Android Hook技术如何快速入门？-睿诚科技协会

什么是 Hook？(核心概念)

想象一下，你正在打电话，通话过程正常进行，有人在电话线的中间接了一个“分线器”（Hook）,这个分线器可以：

（图片来源网络，侵删）

在编程世界里，Hook（钩子） 就是一个类似“分线器”的技术,它的核心思想是：

在目标函数（或方法）执行之前，插入我们自己的逻辑（代码），从而改变或控制其原始行为。

被 Hook 的函数，就像被我们“挂上”了一个钩子，在它执行的主流程中，我们有机会插入自己的代码来“为所欲为”。

Hook 技术非常强大，主要用于安全和逆向工程领域,常见场景包括：

（图片来源网络，侵删）

移动安全测试/渗透测试：
- 抓包：绕过 App 的 SSL Pinning（证书锁定），从而使用 Burp Suite 等工具进行抓包分析。
- 分析逻辑：Hook App 内部的关键函数，比如登录、支付、加密等，观察参数、返回值,分析其业务逻辑和算法。
逆向工程：
- 脱壳：Hook 内存操作相关的函数（如 dlopen, dlsym），在动态加载器（如 DexClassLoader）加载 Dex 文件时，将其 dump 到本地,从而脱去加壳保护。
- 定位关键代码：当无法直接在 Smali 或 Java 层找到关键逻辑时，通过 Hook 相关 API 来定位代码位置。
自动化测试：
- 模拟操作：Hook UI 相关的函数，模拟点击、滑动等操作,实现自动化测试。
- Mock 数据：Hook 网络请求或数据读取函数，返回预设的假数据,使测试不依赖真实环境。
App 功能增强/插件化开发：
在不修改 App 源码的情况下，为其增加新功能或修改现有功能（修改微信的“朋友圈”显示逻辑）。

要理解 Hook，需要先了解几个 Android 相关的基础概念：

在 Java/Kotlin 层，Hook 通常是针对对象和方法的。

反射：Java 的反射机制是 Hook 的基础，它允许我们在运行时动态地获取类的信息、创建对象、调用方法和访问字段，没有反射，Hook 就无从谈起。
动态代理：这是 Java 原生提供的一种设计模式，常用于 Hook 接口方法，它会为你创建一个代理对象，所有对该接口的调用都会先经过这个代理对象,代理对象可以决定是否调用以及如何调用原始对象的方法。
方法替换：Hook 的核心就是方法替换，其本质是：
1. 找到目标对象（比如一个 Button 实例）。
2. 通过反射，将这个对象中指向原始方法（View.OnClickListener.onClick()）的引用，替换成指向我们自己编写的“恶意的”方法的引用。
3. 这样，当用户点击按钮时，执行的就不是系统原来的 onClick,而是我们的代码了。

当 Java 层的逻辑被 Native 代码保护时，就需要在 Native 层进行 Hook。

（图片来源网络，侵删）

JNI (Java Native Interface)：是 Java 和 C/C++ 通信的桥梁。
Native Hook 技术：主要利用了 Linux 动态链接的机制。
- PLT/GOT Hook (基于链接时)：在程序加载和链接时，通过修改 Procedure Linkage Table (PLT) 和 Global Offset Table (GOT) 表，将对外部函数（如 libc 中的 open, read, write）的调用重定向到我们自己的函数。
- Inline Hook (基于运行时)：更强大、更底层，它直接修改目标函数开头的几条汇编指令（通常是跳转指令），使其跳转到我们自己的“代理函数”中执行，执行完毕后，再跳回原函数的剩余部分继续执行。Frida 在 Native 层就是使用 Inline Hook。

原理：Xposed 是一个强大的框架，它在 App 启动时，通过一个名为 XposedBridge.jar 的 Jar 包，在虚拟机层面（Art 或 Dalvik）进行方法级别的 Hook，它修改了字节码,使得任何方法调用都可以被拦截和替换。
优点：
- 极其强大：可以 Hook 几乎任何 Java 方法，无需关心 App 的具体实现。
- 开发简单：编写一个 Xposed 模块，像写普通 App 一样 Hook,无需处理复杂的注入过程。
缺点：
- 需要 Root：需要 Root 权限来替换 system 分区的文件。
- 兼容性问题：需要针对不同的 Android 版本和 App 运行环境（ART/Dalvik）进行适配。
- 侵入性强：全局 Hook,可能影响系统稳定性。

原理：Frida 是一个动态代码插桩工具包，它通过一个注入器（Injector）将我们编写的 JavaScript 或 Python 脚本注入到目标进程的内存中，利用 libart.so (Android 4.4+) 或 libdvm.so (旧版) 中的接口，在运行时实现 Hook。
优点：
- 无需 Root：对于 Java 层 Hook，非 Root 设备即可完成（通过 USB 调试），Native 层 Hook 通常需要 Root。
- 简单易用：使用 JavaScript/Python 脚本，语法简单,开发效率高。
- 跨平台：支持 Android, iOS, Windows, macOS, Linux 等。
- 灵活：可以 Hook Java 和 Native (C/C++) 代码,支持热插拔。
- 社区活跃：拥有大量的脚本和示例,学习资源丰富。
缺点：
- 性能开销：相比 Xposed，注入和解释脚本会带来一定的性能损耗,但对于大多数分析场景来说可以忽略不计。
- 稳定性：复杂的脚本可能导致目标 App 或系统崩溃。

对于初学者和绝大多数安全研究场景，Frida 是目前最佳的选择。

我们将以一个最经典的例子：Hook Android App 的 Activity 的 onClick 方法。

环境搭建：
- 一台电脑（Windows/macOS/Linux）。
- 一台 Android 手机（建议 Root，但非 Root 也可以）。
- 在手机上安装 Frida Server，你需要从 Frida Releases 下载对应手机架构（如 arm, arm64）的 frida-server-版本号-android-arm.xz 文件。
  - 将下载的文件解压，得到 frida-server。
  - 通过 ADB 将 frida-server push 到手机的 /data/local/tmp/ 目录下。
  - 通过 ADB 进入手机 shell，执行以下命令赋予执行权限并运行：
```
adb shell
cd /data/local/tmp
chmod 755 frida-server
./frida-server
```
  - 保持 frida-server 在前台运行，或者使用 nohup ./frida-server & 让它在后台运行。
- 在电脑上安装 Frida (通过 pip):
```
pip install frida-tools
```
目标 App：

我们以自带的 "Calculator" 计算器 App 为例，或者你可以自己写一个简单的 App，里面只有一个按钮，点击后会