Native Hook方案

Hook翻译过来就是“钩子”的意思，是指截获进程对某个API函数的调用，使得API的执行流程转向到我们自己实现的代码片段，从而实现我们所需要的功能。对于Native Hook技术，比较成熟的方案有GOT/PLT Hook、Trap Hook以及Inline Hook。

GOT/PLT Hook

GOT/PLT Hook主要用于替换某个SO的外部调用，通过将外部函数调用跳转成我们的目标函数。GOT/PLT Hook非常稳定，可以达到部署生产环境的标准。GOT/PLT Hook的实现原理需要对SO文件的ELF文件格式和动态链接过程有所了解。

ELF格式

ELF（Executableand Linking Format）是可执行和链接格式，它是一个开放标准，各种UNIX系统的可执行文件大多采用ELF格式。ELF本身支持三种不同的类型（重定位、执行、共享），其文件结构图如下图所示。

对于GOT/PLT Hook来说，主要关心“.plt”和“.got”两个节区：

• .plt： 该节保存过程链接表（Procedure Linkage Table）
• .got：该节保存着全局偏移量表
  可以使用readelf -s来查看ELF文件的具体信息。
  系统加载ELF文件流程
• 读ELF的程序头部表，把所有PT_LOAD的节区mmap到内存中。
• 从“.dynamic”中读取各信息项，计算并保存所有节区的虚拟地址，然后执行重定位操作。

• 最后ELF加载成功，引用计数加一。
  PLT和GOT记录是一一对应的，并且GOT表第一次解析后含调用函数的实际地址，PLT从某种意义上赋予我们一种懒加载的能力，当动态库首次被加载时，所有的函数地址并没有被解析。

  
  
• 代码中调用函数func，编译器会把这个转化为func@plt，并在PLT表插入一条记录。
• PLT表中第一条（或者说第0条）PLT[0]是一条特殊记录，它是用来帮助我们解析地址的，通常在Linux系统，这个的实现位于动态加载器。
• 其余的PLT记录都均包含以下信息：跳转GOT表的指令（jmp *GOT[n]）；为上面提到的第0条解析地址函数准备参数；调用PLT[0]，这里resovler的实际地址是存储在GOT[2]。

• 在解析前GOT[n]会直接指向jmp *GOT[n]的下一条指令，在解析完成后，我们就得到了func的实际地址，动态加载器会将这个地址填入GOT[n]，然后调用func。

  
  
  
  

  当第一次调用发生后，之后再调用函数func就高效简单很多。首先调用PLT[n]，然后执行jmp *GOT[n]。GOT[n]直接执行func，这样就高效完成了函数调用。

  
  
  
  
  
  GOT/PLT Hook只能替换导入函数的方式，有时候我们不一定可以找到这样的外部函数调用，如果想Hook函数的内部调用，这个时候就需要用到Trap Hook或者Inline Hook。
  

  业内成熟方案：

• 微信Matrix 开源库ELF Hook
• 爱奇艺开源xHook
• Facebook的PLT Hook

Trap Hook

它的原理是在需要Hook的地方想办法触发断点，并捕获异常，一般我们会利用SIGTRAP或者SIGKILL（非法指令异常）这两种信号，下面以SIGTRAP信号为例

• 注册信号接收句柄（signal handler），不同的体系结构可能会选取不同的信号，我们这里用SIGTRAP
• 在我们需要Hook的部分插入Trap指令
• 系统调用Trap指令，进入内核模式，调用我们已经开始注册号的信号接收句柄（signal handler）
• 执行信号句柄（signal handler），然后再执行我们的hook代码
• 在执行完Hook的函数后，需要恢复现场。
  Trap Hook兼容性非常好，它可在生产环境大规模使用，但它最大的问题是效率比较低，不适合Hook非常频繁调用的函数。

Inline Hook

Inline Hook也是函数内部的Hook，它直接将函数开始处的指令更换为跳转指令，使得原函数直接跳转到Hook的目标函数，并保留原函数的调用接口以完成后续再调用回来的目的。
与GOT/PLT Hook相比，Inline Hook可以不受GOT/PLT 表的限制，几乎可以Hook任何函数，不过其实现十分复杂，涉及不同CPU架构带来的指令集适配问题，我们需要根据不同指令集来分别进行指令复写与跳转。对于Trap Hook，我们只需在目标地址前插入特殊指令，并且在执行结束后原始指令写回去就可以了。
Inline Hook虽然功能强大，而且执行效率也很高，但是业界目前还没有一套完全稳定可靠的开源方案。Inline Hook一般会用在自动化测试或者线上疑难问题的定位。业内参考方案：

• Cydia Substrate
• adbi

方案比较

• GOT/PLT Hook是一个比较中庸的方案，有较好的性能，中等的实现难度，但其职能Hook动态库之间的外部函数调用，并且无法Hook未导出的私有函数，而且只存在安装与卸载2中状态，一旦安装就会Hook所有函数调用。
• Trap Hook最为稳定，但由于需要切换运行模式（R0/R3），且依赖内核的信号机制，导致性能很差。

• Inline Hook是一个非常激进的方案，有很好的性能，并且没有PLT作用域的限制，但其实现难度极高，兼容性较差。