继上次的Cydia Substrate hook java层，这里我将去hook native层的代码，也即是C/C++代码。
我在网上找了很多资料，发现关于利用cydia hook native的文章没几篇，基本来来去去都是那几个大同小异的，都是介绍如何去hook dvm加载dex的，估计也就是同一文章而已，只是被互相“借鉴”了。
幸好，我的英语还行，google了一把，发现有个外国小哥写得还挺好的，于是，就“借鉴”了一下~
这里，我并不是hook dvm的内容，而是自己写的一个小程序里的一个函数。
So，首先我们需要利用NDK创建一个要被hook的目标程序。
这里，需要一定的NDK开发知识，即使不懂，下面也会举个小例子简单介绍下NDK的开发，by the way，开发环境是Android Studio。
创建目标程序
1. 新建一个带MainActivity的工程，在该类内，添加加载so库的static块，添加native修饰的函数，然后在onCreate中利用Toast弹窗，调用native 函数，例子如下
public class MainActivity extends Activity {
@Override
protected void onCreate(Bundle savedInstanceState) {
super.onCreate(savedInstanceState);
setContentView(R.layout.activity_main);
Toast.makeText(this, hello(), Toast.LENGTH_SHORT).show();
}
static{
System.loadLibrary("hello");
}
public static native String hello();
}#include <jni.h>
#include <stdlib.h>
extern "C"{
char* createHello(){
return "hello world";
}
jstring Java_com_samuelzhan_hello_MainActivity_hello
(JNIEnv *env, jobject obj, jstring str)
{
return env->NewStringUTF(createHello());
}
}注意，这里我用extern "C"将上面两个函数括起来，是因为我创建的是cpp文件，编译器用的是C++的，C++编译时，为了函数的重载而在编译后会改变函数名，会导致后面写的hook模块不能根据原来的名字找到函数的地址。下面会有详细解释，先跳过这里，继续下面的步骤。
3. 在jni文件夹下创建一个文件，命名为Android.mk，编写如下代码，与上面创建的cpp文件在同一目录下
LOCAL_PATH := $(call my-dir)
include $(CLEAR_VARS)
LOCAL_MODULE := hello
LOCAL_SRC_FILES := hello.cpp
LOCAL_LDLIBS = -llog
include $(BUILD_SHARED_LIBRARY)首先，在项目的gradle.properties文件的最下面添加一行代码
android.useDeprecatedNdk=truendk.dir=D\:\\android-ndk32-r10b-windows-x86\\android-ndk-r10b一是，在defaultConfig下，添加ndk配置（moduleName就是so库的名字）； 二是， 在android下，添加sourceSets（下一步ndk-build后会生成该路径），然后点击同步刷新
android {
compileSdkVersion 23
buildToolsVersion "23.0.3"
defaultConfig {
applicationId "com.samuelzhan.hello"
minSdkVersion 8
targetSdkVersion 23
versionCode 1
versionName "1.0"
ndk{
moduleName "hello"
abiFilters "armeabi", "armeabi-v7a", "x86"
}
}
sourceSets{
main{
jni.srcDirs = []
jniLibs.srcDirs = ['src/main/libs']
}
}
buildTypes {
release {
minifyEnabled false
proguardFiles getDefaultProguardFile('proguard-android.txt'), 'proguard-rules.pro'
}
}
}
dependencies {
compile fileTree(dir: 'libs', include: ['*.jar'])
testCompile 'junit:junit:4.12'
compile 'com.android.support:appcompat-v7:23.4.0'
}Alt+F12进入Android Studio的终端模式，cd命令到第二步创建的jni文件夹内，输入ndk-build APP_ABI="armeabi"，回车执行。（需要将ndk路径添加到环境变量）
接着，刷新工程结构，发现会在app/src/main下多出两个文件夹libs和obj，libs里就存放着so库。
6. APK打包，安装到手机上运行。
运行结果，通过本地调用，从C代码中返回字符串“hello world”，通过Toast弹出：
目标小程序已写好，那么接下来就是hook它了，将hello world的内容改变（在C代码里）。
下载安装Cydia Substrate框架
注意，手机需root，而且android系统在4.4以下
编写Cydia Substrate模块
这里我将编写一个模块去hook 上面小程序中的createHello函数，修改返回值。
和上面的小程序差不多，编写Substrate模块也是一个NDK开发的过程：
1. 创建一个没有Activity的空工程， 并添加Cydia Substrate SDK：
在app/src/main下创建jni文件夹，并加入三个文件（两个so库和一个头文件）：
2. 在jni文件夹下新建cpp文件，名字需双后缀，一定得带 .cy 后缀，如上面的 module.cy.cpp文件：
#include "substrate.h"
#include <android/log.h>
#define LOGD(...) __android_log_print(ANDROID_LOG_DEBUG, "zz", __VA_ARGS__)
//配置，这里是hook可运行程序（即NDK小程序）的写法，下面那个就是hook dvm的写法
MSConfig(MSFilterExecutable,"/system/bin/app_process")
//MSConfig(MSFilterLibrary, "libdvm.so");
//旧的函数地址，目的为了保留指向原来函数的入口，在新的函数执行
//完后，一般会再调用该函数，以确保程序的正常运行
char* (* hello)(void);
//新的函数，替代hook的函数，返回修改后的值
char* newHello(void)
{
//直接返回新的字符串
return "fuck the world";
//执行原函数，确保程序运行正常，但这里代码简单，可以直接返回字符串即可
//return hello();
}
//通过so库的绝对路径和函数名，找到其函数的映射地址
void* lookup_symbol(char* libraryname,char* symbolname)
{
//获取so库的句柄
void *handle = dlopen(libraryname, RTLD_GLOBAL | RTLD_NOW);
if (handle != NULL){
//根据so库句柄和符号名（即函数名）获取函数地址
void * symbol = dlsym(handle, symbolname);
if (symbol != NULL){
return symbol;
}else{
LOGD("dl error: %s", dlerror());
return NULL;
}
}else{
return NULL;
}
}
MSInitialize
{
//获取hook函数的地址,最好不要用下面MS提供的方法
void * symbol = lookup_symbol("/data/data/com.samuelzhan.hello/lib/libhello.so","createHello");
// MSImageRef image=MSGetImageByName("/data/data/com.samuelzhan.hello/lib/libhello.so");
// void *symbol=MSFindSymbol(image, "createHello");
//这里将旧函数的入口（参数一）指向hello(参数三），然后执行新函数（参数二）
MSHookFunction(symbol, (void*)&newHello, (void**)&hello);
} 3. 在jni文件夹下创建Android.mk文件，将substrate提供的两个so库也加进去一起编译：
LOCAL_PATH := $(call my-dir)
include $(CLEAR_VARS)
LOCAL_MODULE:= substrate-dvm
LOCAL_SRC_FILES := libsubstrate-dvm.so
include $(PREBUILT_SHARED_LIBRARY)
include $(CLEAR_VARS)
LOCAL_MODULE:= substrate
LOCAL_SRC_FILES := libsubstrate.so
include $(PREBUILT_SHARED_LIBRARY)
include $(CLEAR_VARS)
LOCAL_MODULE := module.cy #生成的模块名
LOCAL_SRC_FILES := module.cy.cpp #源文件名
LOCAL_LDLIBS = -llog
LOCAL_LDLIBS += -L$(LOCAL_PATH) -lsubstrate-dvm -lsubstrate
include $(BUILD_SHARED_LIBRARY)4. 配置三个文件，gradle.properties和local.properties的设置和上面编写目标程序一样，各添加一句代码即可， 至于build.gradle基本也一样，只不过moduleName改为 “module.cy”，以及加上几个库。
gradle.properties:
android.useDeprecatedNdk=truendk.dir=D\:\\android-ndk32-r10b-windows-x86\\android-ndk-r10bbuild.gradle:
android {
compileSdkVersion 23
buildToolsVersion "23.0.3"
defaultConfig {
applicationId "com.samuelzhan.cydiahookjni"
minSdkVersion 8
targetSdkVersion 23
versionCode 1
versionName "1.0"
ndk{
moduleName "module.cy"
ldLibs "substrate"
ldLibs "substrate-dvm"
ldLibs "log"
}
}
sourceSets{
main{
jni.srcDirs = []
jniLibs.srcDirs=['src/main/libs']
}
}
buildTypes {
release {
minifyEnabled false
proguardFiles getDefaultProguardFile('proguard-android.txt'), 'proguard-rules.pro'
}
}
}
dependencies {
compile fileTree(dir: 'libs', include: ['*.jar'])
testCompile 'junit:junit:4.12'
compile 'com.android.support:appcompat-v7:23.4.0'
}6. 配置AndroidManifest.xml文件，添加installLocation，hasCode， uses-permission:
<manifest xmlns:android="http://schemas.android.com/apk/res/android"
package="com.samuelzhan.cydiahookjni"
android:installLocation="internalOnly">
<uses-permission android:name="cydia.permission.SUBSTRATE"/>
<application android:hasCode="false">
</application>
</manifest>好了，这里看看重启后，是否能成功hook到createHello这个函数，并修改其返回内容呢？
到此，已经成功hook到native代码的函数并修改。下面将针对期间extern “C”的问题进行详细说明
-----------------------------------特殊问题补充----------------------------------
在上面的Hello小程序中（目标程序），在编写cpp文件时，有一个extern "C"的代码块，这个extern "C"就是告诉C++编译器用C的规范去编译这个代码块的内容。
那么，两者编译后的函数有什么区别呢？看看下面两幅图：
当 extern "C" 的范围包括 createHello函数时，ndk-build后，利用IDA PRO打开libhello.so库：
当 extern "C" 的范围不包括 createHello函数时，ndk-build后，利用IDA PRO打开libhello.so库：
实际上，C++为了实现函数重载，编译器会在编译后修改函数的名字，在原函数名字加上前缀和后缀，而C编译器则不会。
这就容易在cydia substrate模块中查找函数地址lookup_symbol调用 void* dlsym(void* handle, const char* symbolName)造成异常情况。
比如，extern “C” 没有包括createHello这个函数，那么我在 dlsym()函数中传入的函数名“createHello”就没有太大意义了，因为C++编译器已经修改过函数名，这会抛出“symbol not defined”的错误。
当然，你可以通过IDA PRO查看到修改过的函数名，将修改过的函数名传入到 dlsym()函数也是可以找到函数地址的。
由于许多公司对APP的安全性越来越重视，因此很多公司的核心业务处理模块一般会采用NDK开发，通过jni机制调用C代码来实现模块功能。这种用C/C++开发出来的代码反编译分析的难度远远大于java开发，因为C/C++反编译过来的汇编语言可读性很差，这给反编译人员带来很大的挑战。
然而对于我这种初入逆向分析的菜鸟来说，每次看到native修饰的方法都觉得心里有道坎，尽管如此，我还是想在里面搞些文章，希望能分析出点成果~