利用Cydia Substrate進行Android HOOK（二）

   在前面關於Substrate的介紹中我們已經講了用Substrate hook java代碼，現在我們講下怎么用它hook native代碼。hook native代碼我們需要編寫Substrate extensions，它跟native庫一樣被視作標准的android包的一部分， 將作為一個共享庫被編譯 (使用復合擴展名.cy.so)。

一、相關API

（1） MSConfig

 

名稱	描述
Filter:Executable	開發者試圖hook的可執行文件的完整路徑。一般為zygote, "/system/bin/app_process"。
Filter:Library	開發者試圖hook的lib庫的名稱，比如hook __android_log, 則指定 "liblog.so".

如：

MSConfig(MSFilterExecutable, "/system/bin/app_process")
MSConfig(MSFilterLibrary, "liblog.so")

（2）void MSHookFunction(void *symbol, void *hook, void **old);

參數	描述
symbol	被替換代碼的地址，一般是一個函數
hook	The address of an ABI-compatible replacement for the code at the address referenced by symbol.
old	指向函數指針的指針，用來調用原函數的實現。如果不需要對原函數進行處理則為NULL

示例：

void *(*oldConnect)(int, const sockaddr *, socklen_t);

void *newConnect(
    int socket, const sockaddr *address, socklen_t length
) {
    if (address->sa_family == AF_INET) {
        sockaddr_in *address_in = address;
        if (address_in->sin_port == htons(6667)) {
            sockaddr_in copy = *address_in;
            address_in->sin_port = htons(7001);
            return oldConnect(socket, &copy, length);
        }
    }

    return oldConnect(socket, address, length);
}

MSHookFunction(&connect, &newConnect, &oldConnect);

（3）void *MSFindSymbol(MSImageRef image, const char *name);

參數	描述
image	指定一個有效的image引用（通過調用MSGetImageByName返回的結果）。如果為NULL，則會搜索所有image
name	待查找的原始鏡像符號的名稱。這並非如dlopen所加載的高級符號，它可能需要以下划線為前綴或其他特定平台的編碼。
return	符號的地址（調整為ARM/Thumb類型），如果不能定位符號則返回NULL

示例：

MSImageRef image;
image = MSGetImageByName("/usr/lib/libSystem.B.dylib");

void *(*palloc)(size_t);
palloc = (void *(*)(size_t)) MSFindSymbol(image, "_malloc");

void *data = (*palloc)(1024);
free(data);

（4）MSImageRef MSGetImageByName(const char *file);

參數	描述
file	根據so或者動態庫的完整路徑加載image
return	可以被其它API使用的image引用，如果image沒有加載則為NULL

示例：

MSImageRef image;
image = MSGetImageByName("/system/lib/libc.so");
if (image != NULL)
    /* image is loaded */;

二、使用示例

下面以前一篇過簽名驗證的hook代碼為例講解native hook的代碼編寫過程：

1.創建android native工程HookVerify，so層hook並不需要界面（作為Cydia Substrate的擴展模塊），所以在新建工程時無需建activity。接下來在工程目錄下新建jni文件夾，並將libsubstrate.so，libsubstrate-dvm.so，substrate.h三個文件拷貝至jni文件夾下。

在jni目錄下創建HookVerify.cy.cpp文件。

2.配置Manifest文件

需要添加權限：<uses-permission android:name="cydia.permission.SUBSTRATE"/>

由於我們只使用native code，將android:hasCode設為false。

3.Android.mk文件編寫：

LOCAL_PATH := $(call my-dir)

include $(CLEAR_VARS)
LOCAL_MODULE    := substrate
LOCAL_SRC_FILES := libsubstrate.so
include $(PREBUILT_SHARED_LIBRARY)

include $(CLEAR_VARS)
LOCAL_MODULE    := substrate-dvm
LOCAL_SRC_FILES := libsubstrate-dvm.so
include $(PREBUILT_SHARED_LIBRARY)

include $(CLEAR_VARS)
LOCAL_MODULE    := HookVerify
#一定要有.cy作后綴
LOCAL_SRC_FILES := HookVerify.cy.cpp
LOCAL_LDLIBS := -llog
LOCAL_ARM_MODE := arm
LOCAL_LDLIBS += -L$(LOCAL_PATH) -lsubstrate-dvm -lsubstrate
include $(BUILD_SHARED_LIBRARY)

4.HookVerify.cy.cpp代碼：

#include <jni.h>
#include "substrate.h"
#include <android/log.h>
#include <unistd.h>
#include <stdio.h>
#include <fcntl.h>
#include <sys/types.h>
#include <string.h>
#include <sys/stat.h>
#define TAG "HOOKDEMO"
#define LOGD(...) __android_log_print(ANDROID_LOG_DEBUG, TAG, __VA_ARGS__)
#define LOGI(...) __android_log_print(ANDROID_LOG_INFO, TAG, __VA_ARGS__)
char* AppName = NULL;
//指定要hook的lib 庫：
MSConfig(MSFilterLibrary, "/system/lib/libdvm.so");
//保留原來的地址：
void *(*oldUnzOpen64)(const char* filepath);
//替換的函數
void *newUnzOpen64(const char* filepath){
    return oldUnzOpen64("/sdcard/myapk.apk");
}
//Hook dvmLoadNativeCode
bool (*_dvmLoadNativeCode)(char* pathName, void* classLoader, char** detail);
bool My_dvmLoadNativeCode(char* pathName, void* classLoader, char** detail){
    bool b_Result = _dvmLoadNativeCode(pathName,classLoader,detail);    //進行原來的調用，不影響程序運行
    //LOGD("dvmLoadNativeCode AppName:%s", AppName);
    if(strstr(pathName,"AppVerify") != NULL){
        LOGD("dvmLoadNativeCode Find Hook");
        MSImageRef image = MSGetImageByName(pathName);
            if(image != NULL){
                void* mFun = MSFindSymbol(image, "unzOpen64");
                //開始Hook fork
                if(mFun != NULL){
                    LOGD("dvmLoadNativeCode Hook");
                    //MSHookFunction(mFun,(void*)&My_fork,(void**)&_fork);
36　　　　　　　　　　　　 MSHookFunction(mFun, (void*)&newUnzOpen64, (void**)&oldUnzOpen64);
                }
            }
    }
    return b_Result;
}
//在初始化的時候進行hook，具體如下：
//Substrate entry point
MSInitialize{
    __android_log_print(ANDROID_LOG_ERROR, TAG, "Substrate initialized.");
    MSImageRef image;
    image = MSGetImageByName("/system/lib/libdvm.so"); //載入lib
    if (image != NULL)
    {
        //注意這個是個c++函數，可以通過objdump來獲取
        void * dvmload = MSFindSymbol(image, "_Z17dvmLoadNativeCodePKcP6ObjectPPc");
        if(dvmload == NULL)
        {
            LOGD("error find dvmLoadNativeCode ");
        }
        else{
            MSHookFunction(dvmload,(void*)&My_dvmLoadNativeCode,(void **)&_dvmLoadNativeCode);
        }
    }
    else{
        LOGD("ERROR FIND LIBDVM");
    }
}

這樣就完成了hook代碼的編寫。安裝運行就行了。