史上最全面 Android逆向培訓之__Xposed使用

剛招來個Android,幹了半個月辭職了,他走之後,成堆的bug被測了出來,都是這個新人代碼都沒看懂就開始改的一塌糊塗,還給提交了。
實在是讓人頭疼,清理了一個月多月才把他半個月寫的bug清理個差不多。實在是得不償失。
有了這個前車之鑑,不得不重視新人的崗前培訓,畢竟面試找個來了就能上手的實在是太難了。

《寫給新手入職的培訓資料》-- by 齊浩 2019/5/20 15:28

推薦:如果經濟允許,想學到完整的逆向知識,可以加入星球,如果老婆管的嚴,一個月拿不出一百塊的零花錢就算了……

根據自身情況量力而爲,衡量目前的收入,如果覺得投資自己有點奢侈,那應該和這個星球裏的人不是一個圈子……真的要考慮好了,這麼大一筆錢能買好幾包煙呢……

贈送源碼:https://github.com/yugu88/MagicWX

《最完整的Android逆向知識體系》


教程目錄:
第一章:Android JAVA 逆向基礎
課時1 :Android環境配置與常用工具介紹  
課時2 :調試方法及Smali文件結構
課時3 :新版本調試方法及Smali函數文件修改
實驗3 新版本調試方法及Smali函數文件修改 
課時4 :JD-Gui進行代碼快速閱讀分析
課時5 :實戰演練如何去去除應用中的廣告
課時6 :分析神器JEB使用方法
課時7 :常用Android快速定位關鍵點方法介紹
實驗7 常用Android快速定位關鍵點方法介紹 
課時8 :從0開始打造自己的破解代碼庫

第二章:Android Hook 插件開發
課時1 :Android 結構基礎講解
課時2 :快速Hook代碼搭建之 Cydia Substrate
課時3 :快速Hook代碼搭建之 Xposed

第三章:階段考覈
課時1 :階段考覈
實驗1 階段考覈 

第四章:Android 系統編譯
課時1 :安裝部署Android源碼編譯環境
課時2 :Android源碼目錄結構與修改引導
課時3 :Android源碼修改與刷機介紹
課時4 :Android Jni 編程

第五章:Android arm native 逆向
課時1 :arm 彙編代碼講解1
課時2 :arm 彙編代碼講解2
課時3 :arm 彙編代碼講解3
課時4 :arm 彙編代碼講解4
課時5 :arm 彙編代碼講解5

第六章:Android 應用初步編程保護
課時1 :class.dex文件格式講解
課時2 :Android 動態代碼自修改原理
課時3 :Android 動態代碼自修改實現1
課時4 :Android 動態代碼自修改實現2

第七章:Android 應用脫殼
課時1 :Android脫殼中的思路,技巧
課時2 :elf結構詳解:動態運行庫so文件的文件組成結構
課時3 :elf結構詳解:加載so文件的流程
課時4 :elf文件變形與保護
課時5 :elf文件修複分析
課時6 :so加殼文件修復
課時7 :常用調試檢測方法與過檢測方法
課時8 :Android源碼定製添加反反調試機制
課時9 :Android dvm 脫殼2
課時10 :Android dvm 脫殼3
課時11 alvik dex處理分析
課時12 :IDA脫殼腳本編寫
課時13 :Odex修復方法
課時14 :IDAOdex修復腳本編寫

第八章:Android 應用保護
課時1 :Android 加殼原理
課時2 :Android 加殼保護工具編寫1
課時3 :Android 加殼保護工具編寫2
課時4 :Android 加殼保護工具編寫3

第九章:Android 應用hook
課時1 : hook原理
課時2 : root環境進行hook
課時3 : ASP代碼注入式寫法
課時4 : Android 免root進行hook

第十章:Android 虛擬機技術
課時1 : 虛擬機原理,多開原理講解。
課時2 : apk內部寫一個虛擬機,在apk內安裝apk
課時3 : 虛擬機適配各種手機
課時4 : 自己動手開發最簡單的虛擬機代碼

逆向課程是我在公司內部培訓新人時講過的一些東西,內容tai多太繁瑣,如果有同學喜歡學習這塊內容,可以一起來學習……


官網地址: http://repo.xposed.info/
源碼地址: https://github.com/rovo89

Xposed,Xposed的C++ 部分,主要是用來替換/system/bin/app_process,併爲XposedBridge提供JNI方法
XposedBridge,Xposed 提供的jar文件,app_process啓動過程中會加載該jar包,其他的Modules的開發都是基於該jar包
XposedInstaller,Xposed的安裝包,提供對基於Xposed框架的Modules的管理

一、Xposed 安裝

    首先,需要有一個可 ROOT 的 android 手機。
    在 ROOT 的時候,需要對手機進行解鎖。玩過ROOT的都知道。
    注:如果你實在不知道怎麼刷機,請直接找 比如:http://www.7to.cn/  ROOT市場走一圈就明白了。

  Xposed 有幾種安裝方式:
    1. 通過官網下載    http://repo.xposed.info/module/de.robv.android.xposed.installer
    2. ROOT 過的手機,一把都自帶有 Xposed ,並且是激活版(我的是小米 5S )
    3. 經過 Root 的手機應用市場也可以搜索到,直接搜索安裝即可。但記得給 Xposed 給與 root 權限;
        截止目前,Xposed 是需要 root 全部權限的。
        另外,再附上一份安裝方法(https://www.cnblogs.com/QUSIR/p/6912032.html)
        如果你安裝完成後,重啓開機xposed頁面時綠色的,那恭喜你。Xposed 框架安裝成功!

二、Xposed 倉庫插件
    在 Xposed 主界面的左上角點擊,我們可以看到(我的版本爲: version89),
    在這裏簡單介紹一下各個菜單的用途:

    框架:爲 Xposed 主界面;
    模塊:主要是你自己開發的或從 Xposed 倉庫
        (倉庫地址:http://repo.xposed.info/module-overview)中,下載安裝的模塊。
        自己開發的模塊也可以在這個位置中找到。注:稍後文章會重點介紹模塊的開發流程。
    下載:這裏主要是與 Xposed 倉庫地址打通的,倉庫中提供了一下可下載安裝的開源 Xposed 模塊。
        其中有一些比較常用的有:Alipay InstallB 支付寶裝X模塊、抖音插件等!
    日誌:主要爲我們自己開發的模塊在代碼中打印的日誌都會出現在這裏。
        日誌很重要,方便我們調試和查看信息的關鍵入口,你也可以通過 Log.d 的方式來調試!
    設置:主要是針對 Xposed 的簡單配置。
        重點設置對象爲“禁用資源鉤子”。在不影響使用的情況下,建議不要禁用!
    支持和關於:略過。

三、模塊安裝
    這裏以 抖音插件 爲例,說明安裝方法。
    首先,進入到下載中,在搜索欄中輸入“抖音插件”。
    點擊進入後。首先看到的是描述 Tab,
    同時還可以看到源碼和模塊倉庫的地址信息。
    如果要安裝,直接跳到 “版本” Tab 中,下載穩定版進行安裝,安裝成功後。
    需要切換到 “模塊” 菜單欄,並勾選自己剛纔新安裝的模塊。
    接下來重啓手機,已使的插件生效並被 Xposed 框架加載!
    接下來就可以正常使用該插件了。
    切記,每次安裝模塊後,都需要先激活並且重啓手機才能正常使用!


開發環境搭建:

1、導入包:
compileOnly 'de.robv.android.xposed:api:82'
compileOnly 'de.robv.android.xposed:api:82:sources'//源碼
2、AndroidManifest.xml中加入如下配置
 <application
    ……略
    >
        <meta-data
            android:name="xposedmodule"
            android:value="true" />
        <meta-data
            android:name="xposeddescription"
            android:value="微信中控" />
        <meta-data
            android:name="xposedminversion"
            android:value="30" />
    </application>
    xposedmodule:value爲true,表示自己是一個xposed模塊
    xposeddescription:value中的文字就是對模塊的描述,這些能夠在手機上的Xposed框架中看到,舉個栗子
    xposedminversion:xposed最低版本,這些應該都是向下兼容的吧?所以直接填最低版本好了

3、標記入口
    在assets中new一個file,文件名爲xposed_init(文件類型選text),
    並在其中寫上入口類的完整路徑(下面是舉例類路徑,你們填自己的 如:com.longji.XposedHookUtil)

    這樣,xposed框架就能夠讀取 xposed_init 中的信息來找到模塊的入口

注意事項:

    請確保禁用Instant Run(File -> Settings -> Build, Execution, Deployment -> Instant Run),
    否則你的類不會直接包含在APK中,導致HOOK失敗!!!

    以上是來自官方的警告,一定要注意,死活hook不了,日誌也輸出不了,就是因爲這個!!!
    如果你不這樣做,你會驚喜地發現xposed日誌反覆給你拋出類似這樣一個錯誤:
        xposed didn't find class on dexpathlist:……(省略一長串)
    而這個錯誤是你百度到死(google也沒用)也不一定查的到解決方案的(這個故事提醒我們要仔細閱讀官方文檔)

在GitHub隨便找個demo,打包運行Run成功後……

    可以發現,打開xposed在模塊裏出現了我們的模塊,勾選並且重啓手機
    到此,你就算是入坑xposed了。

    當然,上面的例程比較簡單,實際的項目要複雜得多,自己可以到github找些開源項目學習。

    不懂的地方多多參照官方API文檔:
    http://api.xposed.info/reference/packages.html
    https://github.com/rovo89/XposedBridge/wiki/Development-tutorial

常用hook方法舉例


/**
     *  hook res資源和Java類需要實現如下兩個不同的接口
     *  IXposedHookLoadPackage, IXposedHookInitPackageResources
     *
     * @author longji
     * @date on 2019/5/4 15:28
     */

    public class XposedHookUtil implements IXposedHookLoadPackage, IXposedHookInitPackageResources {
        String class_name = "com.longji.xposdedemo.MainActivity";
        private Context context;
        private String pkgName;
        private String processName;
        private String versionName;

        // 開機時開始hook
        @Override
        public void handleLoadPackage(final XC_LoadPackage.LoadPackageParam lpparam) throws Throwable {
            pkgName = lpparam.packageName;
            processName = lpparam.processName;

            //hook 微信進程
            if (processName.equals("com.tencent.mm")) {
                Log.e("肉雞信息2", "微信");
            }

            //獲取當前上下文
            context = (Context) XposedHelpers.callMethod(
                    XposedHelpers.callStaticMethod(
                            XposedHelpers.findClass("android.app.ActivityThread", null),
                            "currentActivityThread",
                            new Object[0]),
                    "getSystemContext",
                    new Object[0]);

            //獲取版本號
            versionName = context.getPackageManager().getPackageInfo(pkgName, 0).versionName;
            Log.e("肉雞信息1", "pkgName:" + pkgName + ",processName=" + processName + ",versionName=" + versionName);

            // 舉例如下
            if (processName.equals("com.longji.xposdedemo")) {
                //不能通過Class.forName()來獲取Class ,在跨應用時會失效
                Class clazz = lpparam.classLoader.loadClass(class_name);

                // hook具體方法
                XposedHelpers.findAndHookMethod(clazz, "getTTAd", new XC_MethodReplacement() {
                    @Override
                    protected Object replaceHookedMethod(MethodHookParam methodHookParam) throws Throwable {
                        Log.e("肉雞信息2", "pkgName:" + pkgName + ",processName=" + processName + ",versionName=" + versionName);
                        return "廣告被攔截了";
                    }
                });
            }

            if (processName.equals("com.youku.phone")) {
                Log.e("肉雞信息2", "優酷");
            }

            XposedHelpers.findAndHookMethod(
                    "android.widget.ListView",
                    lpparam.classLoader,
                    "setAdapter",
                    Class.forName("android.widget.ListAdapter"),
                    new XC_MethodHook() {
                        @Override
                        protected void afterHookedMethod(MethodHookParam param) throws Throwable {
                            super.afterHookedMethod(param);
                            if (param.thisObject instanceof ListView) {
                                XposedBridge.log(param.args[0].toString());
                            }
                        }
                    });

        }

        // 在資源佈局初始化時進行hook
        @Override
        public void handleInitPackageResources(XC_InitPackageResources.InitPackageResourcesParam resparam) throws Throwable {
            Log.e("肉雞信息22", "PackageResources");
            resparam.res.hookLayout(resparam.packageName, "layout", "activity_main", new XC_LayoutInflated() {
                @Override
                public void handleLayoutInflated(LayoutInflatedParam liparam) throws Throwable {
                    Log.e("肉雞信息22", "PackageResources");
                }
            });
            resparam.res.hookLayout(resparam.packageName, "layout", "view_demo", new XC_LayoutInflated() {
                @Override
                public void handleLayoutInflated(LayoutInflatedParam liparam) throws Throwable {
                    XposedBridge.log("hook view_demo");
                }
            });
        }
    }

 

贈送源碼:https://github.com/yugu88/MagicWX

《最完整的Android逆向知識體系》


接下來以hook微信官網最新版本7.0.6版本爲例。可以去微信官網下載。

首先咱們解開微信的源碼,使用jadx看一下,微信其實是一個超級龐大的工程。

咱們就hook頂部的加號和搜索?。(本教程只供學習xposed使用,不可作爲商用。否則後果自負。)

《寫給新手入職的培訓資料》-- by 齊浩  2019/8/13 19:29

我們先找到 com.tencent.mm.ui.LauncherUI 類裏的 onCreateOptionsMenu 方法。
仔細分析代碼


方法內部看清楚了吧……接下來咱們就hook這個方法。

XposedHelpers.findAndHookMethod("com.tencent.mm.ui.LauncherUI", mClassLoader, "onCreateOptionsMenu", Menu.class, new XC_MethodHook() {
            @Override
            protected void afterHookedMethod(final MethodHookParam methodHookParam) throws Throwable {
                super.afterHookedMethod(methodHookParam);
                Log.i("Hook", "====com.tencent.mm.ui.LauncherUI onCreateOptionsMenu====");
                
                Object objectField =XposedHelpers.getObjectField(methodHookParam.thisObject, WxConstant.GETCLASS_LAUNCHERUI_FIELD_XPU);
                View zIg = (View) XposedHelpers.getObjectField(objectField, "zIg");
                View zEs = (View) XposedHelpers.getObjectField(objectField, "zEs");
                Log.d("是否爲空 = " + zIg + ", zEs= " + zEs);
                zIg.setOnClickListener(v -> {
                        /** 這個是當前Activity的上下文 */
                        Context context = (Context) methodHookParam.thisObject;
                        Log.i("Hook", "正在初始化...");
                        Toast.makeText(context, "正在初始化請等待......", Toast.LENGTH_SHORT).show();
                 });
                 zEs.setOnClickListener(v->Log.d("hook","我是搜索按鈕 ?"));
            }
        });

hook就必須使用 ClassLoader,類加載機制,用反射的思想去理解它就好了……很簡單。

public class XhookEntry implements IXposedHookLoadPackage {
 
    /**
     * hook攔截入口
     * @param loadPackageParam
     */
    @Override
    public void handleLoadPackage(final XC_LoadPackage.LoadPackageParam loadPackageParam) {
 
       try {
            final String pkgName = loadPackageParam.packageName;
            //hook 微信進程
            if (loadPackageParam.processName.equals("com.tencent.mm")) {
                ClassLoader classLoader = loadPackageParam.classLoader;
                // 有了classLoader,接下來就可以做其他的hook操作了
 
               //…………
            }
        } catch (Exception e) {
            e.printStackTrace();
        }
}

最後記住一句話,凡是hook,必須 try……catch……
今天牛刀小試了一下,多練習,多看別人的源碼,xposed沒啥難度……有問題可以私聊我……

贈送源碼:https://github.com/yugu88/MagicWX

《最完整的Android逆向知識體系》

一個簡單的工具箱,新手還是很友好的,當然功能 low 了點……大部分小工具都有,需要的可以跟我要鏈接。


 
————————————————
版權聲明:本文爲CSDN博主「hao_qi」的原創文章,遵循 CC 4.0 BY-SA 版權協議,轉載請附上原文出處鏈接及本聲明。
原文鏈接:https://blog.csdn.net/gfg156196/article/details/99462923

發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章