android程序员hook技术之入门篇

2,629 阅读9分钟

作者:周周

转载请声明出处!

引子

Hook技术在android开发领域算是一项黑科技,那么一个新的概念进入视线,我们最关心的3个问题就是,它是什么,有什么用,怎么用

本系列将由浅入深 手把手讲解这三大问题

本文是第一篇, 入门篇

正文大纲

一. hook的定义
二. 实用价值
三. 前置技能
四. Hook通用思路
五. 案例实战
六. 效果展示

Demo地址

github.com/18598925736…

正文

一. hook的定义

hook,钩子。勾住系统的程序逻辑。在某段 SDK源码逻辑执行的过程中,通过代码手段拦截执行该逻辑,加入自己的代码逻辑。

二. 实用价值

hook是中级开发通往高级开发的必经之路。如果把谷歌比喻成 安卓的造物主,那么安卓SDK源码里面就包含了万事万物的本源。中级开发者,只在利用万事万物,浮于表层,而高级开发者能从本源上去改变万事万物,深入核心。

最有用的实用价值:hook是安卓面向切面(AOP)编程的基础,可以让我们在 不变更原有业务的前提下,插入 额外的逻辑. 这样,既保护了原有业务的完整性,又能让额外的代码逻辑不与原有业务产生耦合. (想象一下,让你在一个成熟的app上面给 每一个按钮添加埋点接口,不说一万个,就说 成百上千个控件让你埋点,让你写 一千次埋点调用,你是不是要崩溃, hook可以轻松实现)

学好了hook,就有希望成为高级工程师, 完成初中级无法完成的开发任务, 升职,加薪,出任CEO,迎娶白富美,走上人生巅峰,够不够实用?

三. 前置技能

  • java反射 熟练掌握类 Class,方法Method,成员Field的使用方法源码内部,很多类和方法都是 @hide的,外部直接无法访问,所以只能通过反射,去创建源码中的类,方法,或者成员.

  • 阅读安卓源码的能力 hook的切入点都在源码内部,不能阅读源码,不能理清源码逻辑,则不用谈 hook. 其实使用 androidStudio来阅读源码有个坑,,有时候会看到源码里面 "一片飘红",看似是有什么东西没有引用进来,其实是因为有部分源码没有对开发者开放,解决起来很麻烦, 所以,推荐从安卓官网下载整套源码,然后使用 SourceInsight 查看源码。如果不需要跳来跳去的话,直接用 安卓源码网站 一步到位

四. Hook通用思路

无论多么复杂的源码,我们想要干涉其中的一些执行流程,最终的 杀招只有一个: “偷梁换柱”. 而 “偷梁换柱”的思路,通常都是一个套路:

1. 根据需求确定 要hook的对象

2. 寻找要hook的对象的持有者,拿到要hook的对象 (持有:B类 的成员变量里有 一个是A的对象,那么B就是A的持有者,如下

 class B{  
 A a;   
}
class A{}

3. 定义“要hook的对象”的代理类,并且创建该类的对象

4. 使用上一步创建出来的对象,替换掉要hook的对象

上面的4个步骤可能还是有点抽象,那么,下面用一个案例,详细说明每一个步骤.

五. 案例实战

这是一个最简单的案例:我们自己的代码里面,给一个view设置了点击事件,现在要求在不改动这个点击事件的情况下,添加额外的点击事件逻辑

View v = findViewById(R.id.tv);

v.setOnClickListener(new  View.OnClickListener() {

@Override

public  void onClick(View v) {

Toast.makeText(MainActivity.this, "别点啦,再点我咬你了...", Toast.LENGTH_SHORT).show();

}

});

这是 view的点击事件, toast了一段话,现在要求,不允许改动这个 OnClickListener,要在 toast之前添加日志打印 Log.d(...).

乍一看,无从下手.看 hook如何解决.

按照上面的思路来:

第一步:根据需求确定 要hook的对象;我们的目的是在 OnClickListener中,插入自己的逻辑.所以,确定要 hook的,是 v.setOnClickListener()方法的实参。

第二步:寻找要hook的对象的持有者,拿到要hook的对象进入 v.setOnClickListener源码:发现我们创建的 OnClickListener对象被赋值给了getListenerInfo().mOnClickListener

public  void setOnClickListener(@Nullable  OnClickListener l) {
    
if (!isClickable()) {
   
setClickable(true);
}
getListenerInfo().mOnClickListener = l;

继续索引:getListenerInfo() 是个什么玩意?继续追查:

ListenerInfo getListenerInfo() {
if (mListenerInfo != null) {
return mListenerInfo;
}
mListenerInfo = new  ListenerInfo();
return mListenerInfo;
}

结果发现这个其实是一个 伪单例,一个View对象中只存在一个 ListenerInfo对象. 进入ListenerInfo内部:发现 OnClickListener对象 被ListenerInfo所持有.

static  class  ListenerInfo {
...
public  OnClickListener mOnClickListener;
...
}

到这里为止,完成第二步,找到了点击事件的实际持有者:ListenerInfo .

第三步:定义“要 hook的对象”的代理类,并且创建该类的对象我们要 hook的是View.OnClickListener对象,所以,创建一个类 实现 View.OnClickListener接口.

static  class  ProxyOnClickListener  implements  View.OnClickListener {
View.OnClickListener oriLis;
public  ProxyOnClickListener(View.OnClickListener oriLis) {
this.oriLis = oriLis;
}
@Override
public  void onClick(View v) {
Log.d("HookSetOnClickListener", "点击事件被hook到了");
if (oriLis != null) {
oriLis.onClick(v);
}
}
}

然后, new出它的对象待用。

ProxyOnClickListener proxyOnClickListener = new ProxyOnClickListener(onClickListenerInstance);

可以看到,这里传入了一个 View.OnClickListener对象,它存在的目的,是让我们可以有选择地使用到原先的点击事件逻辑。一般 hook,都会保留原有的源码逻辑. 另外提一句:当我们要创建的代理类,是被接口所约束的时候,比如现在,我们创建的 ProxyOnClickListenerimplementsView.OnClickListener,只实现了一个接口,则可以使用JDK提供的Proxy类来创建代理对象

Object proxyOnClickListener = Proxy.newProxyInstance(context.getClass().getClassLoader(),
new  Class[] >> {View.OnClickListener.class}, new  InvocationHandler() {
@Override
public  Object invoke(Object proxy, Method method, Object[] args) throws  Throwable {
Log.d("HookSetOnClickListener", "点击事件被hook到了");//加入自己的逻辑
return method.invoke(onClickListenerInstance, args);//执行被代理的对象的逻辑
}
});

这个 代理类并不是此次的重点,所以一笔带过. 到这里为止,第三步:定义“要hook的对象”的代理类,并且创建该类的对象 完成。

第四步:使用上一步创建出来的对象,替换掉要hook的对象,达成 偷梁换柱的最终目的. 利用反射,将我们创建的代理点击事件对象,传给这个view field.set(mListenerInfo,proxyOnClickListener);

这里,贴出最终代码:

/**

* hook的辅助类

* hook的动作放在这里

*/

public  class  HookSetOnClickListenerHelper {

/**

* hook的核心代码

* 这个方法的唯一目的:用自己的点击事件,替换掉 View原来的点击事件

*

* @param v hook的范围仅限于这个view

*/

public  static  void hook(Context context, final  View v) {//

try {

// 反射执行View类的getListenerInfo()方法,拿到v的mListenerInfo对象,这个对象就是点击事件的持有者

Method method = View.class.getDeclaredMethod("getListenerInfo");

method.setAccessible(true);//由于getListenerInfo()方法并不是public的,所以要加这个代码来保证访问权限

Object mListenerInfo = method.invoke(v);//这里拿到的就是mListenerInfo对象,也就是点击事件的持有者

//要从这里面拿到当前的点击事件对象

Class<?> listenerInfoClz = Class.forName("android.view.View$ListenerInfo");// 这是内部类的表示方法

Field field = listenerInfoClz.getDeclaredField("mOnClickListener");

final  View.OnClickListener onClickListenerInstance = (View.OnClickListener) field.get(mListenerInfo);//取得真实的mOnClickListener对象

//2\. 创建我们自己的点击事件代理类

//   方式1:自己创建代理类

//   ProxyOnClickListener proxyOnClickListener = new ProxyOnClickListener(onClickListenerInstance);

//   方式2:由于View.OnClickListener是一个接口,所以可以直接用动态代理模式

// Proxy.newProxyInstance的3个参数依次分别是:

// 本地的类加载器;

// 代理类的对象所继承的接口(用Class数组表示,支持多个接口)

// 代理类的实际逻辑,封装在new出来的InvocationHandler内

Object proxyOnClickListener = Proxy.newProxyInstance(context.getClass().getClassLoader(), new  Class[]{View.OnClickListener.class}, new  InvocationHandler() {

@Override

public  Object invoke(Object proxy, Method method, Object[] args) throws  Throwable {

Log.d("HookSetOnClickListener", "点击事件被hook到了");//加入自己的逻辑

return method.invoke(onClickListenerInstance, args);//执行被代理的对象的逻辑

}

});

//3\. 用我们自己的点击事件代理类,设置到"持有者"中

field.set(mListenerInfo, proxyOnClickListener);

//完成

} catch (Exception e) {

e.printStackTrace();

}

}

// 还真是这样,自定义代理类

static  class  ProxyOnClickListener  implements  View.OnClickListener {

View.OnClickListener oriLis;

public  ProxyOnClickListener(View.OnClickListener oriLis) {

this.oriLis = oriLis;

}

@Override

public  void onClick(View v) {

Log.d("HookSetOnClickListener", "点击事件被hook到了");

if (oriLis != null) {

oriLis.onClick(v);

}

}

}

}

这段代码阅读起来的可能难点:

  • Method,Class,Field的使用 > method.setAccessible(true);//由于 getListenerInfo()方法并不是 public的,所以要加这个代码来保证访问权限 field.set(mListenerInfo,proxyOnClickListener);//把一个 proxyOnClickListener对象,设置给 mListenerInfo对象的 field属性.

  • Proxy.newProxyInstance的使用 Proxy.newProxyInstance的3个参数依次分别是:本地的类加载器; 代理类的对象所继承的接口(用Class数组表示,支持多个接口) 代理类的实际逻辑,封装在new出来的 InvocationHandler内 到这里,最后一步,也完成了.

六. 效果展示

先给出Demo:GithubDemo当我点击这个 hello World

弹出一个 Toast,并且:在日志中可以看到

同时我并没有改动 setOnClickListener的代码,我只是在它的后面,加了一行 HookSetOnClickListenerHelper.hook(this,v);

  1. v.setOnClickListener(new View.OnClickListener() {

  2. @Override

  3. public void onClick(View v) {

  4. Toast.makeText(MainActivity.this, "别点啦,再点我咬你了...", Toast.LENGTH_SHORT).show();

  5. }

  6. });

  7. HookSetOnClickListenerHelper.hook(this, v);//这个hook的作用,是 用我们自己创建的点击事件代理对象,替换掉之前的点击事件。

ok,目的达成 v.setOnClickListener已经被 hook.

前方有坑,高能提示:我曾经尝试,是不是可以将上面两段代码换个顺序.结果证明,换了之后,hook就不管用了,原因是,hook方法的作用,是将v已有的点击事件,替换成我们代理的点击事件。所以,在v还没有点击事件的时候进行hook,是没用的

结语

Hook的水很深,这个只是一个入门级的案例,我写这个,目的是说明hook技术的套路,不管我们要hook源码的哪一段逻辑,都逃不过 hook通用思路 这“三板斧”,套路掌握了,就有能力学习更难的Hook技术.

Hook的学习,需要我们大量地阅读源码,要对SDK有较为深入的了解,再也不是浮于表面,只会对SDK的api进行调用,而是真正地干涉“造物主谷歌”的既定规则. 学习难度很大,但是收益也不小,高级开发和初中级开发的薪资差距巨大,职场竞争力也不可同日而语.

你的赞和关注是我继续创作的动力~