手把手讲解 Android Hook入门Demo-白红宇

手把手讲解 Android Hook入门Demo

阅读量：6438 次

发布时间：2019-06-23

本文共 7941 字，大约阅读时间需要 26 分钟。

前言

手把手讲解系列文章，是我写给各位看官，也是写给我自己的。

文章可能过分详细，但是这是为了帮助到尽量多的人，毕竟工作5,6年，不能老吸血，也到了回馈开源的时候.

这个系列的文章：

1、用通俗易懂的讲解方式，讲解一门技术的实用价值

2、详细书写源码的追踪，源码截图，绘制类的结构图，尽量详细地解释原理的探索过程

3、提供Github 的可运行的Demo工程,但是我所提供代码，更多是提供思路，抛砖引玉，请酌情cv

4、集合整理原理探索过程中的一些坑，或者demo的运行过程中的注意事项

5、用gif图，最直观地展示demo运行效果

如果觉得细节太细，直接跳过看结论即可。

本人能力有限，如若发现描述不当之处，欢迎留言批评指正。

学到老活到老，路漫漫其修远兮。与众君共勉 !

引子

我之前的一键换肤技术文章里面提到了hook技术的概念，有读者反馈说看不太懂, 看来，还是没有说"人话"，其实可以描述地再接地气一点,于是再写一片专文吧。

本文只做入门级引子，旨在让不了解 Hook的人通过本文，能认识到 hook有什么用，怎么用，怎么学,能达到这个目的，我就满足了.

正文大纲

hook的定义

实用价值

前置技能

hook通用思路

案例实战

效果展示

正文

1. hook的定义

hook，钩子。勾住系统的程序逻辑。

在某段SDK源码逻辑执行的过程中，通过代码手段拦截执行该逻辑，加入自己的代码逻辑。

2. 实用价值

hook是中级开发通往高级开发的必经之路。

如果把谷歌比喻成安卓的造物主，那么安卓SDK源码里面就包含了万事万物的本源。

中级开发者，只在利用万事万物，浮于表层，而高级开发者能从本源上去改变万事万物，深入核心。

最有用的实用价值：

hook是安卓面向切面(AOP)编程的基础,可以让我们在不变更原有业务的前提下，插入额外的逻辑.

这样，既保护了原有业务的完整性，又能让额外的代码逻辑不与原有业务产生耦合.

（想象一下，让你在一个成熟的app上面给每一个按钮添加埋点接口，不说一万个，就说成百上千个控件让你埋点,让你写一千次埋点调用，你是不是要崩溃，hook可以轻松实现）

学好了hook，就有希望成为高级工程师,

完成初中级无法完成的开发任务,

升职,加薪,出任CEO，迎娶白富美，走上人生巅峰,够不够实用？

3. 前置技能

java反射熟练掌握类Class，方法Method，成员Field的使用方法

源码内部，很多类和方法都是@hide的,外部直接无法访问，所以只能通过反射，去创建源码中的类，方法，或者成员.

阅读安卓源码的能力

hook的切入点都在源码内部，不能阅读源码，不能理清源码逻辑，则不用谈hook.

其实使用 androidStudio来阅读源码有个坑，，有时候会看到源码里面 "一片飘红"，看似是有什么东西没有引用进来，其实是因为有部分源码没有对开发者开放，解决起来很麻烦，

所以，推荐从安卓官网下载整套源码，然后使用 SourceInsight 查看源码。

如果不需要跳来跳去的话，直接用安卓源码网站一步到位

4. hook通用思路

无论多么复杂的源码，我们想要干涉其中的一些执行流程，最终的杀招只有一个: “偷梁换柱”.

而 “偷梁换柱”的思路，通常都是一个套路：

根据需求确定要hook的对象

寻找要hook的对象的持有者，拿到要hook的对象

(持有：B类的成员变量里有一个是A的对象，那么B就是A的持有者,如下)

class B{  A a;}class A{}

定义“要hook的对象”的代理类，并且创建该类的对象

使用上一步创建出来的对象，替换掉要hook的对象

上面的4个步骤可能还是有点抽象,那么，下面用一个案例，详细说明每一个步骤.

5. 案例实战

这是一个最简单的案例：

我们自己的代码里面，给一个view设置了点击事件,现在要求在不改动这个点击事件的情况下，添加额外的点击事件逻辑.

View v = findViewById(R.id.tv);        v.setOnClickListener(new View.OnClickListener() {            @Override            public void onClick(View v) {                Toast.makeText(MainActivity.this, "别点啦，再点我咬你了...", Toast.LENGTH_SHORT).show();            }        });

这是view的点击事件，toast了一段话，现在要求，不允许改动这个OnClickListener,要在toast之前添加日志打印 Log.d(...).

乍一看，无从下手.看hook如何解决.

按照上面的思路来：

第一步：根据需求确定要hook的对象；

我们的目的是在OnClickListener中，插入自己的逻辑.所以，确定要hook的，是v.setOnClickListener()方法的实参。

第二步：寻找要hook的对象的持有者，拿到要hook的对象
进入v.setOnClickListener源码：发现我们创建的OnClickListener对象被赋值给了
getListenerInfo().mOnClickListenerpublic void setOnClickListener(@Nullable OnClickListener l) {       if (!isClickable()) {         setClickable(true);      }     getListenerInfo().mOnClickListener = l; }
继续索引：getListenerInfo() 是个什么玩意？继续追查：
ListenerInfo getListenerInfo() {       if (mListenerInfo != null) {           return mListenerInfo;      }     mListenerInfo = new ListenerInfo();      return mListenerInfo; }
结果发现这个其实是一个伪单例，一个View对象中只存在一个ListenerInfo对象.
进入ListenerInfo内部：发现OnClickListener对象被ListenerInfo所持有.
static class ListenerInfo { ... public OnClickListener mOnClickListener; ...}
到这里为止，完成第二步，找到了点击事件的实际持有者：ListenerInfo .

第三步：定义“要hook的对象”的代理类，并且创建该类的对象
我们要hook的是View.OnClickListener对象，所以，创建一个类实现View.OnClickListener接口.
static class ProxyOnClickListener implements View.OnClickListener {
View.OnClickListener oriLis;   public ProxyOnClickListener(View.OnClickListener oriLis) {       this.oriLis = oriLis;  }   @Override  public void onClick(View v) {      Log.d("HookSetOnClickListener", "点击事件被hook到了");     if (oriLis != null) {         oriLis.onClick(v);     } }    }
然后，new出它的对象待用。
ProxyOnClickListener proxyOnClickListener = new ProxyOnClickListener(onClickListenerInstance);
可以看到，这里传入了一个View.OnClickListener对象,它存在的目的，是让我们可以有选择地使用到原先的点击事件逻辑。一般hook，都会保留原有的源码逻辑.
另外提一句：当我们要创建的代理类，是被接口所约束的时候，比如现在，我们创建的ProxyOnClickListener implements
View.OnClickListener，只实现了一个接口，则可以使用JDK提供的Proxy类来创建代理对象
Object proxyOnClickListener = Proxy.newProxyInstance(context.getClass().getClassLoader(),                 new Class[]>>{View.OnClickListener.class}, new InvocationHandler() {                   @Override                   public Object invoke(Object proxy, Method method, Object[] args) throws Throwable {                      Log.d("HookSetOnClickListener", "点击事件被hook到了");//加入自己的逻辑                      return method.invoke(onClickListenerInstance, args);//执行被代理的对象的逻辑                 }             });
这个代理类并不是此次的重点，所以一笔带过. 到这里为止，第三步：定义“要hook的对象”的代理类，并且创建该类的对象完成。

第四步：使用上一步创建出来的对象，替换掉要hook的对象，达成偷梁换柱的最终目的.

利用反射，将我们创建的代理点击事件对象，传给这个view field.set(mListenerInfo,

proxyOnClickListener); 这里，贴出最终代码:

/*** hook的辅助类* hook的动作放在这里*/public class HookSetOnClickListenerHelper {   /**    * hook的核心代码    * 这个方法的唯一目的：用自己的点击事件，替换掉 View原来的点击事件    *    * @param v hook的范围仅限于这个view    */   public static void hook(Context context, final View v) {//       try {           // 反射执行View类的getListenerInfo()方法，拿到v的mListenerInfo对象，这个对象就是点击事件的持有者           Method method = View.class.getDeclaredMethod("getListenerInfo");           method.setAccessible(true);//由于getListenerInfo()方法并不是public的，所以要加这个代码来保证访问权限           Object mListenerInfo = method.invoke(v);//这里拿到的就是mListenerInfo对象，也就是点击事件的持有者           //要从这里面拿到当前的点击事件对象           Class
     listenerInfoClz = Class.forName("android.view.View$ListenerInfo");// 这是内部类的表示方法           Field field = listenerInfoClz.getDeclaredField("mOnClickListener");           final View.OnClickListener onClickListenerInstance = (View.OnClickListener) field.get(mListenerInfo);//取得真实的mOnClickListener对象           //2. 创建我们自己的点击事件代理类           //   方式1：自己创建代理类           //   ProxyOnClickListener proxyOnClickListener = new ProxyOnClickListener(onClickListenerInstance);           //   方式2：由于View.OnClickListener是一个接口，所以可以直接用动态代理模式           // Proxy.newProxyInstance的3个参数依次分别是：           // 本地的类加载器;           // 代理类的对象所继承的接口（用Class数组表示，支持多个接口）           // 代理类的实际逻辑，封装在new出来的InvocationHandler内           Object proxyOnClickListener = Proxy.newProxyInstance(context.getClass().getClassLoader(), new Class[]{View.OnClickListener.class}, new InvocationHandler() {               @Override               public Object invoke(Object proxy, Method method, Object[] args) throws Throwable {                   Log.d("HookSetOnClickListener", "点击事件被hook到了");//加入自己的逻辑                   return method.invoke(onClickListenerInstance, args);//执行被代理的对象的逻辑               }           });           //3. 用我们自己的点击事件代理类，设置到"持有者"中           field.set(mListenerInfo, proxyOnClickListener);           //完成       } catch (Exception e) {           e.printStackTrace();       }   }   // 还真是这样,自定义代理类   static class ProxyOnClickListener implements View.OnClickListener {       View.OnClickListener oriLis;       public ProxyOnClickListener(View.OnClickListener oriLis) {           this.oriLis = oriLis;       }       @Override       public void onClick(View v) {           Log.d("HookSetOnClickListener", "点击事件被hook到了");           if (oriLis != null) {               oriLis.onClick(v);           }       }   }}

这段代码阅读起来的可能难点：

Method,Class,Field的使用
method.setAccessible(true);//由于getListenerInfo()方法并不是public的，所以要加这个代码来保证访问权限
field.set(mListenerInfo,
proxyOnClickListener);//把一个proxyOnClickListener对象，设置给mListenerInfo对象的field属性.

Proxy.newProxyInstance的使用 Proxy.newProxyInstance的3个参数依次分别是：本地的类加载器;
代理类的对象所继承的接口（用Class数组表示，支持多个接口）代理类的实际逻辑，封装在new出来的InvocationHandler内
到这里，最后一步，也完成了.

6.效果展示

先给出Demo：GithubDemo

当我点击这个 hello World：

弹出一个Toast，并且：在日志中可以看到

同时我并没有改动setOnClickListener的代码,我只是在它的后面，加了一行

HookSetOnClickListenerHelper.hook(this, v);v.setOnClickListener(new View.OnClickListener() {            @Override            public void onClick(View v) {                Toast.makeText(MainActivity.this, "别点啦，再点我咬你了...", Toast.LENGTH_SHORT).show();            }        }); HookSetOnClickListenerHelper.hook(this, v);//这个hook的作用，是 用我们自己创建的点击事件代理对象，替换掉之前的点击事件。

ok，目的达成v.setOnClickListener已经被hook.

前方有坑，高能提示：

我曾经尝试，是不是可以将上面两段代码换个顺序. 结果证明，换了之后，hook就不管用了，原因是，hook方法的作用，是将v已有的点击事件，替换成我们代理的点击事件。所以，在v还没有点击事件的时候进行hook，是没用的