Android中Hook Instrumentation 的实现

Android中Hook Instrumentation 的实现

之前一直听说有 Hook 这个技术，但是一直不知道有什么作用，今天通过 Hook Instrumentation 小试牛刀过把瘾。
在 Android 中 有个 Instrumentation 这个类，ActivityThread 拥有这个类的实例，并且通过它实现 Activity 很多操作，如 newActivity() ，startActivity()，callActivityOnCreate() 等。比如我们可以 Hook newActivity 这个方法，然后当某个状态还没有到达的时候，去 new 一个 Loading Activity，然后让系统去启动并显示它。

那么如何 Hook Instrumentation 来实现自己想要的行为呢？
通过 ActivityThread 的源码发现，在 main 方法有

ActivityThread thread = new ActivityThread();
thread.attach(false);

这两行代码实例化了一个 ActivityThread 对象 并且调用的 attach 方法，把当前的对象赋值给了下面的这个变量 sCurrentActivityThread

private static volatile ActivityThread sCurrentActivityThread;

这个变量是 static 的，所以具体的步骤：
- 通过反射拿到 ActivityThread 的 sCurrentActivityThread 变量的值，然后再通该实例变量拿到mInstrumentation 变量。
- 再通过反射 将 mInstrumentation 变量设置为我们自定义的 CustomInstrumentation 对象。

这样当系统通过 ActivityThread 调用 它的的成员变量 mInstrumentation 调用 newActivity 等方法的时候，实际是调用我们 CustomInstrumentation 的 newActivity()，但前提是 我们的 CustomInstrumentation 继承 Instrumentation，并且重写 newActivity() 方法.最终我们可以里面干”坏事”了。

1、自定义 Instrumentation

public class CustomInstrumentation extends Instrumentation{

    private Instrumentation base;

    public CustomInstrumentation(Instrumentation base) {
        this.base = base;
    }

    @Override
    public Activity newActivity(ClassLoader cl, String className, Intent intent) throws InstantiationException, IllegalAccessException, ClassNotFoundException {
        Log.e("TAG", "invoked  CustomInstrumentation#newActivity, " + "class name =" + className + ", intent = " + intent);
        return super.newActivity(cl, className, intent);
    }
}

CustomInstrumentation 类继承了 Instrumentation，并且重写了 newActivity()

2、将 ActivityThread 的 mInstrumentation 的值设置为 CustomInstrumentation

public class Hooker {
    private static final String TAG = "Hooker";

    public static void hookInstrumentation() throws Exception {
        Class activityThread = Class.forName("android.app.ActivityThread");
        Method sCurrentActivityThread = activityThread.getDeclaredMethod("currentActivityThread");
        sCurrentActivityThread.setAccessible(true);
        //获取ActivityThread 对象
        Object activityThreadObject = sCurrentActivityThread.invoke(activityThread);

        //获取 Instrumentation 对象
        Field mInstrumentation = activityThread.getDeclaredField("mInstrumentation");
        mInstrumentation.setAccessible(true);
        Instrumentation instrumentation = (Instrumentation) mInstrumentation.get(activityThreadObject);
        CustomInstrumentation customInstrumentation = new CustomInstrumentation(instrumentation);
        //将我们的 customInstrumentation 设置进去
        mInstrumentation.set(activityThreadObject, customInstrumentation);
    }
}

3、测试

在 MyApplication 代理里调用 hookInstrumentation

public class MyApplication extends Application{

    private static MyApplication INSTANCE ;

    public static MyApplication getInstance() {
        return INSTANCE;
    }
    @Override
    public void onCreate() {
        super.onCreate();
        INSTANCE = this;
        try {
            Hooker.hookInstrumentation();
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
}

启动一个 Activity

public class MainActivity extends AppCompatActivity {

    @Override
    protected void onCreate(Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        setContentView(R.layout.activity_main);
    }
    public void onClick(View view) {
        startActivity(new Intent(this, Main2Activity.class));
    }
}

最后打印出

05-05 09:26:37.959 32760-32760/com.meyhuan.hookinstrumention E/TAG: invoked  CustomInstrumentation#newActivity, class name =com.meyhuan.hookinstrumention.Main2Activity, intent = Intent { cmp=com.meyhuan.hookinstrumention/.Main2Activity }

4、搞怪一下

将 CustomInstrumentation 的 newActivity 改为 return super.newActivity(cl, Main2Activity.class.getName(), intent);

public class CustomInstrumentation extends Instrumentation{
...
    @Override
    public Activity newActivity(ClassLoader cl, String className, Intent intent) throws InstantiationException, IllegalAccessException, ClassNotFoundException {
        Log.e("TAG", "invoked  CustomInstrumentation#newActivity, " + "class name =" + className + ", intent = " + intent);
        return super.newActivity(cl, Main2Activity.class.getName(), intent);
    }
}

然后启动应用出现如下画面

代码下载

5、总结

虽然最后的例子没有很大的使用价值，但是可以提供一些解决问题的思路，比如当我们在 Application#onCreate() 启动不同的线程,初始化一些 SDK，但是当用户点击进入到某个需要用到这个 SDK 的 Activity 的时候，就可以通过在 CustomInstrumentation#newActivity() 去检测 SDK 是否初始化好了，如果没有就可以显示一个 Loading 的 Activity。Java 的反射机制 可以然我们逃脱限制，无所不能。