters rewriters) {
                return new MethodRewriter(rewriters){
                    @Nonnull
                    @Override
                    public Method rewrite(@Nonnull Method value) {
                        ......添加植入操作......
                        return super.rewrite(value);
                    }
                };
            }

            @Nonnull
            @Override
            public Rewriter<ClassDef> getClassDefRewriter(@Nonnull Rewriters rewriters) {
                return new ClassDefRewriter(rewriters){
                    @Nonnull
                    @Override
                    public ClassDef rewrite(@Nonnull ClassDef classDef) {
                        ......添加植入操作......
                        return super.rewrite(classDef);
                    }
                };
            }
        });
        dexRewriter.rewriteDexFile(DexFileFactory.loadDexFile(filePath,Opcodes.getDefault()));
    }

复制代码

这个看起来很完美。但是我用起来并没有卵用。接下来继续说

屏幕快照 2020-01-21 下午2.50.41.png
)

这个才是关键,我们通过DexBackedDexFile加载dex 文件然后,获取他里面的ClassDef集合,然后我们再wrapper一个ClassDef的子类,通过编写smali代码植入到子类中,添加method 或者添加具体代码都是可以的,替换ClassDef,把这个wrapper的类覆盖原有的类。之后把dclassdef文件流重新读入dexfile 达到dex 文件的修改。

public static void main(String[] args) {
        DexRewriter dexRewriter = new DexRewriter(new RewriterModule() {
            @Nonnull
            @Override
            public Rewriter<Field> getFieldRewriter(@Nonnull Rewriters rewriters) {
                System.out.println(rewriters);
                return new FieldRewriter(rewriters) {
                    @Nonnull
                    @Override
                    public Field rewrite(@Nonnull Field field) {
                        System.out.println(field.getName());
                        return super.rewrite(field);
                    }
                };
            }

            @Nonnull
            @Override
            public Rewriter<Method> getMethodRewriter(@Nonnull Rewriters rewriters) {
                return new MethodRewriter(rewriters) {
                    @Nonnull
                    @Override
                    public Method rewrite(@Nonnull Method value) {
                        System.out.println(value.getName());
                        if (value.getName().equals("onCreate")) {
                            System.out.println("onCreate");
                            return value;
                        }
                        return value;
                    }
                };
            }
        });


        try {
            DexBackedDexFile rewrittenDexFile = DexFileFactory.loadDexFile(new File("/Users/cuieney/Downloads/classes.dex"), Opcodes.getDefault());
            dexRewriter.rewriteDexFile(rewrittenDexFile);

            DexPool dexPool = new DexPool(rewrittenDexFile.getOpcodes());
            Set<? extends DexBackedClassDef> classes = rewrittenDexFile.getClasses();
            for (ClassDef classDef : classes) {
                if (classDef.getSuperclass().equals("Landroid/app/Application;")) {
                    System.out.println(classDef.getType());
                    for (Method method : classDef.getVirtualMethods()) {
                        System.out.println("---------virtual method----------");
                        System.out.println(method.getName());
                        System.out.println(method.getParameters());

                        if (method.getName().equals("onCreate")) {
                            for (Instruction instruction : method.getImplementation().getInstructions()) {
                                System.out.println(instruction);
                            }


                            System.out.println("初始化代码onCreate");
                            ClassDefWrapper classDefWrapper;
                            classDefWrapper = new ClassDefWrapper(classDef);

                            Method onCreateMethodInjected = buildOnCreateMethod( method);
                            classDefWrapper.replaceVirtualMethod(onCreateMethodInjected);
                            classDef = classDefWrapper;
                        }
                        System.out.println("---------virtual method end----------");
                    }


                    for (Method directMethod : classDef.getDirectMethods()) {
                        System.out.println("---------Direct method----------");
                        System.out.println(directMethod.getName());
                        System.out.println(directMethod.getParameters());
                        if (directMethod.getName().equals("<clinit>")) {
                            System.out.println("初始化代码<clinit>");
                            ClassDefWrapper classDefWrapper;
                            classDefWrapper = new ClassDefWrapper(classDef);

                            Method onCreateMethodInjected = buildOnCreateMethod( directMethod);
                            classDefWrapper.replaceDirectMethod(onCreateMethodInjected);
                            classDef = classDefWrapper;
                        }

                        System.out.println("---------Direct method end----------");
                    }


                }
                dexPool.internClass(classDef);
            }
            String dexfilepath = "/Users/cuieney/Downloads/";
            String outStream = "/Users/cuieney/Downloads/test.dex";

            FileOutputStream outputStream = new FileOutputStream(outStream);
            File tempFile = new File(dexfilepath, "targeet.dex");
            dexPool.writeTo(new FileDataStore(tempFile));
            // 再从文件里读取出来
            FileInputStream fileInputStream = new FileInputStream(tempFile);
            byte[] fileData = new byte[512 * 1024];
            int readSize;
            while ((readSize = fileInputStream.read(fileData)) > 0) {
                outputStream.write(fileData, 0, readSize);
            }
            fileInputStream.close();
            // 删除临时文件
            tempFile.delete();

        } catch (IOException e) {
            e.printStackTrace();
        }
    }
复制代码

如果想在电脑上操作修改App dex file 可以通过第一种方式修改,如果想在设备上则可以通过第二种方式,但也不排除可能有第三种方式甚至第四种。以上的描述即可完成dex file的修改。

如何二次签名Apk

万事俱备只欠东风,那么如何给我们的这个Apk进行二次签名呢。把原有解压的文件夹,删除META-INF文件夹中的签名文件,进行二次压缩。然后我们用我们自己的签名文件就可以对他进行签名安装。有两种方式可以用:

  1. 在我们电脑环境的java包里面也有这个签名工具jarsigner,网上有很多关于如何签名的这里我也就不多说了。
  2. 在我们的Android设备上可以通过zip-signer的App进行签名。

总结

至此,如果你已经了解了以上步骤,且完成了编码,恭喜你你完成了一个大项目。且可以和大佬媲美。

2019依旧美丽

2020展望未来

感谢大家的开源精神值得尊敬

之后会补上具体功能相关Apk

参考项目

dex2jar github.com/pxb1988/dex…

smali github.com/JesusFreke/…

微信抢红包 github.com/firesunCN/W…

Xpatch github.com/WindySha/Xp…

XposedBridge github.com/rovo89/Xpos…

太极 github.com/taichi-fram…

SandHook(xpose兼容Android7.0-10.0) github.com/ganyao114/S…

关注下面的标签,发现更多相似文章
评论