手 Q 安卓端 - Art 虚拟机工具接口 Art TI 技术探索

背景
- 前段时间国家加强对 app 获取用户隐私信息的限制。手 Q 需要排查在用户未同意隐私条款之前有哪些业务进行了获取 IMEI 和应用列表的调用
- 怎么排查才能不漏掉某些调用？最后我们是通过 Android Studio 的 Method Breakpoint 功能实现对系统 java 函数断点调试解决
- 解决完之后，我们想把这个 Method Breakpoint 技术做到代码中，由我们控制程序的执行。经过一段时间的预研，目前初步可以做到 Hook Java 方法来解决一些问题，本文是对预研做总结
简介
- jvmti Java Virtual Machine Tool Interface 是 JVM 提供给外部的用于调试和分析 JVM 虚拟机的接口
- Android Studio 3.5 版本应用 jvmti 技术优化了 Instant Run 功能，解决了开发者编译耗时问题
- jvmti 技术在 Art 虚拟机上的实现是 Art TI

怎么做

加载 agent 程序

Debug.attachJvmtiAgent("libnative-lib.so", "", getClassLoader());

agent 初始化

  JNIEXPORT jint JNICALL
  Agent_OnLoad(JavaVM *vm, char *options, void *reserved) {
      return JVMTI_ERROR_NONE;
  }

  JNIEXPORT jint JNICALL
  Agent_OnAttach(JavaVM *vm, char *options, void *reserved) {
      return JVMTI_ERROR_NONE;
  }

读取 jvmtiEnv 对象

  jvmtiEnv *jvmti_env;
  if (gVm->GetEnv(reinterpret_cast<void **>(&jvmti_env), JVMTI_VERSION_1_0) != JNI_OK) {
      ALOG("jvmtiEnv error");
      return;
  }

查找待 hook java 方法 jmethodID 对象

  const char *className = "com/android/internal/telephony/ITelephony$Stub$Proxy";
  jclass clazz = env->FindClass(className);
  if (env->ExceptionCheck()) {
      env->ExceptionDescribe();
      env->ExceptionClear();
  }
  ALOG("jclass = %p", clazz);

  const char *methodName = "getDeviceId";
  const char *sig = "(Ljava/lang/String;)Ljava/lang/String;";
  jmethodID method = env->GetMethodID(clazz, methodName, sig);
  if (env->ExceptionCheck()) {
      env->ExceptionDescribe();
      env->ExceptionClear();
  }
  ALOG(" %s %d gHookMethod = %p", __FILE__, __LINE__, method);
  gHookMethod = method;

向 jvmti 声明开放 can_generate_method_entry_events 和 can_access_local_variables 能力

  const jvmtiCapabilities capabilities_ptr = {
          .can_access_local_variables = 1,
          .can_generate_method_entry_events = 1,
  };
  if (jvmti_env->AddCapabilities(&capabilities_ptr) != JVMTI_ERROR_NONE) {
      ALOG("AddCapabilities ERROR");
      return;
  }

设置事件回调函数

  extern void JNICALL jvmtiEventMethodEntry1
      (jvmtiEnv *jvmti_env,
       JNIEnv *jni_env,
       jthread thread,
       jmethodID method) {
          ...
       }

  const jvmtiEventCallbacks callbacks = {
          .MethodEntry = jvmtiEventMethodEntry1
  };
  if (jvmti_env->SetEventCallbacks(&callbacks, sizeof(callbacks)) != JVMTI_ERROR_NONE) {
      ALOG("SetEventCallbacks ERROR");
      return;
  }

开启进入 java 方法事件通知

  if (jvmti_env->SetEventNotificationMode(JVMTI_ENABLE, JVMTI_EVENT_METHOD_ENTRY, NULL) !=
      JVMTI_ERROR_NONE) {
      ALOG("SetEventNotificationMode ERROR");
      return;
  }

接收进入 java 方法事件，过滤指定 hook java 方法

  extern void JNICALL jvmtiEventMethodEntry1
      (jvmtiEnv *jvmti_env,
       JNIEnv *jni_env,
       jthread thread,
       jmethodID method) {
      if (method == gHookMethod) {
          ...
      }
  }

打印调用栈

  jint start_depth = 0;
  jvmtiFrameInfo frame_buffer[64];
  jint max_frame_count = 64;
  jint count_ptr;
  ALOG("GetStackTrace max_frame_count = %d", max_frame_count);
  if (jvmti_env->GetStackTrace(thread, start_depth, max_frame_count, frame_buffer,
                               &count_ptr) != JVMTI_ERROR_NONE) {
      return;
  }
  ALOG("GetStackTrace count_ptr = %d", count_ptr);

  for (int i = 0; i < count_ptr; ++i) {
      char *name_ptr = NULL;
      if (jvmti_env->GetMethodName(frame_buffer[i].method, &name_ptr, NULL, NULL) ==
          JVMTI_ERROR_NONE) {
          jclass declaring_class_ptr;
          if(jvmti_env->GetMethodDeclaringClass(frame_buffer[i].method, &declaring_class_ptr) == JVMTI_ERROR_NONE){
              jclass klass = declaring_class_ptr;
              char* signature_ptr;
              char* generic_ptr;
              if (jvmti_env->GetClassSignature(klass, &signature_ptr, &generic_ptr) == JVMTI_ERROR_NONE){
                  ALOG("# %d, %s.%s location=%d",
                       i, signature_ptr, name_ptr, frame_buffer[i].location);
              }
          }
      }
  }

读取本地变量表

  jint entry_count_ptr;
  jvmtiLocalVariableEntry *table_ptr;
  if (jvmti_env->GetLocalVariableTable(method, &entry_count_ptr, &table_ptr) ==
      JVMTI_ERROR_NONE) {
      ...
  }

读写函数参数和局部变量

  jint depth = 0;
  jint slot = table_ptr->slot;
  jint value_pt;
  if (jvmti_env->GetLocalInt(thread, depth, slot, &value_pt) ==
      JVMTI_ERROR_NONE) {
      ALOG("GetLocalInt depth = %d, slot = %d, value = %d", depth, slot,
           value_pt);
  }
  value_pt++;
  if (jvmti_env->SetLocalInt(thread, depth, slot, value_pt) == JVMTI_ERROR_NONE) {
      ALOG("SetLocalInt depth = %d, slot = %d, value = %d", depth, slot,
           value_pt);
  }

查看运行结果日志

成功打印被 hook 函数的调用栈

原理

相关文档
- https://docs.oracle.com/javase/8/docs/platform/jvmti/jvmti.html
- https://source.android.com/devices/tech/dalvik/art-ti
相关源码
- http://androidxref.com/9.0.0_r3/xref/art/openjdkjvmti/
Art 上的 jvmti 技术框架

Art TI 架构
Art TI 对外提供的接口和数据结构
- 接口和数据结构全部包含在 jvmti.h 头文件中
- 核心结构是 struct jvmtiEnv 封装了调用 jvmti 的上下文信息

Art TI 接口的实现

对应源码文件 http://androidxref.com/9.0.0_r3/xref/art/openjdkjvmti/OpenjdkJvmTi.cc
对应源码类 http://androidxref.com/9.0.0_r3/xref/art/openjdkjvmti/OpenjdkJvmTi.cc#JvmtiFunctions
接口与实现绑定

// The actual struct holding all of the entrypoints into the jvmti interface.
const jvmtiInterface_1 gJvmtiInterface = {
  nullptr,  // reserved1
  JvmtiFunctions::SetEventNotificationMode,
  nullptr,  // reserved3
  JvmtiFunctions::GetAllThreads,
  JvmtiFunctions::SuspendThread,
  JvmtiFunctions::ResumeThread,
  JvmtiFunctions::StopThread,
  JvmtiFunctions::InterruptThread,
  JvmtiFunctions::GetThreadInfo,
  ...
}

// ArtJvmTiEnv 构造函数
ArtJvmTiEnv::ArtJvmTiEnv(art::JavaVMExt* runtime, EventHandler* event_handler, jint version)
    : art_vm(runtime),
      local_data(nullptr),
      ti_version(version),
      capabilities(),
      event_info_mutex_("jvmtiEnv_EventInfoMutex") {
  object_tag_table = std::unique_ptr<ObjectTagTable>(new ObjectTagTable(event_handler, this));
  // 绑定接口的函数实现
  functions = &gJvmtiInterface;
}

核心结构类图

JavaVM

JavaVM类图
jvmtiEnv

jvmti 类图
JNIEnv

JNIEnv 类图

数据处理流程

Agent 启动流程

agent 启动流程

jvmtiEnv 类的实例化流程

// Creates a jvmtiEnv and returns it with the art::ti::Env that is       associated with it. new_art_ti
// is a pointer to the uninitialized memory for an art::ti::Env.
static void CreateArtJvmTiEnv(art::JavaVMExt* vm, jint version,       /*out*/void** new_jvmtiEnv) {
  struct ArtJvmTiEnv* env = new ArtJvmTiEnv(vm, gEventHandler,       version);
  *new_jvmtiEnv = env;
  gEventHandler->RegisterArtJvmTiEnv(env);
  art::Runtime::Current()->AddSystemWeakHolder(
    ArtJvmTiEnv::AsArtJvmTiEnv(env)->object_tag_table.get());
}

总结
本文对预研结果进行了归纳总结：
- 整理了如何利用 jvmti 接口实现 Java Hook 的流程
- 整理了 jvmti 接口在 Art 虚拟机中相关的核心结构如 JavaVM、jvmtiEnv、jniEnv 的关系
- 整理了 Agent 启动流程和 jvmtiEnv 结构的实例化流程

手 Q 安卓端 - Art 虚拟机工具接口 Art TI 技术探索

推荐阅读更多精彩内容