Xposed Hook加固应用解决方案详解

问题背景

当使用Xposed框架hook加固应用时，经常会遇到hook不到目标类的情况。这是因为：

1. Xposed是系统级hook框架，hook时机很早
2. 加固应用的壳程序比应用本身更早执行
3. Xposed默认使用壳的ClassLoader而非应用本身的ClassLoader

基本原理

解决Xposed hook加固应用的核心思路分为三步：

1. 获取加载应用本身dex的ClassLoader
2. 通过这个ClassLoader找到被加固的类
3. hook目标类的方法

解决方案一：通过Application.attach方法获取ClassLoader

原理分析

Android在加载dex文件后会创建Application类并调用attach方法，该方法是final方法，参数为Context。通过这个Context可以获取应用本身的ClassLoader。

实现代码

public class HookTest implements IXposedHookLoadPackage {
    @Override
    public void handleLoadPackage(XC_LoadPackage.LoadPackageParam loadPackageParam) throws Throwable {
        if (loadPackageParam.packageName.equals("目标包名")) {
            XposedHelpers.findAndHookMethod(Application.class, "attach", Context.class,
                    new XC_MethodHook() {
                        @Override
                        protected void beforeHookedMethod(MethodHookParam param) throws Throwable {
                            Context context = (Context) param.args[0];
                            ClassLoader classLoader = context.getClassLoader();
                            
                            Class<?> aClass = XposedHelpers.findClass("目标类全名", classLoader);
                            XposedBridge.hookAllMethods(aClass, "目标方法", new XC_MethodHook() {
                                @Override
                                protected void beforeHookedMethod(MethodHookParam param) throws Throwable {
                                    // hook逻辑
                                }
                            });
                        }
                    });
        }
    }
}

执行流程

1. 首先进入壳的Context和ClassLoader
2. 应用正式启动后，Android加载应用dex
3. 创建Application并调用attach方法
4. 通过attach的Context获取应用本身的ClassLoader
5. 使用该ClassLoader找到目标类并hook

解决方案二：通过ClassLoader.loadClass方法动态拦截

原理分析

直接hook java.lang.ClassLoader.loadClass 方法，在类加载时拦截目标类。

实现代码

public class HookTest implements IXposedHookLoadPackage {
    @Override
    public void handleLoadPackage(XC_LoadPackage.LoadPackageParam loadPackageParam) throws Throwable {
        if (loadPackageParam.packageName.equals("目标包名")) {
            XposedHelpers.findAndHookMethod(ClassLoader.class,
                    "loadClass",
                    String.class,
                    new XC_MethodHook() {
                        @Override
                        protected void afterHookedMethod(MethodHookParam param) throws Throwable {
                            Class<?> clazz = (Class<?>) param.getResult();
                            if (clazz != null && clazz.getName().equals("目标类全名")) {
                                XposedBridge.hookAllMethods(clazz, "目标方法", new XC_MethodHook() {
                                    @Override
                                    protected void beforeHookedMethod(MethodHookParam param) throws Throwable {
                                        // hook逻辑
                                    }
                                });
                            }
                        }
                    });
        }
    }
}

执行流程

1. 拦截所有类的加载过程
2. 检查每个加载的类名是否匹配目标类
3. 找到目标类后立即hook其方法

解决方案三：通过ActivityThread获取应用ClassLoader

原理分析

App通过Zygote进程孵化，通过ActivityThread.main()进入应用。ActivityThread类中的mInitialApplication字段保存了Application实例，可以从中获取ClassLoader。

实现代码

public class HookTest implements IXposedHookLoadPackage {
    @Override
    public void handleLoadPackage(XC_LoadPackage.LoadPackageParam loadPackageParam) throws Throwable {
        if (loadPackageParam.packageName.equals("目标包名")) {
            Class ActivityThread = XposedHelpers.findClass("android.app.ActivityThread", loadPackageParam.classLoader);
            XposedBridge.hookAllMethods(ActivityThread, "performLaunchActivity", new XC_MethodHook() {
                @Override
                protected void afterHookedMethod(MethodHookParam param) throws Throwable {
                    Application mInitialApplication = (Application) XposedHelpers.getObjectField(param.thisObject, "mInitialApplication");
                    ClassLoader finalClassloader = mInitialApplication.getClassLoader();
                    Class<?> MainActivity = XposedHelpers.findClass("目标类全名", finalClassloader);
                    XposedBridge.hookAllMethods(MainActivity, "目标方法", new XC_MethodHook() {
                        @Override
                        protected void beforeHookedMethod(MethodHookParam param) throws Throwable {
                            // hook逻辑
                        }
                    });
                }
            });
        }
    }
}

执行流程

1. hook ActivityThread的performLaunchActivity方法
2. 从ActivityThread实例获取mInitialApplication字段
3. 通过Application实例获取ClassLoader
4. 使用该ClassLoader找到目标类并hook

注意事项

1. 不同加固方案可能有不同的防护机制，上述方法可能对某些加固无效（如文中提到的娜迦Vdog加固）
2. 在实际应用中可能需要结合多种方法
3. 需要注意hook时机，确保在目标类加载前完成hook设置
4. 生产环境中应考虑异常处理和性能优化

总结

本文提供了三种解决Xposed hook加固应用的方案，核心都是解决ClassLoader的切换问题。开发者可以根据目标应用的具体加固方式选择最适合的方案，或组合使用多种方法提高hook成功率。