Android 上主流Hook工具原理分析

TUGOhost

2022-09-13

逆向

类Xposed

类Xposed主要包含xposed、edxposed、lsposed，这三个都依赖于xposed的原始hook框架，所以介绍这三个相当于是

Xposed

注入

Hook

EDXposed

注入

Hook

LsPosed

注入

Hook

Frida

注入

Frida注入方式有很多，frida-server自带的attach、spawn，还有各种千奇百怪的利用frida-gadget做核心，其他的注入方式来注入的，我这里就不一一展开说明了，我也没怎么用过哪些注入方式。

attach

spawn

Hook-Inline Hook

Frida-gum

这里主要是参考evilpan大佬的文章Frida Internal - Part 1: 架构、Gum 与 V8。

按照其中给出的frida-gum例子结合源码来做分析

使用https://github.com/frida/frida/releases中的https://github.com/frida/frida/releases/download/15.2.2/frida-gum-devkit-15.2.2-android-arm64.tar.xz ，解压缩后，会有一个.c、一个.h以及一个.a文件，主要是按照其中的frida-gum-example.c的demo来做分析。

GumInterceptor * interceptor;
GumInvocationListener * listener;

gum_init_embedded ();

interceptor = gum_interceptor_obtain ();
listener = g_object_new (EXAMPLE_TYPE_LISTENER, NULL);

gum_interceptor_begin_transaction (interceptor);
gum_interceptor_attach (interceptor,
    GSIZE_TO_POINTER (gum_module_find_export_by_name (NULL, "open")),
    listener,
    GSIZE_TO_POINTER (EXAMPLE_HOOK_OPEN));
gum_interceptor_attach (interceptor,
    GSIZE_TO_POINTER (gum_module_find_export_by_name (NULL, "close")),
    listener,
    GSIZE_TO_POINTER (EXAMPLE_HOOK_CLOSE));
gum_interceptor_end_transaction (interceptor);

close (open ("/etc/hosts", O_RDONLY));


g_object_unref (listener);
g_object_unref (interceptor);

gum_deinit_embedded ();