突破Android P非SDK API限制的幾種程式碼實現

API 安卓開發 · 發表 2018-09-18 21:16:57

摘要： Android P對非SDK API的使用做了限制，導致在Android P上會出現一些狀況。在很早前預覽版本剛出來的時候，360團隊就出了兩篇文章。 Android P 呼叫隱藏API限制原理以及突破Android P(Preview 1)對呼叫隱藏API限制的方法限制方式三種...

Android P對非SDK API的使用做了限制，導致在Android P上會出現一些狀況。在很早前預覽版本剛出來的時候，360團隊就出了兩篇文章。 ofollow,noindex">Android P 呼叫隱藏API限制原理以及突破Android P(Preview 1)對呼叫隱藏API限制的方法

限制方式三種：

反射
直接呼叫
jni呼叫

這一篇文章就是根據上面的文章來的。

方法一(不建議)

使用Provided(CompileOnly)的方式去解決呼叫限制，只能解決反射呼叫的問題，而無法解決直接呼叫或者jni呼叫的方式。不建議使用

方法二(不建議)

這個方法二對應的是360文章中的方法三。主要程式碼如下。

class ObjPtr {
 public:
uintptr_t reference_;
};

ObjPtr
(*sys_GetDeclaredMethodInternal)(void *self, jobject kclass, jstring name, jobjectArray args);

void *(*executableGetArtMethod)(void *ex);

ObjPtr myGetDeclaredMethodInternal(void *self, jobject kclass, jstring name, jobjectArray args) {
ObjPtr res = sys_GetDeclaredMethodInternal(self, kclass, name, args);
if (res.reference_ != 0) {
void *pMethod = executableGetArtMethod((void *) (res.reference_));
reinterpret_cast<uint32_t *>(pMethod)[1] &= 0xcfffffff;
}
return res;
}


extern "C" int hookForPMethod() {
void *libc = fake_dlopen("/system/lib/libart.so", RTLD_NOW);
if (libc != NULL) {
void *p = fake_dlsym(libc, "_ZN3art6mirror5Class25GetDeclaredMethodInternalILNS_11Poin"
"terSizeE4ELb0EEENS_6ObjPtrINS0_6MethodEEEPNS_6ThreadENS4_IS1_EENS4_INS0_6StringEEEN"
"S4_INS0_11ObjectArrayIS1_EEEE");
if (p != NULL) {
MSHookFunction(p,
reinterpret_cast<void *>(myGetDeclaredMethodInternal),
reinterpret_cast<void **>(&sys_GetDeclaredMethodInternal));
}
*(void **) (&executableGetArtMethod) =
fake_dlsym(libc, "_ZN3art6mirror10Executable12GetArtMethodEv");
fake_dlclose(libc);

} //if

return 1;
}
複製程式碼

其中，fake_dlopen、fake_dlsym 使用的是 Nougat_dlfunctions ,主要是Android 7.0以上對dlopen、dlsym等函式做了限制。因此用這個庫。而MSHookFunction，則是大名鼎鼎的cydiasubstrate。

上面的程式碼只解決了反射方法的問題。我按照這種思路去解決欄位問題的時候發現。

GetDeclaredField是inline的，無法切入。而CreateFromArtField又是hidden的，也不好切入。

因此，放棄了這種方法。

方法三(可用，但是有更好的)

這裡對應的方法三，對應的是360文章中的方法二，也就是修改classloader的方式。程式碼如下。

void (*setClassLoader)(void *pClass, void *new_cl);
ObjPtr (*toClass)(jclass global_jclss);

extern "C" void makeHiddenApiAccessable(JNIEnv *env) {
void *libart = fake_dlopen("/system/lib/libart.so", RTLD_NOW);
if (libart != NULL) {
*(void **) (&toClass) = fake_dlsym(libart, "_ZN3art16WellKnownClasses7ToClassEP7_jclass");
*(void **) (&setClassLoader) =
fake_dlsym(libart, "_ZN3art6mirror5Class14SetClassLoaderENS_6ObjPtrINS0_11ClassLoaderEEE");
jclass cls = env->FindClass("com/example/support_p/ReflectionHelper");
ObjPtr op = toClass(cls);
setClassLoader((void *) op.reference_, NULL);
}
}

複製程式碼

沒錯，程式碼就是這麼點。這樣，我們就可以在ReflectionHelper中呼叫非公開API了。但是這裡會依賴Nougat_dlfunctions這個庫。

方法四(超級好)

既然是修改classloader，那麼我們為什麼不在java層修改呢。程式碼如下。

private void testJavaPojie() {
try {
Class reflectionHelperClz = Class.forName("com.example.support_p.ReflectionHelper");
Class classClz = Class.class;
Field classLoaderField = classClz.getDeclaredField("classLoader");
classLoaderField.setAccessible(true);
classLoaderField.set(reflectionHelperClz, null);
} catch (Exception e) {
e.printStackTrace();
}
}
複製程式碼

而這裡用的相關反射只是light級別的，沒有什麼影響。反而程式碼量超小，也不依賴其他。

方法五(超級好+1)

這個方案來自 @區長大神

方法四還是存在一點問題。如果以後把classloader加入到深灰或者黑名單，那就僵硬了。所以，我們不用反射，直接用unsafe去修改。程式碼這就不貼了。為了得到classloader的偏移量，我們寫一個和Class結構一樣的類，用這個類得到的classLoader的偏移量和Class是一樣的。