使用VirtualXposed检查敏感系统方法调用

    最近app在vivo应用市场申请上架时被驳回要求修改，主要是在"用户同意隐私条款前，获取用户mac地址和应用列表信息"，不符合工信部关于app隐私服务规范。本着有则改之（不改也不行啊）的想法,尽快的在代码中检查了一遍，先把能查到的地方都给处理了下。由于app接入了比较多的三方SDK，比如统计的就有诸如友盟、TalkingData、易观及GrowingIO等，这些三方SDK为了统计也可能会获取mac地址。那么问题来了，我怎么知道哪些三方SDK调用了获取mac地址的方法呢？

    笨方法有一个，反编译apk，在反编译后的代码中搜索相关文本，那么有没有其他方便一些的办法呢，答案是肯定有的。对hook有了解的同学应该会想到用hook系统方法调用的方式来检测，说到hook在Android上就绕不开大名鼎鼎的Xposed框架。Xposed是一个适用于Android的框架。基于这个框架开发的模块可以改变系统和app应用的行为，而不需要修改APK，其原理就是修改系统的关键文件，当APP调用系统API时，首先经过Xposed，而那些基于Xposed的模块就可以选择性的在App调用这些api的时候搞一些事情，比如修改api返回的结果，从而导致app在运行的时候效果发生改变。其原理可以参考这个链接：Android 神器 xposed 框架使用指南

    Xposed框架很强大，但安装Xposed的前提是手机必须root，这就比较尴尬了，root设备还是有一定风险的，还好有另一个黑科技可用：VirtualXposed - 无需Root直接使用Xposed框架的虚拟工具。使用VirtualXposed来检测app中的系统方法调用，我们需要编写自己的Xposed模块并安装在VirtualXposed中，将需要检测的app也添加到VirtualXposed中，并在模块管理中激活对应模块，VirtualXposed中运行待检测app即可。具体操作如下：

    1、安装VirtualXposed

    github上同步下载相关项目VirtualXposed ， 注意检查VirtualApp下子模块launcher是否下载成功，另外注意编译时各个模块的分支要保持一致（我测试时是用的vxp分支），否则编译时会出问题。

    2、编写Xposed模块

    AndroidStudio中新建app工程，AndroidManifest.xml中添加如下代码：

编写hook调用方法的类，例如hook调用系统mac地址方法getHardwareAddress的类HardAddressTest

public class HardAddressTest implements IXposedHookLoadPackage {
    @Override
    public void handleLoadPackage(XC_LoadPackage.LoadPackageParam lpparam) throws Throwable {
        try {
            XposedHelpers.findAndHookMethod("java.net.NetworkInterface",
                    lpparam.classLoader,
                    "getHardwareAddress",
                    new XC_MethodHook() {
                        @Override
                        protected void beforeHookedMethod(MethodHookParam param) throws Throwable {
                            XposedBridge.log("handleLoadPackage getHardwareAddress before hooked");
                            param.setResult("Mac?Hooked!");
                            super.beforeHookedMethod(param);
                        }
                        @Override
                        protected void afterHookedMethod(MethodHookParam param) throws Throwable {
                            super.afterHookedMethod(param);
                            XposedBridge.log("handleLoadPackage getHardwareAddress hooked");
                        }
                    });
        } catch (Throwable r) {
            // r.printStackTrace();
        }
    }
}

以及例如hook调用系统mac地址方法getMacAddress的类MacAddressTest

public class MacAddressTest extends BaseTest implements IXposedHookLoadPackage {
    @Override
    public void handleLoadPackage(XC_LoadPackage.LoadPackageParam lpparam) throws Throwable {
        try {
            XposedHelpers.findAndHookMethod("android.net.wifi.WifiInfo",
                    lpparam.classLoader,
                    "getMacAddress",
                    new XC_MethodHook() {
                        @Override
                        protected void beforeHookedMethod(MethodHookParam param) throws Throwable {
                            XposedBridge.log("handleLoadPackage getMacAddress beforehooked");
                            param.setResult("Mac?Hooked!");
                            super.beforeHookedMethod(param);
                        }

                        @Override
                        protected void afterHookedMethod(MethodHookParam param) throws Throwable {
                            super.afterHookedMethod(param);
                            XposedBridge.log("handleLoadPackage getMacAddress hooked");
                        }
                    });
        } catch (Throwable r) {
            // r.printStackTrace();
        }
    }
}

新建BaseTest类，主要用于输出调用栈，以便于定位hook的相关方法被调用的模块及位置。

public class BaseTest {
    private static final Boolean IS_NEED_CALL_STACK_TRACE = true;

    public void printStackTrace() {
        if (IS_NEED_CALL_STACK_TRACE) {
            Throwable ex = new Throwable();
            StackTraceElement[] stackElements = ex.getStackTrace();
            if (stackElements.length > 0) {
                XposedBridge.log("handleLoadPackage stackInfo ------>");
                for (StackTraceElement element : stackElements) {
                    XposedBridge.log("handleLoadPackage at " + element.getClassName() + "." + element.getMethodName() +
                            "(" + element.getFileName() + ":" + element.getLineNumber() + ")");
                }
            } else {
                try {
                    RuntimeException e = new RuntimeException("");
                    e.fillInStackTrace();
                    Log.i(":", "++++++++++++", e);
                } catch (Throwable r) {
                    r.printStackTrace();
                }
            }
        }
    }
}

assets目录下添加xposed_init文件，注意文件名必须为这个。至于为何一定是这个名字，可以看这里XposedInit 。
xposed_init中内容为包名+新建hook方法类，换行区分不同的方法类，行首为 #符号时会忽略后续内容。

com.example.myapplication.HardAddressTest
com.example.myapplication.MacAddressTest

测试时发现文件中有多个hook方法类时，仅第一个会生效，看了下exposed-core 中部分源码，发现是在ExposedBridge.java中的loadModule中做了些处理，不确定是否是一个bug。部分关键代码如下:

public static ModuleLoadResult loadModule(final String moduleApkPath, String moduleOdexDir, String moduleLibPath,
                                              final ApplicationInfo currentApplicationInfo, ClassLoader appClassLoader) {

        if (filterApplication(currentApplicationInfo)) {
            return ModuleLoadResult.IGNORED;
        }

        final String rootDir = new File(currentApplicationInfo.dataDir).getParent();
        loadModuleConfig(rootDir, currentApplicationInfo.processName);

        ...

        InputStream is = mcl.getResourceAsStream("assets/xposed_init");
        if (is == null) {
            log("assets/xposed_init not found in the APK");
            return ModuleLoadResult.INVALID;
        }

        BufferedReader moduleClassesReader = new BufferedReader(new InputStreamReader(is));
        try {
            String moduleClassName;
            while ((moduleClassName = moduleClassesReader.readLine()) != null) {
                moduleClassName = moduleClassName.trim();
                if (moduleClassName.isEmpty() || moduleClassName.startsWith("#"))
                    continue;

                if (filterModuleForApp(currentApplicationInfo, moduleClassName)) {
                    XposedBridge.log("ignore module: " + moduleClassName + " for application: " + currentApplicationInfo.packageName);
                    continue;
                }
                try {
                    Log.i(TAG, "  Loading class " + moduleClassName);
                    Class moduleClass = mcl.loadClass(moduleClassName);

                    sModuleLoadListener.onLoadingModule(moduleClassName, currentApplicationInfo, mcl);

                    ...

                    sModuleLoadListener.onModuleLoaded(moduleClassName, currentApplicationInfo, mcl);

                } catch (Throwable t) {
                    log(t);
                }
                return ModuleLoadResult.SUCCESS;
            }
        } catch (IOException e) {
            log(e);
        } finally {
            closeSliently(is);
        }
        return ModuleLoadResult.FAILED;
    }

其在获取到xposed_init文件中的一行有效信息后就return SUCCESS了，我们测试时要想支持多个hook方法的话，修改下那块返回逻辑即可。修改时需要把exposed-core部分代码，添加到VirtualApp工程中，并修改相关gradle依赖。

关键代码编写完后，运行安装app并在VirtualXposed中添加app，在模块管理中即可看到我们添加的测试模块，勾选激活模块后，VirtualXposed中添加要测试的应用并运行观察log即可。