sakuradream
sakuradream

allhookinone

struct HookInfo{
    char * classDesc;//被hook方法声明所在的类.
    char * methodName;//被hook方法名字
    char * methodSig;//被hook方法的参数和返回值例如，如果被hook方法是`private String getString(int a,String b)`则此时对应的methodSig为`(ILjava/lang/String;)Ljava/lang/String;`
    
    //for dalvik jvm
    bool isStaticMethod;//
    void * originalMethod;
    void * returnType;
    void * paramTypes;

    //for art jvm
    const void * nativecode;
    const void * entrypoint;
}

java hook思路

在hook之前需要准备的信息

  1. 需要知道被hook方法的名字以及被hook方法定义所在的类
  2. 通过classname.class.getDeclaredMethod("methodname",args[i].class)方法获取被hook方法的Method对象;
  3. 得到被hook方法的Method对象之后，可以通过Method类提供的方法获取更多的被hook方法的信息。具体是clasdes(被Hook方法的声明所在的类，通过method.getDeclaringClass().getName()方法获得),methodname(通过method.getName()方法获得),methodsig(methodsig中存储的是被hook方法的参数和返回值).

hook流程

在进行hook时，主要思路是修改被hook方法对应的ArtMethod对象中的EntryPointFromCompiledCode()即被hook方法的本地机器指令入口。修改该入口，使得该入口指向我们编写的函数，在执行完成之后跳转到被hook函数，从而完成整个hook过程。
由于java代码在生成本地机器指令时，是通过dex2oat程序完成的，而native层代码生成本地机器指令时则是通过gcc生成，这两套工具生成的机器指令规则不同，所以在相互调用时，需要去调整寄存器中的内容。所以在修改被hook方法时，需要对寄存器中内容进行调整。
两种工具生成的本地机器指令对应的寄存器的内容如下所示

r0=method pointer                                                  |r0=method pointer
r1=thread pointer                                                  |r1=arg1
r2=args array                                                      |r2=arg2
r3=old sp                                                          |r3=arg3
[sp]=entrypoint                                                    |r9=thread pointer
        1                                                         |[sp]=method pointer
                                                                   |[sp+4]=addr of thiz
                                                                   |[sp+8]=addr of arg1
                                                                   |[sp+12]=addr of arg2
                                                                   |[sp+16]=addr of arg3 
                                                                                2

具体代码分析

代码入口点hookMethodNative(String clsdes,String methodname,String methodsig,boolean isstatic)
对应的native层方法是java_com_example_allhookinone_HookUtils_hookMethodNative(JNIEnv *env,jobject thiz,jstring cls,jstring methodname,jstring methodsig,jboolean isstatic)方法
java语言中的String对应到native层是jstring，所以整体的代码逻辑是

  1. 将jstring类型的变量都转换成char *类型，存入到HookInfo结构体中。这一步会对HookInfo结构体中的classDesc,methodName,methodSig,isStaticMethod进行赋值
  2. 获取android虚拟机运行过程中加载的so文件，以此来判断android虚拟机是art模式还是dalvik模式。这里假定androidVM此时是ART运行时，往下继续分析代码。
  3. 从HookInfo结构体中可以获取到被hook方法的相关信息，包括classDesc(被hook方法定义所在的类)，methodName(被hook方法的名字)，methodSig(被hook方法的参数和返回值)，isStaticMethod(被hook方法是否是静态方法)。
  4. 获取当前程序对应的JNIEnv。然后通过JNIEnv中提供的JNI方法得到被hook方法对应的ArtMethod对象。具体的获取方法是
    4.1 通过env->FindClass(classDesc)方法获取被hook方法所在的类，存储在jclass类型的变量claxx中。
    4.2 判断被hook方法是否是静态方法(通过第一步中获取的isStaticMethod判断)，如果是静态方法则通过env->GetStaticMethodID(claxx,methodName,methodSig)获取被hook方法的MethodID,存储在jmethodID类型的变量methid中；如果是非静态方法，则通过env->GetMethodID(claxx,methodName,methodSig)获取被hook方法的MethodID，同样存储在jmethodID类型的变量methid中。
  5. 获取到被hook方法的methodID之后，通过reinterpret_cast(methid)获取被hook方法，存储在ArtMethod*类型的变量artmeth中
  6. 获取ArtMethod类型的对象之后，通过GetEntryPointFromCompiledCode()获取被hook方法原本的本地机器指令入口，然后将这个入口与我们hook之后指向的入口做比较，如果此时被hook方法指定的本地机器指令入口不是我们hook之后指向的入口，则继续走下边的流程；如果两个入口相同，则说明该方法已经被hook，程序运行结束。
  7. 被hook方法对应的artmethod对象中指定的本地机器指令入口不是hook之后指向的入口
    7.1 获取此时被hook方法对应的artmethod对象中指定的本地机器指令入口，存储在新定义的变量entrypoint中
    7.2 将entrypoint赋值给HookInfo结构体中的entrypoint变量
    7.3 将当前被hook方法对应的artmethod对象中指定的NativeMethod赋值给HookInfo结构体中的nativecode
    7.4重新设置被hook方法对应的artmethod对象中的EntryPointFromCompiledCode，将这个值设置为art_quick_dispatcher。
    7.5重新设置artmethod对象中的nativemethod。

修改完成之后，当执行被hook方法时，由于已经将被hook方法的本地机器指令入口设置为art_quick_dispatcher，所以执行到被hook方法时会去运行art_quick_dispatcher。
art_quick_dispatcher是由汇编代码实现的。如下所示。

 ENTRY art_quick_dispatcher
    push    {r4, r5, lr}           @ sp - 12
    mov      r0, r0                @ pass r0 to method
    str   r1, [sp, #(12 + 4)]
    str      r2, [sp, #(12 + 8)]
    str      r3, [sp, #(12 + 12)]
    mov   r1, r9                   @ pass r1 to thread
    add      r2, sp, #(12 + 4)     @ pass r2 to args array
    add   r3, sp, #12              @ pass r3 to old SP
    blx      artQuickToDispatcher   @ (Method* method, Thread*, u4 **, u4 **)
    pop      {r4, r5, pc}          @ return on success, r0 and r1 hold the result
END art_quick_dispatcher

从这段汇编可以看出，在运行汇编之前，寄存器中的内容分布是第二种

这段汇编代码的逻辑是

  1. 保存环境，以便运行完成之后返回，执行下一条指令。
  2. 保存r1,r2,r3寄存器中的内容
  3. r0中的值不变，在两种存储规则中都是存储的method pointer
  4. 从r9中获取thread pointer，存储到r1中
  5. r2中存储的是参数指针，
  6. r3中存储原来的栈定sp
  7. 调用artQuickToDispatcher方法。
  8. 运行结束，返回pc，从pc中可以获取下一条指令

artQuickToDispatcher方法

artQuickToDispatcher方法主要完成的工作包括两点

  • 运行我们添加的before hook method，
  • 调整寄存器中的内容，将寄存器中的内容从第一种修改成第二种之后调用被hook方法原本的本地机器指令

artQuickToDispatcher方法的代码如下所示

extern "C" uint64_t artQuickToDispatcher(ArtMethod* method, Thread *self, u4 **args, u4 **old_sp){
    HookInfo *info = (HookInfo *)method->GetNativeMethod();
    LOGI("[+] entry ArtHandler %s->%s", info->classDesc, info->methodName);

    // If it not is static method, then args[0] was pointing to this
    if(!info->isStaticMethod){
        Object *thiz = reinterpret_cast(args[0]);
        if(thiz != NULL){
            char *bytes = get_chars_from_utf16(thiz->GetClass()->GetName());
            LOGI("[+] thiz class is %s", bytes);
            delete bytes;
        }
    }
//从这个函数开始到这里为止的这一段代码相当于before hook方法

    const void *entrypoint = info->entrypoint;//info中存储的是被hook方法原本的本地机器指令入口
    method->SetNativeMethod(info->nativecode); //restore nativecode for JNI method
    uint64_t res = art_quick_call_entrypoint(method, self, args, old_sp, entrypoint);//调整寄存器内容，从第一种调整成第二种，调整之后会通过blx跳转到被hook方法原本的本地机器指令区执行

    JValue* result = (JValue* )&res;
    if(result != NULL){
        Object *obj = result->l;
        char *raw_class_name = get_chars_from_utf16(obj->GetClass()->GetName());

        if(strcmp(raw_class_name, "java.lang.String") == 0){
            char *raw_string_value = get_chars_from_utf16((String *)obj);
            LOGI("result-class %s, result-value \"%s\"", raw_class_name, raw_string_value);
            free(raw_string_value);
        }else{
            LOGI("result-class %s", raw_class_name);
        }

        free(raw_class_name);
    }

    // entrypoid may be replaced by trampoline, only once.
//  if(method->IsStatic() && !method->IsConstructor()){

    entrypoint = method->GetEntryPointFromCompiledCode();
    if(entrypoint != (const void *)art_quick_dispatcher){
        LOGW("[*] entrypoint was replaced. %s->%s", info->classDesc, info->methodName);

        method->SetEntryPointFromCompiledCode((const void *)art_quick_dispatcher);
        info->entrypoint = entrypoint;
        info->nativecode = method->GetNativeMethod();
    }

    method->SetNativeMethod((const void *)info);

//  }

    return res;
}


具体的代码分析见注释


art_quick_call_entrypoint是由汇编代码实现的。如下所示。


 ENTRY art_quick_call_entrypoint
    push    {r4, r5, lr}           @ sp - 12
    sub     sp, #(40 + 20)         @ sp - 40 - 20
    str     r0, [sp, #(40 + 0)]    @ var_40_0 = method_pointer
    str     r1, [sp, #(40 + 4)]    @ var_40_4 = thread_pointer
    str     r2, [sp, #(40 + 8)]    @ var_40_8 = args_array
    str     r3, [sp, #(40 + 12)]   @ var_40_12 = old_sp
    mov     r0, sp
    mov     r1, r3
    ldr     r2, =40
    blx     memcpy                 @ memcpy(dest, src, size_of_byte)
    ldr     r0, [sp, #(40 + 0)]    @ restore method to r0
    ldr     r1, [sp, #(40 + 4)]
    mov     r9, r1                 @ restore thread to r9
    ldr     r5, [sp, #(40 + 8)]    @ pass r5 to args_array
    ldr     r1, [r5]               @ restore arg1
    ldr     r2, [r5, #4]           @ restore arg2
    ldr     r3, [r5, #8]           @ restore arg3
    ldr     r5, [sp, #(40 + 20 + 12)] @ pass ip to entrypoint
    blx     r5
    add     sp, #(40 + 20)
    pop     {r4, r5, pc}           @ return on success, r0 and r1 hold the result
 END art_quick_call_entrypoint





在运行这段汇编之前，寄存器中的内容分布是第一种




这段汇编代码的逻辑是
 1.保存环境，以便运行完成之后返回，执行下一条指令。
 2.保存r0,r1,r2,r3寄存器中的内容
 3.调用memcpy申请一个空间。memcpy的参数是dest,src,size_of_byte，所以在调用memcpy之前，首先要将函数的参数存储到r0,r1,r2中。
 4.重新给r0,r1,r2，r9等寄存器赋值，使得寄存器按照第二种方式。
 5.调用entrypoint。
























你可能感兴趣的:(allhookinone)






    

  • allhookinone
sakuradream

    structHookInfo{char*classDesc;//被hook方法声明所在的类.char*methodName;//被hook方法名字char*methodSig;//被hook方法的参数和返回值例如，如果被hook方法是`privateStringgetString(inta,Stringb)`则此时对应的methodSig为`(ILjava/lang/String;)Ljava/l
    

    • 

  • Java开发中，spring mvc 的线程怎么调用？
小麦麦子
springmvc

    今天逛知乎，看到最近很多人都在问spring mvc 的线程http://www.maiziedu.com/course/java/ 的启动问题，觉得挺有意思的，那哥们儿问的也听仔细，下面的回答也很详尽，分享出来，希望遇对遇到类似问题的Java开发程序猿有所帮助。
问题：
    在用spring mvc架构的网站上，设一线程在虚拟机启动时运行，线程里有一全局
    

    • 

  • maven依赖范围
bitcarter
maven

    1.test 测试的时候才会依赖，编译和打包不依赖，如junit不被打包
2.compile 只有编译和打包时才会依赖
3.provided 编译和测试的时候依赖，打包不依赖，如：tomcat的一些公用jar包
4.runtime 运行时依赖，编译不依赖
5.默认compile
依赖范围compile是支持传递的，test不支持传递
1.传递的意思是项目A，引用
    

    • 

  • Jaxb org.xml.sax.saxparseexception : premature end of file
darrenzhu
xmlprematureJAXB

    如果在使用JAXB把xml文件unmarshal成vo(XSD自动生成的vo)时碰到如下错误：
org.xml.sax.saxparseexception : premature end of file
很有可能时你直接读取文件为inputstream，然后将inputstream作为构建unmarshal需要的source参数。InputSource inputSource = new In
    

    • 

  • CSS Specificity
周凡杨
html权重Specificitycss

     
有时候对于页面元素设置了样式，可为什么页面的显示没有匹配上呢？ because specificity
CSS 的选择符是有权重的，当不同的选择符的样式设置有冲突时，浏览器会采用权重高的选择符设置的样式。
    规则：
 
HTML标签的权重是1
Class 的权重是10
Id 的权重是100

    

    • 

  • java与servlet
g21121
servlet

    servlet 搞java web开发的人一定不会陌生，而且大家还会时常用到它。
下面是java官方网站上对servlet的介绍： java官网对于servlet的解释 写道
Java Servlet Technology Overview Servlets are the Java platform technology of choice for extending and enha
    

    • 

  • eclipse中安装maven插件
510888780
eclipsemaven

    1.首先去官网下载 Maven：
http://www.apache.org/dyn/closer.cgi/maven/binaries/apache-maven-3.2.3-bin.tar.gz
下载完成之后将其解压，
我将解压后的文件夹：apache-maven-3.2.3，
并将它放在 D:\tools目录下，
即 maven 最终的路径是：D:\tools\apache-mave
    

    • 

  • jpa@OneToOne关联关系
布衣凌宇
jpa

    Nruser里的pruserid关联到Pruser的主键id，实现对一个表的增删改，另一个表的数据随之增删改。
Nruser实体类
//*****************************************************************
@Entity
@Table(name="nruser")
@DynamicInsert @Dynam
    

    • 

  • 我的spring学习笔记11-Spring中关于声明式事务的配置
aijuans
spring事务配置

    这两天学到事务管理这一块，结合到之前的terasoluna框架，觉得书本上讲的还是简单阿。我就把我从书本上学到的再结合实际的项目以及网上看到的一些内容，对声明式事务管理做个整理吧。我看得Spring in Action第二版中只提到了用TransactionProxyFactoryBean和<tx:advice/>,定义注释驱动这三种，我承认后两种的内容很好，很强大。但是实际的项目当中
    

    • 

  • java 动态代理简单实现
antlove
javahandlerproxydynamicservice

    dynamicproxy.service.HelloService
package dynamicproxy.service;
public interface HelloService {
public void sayHello();
}
 
dynamicproxy.service.impl.HelloServiceImpl
package dynamicp
    

    • 

  • JDBC连接数据库
百合不是茶
JDBC编程JAVA操作oracle数据库

        
    如果我们要想连接oracle公司的数据库，就要首先下载oralce公司的驱动程序，将这个驱动程序的jar包导入到我们工程中;
 
JDBC链接数据库的代码和固定写法;
 
 
1,加载oracle数据库的驱动;
    &nb
    

    • 

  • 单例模式中的多线程分析
bijian1013
javathread多线程java多线程

    谈到单例模式，我们立马会想到饿汉式和懒汉式加载，所谓饿汉式就是在创建类时就创建好了实例，懒汉式在获取实例时才去创建实例，即延迟加载。
饿汉式：
package com.bijian.study;
public class Singleton {
private Singleton() {
}
// 注意这是private 只供内部调用
private static
    

    • 

  • javascript读取和修改原型特别需要注意原型的读写不具有对等性
bijian1013
JavaScriptprototype

            对于从原型对象继承而来的成员，其读和写具有内在的不对等性。比如有一个对象A，假设它的原型对象是B，B的原型对象是null。如果我们需要读取A对象的name属性值，那么JS会优先在A中查找，如果找到了name属性那么就返回；如果A中没有name属性，那么就到原型B中查找name，如果找到了就返回；如果原型B中也没有
    

    • 

  • 【持久化框架MyBatis3六】MyBatis3集成第三方DataSource
bit1129
dataSource

    MyBatis内置了数据源的支持，如：
 
<environments default="development">
<environment id="development">
<transactionManager type="JDBC" />
<data
    

    • 

  • 我程序中用到的urldecode和base64decode,MD5
bitcarter
cMD5base64decodeurldecode

    这里是base64decode和urldecode，Md5在附件中。因为我是在后台所以需要解码：
string Base64Decode(const char* Data,int DataByte,int& OutByte)
{
//解码表
const char DecodeTable[] =
{
0, 0, 0, 0, 0, 0
    

    • 

  • 腾讯资深运维专家周小军：QQ与微信架构的惊天秘密
ronin47

    社交领域一直是互联网创业的大热门，从PC到移动端，从OICQ、MSN到QQ。到了移动互联网时代，社交领域应用开始彻底爆发，直奔黄金期。腾讯在过去几年里，社交平台更是火到爆，QQ和微信坐拥几亿的粉丝，QQ空间和朋友圈各种刷屏，写心得，晒照片，秀视频，那么谁来为企鹅保驾护航呢？支撑QQ和微信海量数据背后的架构又有哪些惊天内幕呢？本期大讲堂的内容来自今年2月份ChinaUnix对腾讯社交网络运营服务中心
    

    • 

  • java-69-旋转数组的最小元素。把一个数组最开始的若干个元素搬到数组的末尾，我们称之为数组的旋转。输入一个排好序的数组的一个旋转，输出旋转数组的最小元素
bylijinnan
java

    
public class MinOfShiftedArray {
/**
* Q69 旋转数组的最小元素
* 把一个数组最开始的若干个元素搬到数组的末尾，我们称之为数组的旋转。输入一个排好序的数组的一个旋转，输出旋转数组的最小元素。
* 例如数组{3, 4, 5, 1, 2}为{1, 2, 3, 4, 5}的一个旋转，该数组的最小值为1。
*/
publ
    

    • 

  • 看博客，应该是有方向的
Cb123456
反省看博客

    看博客，应该是有方向的:
 我现在就复习以前的，在补补以前不会的，现在还不会的，同时完善完善项目，也看看别人的博客.
 我刚突然想到的:
 1.应该看计算机组成原理，数据结构，一些算法，还有关于android,java的。
 2.对于我，也快大四了，看一些职业规划的，以及一些学习的经验，看看别人的工作总结的.
 
 为什么要写
    

    • 

  • [开源与商业]做开源项目的人生活上一定要朴素,尽量减少对官方和商业体系的依赖
comsci
开源项目

    
     为什么这样说呢？  因为科学和技术的发展有时候需要一个平缓和长期的积累过程，但是行政和商业体系本身充满各种不稳定性和不确定性，如果你希望长期从事某个科研项目，但是却又必须依赖于某种行政和商业体系，那其中的过程必定充满各种风险。。。
      所以，为避免这种不确定性风险，我
    

    • 

  • 一个 sql优化 （[精华] 一个查询优化的分析调整全过程！很值得一看 ）
cwqcwqmax9
sql

    见   http://www.itpub.net/forum.php?mod=viewthread&tid=239011
Web翻页优化实例
提交时间: 2004-6-18 15:37:49      回复    发消息 
环境：
Linux ve
    

    • 

  • Hibernat and Ibatis
dashuaifu
Hibernateibatis

    Hibernate  VS  iBATIS 简介 Hibernate 是当前最流行的O/R mapping框架，当前版本是3.05。它出身于sf.net，现在已经成为Jboss的一部分了 iBATIS 是另外一种优秀的O/R mapping框架，当前版本是2.0。目前属于apache的一个子项目了。 相对Hibernate“O/R”而言，iBATIS 是一种“Sql Mappi
    

    • 

  • 备份MYSQL脚本
dcj3sjt126com
mysql

    #!/bin/sh
# this shell to backup mysql
#[email protected] (QQ:1413161683 DuChengJiu)
_dbDir=/var/lib/mysql/
_today=`date +%w`
_bakDir=/usr/backup/$_today
[ ! -d $_bakDir ] && mkdir -p 
    

    • 

  • iOS第三方开源库的吐槽和备忘
dcj3sjt126com
ios

    转自
ibireme的博客   做iOS开发总会接触到一些第三方库，这里整理一下，做一些吐槽。   目前比较活跃的社区仍旧是Github，除此以外也有一些不错的库散落在Google Code、SourceForge等地方。由于Github社区太过主流，这里主要介绍一下Github里面流行的iOS库。   首先整理了一份
Github上排名靠
    

    • 

  • html wlwmanifest.xml
eoems
htmlxml

    所谓优化wp_head()就是把从wp_head中移除不需要元素，同时也可以加快速度。
步骤：
加入到function.php
remove_action('wp_head', 'wp_generator');
//wp-generator移除wordpress的版本号，本身blog的版本号没什么意义，但是如果让恶意玩家看到，可能会用官网公布的漏洞攻击blog
remov
    

    • 

  • 浅谈Java定时器发展
hacksin
java并发timer定时器

    java在jdk1.3中推出了定时器类Timer,而后在jdk1.5后由Dou Lea从新开发出了支持多线程的ScheduleThreadPoolExecutor，从后者的表现来看，可以考虑完全替代Timer了。
Timer与ScheduleThreadPoolExecutor对比：
1.
 
 Timer始于jdk1.3,其原理是利用一个TimerTask数组当作队列
    

    • 

  • 移动端页面侧边导航滑入效果
ini
jqueryWebhtml5cssjavascirpt

    效果体验：http://hovertree.com/texiao/mobile/2.htm可以使用移动设备浏览器查看效果。效果使用到jquery-2.1.4.min.js，该版本的jQuery库是用于支持HTML5的浏览器上，不再兼容IE8以前的浏览器，现在移动端浏览器一般都支持HTML5，所以使用该jQuery没问题。HTML文件代码：
<!DOCTYPE html>
<h
    

    • 

  • AspectJ+Javasist记录日志
kane_xie
aspectjjavasist

    在项目中碰到这样一个需求，对一个服务类的每一个方法，在方法开始和结束的时候分别记录一条日志，内容包括方法名，参数名+参数值以及方法执行的时间。
 
@Override
public String get(String key) {
// long start = System.currentTimeMillis();
// System.out.println("Be
    

    • 

  • redis学习笔记
MJC410621
redisNoSQL

    1)nosql数据库主要由以下特点：非关系型的、分布式的、开源的、水平可扩展的。
1，处理超大量的数据
2，运行在便宜的PC服务器集群上，
3，击碎了性能瓶颈。
1)对数据高并发读写。
2)对海量数据的高效率存储和访问。
3)对数据的高扩展性和高可用性。
redis支持的类型：
Sring 类型
set name lijie
get name lijie
set na
    

    • 

  • 使用redis实现分布式锁
qifeifei

    在多节点的系统中，如何实现分布式锁机制，其中用redis来实现是很好的方法之一，我们先来看一下jedis包中，有个类名BinaryJedis,它有个方法如下：
 
public Long setnx(final byte[] key, final byte[] value) {
checkIsInMulti();
client.setnx(key, value);
ret
    

    • 

  • BI并非万能，中层业务管理报表要另辟蹊径
张老师的菜
大数据BI商业智能信息化

           BI是商业智能的缩写，是可以帮助企业做出明智的业务经营决策的工具，其数据来源于各个业务系统，如ERP、CRM、SCM、进销存、HER、OA等。
       BI系统不同于传统的管理信息系统，他号称是一个整体应用的解决方案，是融入管理思想的强大系统：有着系统整体的设计思想，支持对所有
    

    • 

  • 安装rvm后出现rvm not a function 或者ruby -v后提示没安装ruby的问题
wudixiaotie
function

    1.在~/.bashrc最后加入
[[ -s "$HOME/.rvm/scripts/rvm" ]] && source "$HOME/.rvm/scripts/rvm"
 2.重新启动terminal输入：
 
rvm use ruby-2.2.1 --default
 把当前安装的ruby版本设为默
    

    •