Xposed framework detection mechanism

1. Introduction to the principle of implementing Hook in the Xposed framework

	Zygote是Android的核心，每运行一个app，Zygote就会fork一个虚拟机实例来运行app，
	Xposed Framework深入到了Android核心机制中，通过改造Zygote来实现一些很牛逼的
	功能。Zygote的启动配置在init.rc 脚 本 中，由系统启动的时候开启此进程，对应的
	执行文件是/system/bin/app_process，这个文件完成类库加载及一些函数调用的工作。
	当系统中安装了Xposed Framework之后，会对app_process进行扩展，也就是说，Xposed 
	Framework 会拿自己实现的app_process覆盖掉Android原生提供的app_process文件，
	当系统启动的时候，就会加载由 Xposed Framework 替换过的进程文件，并且，Xposed 
	Framework 还定义了一个 jar 包，系统启动的时候，也会加载这个包：
	/data/data/de.robv.android.xposed.installer/bin/XposedBridge.jar

2. Common detection

import java.io.BufferedReader;
import java.io.File;
import java.lang.reflect.Method;
import java.lang.reflect.Modifier;
import java.util.Arrays;

import android.annotation.SuppressLint;
import de.robv.android.xposed.IXposedHookLoadPackage;
import de.robv.android.xposed.XC_MethodHook;
import de.robv.android.xposed.XposedHelpers;
import de.robv.android.xposed.callbacks.XC_LoadPackage.LoadPackageParam;

public class Module implements IXposedHookLoadPackage {
    
    

	// 定义全局变量 modify
	private int modify;
	
	@Override
	public void handleLoadPackage(final LoadPackageParam lpparam) throws Throwable {
    
    
		//通过 ClassLoader 的loadClass加载XposedHelper来修改一些局部变量值，阻止hook
		//处理方式，通过Hook类加载修改加载的类名
//		XposedHelpers.findAndHookMethod(ClassLoader.class, "loadClass", String.class, new XC_MethodHook() {
    
    
//            @Override
//            protected void beforeHookedMethod(MethodHookParam param) throws Throwable {
    
    
//                super.beforeHookedMethod(param);
//				  if(param.args != null && param.args[0] != null && 
//					  param.args[0].toString().startsWith("de.robv.android.xposed.")){
    
    
// 
//                    // 改成一个不存在的类
//                    param.args[0] = "de.robv.android.xposed.ThTest";
//                }
//                
//            }
//        });
		
		//通过代码抛出一个异常，在堆栈中，查找Xposed相关的内容，进行判定
		//处理方式，通过Hook堆栈获取类名替换的方式进行阻止
		XposedHelpers.findAndHookMethod(StackTraceElement.class, "getClassName", new XC_MethodHook() {
    
    
            @Override
            protected void afterHookedMethod(MethodHookParam param) throws Throwable {
    
    
                String result = (String) param.getResult();
                if (result != null){
    
    
                    if (result.contains("de.robv.android.xposed.")) {
    
    
                        param.setResult("");
                    }else if(result.contains("com.android.internal.os.ZygoteInit")){
    
    
                        param.setResult("");
                    }
                }
                super.afterHookedMethod(param);
            }
        });
		
		//通过读取 shell 命令 /proc/pid（应用进程id）/maps 可以拿到当前上下文的so和jar列表，查找Xposed相关
		//处理方式，通过使用 BufferedReader进行读取命令的内容，过滤掉 XposedBridge.jar。
		XposedHelpers.findAndHookMethod(BufferedReader.class, "readLine", new XC_MethodHook() {
    
    
            @SuppressLint("SdCardPath") @Override
            protected void afterHookedMethod(MethodHookParam param) throws Throwable {
    
    
                String result = (String) param.getResult();
                if(result != null) {
    
    
                    if (result.contains("/data/data/de.robv.android.xposed.installer/bin/XposedBridge.jar")) {
    
    
                        param.setResult("");
                        new File("").lastModified();
                    }
                }
 
                super.afterHookedMethod(param);
            }
        });
		
		//其它，由于Xposed的hook，是通过so修改被hook的方法为native来实现的，所以检测方也可以通过检测方法是否变成了native来达到检测的目的
		//处理方式，对指定的方法，进行返回正常的值，来达到屏蔽的效果，这里用getDeviceId举例
		// 定义全局变量 modify
		XposedHelpers.findAndHookMethod(Method.class, "getModifiers", new XC_MethodHook() {
    
    
			@Override
			protected void afterHookedMethod(MethodHookParam param) throws Throwable {
    
    
				Method method = (Method)param.thisObject;
				String[] array = new String[]{
    
    "getDeviceId"};
				String method_name = method.getName();
				if(Arrays.asList(array).contains(method_name)){
    
    
					modify = 0;
				}else{
    
    
					modify = (Integer) param.getResult();
				}
				super.afterHookedMethod(param);
			}
		});
		 
		XposedHelpers.findAndHookMethod(Modifier.class, "isNative", int.class, new XC_MethodHook() {
    
    
			@Override
			protected void beforeHookedMethod(MethodHookParam param) throws Throwable {
    
    
				param.args[0] = modify;
				super.beforeHookedMethod(param);
			}
		});
	}
}