利用Cydia Substrate進行Android HOOK

Cydia Substrate是一個代碼修改平台。它可以修改任何主進程的代碼，不管是用Java還是C/C++（native代碼）編寫的。而Xposed只支持HOOK app_process中的java函數，因此Cydia Substrate是一款強大而實用的HOOK工具。

官網地址：http://www.cydiasubstrate.com/

Demo地址：https://github.com/zencodex/cydia-android-hook

官方教程：http://www.cydiasubstrate.com/id/20cf4700-6379-4a14-9bc2-853fde8cc9d1

SDK下載地址：http://asdk.cydiasubstrate.com/zips/cydia_substrate-r2.zip

Substrate幾個重要API介紹

MS.hookClassLoad 

函數原型：void hookClassLoad(String name, MS.ClassLoadHook hook);

該方法實現在指定的類被加載的時候發出通知。因為一個類可以在任何時候被加載，所以Substrate提供了一個方法用來檢測用戶感興趣的類何時被加載。

     

參數	描述
name	包名+類名，使用java的.符號
hook	MS.ClassLoadHook的一個實例，當這個類被加載的時候，它的 classLoaded 方法會被執行。

MS.hookMethod 

該API允許開發者提供一個回調函數替換原來的方法，這個回調函數是一個實現了MS.MethodHook接口的對象，是一個典型的匿名內部類。它包含一個invoked函數。

函數原型：

void hookMethod(Class _class, Member member, MS.MethodHook hook, MS.MethodPointer old);
void hookMethod(Class _class, Member member, MS.MethodAlteration alteration);

參數描述

（一）

參數	描述
_class	加載的目標類，為classLoaded傳下來的類參數
member	通過反射得到的需要hook的方法(或構造函數). 注意：不能HOOK字段 (在編譯的時候會進行檢測).
hook	MS.MethodHook的一個實例，其包含的invoked方法會被調用，用以代替member中的代碼

（二）

     

參數	描述
_class	加載的目標類，為classLoaded傳下來的類參數
member	通過反射得到的需要hook的方法(或構造函數). 注意：不能HOOK字段 (在編譯的時候會進行檢測).
alteration	An instance of MS.MethodAlteration whose boxedinvoked method will be called instead of member. This instance will also be filled in using information from   the original implementation, allowing you to use invoke to call the original method implementation.

建議開發者使用第二種方式，這種方式使用起來簡單並且很少出錯，不需要一個單獨的MS.MethodPointer類實例。

使用方法

下面以官網的一個實例來說明cydia substrate的使用方法。該實例是實現將多個接口組件顏色修改為紫羅蘭色。

需要安裝：http://www.cydiasubstrate.com/download/com.saurik.substrate.apk

步驟一：創建一個空的Android工程。由於創建的工程將以插件的形式被加載，所以不需要activity。將SDK中的substrate-api.jar復制到project/libs文件夾中。

步驟二：配置Manifest文件

（1）需要指定權限：cydia.permission.SUBSTRATE

（2）添加meta標簽，name為com.saurik.substrate.main，value為下一步中創建的類名(前面加“.”)，此處為.Main

<manifest xmlns:android="http://schemas.android.com/apk/res/android">
    <application>
        <meta-data android:name="com.saurik.substrate.main"
            android:value=".Main"/>
    </application>
    <uses-permission android:name="cydia.permission.SUBSTRATE"/>
</manifest>

步驟二：創建一個類，類名為Main。類中包含一個static方法initialize，當插件被加載的時候，該方法中的代碼就會運行，完成一些必要的初始化工作。

import com.saurik.substrate.MS;
 
public class Main {
    static void initialize() { 
        // ... code to run when extension is loaded
    }
}

步驟三：為了實現HOOK，達到修改目標類中的代碼的目的，我們需要得到目標類的一個實例，如示例中的resources。

public class Main {
    static void initialize() {
        MS.hookClassLoad("android.content.res.Resources", new MS.ClassLoadHook() {
            public void classLoaded(Class<?> resources) {
                // ... code to modify the class when loaded
            }
        });
    }
}

步驟四：通過MS.MethodHook實例實現原代碼的修改。

為了調用原來代碼中的方法，我們需要創建一個MS.MethodPointer類的實例，它可以在任何時候運行原來的代碼。

在這里我們通過對原代碼中resources對象原始代碼的調用和修改，將所有綠色修改成了紫羅蘭色。

public void classLoaded(Class<?> resources) {
Method getColor; 
try {
        getColor = resources.getMethod("getColor", Integer.TYPE);
    } catch (NoSuchMethodException e) {
        getColor = null;
    }
 
    if (getColor != null) {
        final MS.MethodPointer old = new MS.MethodPointer();
 
        MS.hookMethod(resources, getColor, new MS.MethodHook() {
            public Object invoked(Object resources, Object... args)
                throws Throwable
            {
                int color = (Integer) old.invoke(resources, args);
                return color & ~0x0000ff00 | 0x00ff0000;
            }
        }, old);
    }
}

安裝運行，重啟系統后發現很多字體顏色都變了。如下圖所示：

                 

示例中MS.hookMethod的代碼可以改成：

MS.hookMethod(resources, getColor, new MS.MethodAlteration<Resources, Integer>() {
         public Integer invoked(Resources resources, Object... args)
                 throws Throwable
         {
                 int color = invoke(resources, args);
                 return color & ~0x0000ff00 | 0x00ffee00;
         }
});

短信監控實例

在下面的例子中我們實現了短信監聽功能，將短信發送人、接收人以及短信內容打印出來：

import java.lang.reflect.Method;
import android.app.PendingIntent;
import android.util.Log;
import com.saurik.substrate.MS;
 

public class Main {

    static void initialize() {  

    MS.hookClassLoad("android.telephony.SmsManager", new MS.ClassLoadHook() {
           

            @Override

            public void classLoaded(Class<?> SmsManager) {

                //code to modify the class when loaded

            Method sendTextMessage;

            try {

                    sendTextMessage = SmsManager.getMethod("sendTextMessage",

                            new Class[]{String.class,String.class,String.class,PendingIntent.class,PendingIntent.class});
                   

                } catch (NoSuchMethodException e) {

                    sendTextMessage = null;

                }

             MS.hookMethod(SmsManager, sendTextMessage, new MS.MethodAlteration() {

                 public Object invoked(Object _this,Object... _args) throws Throwable{

                     Log.i("SMSHOOK","SEND_SMS");

                     Log.i("SMSHOOK","destination:"+_args[0]);

                     Log.i("SMSHOOK","source:"+_args[1]);

                     Log.i("SMSHOOK","text:"+_args[2]);

                        return invoke(_this, _args);

                    }

            });
           

            }

        });

    }

}

運行后的結果為：