【Android 安全】DEX 加密 ( Application 替换 | 获取 ContextImpl、ActivityThread、LoadedApk 类型对象 | 源码分析 )

韩曙亮

发布于 2023-03-28 19:50:37

3350

发布于 2023-03-28 19:50:37

文章被收录于专栏：韩曙亮的移动开发专栏

文章目录

dex 解密时 , 需要将代理 Application 替换为真实 Application ; 替换 Application 首先要理解系统如何注册应用的 Application 的 ;

一、获取对象类型分析

替换 Application 就是需要替换下面各个类型对象的对应 Application 成员 ;

① ContextImpl 的 private Context mOuterContext 成员是 kim.hsl.multipledex.ProxyApplication 对象 ;

② ActivityThread 中的 ArrayList<Application> mAllApplications 集合中添加了 kim.hsl.multipledex.ProxyApplication 对象 ;

③ LoadedApk 中的 mApplication 成员是 kim.hsl.multipledex.ProxyApplication 对象 ;

④ ActivityThread 中的 Application mInitialApplication 成员是 kim.hsl.multipledex.ProxyApplication 对象 ;

ContextImpl 源码参考 : 6.0.1_r16/xref/frameworks/base/core/java/android/app/ContextImpl.java

ActivityThread 源码参考 : 6.0.1_r16/xref/frameworks/base/core/java/android/app/ActivityThread.java

LoadedApk 源码参考 : 6.0.1_r16/xref/frameworks/base/core/java/android/app/LoadedApk.java

替换上述类型对象中的成员 , 首先要获取到上述 ContextImpl , ActivityThread , LoadedApk 类型的对象 ;

上述三个对象在每个应用中有且仅有一个 , 只要获取到了就是本应用中唯一的对象 ;

使用反射获取上述对象 ;

二、获取 ContextImpl 类型对象

获取 ContextImpl 类型对象 : Application 创建完毕之后 , 就会立刻调用 Application 的 void attachBaseContext(Context base) 函数 , 该函数中的 Context base 参数就是 ContextImpl 类型对象 ;

通过 Application 的 void attachBaseContext(Context base) 回调函数 , 可获取 ContextImpl 对象 ;

public class ContextWrapper extends Context {
    protected void attachBaseContext(Context base) {
        mBase = base;
    }
}

三、获取 ActivityThread、LoadedApk 类型对象

获取 ActivityThread、LoadedApk 类型对象 :

在 LoadedApk 中的 makeApplication 方法中 ,

ContextImpl appContext = ContextImpl.createAppContext(mActivityThread, this) ,

通过调用 ContextImpl.createAppContext 函数创建 ContextImpl 对象 ,

传入的第一个参数就是 ActivityThread 对象
传入的第二个参数就是 LoadedApk 对象

    public Application makeApplication(boolean forceDefaultAppClass,
            Instrumentation instrumentation) {
        try {
            java.lang.ClassLoader cl = getClassLoader();
            if (!mPackageName.equals("android")) {
                initializeJavaContextClassLoader();
            }
            // ★ 
            ContextImpl appContext = ContextImpl.createAppContext(mActivityThread, this);
            app = mActivityThread.mInstrumentation.newApplication(
                    cl, appClass, appContext);
            appContext.setOuterContext(app);
        } catch (Exception e) {
        }
	}
}

LoadedApk 完整源码参考 : 6.0.1_r16/xref/frameworks/base/core/java/android/app/LoadedApk.java

分析 ContextImpl.createAppContext 方法 , 在该方法中调用了 ContextImpl 的构造方法创建了 ContextImpl 对象 ;

class ContextImpl extends Context {
    static ContextImpl createAppContext(ActivityThread mainThread, LoadedApk packageInfo) {
        if (packageInfo == null) throw new IllegalArgumentException("packageInfo");
        // 调用构造函数创建了 ContextImpl 对象 
        return new ContextImpl(null, mainThread,
                packageInfo, null, null, false, null, null, Display.INVALID_DISPLAY);
    }
}

继续查看 ContextImpl 构造函数 , 该构造函数参数很长 , 其第二个参数是 ActivityThread mainThread , 第三个参数是 LoadedApk packageInfo ;

在构造函数中 , mMainThread = mainThread , 构造函数中 ActivityThread mainThread 参数赋值给了 final ActivityThread mMainThread 成员变量 ;

在构造函数中 , mPackageInfo = packageInfo , 构造函数中 LoadedApk packageInfo 参数赋值给了 final LoadedApk mPackageInfo 成员变量 ;

因此可以通过 ContextImpl 类型对象 , 获取其中的

final ActivityThread mMainThread
final LoadedApk mPackageInfo

两个成员变量 , 即可获取到 ActivityThread 和 LoadedApk ;

class ContextImpl extends Context {
	// 应用的 ActivityThread 
    final ActivityThread mMainThread;
    // 应用的 LoadedApk 
    final LoadedApk mPackageInfo;

	// ContextImpl 构造方法 , 只留下分析到的有用代码 , 其余代码删除 
    private ContextImpl(ContextImpl container, ActivityThread mainThread,
            LoadedApk packageInfo, IBinder activityToken, UserHandle user, boolean restricted,
            Display display, Configuration overrideConfiguration, int createDisplayWithId) {
        mOuterContext = this;
        mMainThread = mainThread;
        mPackageInfo = packageInfo;
    }

    static ContextImpl createAppContext(ActivityThread mainThread, LoadedApk packageInfo) {
        if (packageInfo == null) throw new IllegalArgumentException("packageInfo");
        // 调用构造函数创建了 ContextImpl 对象 
        return new ContextImpl(null, mainThread,
                packageInfo, null, null, false, null, null, Display.INVALID_DISPLAY);
    }
}

ContextImpl 完整源码参考 : 6.0.1_r16/xref/frameworks/base/core/java/android/app/ContextImpl.java

本文参与腾讯云自媒体同步曝光计划，分享自作者个人站点/博客。

原始发表：2020-11-29，如有侵权请联系 cloudcommunity@tencent.com 删除

安全