前言

网上已经有很多在Android4中IDA如何调试.init .init_array JNI_Onload等文章，比如下面给出的参考，写的也非常详细，所以今天我们不讨论Android4。我们以Android8为例子。

请读者先查看android loadLibrary源码分析

查找关键函数的偏移地址

想要调试.init .init_array必须找到，call_function函数中的function(g_argc, g_argv, g_envp);地址，和LoadNativeLibrary函数中int version = (*jni_on_load)(this, nullptr);地址，这两个地址分别去调用了.init .init_array函数和JNI_Onload函数

先将两个相关的so拷贝到电脑上使用ida打开(我们的应用是以32位模式强制运行)

adb pull /system/lib/libdvm.so
adb pull /system/bin/linker

我们先来看call_function函数中的调用代码

static void call_function(const char* function_name __unused,
                          linker_ctor_function_t function,
                          const char* realpath __unused) {
  if (function == nullptr || reinterpret_cast<uintptr_t>(function) == static_cast<uintptr_t>(-1)) {
    return;
  }

  TRACE("[ Calling c-tor %s @ %p for '%s' ]", function_name, function, realpath);
  function(g_argc, g_argv, g_envp);
  TRACE("[ Done calling c-tor %s @ %p for '%s' ]", function_name, function, realpath);
}

可以看到这里有相关的字符串可以让我们在IDA中检索
[ Calling c-tor %s @ %p for '%s' ]
在IDA中检索如下

image.png
image.png
image.png
检索到字符串后，进入他的交叉引用处，可以看到相关代码，从字符串看得出这里就是我们对应的调用处，这段汇编还是比较简单的，图中高亮处即我们的调用处。它的偏移地址为0x00013598。

同样的再来看看JNI_Onload的调用代码

bool JavaVMExt::LoadNativeLibrary(JNIEnv* env,
                                  const std::string& path,
                                  jobject class_loader,
                                  jstring library_path,
                                  std::string* error_msg) {
  ...

  VLOG(jni) << "[Added shared library \"" << path << "\" for ClassLoader " << class_loader << "]";

  bool was_successful = false;
  //得到JNI_OnLoad函数地址
  void* sym = library->FindSymbol("JNI_OnLoad", nullptr);
  if (sym == nullptr) {
    VLOG(jni) << "[No JNI_OnLoad found in \"" << path << "\"]";
    was_successful = true;
  } else {
    ScopedLocalRef<jobject> old_class_loader(env, env->NewLocalRef(self->GetClassLoaderOverride()));
    self->SetClassLoaderOverride(class_loader);

    VLOG(jni) << "[Calling JNI_OnLoad in \"" << path << "\"]";
    //定义JNI_OnLoadFn
    typedef int (*JNI_OnLoadFn)(JavaVM*, void*);
    JNI_OnLoadFn jni_on_load = reinterpret_cast<JNI_OnLoadFn>(sym);
    //调用JNI_OnLoad
    int version = (*jni_on_load)(this, nullptr);

    if (runtime_->GetTargetSdkVersion() != 0 && runtime_->GetTargetSdkVersion() <= 21) {
      // Make sure that sigchain owns SIGSEGV.
      EnsureFrontOfChain(SIGSEGV);
    }

    self->SetClassLoaderOverride(old_class_loader.get());

    ...
    VLOG(jni) << "[Returned " << (was_successful ? "successfully" : "failure")
              << " from JNI_OnLoad in \"" << path << "\"]";
  }

  library->SetResult(was_successful);
  return was_successful;
}

同样我们可以使用[Calling JNI_OnLoad in字符串去搜索

image.png
image.png
image.png

字符串下面的函数调用基本都是和日志相关的，所以我们不用理会直接去B loc_251E62，这个跳转指令中看看。

image.png
这里出现了两个的数0x15也就是21，并且为cmp判断

int version = (*jni_on_load)(this, nullptr);

    if (runtime_->GetTargetSdkVersion() != 0 && runtime_->GetTargetSdkVersion() <= 21) {
      // Make sure that sigchain owns SIGSEGV.
      EnsureFrontOfChain(SIGSEGV);
    }

这和上面的代码是对应的。
所以BLX R5基本就是int version = (*jni_on_load)(this, nullptr);的对应汇编，他的偏移是0x00251E66

IDA动态调试

init断点
调试的步骤基本和平时一样，这里由于libnative-lib.so的加载时机比较早，我采用了debug的方式启动app，这样就能在加载libnative-lib.so之前断下来了。

打开ddms
调试模式启动

adb shell am start -D  -n   com.shark.initapp/.MainActivity

image.png

在安卓中启动android_server

sailfish:/data/local/tmp # ./android_server

在IDA中选择调试该app

image.png

设置其在lib加载和线程启动的时候断下

image.png
F9运行

让app恢复正常执行

jdb -connect com.sun.jdi.SocketAttach:hostname=127.0.0.1,port=8700
设置未捕获的java.lang.Throwable
设置延迟的未捕获的java.lang.Throwable
正在初始化jdb...
>

此时app断在linker处，现在我们就去刚才分析的两个地方打上断点

image.png

在模块选项卡中查询linker

image.png
可以看到它的基址为0xF1E9C000，使用它加上我们上面分析的偏移地址0xF1E9C000+0x00013598=0xF1EAF598

使用g跳转到该地址

image.png

按p后查看其汇编代码

image.png

可以看到这里和静态分析的代码完全一样，我们使用F2给它加上断点。

---

JNI_Onload断点
我们以同样的方式查找libart.so的基址加刚才计算的偏移

image.png
0xEE11D000+0x00251E66 = 0xEE36EE66

然而这里和刚才静态分析的代码出入太大，这明显不是我们要找的地方

image.png

由于不能使用偏移地址加基址的方式，我们可以这样去做，找到一个导出函数。使用
导出函数在内存中的地址 - 导出函数在so的偏移地址 + JNI_Onload调用在so的偏移地址 = JNI_Onload调用在内存中的地址

这里我选择了art::Dbg::IsCollected(ulong long,bool *)函数
他在so文件中的偏移为 0x00121EC0

image.png
IsCollected在内存中的地址为 0xEE232EC0
image.png

所以最后计算结果为：0xEE232EC0 - 0x00121EC0 + 0x00251E66 = 0xEE362E66
跳转到0xEE362E66处，可以看到代码和我们静态分析的是一样的，给它加上断点。

image.png

运行

F9运行
经过几次F9后他会来到我们的第一个断点处

image.png

F7进入，IDA会提示我们加载的是哪个so库，可以看到这正是我们想进入的so

image.png
点击 yes后
image.png
这就是我们该so的.init段的函数

后面读者就自己跑了，我这里直接f9到下一个断点处了

image.png

这里又回到第一个断点处了。

f7进入就是.init_array的函数了

image.png

后面还有一个init_array函数和全局对象初始化函数这里就不重复了。

我们一直f9直到断点落在libart.so

image.png

f7进入，可以看到我们的代码进入了用户层的libnative-lib.so中的JNI_Onload中。

image.png

至此Android8 中如何调试.init .init_array JNI_Onload就完成了

参考

在Android so文件的.init、.init_array上和JNI_OnLoad处下断点
IDA 动态调试Android SO .init .init_array JNI_Onload总结