Android4.0内存Dex数据动态加载技术

本文章由Jack_Jia编写，转载请注明出处。

文章链接：http://blog.csdn.net/jiazhijun/article/details/9674251

作者：Jack_Jia 邮箱： 309zhijun@163.com

英文原版下载地址：http://2013.hackitoergosum.org/presentations/Day1-05.Nifty%20stuff%20that%20you%20can%20still%20do%20with%20Android%20by%20Xavier%20Martin.pdf

一、Android DEX 动态加载技术

在Android开发过程中，开发者可以使用DexClassLoader动态加载另一个DEX文件。

API接口：

DexClassLoader(String dexPath, String optimizedDirectory, String libraryPath,ClassLoader parent)

缺点：需要DEX以文件形式明文存放在存储设备上。

Android4.0版本增加了对内存中DEX数据的动态加载，这样就克服了使用DexClassLoader时DEX以文件形式明文存放在存储设备上的缺点，内存中DEX数据可以来源于解密后的文件或者网络。这样就增加了DEX数据的安全性。但是DexClassLoader并没有暴露该种加载方式。开发者需要在JAVA层实现自己的Dex ClassLoader。

Android相关源代码位置：

JAVA层源代码：libcore\dalvik\src\main\java\dalvik\system\DexFile.java

/*

* Open a DEX file based on a {@code byte[]}. The value returned

* is a magic VM cookie. On failure, a RuntimeException is thrown.

*/

nativeprivatestaticint openDexFile(byte[] fileContents);

开发者可以通过反射调用DexFile实现自己的Dex ClassLoader，但是这种方式DEX数据在JAVA层，比较容易获取，安全度比较低。

开发者可以通过JNI调用底层函数解析：

C++层源代码：dalvik2\vm\native\dalvik_system_DexFile.cpp

const DalvikNativeMethod dvm_dalvik_system_DexFile[] = {

{ "openDexFile", "(Ljava/lang/String;Ljava/lang/String;I)I",Dalvik_dalvik_system_DexFile_openDexFile },

{ "openDexFile", "([B)I",Dalvik_dalvik_system_DexFile_openDexFile_bytearray },

{ "closeDexFile", "(I)V",Dalvik_dalvik_system_DexFile_closeDexFile },

{ "defineClass", "(Ljava/lang/String;Ljava/lang/ClassLoader;I)Ljava/lang/Class;",Dalvik_dalvik_system_DexFile_defineClass },

{ "getClassNameList", "(I)[Ljava/lang/String;",Dalvik_dalvik_system_DexFile_getClassNameList },

{ "isDexOptNeeded", "(Ljava/lang/String;)Z",Dalvik_dalvik_system_DexFile_isDexOptNeeded },

{ NULL, NULL, NULL },

};

第一步首先获取Dalvik_dalvik_system_DexFile_openDexFile_bytearray方法指针：

JNINativeMethod *dvm_dalvik_system_DexFile;

void (*openDexFile)(const u4* args, JValue* pResult);

JNIEXPORT jint JNI_OnLoad(JavaVM* vm, void* reserved) {

void *ldvm = (void*)dlopen("libdvm.so", RTLD_LAZY);

dvm_dalvik_system_DexFile = (JNINativeMethod*)dlsym(ldvm, "dvm_dalvik_system_DexFile");

lookup(dvm_dalvik_system_DexFile, "dvm_dalvik_system_DexFile", "([B)I", &openDexFile)

}

int lookup (JNINativeMethod *table, const char *name, const char *sig, void (**fnPtrout)(u4 const *, union JValue *)) {

int i = 0;

while (table[i].name != NULL) {

if ( (strcmp(name, table[i].name) == 0) && (strcmp(sig, table[i].signature) == 0) ) {

*fnPtrout = table[i].fnPtr;

return 1;

}

i++;

}

return 0;

}

第二步调用Dalvik_dalvik_system_DexFile_openDexFile_bytearray方法解析Dex数据

ArrayObject *ao; // header+dex content

u4 args[] = { (u4)ao };

JValue pResult ;

jint result ;

openDexFile(args, &pResult);

result = (jint)pResult.l;

return result;

第三步实现JAVA层Dex ClassLoader完成类的加载：

int cookie = openDexFile(...);

Class<?> cls = null;

String as[] = getClassNameList(cookie);

for(int z=0; z<as.length; z++) {

if(as[z].equals("com.immunapp.hes2013.MainActivity")) {

cls=defineClass(as[z].replace('.', '/'), context.getClassLoader(), cookie );

} else {

defineClass(as[z].replace('.', '/'), context.getClassLoader(), cookie );

}

缺点：只能使用在Android4.0以上设备

二、自篡改Davlik字节码（原理：/article/1388321.html）

1、搜索内存查找DEX特征（dex\n035）

读取\proc\self\maps文件获取dex map地址

它将以_SC_PAGESIZE内存页对齐, 相对Map开始地址偏移0x28

2、DEX格式解析（/article/1388332.html）

3、找到代码正确的位置

第一步定位到具体类，第二步定位到具体方法，获取方法字节码相对data section偏移量。

4、解锁内存

mprotect((unsigned char*)aligned,PROT_WRITE | PROT_READ, len);

5、修改相应的代码

memcpy((unsigned char*)code_off,opcodes, len);