This interface should be implemented by the module's main class. Xposed will take care of * registering it as a callback automatically. */ public interface IXposedHookLoadPackage extends IXposedMod { /** * This method is called when an app is loaded. It's called very early, even before * {@link Application#onCreate} is called. * Modules can set up their app-specific hooks here. * * @param lpparam Information about the app. * @throws Throwable Everything the callback throws is caught and logged. */ void handleLoadPackage(LoadPackageParam lpparam) throws Throwable; /** @hide */ final class Wrapper extends XC_LoadPackage { private final IXposedHookLoadPackage instance; public Wrapper(IXposedHookLoadPackage instance) { this.instance = instance; } @Override public void handleLoadPackage(LoadPackageParam lpparam) throws Throwable { instance.handleLoadPackage(lpparam); } } } ``` 里面的各种`xposed`特征字符串到处都是。 也就是说，如果我们更改了`xposed`的字符串特征，也要制作这样的一份`api-82.jar`、`api-source-82.jar`，供开发者编写代码时进行调用。 并且开发者在编码时，使用的系列`API`中，至少不存在`xposed`字样。 到这里正常的`Xposed`插件开发及使用流程中可以搜集到的特征就都有了，接下来看一个专业检测`Xposed`的`App`，看看它主要检测哪些方面。 ### 收集特征：`XposedChecker`源码 作者已经将源码开源：[XposedChecker](https://github.com/w568w/XposedChecker)，安装包位于`app`目录中，名字叫`Xposed Checker 4.apk`，先装上去跑一下，申请`root`权限时点击“同意”，结果如下图所示，可信度竟然5/9，我的`GravityBox`插件还在跑着，状态栏还变着色：  这个结果肯定是不准确的，那四个绿色的项目中，只有“检测虚拟Xposed环境”是对的，毕竟我们不是`VirtualXposed`，而是真实的`Xposed`。其他三项出现了失误，可以看看它的源码怎么写的，主要的检测逻辑位于`app\src\main\java\ml\w568w\checkxposed\ui\MainActivity.java`文件中，定义了以下功能： ```java private static final String[] CHECK_ITEM = { "载入Xposed工具类", "寻找特征动态链接库", "代码堆栈寻找调起者", "检测Xposed安装情况", "判定系统方法调用钩子", "检测虚拟Xposed环境", "寻找Xposed运行库文件", "内核查找Xposed链接库", "环境变量特征字判断", }; ``` - 载入Xposed工具类 ```java private boolean testClassLoader() { try { ClassLoader.getSystemClassLoader() .loadClass("de.robv.android.xposed.XposedHelpers"); return true; } catch (ClassNotFoundException e) { e.printStackTrace(); } return false; } ``` - 寻找特征动态链接库 ```java private int check2() { return checkContains("XposedBridge") ? 1 : 0; } public static boolean checkContains(String paramString) { try { HashSet localObject = new HashSet<>(); // 读取maps文件信息 BufferedReader localBufferedReader = new BufferedReader(new FileReader("/proc/" + Process.myPid() + "/maps")); while (true) { String str = localBufferedReader.readLine(); if (str == null) { break; } localObject.add(str.substring(str.lastIndexOf(" ") + 1)); } //应用程序的链接库不可能是空，除非是高于7.0。。。 if (localObject.isEmpty() && Build.VERSION.SDK_INT <= Build.VERSION_CODES.M) { return true; } localBufferedReader.close(); for (String aLocalObject : localObject) { if (aLocalObject.contains(paramString)) { return true; } } } catch (Throwable ignored) { } return false; } ``` - 代码堆栈寻找调起者 ```java private int check3() { try { throw new Exception(); } catch (Exception e) { StackTraceElement[] arrayOfStackTraceElement = e.getStackTrace(); for (StackTraceElement s : arrayOfStackTraceElement) { if ("de.robv.android.xposed.XposedBridge".equals(s.getClassName())) { return 1; } } return 0; } } ``` - 检测`XposedInstaller`安装情况 ```java private int check4() { try { List list = getPackageManager().getInstalledPackages(0); for (PackageInfo info : list) { if ("de.robv.android.xposed.installer".equals(info.packageName)) { return 1; } if ("io.va.exposed".equals(info.packageName)) { return 1; } } } catch (Throwable ignored) { } return 0; } ``` - 判定系统方法调用钩子 ```java private int check5() { try { Method method = Throwable.class.getDeclaredMethod("getStackTrace"); return Modifier.isNative(method.getModifiers()) ? 1 : 0; } catch (NoSuchMethodException e) { e.printStackTrace(); } return 0; } ``` - 检测虚拟Xposed环境 ```java private int check6() { return System.getProperty("vxp") != null ? 1 : 0; } ``` - 寻找Xposed运行库文件 ```java private int check7() { CommandResult commandResult = Shell.run("ls /system/lib"); return commandResult.isSuccessful() ? commandResult.getStdout().contains("xposed") ? 1 : 0 : 0; } ``` - 内核查找Xposed链接库 ```c char isXposedMaps(char * pid){ FILE * maps; char path[80]; char * content; strcpy (path,"/proc/"); strcat (path,pid); strcat (path,"/maps"); if((maps=fopen(path,"r"))==NULL){ return 0; }else{ int len=filelength(maps); content=(char *)malloc(len); fread(content,len,1,maps); content[len-1]='\0'; return strstr(content,"XposedBridge")!=NULL; } } ``` - 环境变量特征字判断 ```java private int check9() { return System.getenv("CLASSPATH").contains("XposedBridge") ? 1 : 0; } ``` ### 收集特征：逆向分析大厂方案 - [Android逆向之旅---破解某支付软件防Xposed等框架Hook功能检测机制](https://mp.weixin.qq.com/s/Je1kRksxHTTYb4l9x3bTmQ) - [阿里系产品Xposed Hook检测机制原理分析](https://www.52pojie.cn/thread-621570-1-1.html) - [美团出品-Android Hook技术防范漫谈](https://tech.meituan.com/android_anti_hooking.html) - [看雪出品-企业壳反调试及hook检测分析](https://mp.weixin.qq.com/s/StnqWtZMFCu09snIEGi1RQ) - [支付宝小专栏-无需 Root 也能使用 Xposed](https://mp.weixin.qq.com/s/ZFJdne95K_cA223ey-LRLA) - [抖音短视频检测 Xposed 分析（一）](https://www.52pojie.cn/thread-684757-1-1.html) - [抖音短视频检测 Xposed 分析（二）](https://www.52pojie.cn/thread-691584-1-1.html) - [检测Android虚拟机的方法和代码实现](https://mp.weixin.qq.com/s/tamMeh2xsi6L37jjizW_rA) 以上每一篇都看过来之后，发现文章还是比较过时的，现在大部分风控都是写在`so`中，检测项目可能多达成百上千项，并且`Ollvm`甚至自家`vmp`来混淆下，不会让你轻易地找到并`patch`的；只是他们收集了环境特征后只是加密上传，并不会把`app`退掉让你发现而已。 针对这种加固/风控的行为特征，可能比较好的方案就是修改`aosp`系统源码，打更多的埋点，收集`so`的检测项目，形成一个`checklist`；或者`unicorn`来模拟执行，只是现在对抗`unicorn`的技术也越来越多，`unicorn`的终极形态，就是一个完整的安卓系统；所以不如直接改系统。 当然我们不用分析那么远，只需要简单修改`XPOSED`的字符串，过简单的根据字符串特征的`XPOSED`检测是没有问题的。 在下一篇中我们将介绍`XPOSED`框架之间的关系，以及如何编译使用原版`XPOSED`框架，最后一篇中再来简单更改特征。