Native Hook 是我们性能优化中最常见的手段之一，推荐大家用开源的方案像 xhook 和 bhook 等等，会用这肯定是最基础的，其次我们一直都追求知道原理并且要自己能写。今天这里我们自己来实现一套简单的 Native Hook ，我们只写关键代码。为了确保大家都能看懂，我们可能需要以下基础知识：
- 跨 so 的方法调用流程
- elf 文件格式
- 基本的 NDK 开发知识
有了以上基础知识，我们实现起来就会变得简单了，虽然过程中可能会遇到一些问题，但前期我们只需要确保流程和方案没问题就行。其实主要就是两步：首先，读取 /proc/self/maps 文件内容，找到目标 so 文件的基地址；最后，解析 elf 找到要 hook 的函数的地址，替换成我们自己指定的函数地址。
1. 读取 /proc/self/maps 文件内容，找到目标 so 文件的基地址
让我们先写代码来看看 /proc/self/maps 的内容
// 1. 读取 /proc/self/maps 内容，找到 so 文件路径和基地址
FILE* maps_fp = fopen("/proc/self/maps", "r");
if (maps_fp == NULL) {
LOGE("open /proc/self/maps error");
}
char line[512];
while (fgets(line, sizeof(line), maps_fp)) {
LOGE("%s", line);
}
...... 省了很多行打印
7b86a57000-7b87a57000 rw-p 00000000 00:00 0 [anon:dalvik-region space live bitmap]
7b87a57000-7b87b57000 rw-p 00000000 00:00 0 [anon:dalvik-allocspace zygote / non moving space mark-bitmap 0]
7b87b57000-7b87c57000 rw-p 00000000 00:00 0 [anon:dalvik-allocspace zygote / non moving space live-bitmap 0]
7b87c57000-7b87cc8000 r--p 00000000 fd:05 30703605 /system/framework/hwperf.jar
7b87cc8000-7b87f92000 r--p 00000000 fd:05 30540624 /system/framework/hwframework.jar
7b87f92000-7b87ff3000 r--p 00000000 fd:05 30704758 /system/framework/hwPartDeviceVirtualization.jar
7b87ff3000-7b88150000 r--p 00000000 fd:05 30717667 /system/framework/hwPartSecurity.jar
7b88150000-7b88249000 r--p 00000000 fd:05 30699746 /system/framework/hwPartTelephonyOpt.jar
7b88249000-7b88598000 r--p 00000000 fd:05 30676807 /system/framework/hwEmui.jar
7b88598000-7b8869b000 r--p 00000000 fd:05 36412139 /system/framework/featurelayer-widget.jar
7b8869b000-7b889d3000 r--p 00000000 fd:05 32955722 /system/framework/telephony-common.jar
7b889d3000-7b88ac1000 r--p 00000000 fd:05 30419804 /system/framework/ext.jar
7b88ac1000-7b88cee000 r--p 01c80000 fd:05 38214656 /system/framework/framework.jar
7b88cee000-7b896ff000 r--p 01270000 fd:05 38214656 /system/framework/framework.jar
7b896ff000-7b8a024000 r--p 0094c000 fd:05 38214656 /system/framework/framework.jar
7b8a024000-7b8a971000 r--p 00000000 fd:05 38214656 /system/framework/framework.jar
7b8a971000-7b8aa99000 r--p 00000000 07:07 40 /apex/com.android.runtime/javalib/apache-xml.jar
7b8aa99000-7b8abef000 r--p 00000000 07:07 41 /apex/com.android.runtime/javalib/bouncycastle.jar
7b8abef000-7b8af17000 r--p 00004000 07:07 42 /apex/com.android.runtime/javalib/core-libart.jar
7b8af17000-7b8b3d0000 r--p 00000000 07:07 43 /apex/com.android.runtime/javalib/core-oj.jar
7b8b3d0000-7b8b50e000 r--p 00000000 07:07 111 /apex/com.android.runtime/lib64/libart.so
7b8b50e000-7b8b9c1000 --xp 0013e000 07:07 111 /apex/com.android.runtime/lib64/libart.so
7b8b9c1000-7b8b9c4000 rw-p 005f1000 07:07 111 /apex/com.android.runtime/lib64/libart.so
7b8b9c4000-7b8b9d5000 r--p 005f4000 07:07 111 /apex/com.android.runtime/lib64/libart.so
7b8b9d5000-7b8b9d9000 rw-p 00000000 00:00 0 [anon:.bss]
7b8b9dc000-7b8ba00000 r--s 00000000 fd:05 78402939 /system/usr/hyphen-data/hyph-nb.hyb
...... 省了很多行打印
通过上面的打印，so 的路径地址我们一眼肯定能看出来，但是哪个是基地址呢？这就得去研究一下了，或者查查资料啥的：
起始地址 - 结束地址 属性 偏移 设备号 inode号 映射的文件名（详细的描述见下表）
7b8abef000-7b8af17000 r--p 00004000 07:07 42 /apex/com.android.runtime/javalib/core-libart.jar
7b8af17000-7b8b3d0000 r--p 00000000 07:07 43 /apex/com.android.runtime/javalib/core-oj.jar
7b8b3d0000-7b8b50e000 r--p 00000000 07:07 111 /apex/com.android.runtime/lib64/libart.so
7b8b50e000-7b8b9c1000 --xp 0013e000 07:07 111 /apex/com.android.runtime/lib64/libart.so
7b8b9c1000-7b8b9c4000 rw-p 005f1000 07:07 111 /apex/com.android.runtime/lib64/libart.so
7b8b9c4000-7b8b9d5000 r--p 005f4000 07:07 111 /apex/com.android.runtime/lib64/libart.so
void core_dhook(const char *pathname, uintptr_t base_addr, const char *symbol, void *new_func){
LOGE("2. 解析 elf 找到要 hook 的函数的地址，替换成我们自己指定的函数地址");
}
void dhook(const char *pathname_regex_str, const char *symbol, void *new_func)
{
// 1. 读取 /proc/self/maps 内容，找到 so 文件路径和基地址
FILE* maps_fp = fopen("/proc/self/maps", "r");
if (maps_fp == NULL) {
LOGE("open /proc/self/maps error");
}
char line[512];
char permission[5];
uintptr_t base_addr;
unsigned long offset;
int pathname_pos;
char *pathname;
size_t pathname_len;
regex_t path_name_regex;
regcomp(&path_name_regex, pathname_regex_str, REG_NOSUB);
while (fgets(line, sizeof(line), maps_fp)) {
if(sscanf(line, "%"PRIxPTR"-%*lx %4s %lx %*x:%*x %*d%n", &base_addr, permission, &offset, &pathname_pos) != 3) continue;
// 异常情况的判断
if(permission[0] != 'r') continue;
if(permission[3] != 'p') continue;
if(0 != offset) continue;
// 空格去掉
while(isspace(line[pathname_pos]) && pathname_pos < (int)(sizeof(line) - 1))
pathname_pos += 1;
if(pathname_pos >= (int)(sizeof(line) - 1)) continue;
// 获取成这样 /system/framework/arm64/boot-core-libart.art\n
pathname = line + pathname_pos;
pathname_len = strlen(pathname);
if(0 == pathname_len) continue;
// 获取成这样 /system/framework/arm64/boot-core-libart.art
if(pathname[pathname_len - 1] == '\n')
{
pathname[pathname_len - 1] = '\0';
pathname_len -= 1;
}
// 异常情况判断
if(0 == pathname_len) continue;
if('[' == pathname[0]) continue;
// 正则匹配
if(0 == regexec(&path_name_regex, pathname, 0, NULL, 0))
{
core_dhook(pathname, base_addr, symbol, new_func);
}
}
}
2. 解析 elf 找到要 hook 的函数的地址，替换成指定的函数地址
void core_dhook(uintptr_t base_addr, const char *symbol, void *new_func){
// 2.1. 获取计算 program_header_table 的地址
ElfW(Ehdr) *elf_header = base_addr;
ElfW(Phdr) *elf_program_header_table = base_addr + elf_header->e_phoff;
// 2.2. 遍历 elf_program_header_table
int program_header_table_length = elf_header->e_phnum;
uintptr_t dyn_address = 0;
unsigned int dyn_memory_size = 0;
for (int i = 0; i < program_header_table_length; ++i) {
if(elf_program_header_table[i].p_type == PT_DYNAMIC){
dyn_address = elf_program_header_table[i].p_vaddr + base_addr;
dyn_memory_size = elf_program_header_table[i].p_memsz;
break;
}
}
// 2.3 找出 rel.plt 表的位置
ElfW(Dyn) *elf_dynamic_table = dyn_address;
int dynamic_count = dyn_memory_size / sizeof(ElfW(Dyn));
ElfW(Dyn) *elf_dynamic_table_end = elf_dynamic_table + dynamic_count;
uintptr_t elf_rel_address;
uintptr_t sys_tab_address;
uintptr_t str_tab_address;
unsigned long elf_rel_size;
for (; elf_dynamic_table < elf_dynamic_table_end; elf_dynamic_table++) {
switch (elf_dynamic_table->d_tag) {
case DT_NULL:
elf_dynamic_table == elf_dynamic_table_end;
break;
case DT_JMPREL:
elf_rel_address = elf_dynamic_table->d_un.d_ptr;
break;
case DT_PLTRELSZ:
elf_rel_size = elf_dynamic_table->d_un.d_val / sizeof(ElfW(Rela));
break;
case DT_SYMTAB:
sys_tab_address = elf_dynamic_table->d_un.d_ptr;
break;
case DT_STRTAB:
str_tab_address = elf_dynamic_table->d_un.d_ptr;
break;
}
}
// 2.4 遍历 rel.plt 表，匹配 symbol 只能通过 sys_table -> str_tab
ElfW(Rela) *elf_rel_table = (elf_rel_address + base_addr);
for (int i = 0; i < elf_rel_size; ++i) {
int sys_tab_index = ELF_R_SYM(elf_rel_table[i].r_info);
ElfW(Sym) *sys_table = (sys_tab_index * sizeof(ElfW(Sym)) + sys_tab_address + base_addr);
char* fun_name = (char *) (sys_table->st_name + str_tab_address + base_addr);
if (memcmp(fun_name, symbol, strlen(symbol)) == 0) {
uintptr_t mem_page_start = elf_rel_table[i].r_offset + base_addr;
// 调整目标内存区域的权限
mprotect(PAGE_START(mem_page_start), getpagesize(), PROT_READ | PROT_WRITE);
// 2.5 替换掉地址
*(void **) (elf_rel_table[i].r_offset + base_addr) = new_func;
// 清除指令缓存
__builtin___clear_cache((void *) PAGE_START(mem_page_start), (void *) PAGE_END(mem_page_start));
}
}
}
视频链接：https://pan.baidu.com/s/1O5M7oumrpTVBnda8X88VlQ
视频密码：kdtd
