Hook机制学习(三) - weishu博客学习笔记(AMS&a

一：Hook AMS

1.1 理论基础
ActivityManagerNative是ActivityManagerService这个远程对象的Binder代理对象；每次需要与AMS打交道的时候，需要借助这个代理对象通过驱动进而完成IPC调用。
比如启动一个Activity时，通过ActivityManagerNative.getDefault()
.startActivity()将启动Activity的请求转发给ActivityManagerService

public ActivityResult execStartActivity(
        Context who, IBinder contextThread, IBinder token, Activity target,
        Intent intent, int requestCode, Bundle options) {
    // ... 省略无关代码
    try {
        intent.migrateExtraStreamToClipData();
        intent.prepareToLeaveProcess();
        // ----------------look here!!!!!!!!!!!!!!!!!!!
        int result = ActivityManagerNative.getDefault()
            .startActivity(whoThread, who.getBasePackageName(), intent,
                    intent.resolveTypeIfNeeded(who.getContentResolver()),
                    token, target != null ? target.mEmbeddedID : null,
                    requestCode, 0, null, null, options);
        checkStartActivityResult(result, intent);
    } catch (RemoteException e) {
    }
    return null;
}

ActivityManagerNative.getDefault()： 调用了gDefault.get()

static public IActivityManager getDefault()
 {
     return gDefault.get();
 }

gDefault ： gDefault是一个单例。 里面保存的对象是IActivityManager单例。实际返回的是ActivityManagerProxy。
IBinder b 为裸Binder对象，是远程的Binder对象经过Binder驱动转化后返回给App 进程的对象。

private static final Singleton<IActivityManager> gDefault = new Singleton<IActivityManager>() {
      protected IActivityManager create() {
           IBinder b = ServiceManager.getService("activity");
     // IBinder b 为裸Binder对象，是远程的Binder对象经过Binder驱动转化后返回给App 进程的对象。
            if (false) {
                Log.v("ActivityManager", "default service binder = " + b);
          }
            IActivityManager am = asInterface(b);
            //转换成ActivityManagerProxy
           if (false) {
               Log.v("ActivityManager", "default service = " + am);
           }
            return am;
       }
    };
}

1.2 Hook AMS
我们使用的AMS实际上ActivityManagerProxy，要Hook掉AMS只需Hook掉gDefault里面保存单例对象。使的通过gDefault获取到的单例为我们的Hook 对象，这就需要把Singleton里面的mInstance字段置为Hook 对象。

Class<?> activityManagerNativeClass = Class.forName("android.app.ActivityManagerNative");

// 获取 gDefault 这个字段, 想办法替换它
Field gDefaultField = activityManagerNativeClass.getDeclaredField("gDefault");
gDefaultField.setAccessible(true);
Object gDefault = gDefaultField.get(null);

// 4.x以上的gDefault是一个 android.util.Singleton对象; 我们取出这个单例里面的字段
Class<?> singleton = Class.forName("android.util.Singleton");
Field mInstanceField = singleton.getDeclaredField("mInstance");
mInstanceField.setAccessible(true);

// ActivityManagerNative 的gDefault对象里面原始的 IActivityManager对象
Object rawIActivityManager = mInstanceField.get(gDefault);

// 创建一个这个对象的代理对象, 然后替换这个字段, 让我们的代理对象帮忙干活
Class<?> iActivityManagerInterface = Class.forName("android.app.IActivityManager");
Object proxy = Proxy.newProxyInstance(Thread.currentThread().getContextClassLoader(),
        new Class<?>[] { iActivityManagerInterface }, new IActivityManagerHandler(rawIActivityManager));
mInstanceField.set(gDefault, proxy);

二：Hook PMS

ContextImpl.getPackageManager()
PMS的获取是通过ContextImpl.getPackageManager来获取的，mPackageManager是不是一个静态字段。所以这不是一个好的Hook点
这个方法返回的是包装对象ApplicationPackageManager

public PackageManager getPackageManager() {
    if (mPackageManager != null) {
        return mPackageManager;
    }

    IPackageManager pm = ActivityThread.getPackageManager();
    if (pm != null) {
        // Doesn't matter if we make more than one instance.
        return (mPackageManager = new ApplicationPackageManager(this, pm));
    }
    return null;
}

ActivityThread.getPackageManager()
使用了ServiceManager来获取IPackagerManager
sPackageManager 是ActivityThead里面的一个静态字段， Hook掉这个静态字段来达到Hook掉PMS的目的。
通过Context类的getPackageManager方法获取到的ApplicationPackageManager对象里面的mPM字段同样需要Hook掉。

public static IPackageManager getPackageManager() {
    if (sPackageManager != null) {
        return sPackageManager;
    }
    IBinder b = ServiceManager.getService("package");
    sPackageManager = IPackageManager.Stub.asInterface(b);
    return sPackageManager;
}

Hook代码

// 获取全局的ActivityThread对象
Class<?> activityThreadClass = Class.forName("android.app.ActivityThread");
Method currentActivityThreadMethod = activityThreadClass.getDeclaredMethod("currentActivityThread");
Object currentActivityThread = currentActivityThreadMethod.invoke(null);

// 获取ActivityThread里面原始的 sPackageManager
Field sPackageManagerField = activityThreadClass.getDeclaredField("sPackageManager");
sPackageManagerField.setAccessible(true);
Object sPackageManager = sPackageManagerField.get(currentActivityThread);

// 准备好代理对象, 用来替换原始的对象
Class<?> iPackageManagerInterface = Class.forName("android.content.pm.IPackageManager");
Object proxy = Proxy.newProxyInstance(iPackageManagerInterface.getClassLoader(),
        new Class<?>[] { iPackageManagerInterface },
        new HookHandler(sPackageManager));

// 1. 替换掉ActivityThread里面的 sPackageManager 字段
sPackageManagerField.set(currentActivityThread, proxy);

// 2. 替换 ApplicationPackageManager里面的 mPM对象
PackageManager pm = context.getPackageManager();
Field mPmField = pm.getClass().getDeclaredField("mPM");
mPmField.setAccessible(true);
mPmField.set(pm, proxy);