也许每个人出生的时候都以为这世界都是为他一个人而存在的，当他发现自己错的时候，他便开始长大
少走了弯路，也就错过了风景，无论如何，感谢经历
转移发布平台通知：将不再在CSDN博客发布新文章，敬请移步知识星球
感谢大家一直以来对我CSDN博客的关注和支持，但是我决定不再在这里发布新文章了。为了给大家提供更好的服务和更深入的交流，我开设了一个知识星球，内部将会提供更深入、更实用的技术文章，这些文章将更有价值，并且能够帮助你更好地解决实际问题。期待你加入我的知识星球，让我们一起成长和进步
Android安全付费专栏长期更新，本篇最新内容请前往：
0x01 前言
1.1 安卓操作系统架构
Android是一种基于Linux的自由及开放源代码的操作系统。而Android系统构架是安卓系统的体系结构，其系统架构和其操作系统一样，采用了分层的架构，共分为四层五部分，四层指的是从高到低分别是Android应用层，Android应用框架层，Android系统运行层和Linux内核层；五部分指的是Linux Kernel、Android Runtime、Libraries、Application Framework、Applications。
1.1.1 Linux Kernel
在所有层的最底下是 Linux，它提供了基本的系统功能，比如进程管理，内存管理，设备管理（如摄像头，键盘，显示器）。
1.1.2 Android Runtime
Android 运行时同时提供一系列核心的库来为 Android 应用程序开发者使用标准的 Java 语言来编写 Android 应用程序。Dalvik 虚拟机使得每一个 Android 应用程序运行在自己独立的虚拟机进程。Dalvik虚拟机可执行文件格式是.dex，dex格式是专为Dalvik设计的一种压缩格式，适合内存和处理器速度有限的系统。
1.1.3 Libraries
Android包含一个C/C++库的集合，供Android系统的各个组件使用。这些功能通过Android的应用程序框架（application framework）暴露给开发者。
1.1.4 Application Framework
通过提供开放的开发平台，Android使开发者能够编制极其丰富和新颖的应用程序。
1.1.5 Applications
应用框架层以 Java 类的形式为应用程序提供许多高级的服务。
1.2 安卓应用程序组件
应用程序组件是一个Android应用程序的基本构建块。在AndroidManifest.xml中描述了应用程序的每个组件，以及他们如何交互。
1.2.1 Android应用程序中四个主要组件
| 组件名 | 描述 |
|---|---|
| Activities | 描述UI，并且处理用户与机器屏幕的交互 |
| Services | 处理与应用程序关联的后台操作 |
| Broadcast Receivers | 处理Android操作系统和应用程序之间的通信 |
| Content Providers | 处理数据和数据库管理方面的问题 |
1.2.2 附加组件
| 组件名 | 描述 |
|---|---|
| Fragments | 代表活动中的一个行为或者一部分用户界面 |
| Views | 绘制在屏幕上的UI元素，包括按钮，列表等 |
| Layouts | 控制屏幕格式，展示视图外观的View的继承 |
| Intents | 组件间的消息连线 |
| Resources | 外部元素，例如字符串资源、常量资源及图片资源等 |
| Manifest | 应用程序的配置文件 |
1.3 什么是 Hook？
Hook 又叫“钩子”，它可以在事件传送的过程中截获并监控事件的传输，将自身的代码与系统方法进行融入
这样当这些方法被调用时，也就可以执行我们自己的代码，这也是面向切面编程的思想（AOP）
1.4 Hook 分类
1）根据Android开发模式，Native模式（C/C++）和Java模式（Java）区分，在Android平台上
- Java层级的Hook
- Native层级的Hook
2）根 Hook 对象与 Hook 后处理事件方式不同，Hook还分为：
- 消息Hook
- API Hook
3）针对Hook的不同进程上来说，还可分为：
- 全局Hook
- 单个进程Hook
1.5 Hook原理
Hook技术本质是函数调用，由于处于Linux用户状态，每个进程有自己独立的进程控件，所以必须先注入所要Hook的进程空间，修改其内存中进程代码，替换过程表的符号地址，通过ptrace函数附加进程，向远程进程注入so库，从而达到监控以及远程进程关键函数挂钩
Hook工作流程：
-
Android相关内核函数：
- ptrace函数：跟踪一个目标进程，结束跟踪一个目标进程，获取内存字节，像内存写入地址
- dlopen函数：以指定模式打开指定的动态链接库文件
- mmap函数：分配一段临时的内存来完成代码的存放
-
向目标进程注入代码总结后的步骤分为以下几步：
- 用ptrace函数attch上目标进程
- 发现装载共享库so函数
- 装载指定的.so
- 让目标进程的执行流程跳转到注入的代码执行
- 使用ptrace函数的detach释放目标集成
1.6 常见 Hook 框架
在Android开发中，有以下常见的一些Hook框架：
1）Xposed
Xposed 是国外大牛开发的一个工具，Xposed通过拦截安卓程序运行过程来达到修改程序行为的目的。不需要修改安卓源文件，而是通过分析程序运行来拦截并影响运行情况。具体需要把安卓apk逆向后然后分析代码，定位到具体的类，方法等，然后通过xposed来拦截修改方法等。
使用Xposed模块的两个条件：
- 手机必须root（Xposed需要往/system里写入东西）
- 安装Xposed Installer
通过替换 /system/bin/app_process 程序控制 Zygote 进程，使得 app_process 在启动过程中会加载 XposedBridge.jar 这个 Jar 包，从而完成对 Zygote 进程及其创建的 Dalvik 虚拟机的劫持。
Xposed 在开机的时候完成对所有的 Hook Function 的劫持，在原 Function 执行的前后加上自定义代码。
下载地址：
下面这个仅适用于 Android 4.0.3 至 Android 4.4 上的 root 访问
https://repo.xposed.info/module/de.robv.android.xposed.installer
对于 Android 5.0 或更高版本改用下面这个
https://forum.xda-developers.com/t/official-xposed-for-lollipop-marshmallow-nougat-oreo-v90-beta3-2018-01-29.3034811/
2）Cydia Substrate
Cydia Substrate是一个基于Hook的代码修改框架，其可以在Android、iOS平台使用，并实现修改系统默认代码
Cydia Substrate 框架为苹果用户提供了越狱相关的服务框架，当然也推出了 Android 版 。Cydia Substrate 是一个代码修改平台，它可以修改任何进程的代码。
不管是用 Java 还是 C/C++（native代码）编写的，而 Xposed 只支持 Hook app_process 中的 Java 函数。
下载地址：
http://www.cydiasubstrate.com
3）Legend
Legend 是 Android 免 Root 环境下的一个 Apk Hook 框架，该框架代码设计简洁，通用性高，适合逆向工程时一些 Hook 场景。大部分的功能都放到了 Java 层，这样的兼容性就非常好
原理是这样的，直接构造出新旧方法对应的虚拟机数据结构，然后替换信息写到内存中即可
下载地址：
https://github.com/asLody/legend
4）VirtualXposed
VirtualXposed 是基于VirtualApp 和 epic 在非ROOT环境下运行Xposed模块的实现（支持5.0~10.0)。
与 Xposed 相比，目前 VirtualXposed 有两个限制：
不支持修改系统（可以修改普通APP中对系统API的调用），因此重力工具箱，应用控制器等无法使用
暂不支持资源HOOK，因此资源钩子不会起任何作用；使用资源HOOK的模块，相应的功能不会生效
下载地址：
https://github.com/android-hacker/VirtualXposed
1.7 Hook 必须掌握的知识
-
反射
-
java 的动态代理
动态代理是指在运行时动态生成代理类，不需要我们像静态代理那个去手动写一个个的代理类。在 java 中，可使用 InvocationHandler 实现动态代理
1.8 Hook 选择的关键点
Hook 的选择点：尽量静态变量和单例，因为一旦创建对象，它们不容易变化，非常容易定位
Hook 过程：
- 寻找 Hook 点，原则是尽量静态变量或者单例对象，尽量 Hook public 的对象和方法
- 选择合适的代理方式，如果是接口可以用动态代理
- 偷梁换柱 —— 用代理对象替换原始对象
Android 的 API 版本比较多，方法和类可能不一样，所以要做好 API 的兼容工作
1.9 Xposed的一些类的介绍
- IXposedHookLoadPackage.java
加载回调接口，在xposed入口类继承，实现handleLoadPackage方法
IXposedHookLoadPackage接口。该接口提供了一个名为handleLoadPackage的方法，这个方法在Android系统每次加载一个包的时候都会被调用
| handleLoadPackage | 用于在加载应用程序的包的时候执行用户的操作 |
|---|---|
| LoadPackageParam loadPackageParam | 包含了加载的应用程序的一些基本信息 |
- IXposedHookInitPackageResources.java
加载回调接口，用于修改app的资源文件，在xposed入口类继承，实现handleInitPackageResources(InitPackageResourcesParam resparam)方法
| handleInitPackageResources | 用于在加载应用程序的包的时候执行用户的操作 |
|---|---|
| InitPackageResourcesParam resparam | 包含了加载的应用程序的一些资源基本信息 |
- XposedHelpers.java
一些辅助方法，简化连接和调用方法/构造函数,获取和设置字段
HOOK无参数的方法，XposedHelpers.findAndHookMethod()方法一般四个参数，分别为完整类名、ClassLoader对象、方法名以及一个回调接口
XposedHelpers.findAndHookMethod("com.example.demo.MortgageActivity", loadPackageParam.classLoader,
"showLoan", new XC_MethodHook() {
//……
});
HOOK有参数的方法，比如要传入两个int参数，则：
XposedHelpers.findAndHookMethod("com.example.demo.MortgageActivity", loadPackageParam.classLoader,
"showLoan", int.class, int.class, new XC_MethodHook() {
//……
});
PS：new XC_MethodHook()有两个重要的内部函数beforeHookedMethod()和afterHookedMethod()，通过重写它们可以实现对任意方法的挂钩，它们的区别在于Hook前调用还是后调用
beforeHookedMethod 该方法在hook目标方法执行前调用，
其中，参数param指的是目标方法的相关参数、回调、方法等信息
afterHookedMethod 该方法在hook目标方法执行后调用，
其中，参数param指的是目标方法的相关参数、回调、方法等信息。
Xposed运行多个模块对同一个方法进行hook时，
框架就会根据Xposed模块的优先级来排序
XposedBridge类中hookAllMethods和log方法主要用于一次hook每个类的所有方法或够造函数
hookAllMethods(
Class<?> hookClass,//需要进行hook的类
String methodName,//需要进行hook的方法名
XC_MethodHook callback//回调函数
)
XposedHookLoadPackage中的handleLoadPackage方法主要用于加载应用程序包时执行用户的操作。
| findAndHookMethod | hook一个类中的方法 |
|---|---|
| className | 要hook的方法的所在类 |
| classloader | 要hook的包的classLoader，一般都写loadPackageParam.classLoader |
| methodName | 要hook的方法 |
| parameterTypesAndCallback | 方法的参数和监听器 |
| callMethod | 在目标app中调用方法 |
|---|---|
| Object | 要调用方法的所在类 |
| methodName | 要调用的方法名称 |
| args | 方法的参数 |
| findClass | 获取class类实例 |
|---|---|
| className | 类名 |
| classLoader | 类加载器 |
- XposedBridge.java
| log | 在Xposed的app的日志功能里输出日志 |
|---|---|
| text | 要输出的内容 |
- XC_MethodHook中定义了回调方法
1.10 Android应用各部分说明
1.10.1 MainActivity.java文件
主要活动代码，实际的应用程序文件，将被转化为Dalvik可执行文件并运行。R.layout.activity_main引用res/layout/activity_main.xml文件。
onCreate() 活动被加载之后众多被调用的方法之一。
1.10.2 AndroidManifest.xml文件
AndroidManifest.xml文件是整个应用程序的信息描述文件，定义了应用程序中包含的Activity、Service、Content provider和BroadcastReceiver组件信息。每个应用程序在根目录下必须包含一个AndroidManifest.xml文件，且文件名不能修改。在AndroidManifest.xml文件中，首先看到是的<manifest>节点，它是整个应用程序的基本属性，涵盖了默认进程名字，应用程序标识，安装位置，对系统的要求以及应用程序的版本等。
- android:icon是普通图标
- android:roundIcon是圆形图标
- android:label属性指定应用的名称
- android:name属性指定一个Activity类子类的全名
意图过滤器的action被命名为android.intent.action.MAIN，表明这个活动被用做应用程序的入口。
意图过滤器的category被命名为android.intent.category.LAUNCHER，表明应用程序可以通过设备启动器的图标来启动。
@string指的是strings.xml，因此@string/app_name指的是定义在strings.xml中的app_name，这里实际为"HO22K"
1.10.3 activity_main.xml文件
activity_main.xml可能将频繁修改这个文件来改变应用程序的布局。
TextView是一个用于构建用户图形界面的Android控件。它包含有许多不同的属性，诸如android:layout_width，android:layout_height等用来设置它的宽度和高度等。这里我们给它显示一句话“橙留香的Hook”，引用自strings.xml文件
1.11 Android layout属性大全
activity_main.xml 编写时需要用到
1.11.1 第一类：属性值 true或者 false
| 属性 | 描述 |
|---|---|
| android:layout_centerHrizontal | 水平居中 |
| android:layout_centerVertical | 垂直居中 |
| android:layout_centerInparent | 相对于父元素完全居中 |
| android:layout_alignParentBottom | 贴紧父元素的下边缘 |
| android:layout_alignParentLeft | 贴紧父元素的左边缘 |
| android:layout_alignParentRight | 贴紧父元素的右边缘 |
| android:layout_alignParentTop | 贴紧父元素的上边缘 |
| android:layout_alignWithParentIfMissing | 如果对应的兄弟元素找不到的话就以父元素做参照物 |
| android:layout_alignParentStart | 紧贴父元素结束位置开始 |
| android:layout_alignParentEnd | 紧贴父元素结束位置结束 |
| android:animateLayoutChanges | 布局改变时是否有动画效果 |
| android:clipChildren | 定义子布局是否一定要在限定的区域内 |
| android:clipToPadding | 定义布局间是否有间距 |
| android:animationCache | 定义子布局也有动画效果 |
| android:alwaysDrawnWithCache | 定义子布局是否应用绘图的高速缓存 |
| android:addStatesFromChildren | 定义布局是否应用子布局的背景 |
| android:splitMotionEvents | 定义布局是否传递touch事件到子布局 |
| android:focusableInTouchMode | 定义是否可以通过touch获取到焦点 |
| android:isScrollContainer | 定义布局是否作为一个滚动容器 可以调整整个窗体 |
| android:fadeScrollbars | 滚动条自动隐藏 |
| android:fitsSystemWindows | 设置布局调整时是否考虑系统窗口(如状态栏) |
| android:visibility | 定义布局是否可见 |
| android:requiresFadingEdge | 定义滚动时边缘是否褪色 |
| android:clickable | 定义是否可点击 |
| android:longClickable | 定义是否可长点击 |
| android:saveEnabled | 设置是否在窗口冻结时（如旋转屏幕）保存View的数据 |
| android:filterTouchesWhenObscured | 所在窗口被其它可见窗口遮住时,是否过滤触摸事件 |
| android:keepScreenOn | 设置屏幕常亮 |
| android:duplicateParentState | 是否从父容器中获取绘图状态(光标,按下等) |
| android:soundEffectsEnabled | 点击或触摸是否有声音效果 |
| android:hapticFeedbackEnabled | 设置触感反馈 |
1.11.2 第二类：属性值必须为id的引用名“@id/id-name”
| 属性 | 描述 |
|---|---|
| android:layout_alignBaseline | 本元素的文本与父元素文本对齐 |
| android:layout_below | 在某元素的下方 |
| android:layout_above | 在某元素的的上方 |
| android:layout_toLeftOf | 在某元素的左边 |
| android:layout_toRightOf | 在某元素的右边 |
| android:layout_toStartOf | 本元素从某个元素开始 |
| android:layout_toEndOf | 本元素在某个元素结束 |
| android:layout_alignTop | 本元素的上边缘和某元素的的上边缘对齐 |
| android:layout_alignLeft | 本元素的左边缘和某元素的的左边缘对齐 |
| android:layout_alignBottom | 本元素的下边缘和某元素的的下边缘对齐 |
| android:layout_alignRight | 本元素的右边缘和某元素的的右边缘对齐 |
| android:layout_alignStart | 本元素与开始的父元素对齐 |
| android:layout_alignEnd | 本元素与结束的父元素对齐 |
| android:ignoreGravity | 指定元素不受重力的影响 |
| android:layoutAnimation | 定义布局显示时候的动画 |
| android:id | 为布局添加ID方便查找 |
| android:tag | 为布局添加tag方便查找与类似 |
| android:scrollbarThumbHorizontal | 设置水平滚动条的drawable |
| android:scrollbarThumbVertical | 设置垂直滚动条的drawable |
| android:scrollbarTrackHorizontal | 设置水平滚动条背景（轨迹）的色drawable |
| android:scrollbarTrackVertical | 设置垂直滚动条背景（轨迹）的色drawable |
| android:scrollbarAlwaysDrawHorizontalTrack | 设置水平滚动条是否含有轨道 |
| android:scrollbarAlwaysDrawVerticalTrack | 设置垂直滚动条是否含有轨道 |
| android:nextFocusLeft | 设置左边指定视图获得下一个焦点 |
| android:nextFocusRight | 设置右边指定视图获得下一个焦点 |
| android:nextFocusUp | 设置上边指定视图获得下一个焦点 |
| android:nextFocusDown | 设置下边指定视图获得下一个焦点 |
| android:nextFocusForward | 设置指定视图获得下一个焦点 |
| android:contentDescription | 说明 |
| android:OnClick | 点击时从上下文中调用指定的方法 |
1.11.3 第三类：属性值为具体的像素值，如30dip,40px,50dp
| 属性 | 描述 |
|---|---|
| android:layout_width | 定义本元素的宽度 |
| android:layout_height | 定义本元素的高度 |
| android:layout_margin | 本元素离上下左右间的距离 |
| android:layout_marginBottom | 离某元素底边缘的距离 |
| android:layout_marginLeft | 离某元素左边缘的距离 |
| android:layout_marginRight | 离某元素右边缘的距离 |
| android:layout_marginTop | 离某元素上边缘的距离 |
| android:layout_marginStart | 本元素里开始的位置的距离 |
| android:layout_marginEnd | 本元素里结束位置的距离 |
| android:scrollX | 水平初始滚动偏移 |
| android:scrollY | 垂直初始滚动偏移 |
| android:background | 本元素的背景 |
| android:padding | 指定布局与子布局的间距 |
| android:paddingLeft | 指定布局左边与子布局的间距 |
| android:paddingTop | 指定布局上边与子布局的间距 |
| android:paddingRight | 指定布局右边与子布局的间距 |
| android:paddingBottom | 指定布局下边与子布局的间距 |
| android:paddingStart | 指定布局左边与子布局的间距与android:paddingLeft相同 |
| android:paddingEnd | 指定布局右边与子布局的间距与android:paddingRight相同 |
| android:fadingEdgeLength | 设置边框渐变的长度 |
| android:minHeight | 最小高度 |
| android:minWidth | 最小宽度 |
| android:translation | X水平方向的移动距离 |
| android:translation | Y垂直方向的移动距离 |
| android:transformPivot | X相对于一点的水平方向偏转量 |
| android:transformPivot | Y相对于一点的垂直方向偏转量 |
1.11.4 第四类：属性值为Android内置值
| 属性 | 描述 |
|---|---|
| android:gravity | 控件布局方式 |
| android:layout_gravity | 布局方式 |
| android:persistentDrawingCachehua | 定义绘图的高速缓存的持久性 |
| android:descendantFocusability | 控制子布局焦点获取方式 常用于listView的item中包含多个控件点击无效 |
| android:scrollbars | 设置滚动条的状态 |
| android:scrollbarStyle | 设置滚动条的样式 |
| android:fitsSystemWindows | 设置布局调整时是否考虑系统窗口(如状态栏) |
| android:scrollbarFadeDuration | 设置滚动条淡入淡出时间 |
| android:scrollbarDefaultDelayBeforeFade | 设置滚动条N毫秒后开始淡化，以毫秒为单位 |
| android:scrollbarSize | 设置滚动调大小 |
| android:fadingEdge | 设置拉滚动条时，边框渐变的放向 |
| android:drawingCacheQuality | 设置绘图时半透明质量 |
| android:OverScrollMode | 滑动到边界时样式 |
| android:alpha | 设置透明度 |
| android:rotation | 旋转度数 |
| android:rotation | X水平旋转度数 |
| android:rotation | Y垂直旋转度数 |
| android:scale | X设置X轴缩放 |
| android:scale | Y设置Y轴缩放 |
| android:verticalScrollbarPosition | 摄者垂直滚动条的位置 |
| android:layerType | 设定支持 |
| android:layoutDirection | 定义布局图纸的方向 |
| android:textDirection | 定义文字方向 |
| android:textAlignment | 文字对齐方式 |
| android:importantForAccessibility | 设置可达性的重要行 |
| android:labelFor | 添加标签 |
0x02 Xposed环境搭建
下载Xposed APK：
https://dl-xda.xposed.info/modules/de.robv.android.xposed.installer_v33_36570c.apk
打开刚刚安装好的Xposed
这里为了方便选择永久记住
安装Xposed可能会出现如下情况：
安装完毕后可能会出现未激活, 拉入JustTrustMe.apk, 然后重启模拟器就可以了
然后修改wifi的ip和端口
- 下载
xposed-x86_64.zip
下载xposed作者模拟器是x86_64的
https://github.com/youling257/XposedTools/files/1931996/xposed-x86_64.zip
如果模拟器是x86下载下面这个
https://dl-xda.xposed.info/framework/
- 下载
script.sh
找到安卓对应版本，作何雷电模拟器是7.1，搜索对应为安卓7.1 sdk
x86_64的下载这个：
https://forum.xda-developers.com/attachment.php?attachmentid=4489568&d=1525092710
x86的下载这个，script.txt：
https://forum.xda-developers.com/attachments/script-txt.4489568/，改名为script.sh
创建文件夹xposed，然后解压一下xposed压缩包，最后把xposed压缩包中的system文件夹和script.sh放入刚刚创建的xposed文件夹，最后的最后执行如下命令：
adb.exe remount
adb.exe push D:\test\xposed /system
adb.exe shell
cd /system
mount -o remount -w /system
chmod 777 script.sh
sh script.sh
0x03 Xposed原理分析
Xposed框架的原理是修改系统文件，替换了/system/bin/app_process可执行文件，在启动Zygote时加载额外的jar文件（/data/data/de.robv.android.xposed.installer/bin/XposedBridge.jar），并执行一些初始化操作(执行XposedBridge的main方法)。然后开发人员就可以在这个Zygote上下文中进行某些Hook操作。
在Android中，zygote是整个系统创建新进程的核心进程。zygote进程在内部会先启动Dalvik虚拟机，继而加载一些必要的系统资源和系统类，最后进入一种监听状态。
在之后的运作中，当其他系统模块（比如AMS）希望创建新进程时，只需向zygote进程发出请求，zygote进程监听到该请求后，会相应地fork出新的进程，于是这个新进程在初生之时，就先天具有了自己的Dalvik虚拟机以及系统资源。
zygote进程是由init进程启动起来，由init.rc 脚本中关于zygote的描述可知：zygote对应的可执行文件就是/system/bin/app_process，也就是说系统启动时会执行到这个可执行文件的main()函数里
Xposed 提供了几个接口类供xposed模块继承，不同的接口类对应不同的hook时机 IXposedHookZygoteInit zygote 初始化前就执行挂钩，即loadModule执行时就挂钩了 IXposedHookLoadPackage apk包加载的时候执行挂钩，先将挂钩函数保存起来，等加载apk函数执行后触发callback （这里的callback是xposed框架自己挂钩的函数），再执行模块注册的挂钩函数 IXposedHookInitPackageResources apk资源实例化时执行挂钩，同上
0x03 编写Xposed 模块
从本质上来讲，Xposed 模块也是一个 Android 程序。但与普通程序不同的是，想要让写出的Android程序成为一个Xposed 模块，要额外多完成以下四个硬性任务：
- 让手机上的xposed框架知道我们安装的这个程序是个xposed模块
- 模块里要包含有xposed的API的jar包，以实现下一步的hook操作
- 这个模块里面要有对目标程序进行hook操作的方法
- 要让手机上的xposed框架知道，我们编写的xposed模块中，哪一个方法是实现hook操作的
这就引出如下的四大件（与前四步一一对照）：
- AndroidManifest.xml
- XposedBridgeApi-xx.jar 与 build.gradle
- 实现hook操作的具体代码
- xposed_Init
PS：牢记以上四大件，按照顺序一个一个实现，就能完成Xposed模块编写
3.1 创建一个Android项目
官网下载地址：https://developer.android.com/studio?hl=zh-cn
傻瓜式一键点点安装，安装过程忽略不写，不懂的可百度自行搜索
首先打开AndroidStudio（以版本3.1为例），建立一个工程，提示我们选择“Activity”，那就选一个Empty Activity吧。（这个是模块的界面，随意选择即可）
新建完成后下载依赖时，可能会出现如下报错（是没有科学上网导致的，要么你科学上网，要么你把gradle版本下载到本地来安装
改为如下地址：
distributionUrl=file:///C:/Users/xxxxx/.gradle/wrapper/dists/gradle-7.2-bin.zip
然后又有可能发现gradle插件下载又出现问题，解决办法如下：
如上图，注释掉google()，新增如下maven：
//google()
maven {
url 'https://maven.aliyun.com/repository/google'}
maven {
url 'https://maven.aliyun.com/repository/jcenter'}
maven {
url 'https://maven.aliyun.com/repository/public'}
以及如下位置：
最后关闭Android Studio，再重新打开项目会自动加载，此时如果没有再有红色警示就代表OK了，然后直接编译一个Demo的APK（app/build/outputs/apk/debug目录下，可以看到app-debug.apk），看看是否能正常运行，如下图：
放到模拟器中，发现能正常安装并运行，如下图：
3.2 配置AndroidManifest.xml
为了让Xposed 识别出这是个Xposed模块，需要添加如下内容：
<!--告诉xposed框架这是一个xposed模块 -->
<meta-data
android:name="xposedmodule"
android:value="true"/>
<!--关于xposed模块的描述 -->
<meta-data
android:name="xposeddescription"
android:value="XposeHook例程"/>
<!--xposed模块支持的最低版本（以为54为例） -->
<meta-data
android:name="xposedminversion"
android:value="54"/>
修改文本内容为：橙留香的HooK
此时把编译好的APK丢进去，打开后，如下
PS：从上图已看出，Xposed框架已经认出了刚刚写的程序，但是现在这个模块什么都没有做，因为我们还没有做出修改
3.3 配置XposedBridgeApi-xx.jar与build.gradle
Xposed模块主要功能是用来Hook其他程序的各种函数。
- 接下来，如何让刚刚创建的那个Xposed“一穷二白”的模块增加一些其它的功能呢？
引入 XposedBridgeApi.jar包，可理解该包是一把兵器，Xposed模块有了这把绝世神器才能施展出Hook武功。
3.x以前，都需要手动下载诸如XposedBridgeApi的jar包，然后手工导入到libs目录里
- XposedBridgeApi-54下载
https://forum.xda-developers.com/attachment.php?s=5903ce1b3edb1032faba7292b21e1801&attachmentid=2748878&d=1400342298
PS：除了XposedBridgeApi-54，还有XposedBridgeApi-82.jar、XposedBridgeApi-87.jar、XposedBridgeApi-89.jar等版本
官网下载：https://bintray.com/rovo89/de.robv.android.xposed/api
在AndroidStudio 3.1里面，只需要一行代码，AndroidStuido就会自动配置XposedBridgeApi.jar
- 方法1：
Android Studio的依赖:
Xposed框架需要用到第三方库，在 app --> build-gradle 添加依赖（最后一行）
repositories {
// 告诉AndroidStuido使用jcenter作为代码仓库，
// 从这个仓库里远程寻找
// de.robv.android.xposed:api:82 这个API
// 但最新版的3.x版本已不推荐使用
jcenter();
}
dependencies {
provided 'de.robv.android.xposed:api:82'
}
注：
此处要用compileOnly这个修饰符，
网上有些写的是provide，
已经停用了
compileOnly 'de.robv.android.xposed:api:82'
compileOnly 'de.robv.android.xposed:api:82:sources'
修改完成后，build.gradle会提示文件已经修改，是否同步。点击 “sync now”，同步即可，如下：
3.4 实现hook操作修改
在MainActivity的同级路径下新建一个类“HO22K.java”，操作如下图：
代码如下：
package com.example.ho22k;
import de.robv.android.xposed.IXposedHookLoadPackage;
import de.robv.android.xposed.XposedBridge;
import de.robv.android.xposed.callbacks.XC_LoadPackage;
public class HO22K implements IXposedHookLoadPackage
{
/**
* xpose插件入口点
* @param lpparam
* @throws Throwable
*/
@Override
public void handleLoadPackage(XC_LoadPackage.LoadPackageParam loadPackageParam) throws Throwable {
// 获取加载的apk程序包名
XposedBridge.log("当前启动的应用程序是: " + loadPackageParam.packageName);
XposedBridge.log("Hook成功咯，宝们～_~!");
}
}
3.5 添加入口点xposed_Init
右键点击 “main” 文件夹 ， 选择new --> Folder -->Assets Folder，新建assets 文件夹：
然后右键点击 assets文件夹， new–> file，文件名为xposed_init（文件类型选text），并在其中写上入口类的完整路径（就是自己编写的那一个Hook类），这样， Xposed框架就能够从这个 xposed_init 读取信息来找到模块的入口，然后进行Hook操作了
xposed_init里写当前类的路径 如果存在多个类，那么每行写一个，多个写多行
编译APK，在如下路径：
PS：编译的时候需要关闭Android Studio的instant Run功能(不太清楚为什么要关闭，我没有关闭一样可以正常使用)，注意注意Android Studio 3.5往后的版本，Instant Run被HotSwap代替，如下图
安装apk，在Xposed模块中勾选插件，重启，此时插件已经可正常使用
观察日志，可通过Xposed框架内部日志模块或LogCat 查看
PS：Windows CMD查看日志可能是会有乱码，解决方法如下：
执行如下命令后，代码页就被变成UTF-8
chcp 65001
然后修改窗口属性，改变字体在命令行标题栏上点击右键，选择"属性"->“字体”，将字体修改为True Type字体"Lucida Console"，然后点击确定将属性应用到当前窗口
adb.exe shell
logcat
- 方法2：下载jar文件，存放至libs目录，其它细节自行百度了解
不是网上说的单独建立lib文件夹，那是很久以前的方法，然后右键“Add As Library” 自行添加这个jar包。而compileOnly 'de.robv.android.xposed:api:82'和compileOnly 'de.robv.android.xposed:api:82:sources'仍然照常添加
0x04 其它一些案例
4.1 按钮劫持Hook
实现一个APK，基础功能就是点击界面的按钮，就会弹出消息你未被劫持的消息，具体完整代码如下（test APK代码）：
- MainActivity：
import androidx.appcompat.app.AppCompatActivity;
import android.os.Bundle;
import android.view.View;
import android.widget.Button;
import android.widget.Toast;
public class MainActivity extends AppCompatActivity {
private Button button;
public void onCreate(Bundle savedInstanceState) {
super.onCreate(savedInstanceState);
setContentView(R.layout.activity_main);
button = (Button) findViewById(R.id.button);
button.setOnClickListener(new View.OnClickListener() {
public void onClick(View v) {
Toast.makeText(MainActivity.this, toastMessage(), Toast.LENGTH_SHORT).show();
}
});
}
public String toastMessage() {
return "想啥呢？同学，我未被劫持";
}
}
- activity_main.xml：
<?xml version="1.0" encoding="utf-8"?>
<androidx.constraintlayout.widget.ConstraintLayout xmlns:android="http://schemas.android.com/apk/res/android"
xmlns:app="http://schemas.android.com/apk/res-auto"
xmlns:tools="http://schemas.android.com/tools"
android:layout_width="match_parent"
android:layout_height="match_parent"
tools:context=".MainActivity">
<Button
android:id="@+id/button"
android:layout_width="wrap_content"
android:layout_height="wrap_content"
android:text="按一下按钮，确认是否被劫持"
tools:layout_editor_absoluteX="78dp"
tools:layout_editor_absoluteY="364dp" />
</androidx.constraintlayout.widget.ConstraintLayout>
然后在HO22K 项目里面创建Xposed插件，这里博主为了偷懒，直接在一个项目里面写了，所以不加载Xposed，只要APK执行就会调用HO22K类，达到类似HO22K效果（不建议跟博主一样，自己重新创建一个APK和插件APK，不要两个都写在一起），代码和效果如下：
package com.example.ho22k;
import de.robv.android.xposed.IXposedHookLoadPackage;
import de.robv.android.xposed.XC_MethodHook;
import de.robv.android.xposed.XposedHelpers;
import de.robv.android.xposed.callbacks.XC_LoadPackage;
public class HO22K implements IXposedHookLoadPackage
{
//Module继承了IXposedHookLoadPackage接口，当系统加载应用包的时候回回调 handleLoadPackage；
public void handleLoadPackage(XC_LoadPackage.LoadPackageParam loadPackageParam) throws Throwable {
//过滤包名，定位要Hook的包名
if (loadPackageParam.packageName.equals("com.example.ho22k")) {
//定位要Hook的具体的类名
Class clazz = loadPackageParam.classLoader.loadClass("com.example.ho22k.MainActivity");
//Hook的方法为toastMessage，XposedHelpers的静态方法 findAndHookMethod就是hook函数的的方法，其参数对应为 类名+loadPackageParam.classLoader（照写）+方法名+参数类型（根据所hook方法的参数的类型，即有多少个写多少个，加上.class）+XC_MethodHook回调接口；
XposedHelpers.findAndHookMethod(clazz, "toastMessage", new XC_MethodHook() {
protected void beforeHookedMethod(MethodHookParam param) throws Throwable {
super.beforeHookedMethod(param);
}
protected void afterHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {
//param.setResult("你已被劫持")将返回的结果设置成了你已被劫持
param.setResult("哦吼，同学你已被劫持");
}
});
}
}
}
4.2 登陆劫持
登陆劫持密码这样的操作，首先写一个简单的登陆程序，完整代码如下：
- MainActivity：
package com.example.ho22k;
import androidx.appcompat.app.AppCompatActivity;
import android.os.Bundle;
import android.view.View;
import android.widget.Button;
import android.widget.EditText;
import android.widget.Toast;
public class MainActivity extends AppCompatActivity {
EditText Name; //定义Plain Test控件第一个输入框的名字
EditText Pass; //定义Plain Test控件第二个输入框的名字
protected void onCreate(Bundle savedInstanceState) {
super.onCreate(savedInstanceState);
setContentView(R.layout.activity_main);
Name = (EditText) findViewById(R.id.TEXT_NAME); //通过findViewById找到输入框控件对应的id并给它起一个名字
Pass = (EditText) findViewById(R.id.TEXT_PASS);//通过findViewById找到输入框控件对应的id并给它起一个名字
Button Login = (Button) findViewById(R.id.BTN_Login);//通过findViewById找到按钮控件对应的id并给它起一个名字
Login.setOnClickListener(new View.OnClickListener() {
//监听有没有点击按钮控件 如果点击了就会执行onClick函数
@Override
public void onClick(View view) {
check(Name.getText().toString().trim(),Pass.getText().toString().trim()); //调用check函数
}
});
}
public void check(String name,String pass) //自定义函数check 这里用来检查用户名和密码是否是cck和1234
{
if(name.equals("Orangey")&&pass.equals("123456"))
{
Toast.makeText(MainActivity.this,"登录成功", Toast.LENGTH_SHORT).show();//弹框
}
else
Toast.makeText(MainActivity.this,"登录失败", Toast.LENGTH_SHORT).show();//弹框
}
}
- activity_main.xml：
<?xml version="1.0" encoding="utf-8"?>
<androidx.constraintlayout.widget.ConstraintLayout xmlns:android="http://schemas.android.com/apk/res/android"
xmlns:app="http://schemas.android.com/apk/res-auto"
xmlns:tools="http://schemas.android.com/tools"
android:layout_width="match_parent"
android:layout_height="match_parent"
tools:context=".MainActivity">
<TextView
android:id="@+id/textView"
android:layout_width="wrap_content"
android:layout_height="wrap_content"
android:layout_marginEnd="23dp"
android:text="账号："
app:layout_constraintBaseline_toBaselineOf="@+id/TEXT_NAME"
app:layout_constraintEnd_toStartOf="@+id/TEXT_NAME"
app:layout_constraintHorizontal_chainStyle="packed"
app:layout_constraintStart_toStartOf="parent"
tools:ignore="MissingConstraints" />
<TextView
android:id="@+id/textView2"
android:layout_width="wrap_content"
android:layout_height="wrap_content"
android:layout_marginEnd="23dp"
android:text="密码："
app:layout_constraintBaseline_toBaselineOf="@+id/TEXT_PASS"
app:layout_constraintEnd_toStartOf="@+id/TEXT_PASS"
app:layout_constraintHorizontal_chainStyle="packed"
app:layout_constraintStart_toStartOf="parent"
tools:ignore="MissingConstraints" />
<EditText
android:id="@+id/TEXT_NAME"
android:layout_width="wrap_content"
android:layout_height="wrap_content"
android:layout_alignBottom="@+id/textView"
android:layout_marginTop="180dp"
android:layout_marginEnd="1dp"
android:layout_toEndOf="@+id/textView"
android:layout_toRightOf="@+id/textView"
android:ems="10"
android:inputType="textPersonName"
app:layout_constraintEnd_toEndOf="parent"
app:layout_constraintStart_toEndOf="@+id/textView"
app:layout_constraintTop_toTopOf="parent"
tools:ignore="MissingConstraints" />
<EditText
android:id="@+id/TEXT_PASS"
android:layout_width="wrap_content"
android:layout_height="wrap_content"
android:layout_alignBottom="@+id/textView2"
android:layout_marginTop="35dp"
android:layout_marginEnd="1dp"
android:layout_toEndOf="@+id/textView2"
android:layout_toRightOf="@+id/textView2"
android:ems="10"
android:inputType="textPassword"
app:layout_constraintEnd_toEndOf="parent"
app:layout_constraintStart_toEndOf="@+id/textView2"
app:layout_constraintTop_toBottomOf="@+id/TEXT_NAME"
tools:ignore="MissingConstraints" />
<Button
android:id="@+id/BTN_Login"
android:layout_width="wrap_content"
android:layout_height="wrap_content"
android:layout_marginTop="42dp"
android:text="登录"
app:layout_constraintEnd_toEndOf="@+id/TEXT_PASS"
app:layout_constraintStart_toStartOf="@+id/TEXT_PASS"
app:layout_constraintTop_toBottomOf="@+id/TEXT_PASS" />
</androidx.constraintlayout.widget.ConstraintLayout>
账号：Orangey 密码：123456
正确的账号密码登录如下图：
账号：a 密码：123456
错误的账号或密码登录如下图：
PS：如果出现界面布局混乱，只需要设置一下约束即可，如下图：
目的：不管输入什么都会显示登陆成功，Hook对应的方法，并对相应的参数进行修改，还是使用上面的回调方法来实现
import de.robv.android.xposed.IXposedHookLoadPackage;
import de.robv.android.xposed.XC_MethodHook;
import de.robv.android.xposed.XposedBridge;
import de.robv.android.xposed.callbacks.XC_LoadPackage;
import static de.robv.android.xposed.XposedHelpers.findAndHookMethod;
public class HO22K implements IXposedHookLoadPackage {
/**
* 包加载时候的回调
*/
public void handleLoadPackage(final XC_LoadPackage.LoadPackageParam lpparam) throws Throwable {
// 将包名不是 com.example.ho22k 的应用剔除掉,可以减少管理的类
if (!lpparam.packageName.equals("com.example.ho22k"))
return;
XposedBridge.log("当前APP应用程序是: " + lpparam.packageName);
//第一个参数是className，表示被注入的方法所在的类
//第二个参数是类加载器，照抄就行
//第三个参数是被注入的方法名
//第四五个参数是第三个参数的两个形参的类型
//最后一个参数是匿名内部类
findAndHookMethod("com.example.ho22k.MainActivity", lpparam.classLoader, "check", String.class,
String.class, new XC_MethodHook() {
/**
* 该方法在check方法调用之前被调用，输出一些日志，并且捕获参数的值。
* 最后两行的目的是改变参数的值。也就是说无论参数是什么值，都会被替换为name为Orangey,pass为123456
* @param param
* @throws Throwable
*/
protected void beforeHookedMethod(MethodHookParam param) throws Throwable {
XposedBridge.log("同学，你正在被人开始劫持");
XposedBridge.log("参数1 = " + param.args[0]);
XposedBridge.log("参数2 = " + param.args[1]);
param.args[0] = "Orangey";
param.args[1] = "123456";
}
/**
* 该方法在check方法调用之后被调用
* @param param
* @throws Throwable
*/
protected void afterHookedMethod(MethodHookParam param) throws Throwable {
XposedBridge.log("哦吼，同学劫持已结束");
XposedBridge.log("参数1 = " + param.args[0]);
XposedBridge.log("参数2 = " + param.args[1]);
}
});
}
}
通过对方法的参数进行了重赋值，效果如下图：
Github上的一些Xposed案例APK地址：
- 原始程序：https://github.com/Gordon0918/XposedHookTarget
- hook修改源程序地址：https://github.com/Gordon0918/XposedHook
参考链接：
https://blog.csdn.net/gdutxiaoxu/article/details/81459830
https://eastmoon.blog.csdn.net/article/details/103810710
https://blog.csdn.net/SouthWind0/article/details/100669530
https://blog.csdn.net/JBlock/article/details/84202240
https://www.cnblogs.com/mukekeheart/p/5662842.html
https://blog.csdn.net/song_lee/article/details/103299353
你以为你有很多路可以选择，其实你只有一条路可以走