反Xposed方案学习笔记

之前学习了如何使用Xposed框架
Xposed使用笔记
https://www.jianshu.com/p/b84deadfa01e

在笔记的最后也提到了几种应用的反Xposed方式
Android逆向之旅---破解某支付软件防Xposed等框架Hook功能检测机制https://mp.weixin.qq.com/s/Je1kRksxHTTYb4l9x3bTmQ

阿里系产品Xposed Hook检测机制原理分析
https://www.52pojie.cn/thread-621570-1-1.html

美团出品-Android Hook技术防范漫谈
https://tech.meituan.com/android_anti_hooking.html

看雪出品-企业壳反调试及hook检测分析https://mp.weixin.qq.com/s/StnqWtZMFCu09snIEGi1RQ

支付宝小专栏-无需 Root 也能使用 Xposed
https://mp.weixin.qq.com/s/ZFJdne95K_cA223ey-LRLA

抖音短视频检测 Xposed 分析，有两篇
https://www.52pojie.cn/thread-684757-1-1.html

https://www.52pojie.cn/thread-691584-1-1.html

检测Android虚拟机的方法和代码实现
https://mp.weixin.qq.com/s/tamMeh2xsi6L37jjizW_rA

---

实际应用

*以下方案有缺陷，新方案参考我的Android安全防护/检查root/检查Xposed/反调试/应用多开
我们知道Xposed框架使用前提一定是root
那么支付宝的策略就是先检测root权限

public static boolean checkRoot() {
        Object roSecureObj;
        boolean bSecure;
        boolean isRoot;
        //获取default.prop 中文件ro.secure的值,为0则安全，为1进一步检测
        try {
            roSecureObj = Class.forName("android.os.SystemProperties")
                    .getMethod("get", String.class)
                    .invoke(null, "ro.secure");
        } catch (Throwable fuck) {
            roSecureObj = null;
        }

        if (roSecureObj == null) bSecure = false;
        else {
            if ("0".equals(roSecureObj)) bSecure = true;
            else bSecure = false;
        }

        //检查了ro.secure值，还要检查有没有su文件，这里是ide直接简化了的
        isRoot = !bSecure && (new File("/system/bin/su").exists() || new File("/system/xbin/su").exists());
        return isRoot;
    }

然后是检测Xposed的几个核心类

private static final String XPOSED_HELPERS = "de.robv.android.xposed.XposedHelpers";
    private static final String XPOSED_BRIDGE = "de.robv.android.xposed.XposedBridge";

    /**
     * 检查xposed是否存在，就是查文件
     */
    public static boolean checkXposedExists() {
        try {
            Object xpHelperObj = ClassLoader.getSystemClassLoader().loadClass(XPOSED_HELPERS).newInstance();
        } catch (InstantiationException e) {
            e.printStackTrace();
            return true;
        } catch (IllegalAccessException e) {
            //实测debug跑到这里报异常
            e.printStackTrace();
            return true;
        } catch (ClassNotFoundException e) {
            e.printStackTrace();
            return false;
        }

        try {
            Object xpBridgeObj = ClassLoader.getSystemClassLoader().loadClass(XPOSED_BRIDGE).newInstance();
        } catch (InstantiationException e) {
            e.printStackTrace();
            return true;
        } catch (IllegalAccessException e) {
            //实测debug跑到这里报异常
            e.printStackTrace();
            return true;
        } catch (ClassNotFoundException e) {
            e.printStackTrace();
            return false;
        }
        return true;
    }

实际运行测试，两个类都会抛出IllegalAccessException

Xposed本质是使用反射，反制Xp也用反射的思路
在Application里调用

/**
     * 没有类，没有参说明没有xposed注入，但是如果setAccess失败，说明xposed注入了，但我们修改失败了
     */
    private void antiXposedInject() {
        Field xpdisableHooks = null;
        try {
            xpdisableHooks = ClassLoader.getSystemClassLoader()
                    .loadClass("de.robv.android.xposed.XposedBridge")
                    .getDeclaredField("disableHooks");
            xpdisableHooks.setAccessible(true);
            xpdisableHooks.set(null, Boolean.TRUE);
        } catch (NoSuchFieldException e) {
        } catch (ClassNotFoundException e) {
        } catch (IllegalAccessException e) {
            System.exit(1);
        }
    }

美团还有一种方案是在jni去查加载的so库，先埋坑。

完整代码地址
https://github.com/lamster2018/learnNDK