xposed 原理初探

一、Xposed 框架实现 Hook 的原理介绍
Zygote是Android的核心，每运行一个app，Zygote就会fork一个虚拟机实例来运行app，
Xposed Framework深入到了Android核心机制中，通过改造Zygote来实现一些很牛逼的
功能。Zygote的启动配置在init.rc 脚 本 中，由系统启动的时候开启此进程，对应的
执行文件是/system/bin/app_process，这个文件完成类库加载及一些函数调用的工作。
当系统中安装了Xposed Framework之后，会对app_process进行扩展，也就是说，Xposed
Framework 会拿自己实现的app_process覆盖掉Android原生提供的app_process文件，
当系统启动的时候，就会加载由 Xposed Framework 替换过的进程文件，并且，Xposed
Framework 还定义了一个 jar 包，系统启动的时候，也会加载这个包：
/data/data/de.robv.android.xposed.installer/bin/XposedBridge.jar

二、Xposed框架运行的条件
1.Rooted Device / Emulator （已root的手机或者模拟器）
2.Xposed Installer (Xposed安装程序下载)
3.Hooking Android App （要被Hook的目标 App）

Xposed Framework就是一个apk包也就是上面下载的Xposed安装程序，下载后用下面
的命令安装到手机上或者模拟器：
adb install de.robv.android.xposed.installer_v32_de4f0d.apk

app
framework
C++
linux内核

linux内核 –> init –> app_process –> Zygote

Zygote进程在启动过程中，除了创建一个Dalvik虚拟机实例之外，还会将Java运行时库
加载到进程中来，同时还会注册一些Android核心类的JNI方法到前面创建的Dalvik虚拟
机实例中去。

一个应用程序被孵化出来的时候，其不仅会获得Zygote进程中的Dalvik虚拟机实例，还
会与Zygote一起共享Java运行时库，这也是可以将XposedBridge.jar这个jar包加载到
每一个Android应用中的原因。

Xposed_zygote进程启动后会初始化一些so文件（/system/lib、/system/lib64），然后
进入XposedBridge.jar中的XposedBridge.main中加载模块，初始化jar包完成对一些关键
Android系统函数的hook。

Hook则是利用修改过的虚拟机将函数注册为native函数。
然后再返回zygote中完成原本zygote需要做的工作。

META-INF/ 里面有文件配置脚本 flash-script.sh 配置各个文件安装位置。
system/bin/ 替换zygote进程等文件
system/framework/XposedBridge.jar jar包位置
system/lib system/lib64 一些so文件所在位置
xposed.prop xposed版本说明文件

Android
https://developer.android.google.cn/

SDK刷机包下载
x86：https://dl-xda.xposed.info/framework/
x86_64：https://github.com/youling257/XposedTools/files/1931996/xposed-x86_64.zip

VirtualApp
https://github.com/asLody/VirtualApp

Android Hook技术防范漫谈
https://tech.meituan.com/android_anti_hooking.html

XPOSED魔改一
https://bbs.pediy.com/thread-258639.htm

企业壳反调试及hook检测分析
https://mp.weixin.qq.com/s/StnqWtZMFCu09snIEGi1RQ

破解某支付软件防Xposed等框架Hook功能检测机制
https://mp.weixin.qq.com/s/Je1kRksxHTTYb4l9x3bTmQ

阿里系产品Xposed Hook检测机制原理分析
https://bbs.pediy.com/thread-218848.htm

抖音短视频检测 Xposed 分析（一）
https://www.52pojie.cn/thread-684757-1-1.html

抖音短视频检测 Xposed 分析（二）
https://www.52pojie.cn/thread-691584-1-1.html

QQ 浏览器 中的Hook,Root,模拟器,Debug,DexFile检测技术
https://bbs.pediy.com/thread-250871.htm

检测Android虚拟机的方法和代码实现
https://mp.weixin.qq.com/s/tamMeh2xsi6L37jjizW_rA