hook简述

Hook 技术又叫做钩子函数，在系统没有调用该函数之前，钩子程序就先捕获该消息，钩子函数先得到控制权，这时钩子函数既可以加工处理（改变）该函数的执行行为，还可以强制结束消息的传递。简单来说，就是把系统的程序拉出来变成我们自己执行代码片段。

要实现钩子函数，有两个步骤：
 1. 利用系统内部提供的接口，通过实现该接口，然后注入进系统（特定场景下使用）
 2. 动态代理（使用所有场景）

本次测试用到的工具有：

​ 夜神模拟器

​ frida15.0.9

​ GDA

​ adb

Java的三种方法

普通方法

1.普通方法用来描述对象的动态行为或是是特征

• 普通方法有返回值
• 普通方法支持被继承和重写（不考虑访问控制）
• 普通方法名不能和类名一致
• 普通方法名首字母小写。
• 普通方法也支持重载
• 普通方法支持重写，但是构造方法都不能继承，更不要说重写了。

public class Test01{
	public void fun(){
		System.out.println("普通方法被调用了~~~~");
	}


	public static void main(String[] args ){
		Test01 t = new Test01();
        t.fun();
		
	}
}

2.构造方法可以调用普通方法，但是普通方法不能调用构造方法

public class Test01{
	public Test01(){
		fun();
	}
	public void fun(){
		System.out.println("普通方法被调用了~~~~");
	}


	public static void main(String[] args ){
		Test01 t = new Test01();
	}
}

public class Test01{
	public Test01(){
		
	}
	public void fun(){
		Test01();
	}


	public static void main(String[] args ){
		Test01 t = new Test01();
		t.fun();
	}
}

构造方法

1.构造方法必须和类名一致，并且没有返回值

public class Test{
    public Test(){
        
    }
}

2.在实例化对象的时候其实调用的就是构造方法

3.构造方法也是可以被重载的

public class Test01{
	public Test01(){
		System.out.println("构造方法被调用了~~~");
	}
	public Test01(int i){
		System.out.println("有参构造！！！" + i);
	}


	public static void main(String[] args ){
		Test01 t = new Test01();
        Test01 t2 = new Test01(666);
	}
}

重载方法

重载方法（Overloading）的定义：如果有两个方法的方法名相同，但参数不一致，哪么可以说一个方法是另一个方法的重载。 具体满足条件包括：

• 方法名相同
• 方法的参数类型，参数个不一样
• 方法的返回类型可以不相同
• 方法的修饰符可以不相同
• main 方法也可以被重载

class MyClass {
    int height;
    MyClass() {
        System.out.println("无参数构造方法");
        height = 4;
    }
    MyClass(int i) {
        System.out.println("房子高度为 " + i + " 米");
        height = i;
    }
    void info() {
        System.out.println("房子高度为 " + height + " 米");
    }
    void info(String s) {
        System.out.println(s + ": 房子高度为 " + height + " 米");
    }
}
public class MainClass {
    public static void main(String[] args) {
        MyClass t = new MyClass(3);
        t.info();
        t.info("重载方法");
        //重载构造函数
        new MyClass();
    }
}

Frida Hook app

信息搜集

启动Hook的app，每一个按钮对应不同的方法和结果

普通方法—> 4000

构造方法—> RMB: 100

重载方法—> 重载方法123456

对象参数—> 美元: 200

普通方法Hook

反编译

用GDA反编译app查看清单文件确定入口方法com.example.application.MainActivity,代码如下：

MainActivity$1中获取调用的方法以及参数，两个参数都为2000

getCalc方法代码，返回两个参数相加后的值

Frida Hook

用adb将主机和模拟器连接起来，教程https://blog.csdn.net/wangjiakang12306/article/details/89511486

定位方法使用frida进行Hook，不用自己写hook脚本

此时点击app中的普通方法，成功hook到方法

自定义js脚本，可以根据需要修改js脚本中的内容

setImmediate(function() {
Java.perform(function() {
	var targetClass='com.example.application.Utils';
	var methodName='getCalc';
	var gclass = Java.use(targetClass);
	gclass[methodName].overload('int','int').implementation = function(arg0,arg1) {
		var arg0=100
		var arg1=200
		console.log('\nGDA[Hook getCalc(int,int)]'+'\n\targ0 = '+arg0+'\n\targ1 = '+arg1);
		var i=this[methodName](arg0,arg1);
		console.log('\treturn '+i);
		return i;
	}
})
})

回到模拟器点击普通方法，成功修改方法结果

构造方法Hook

反编译

该函数实例化Money对象，是有参数的构造方法

定位Money对象和对应构造方法代码，主要功能是将参数拼接并返回结果

Frida Hook

在实例化对象Money处用frida进行hook

成功hook方法，但是没办法hook返回值，只能通过修改入口参数来改变程序的输出

setImmediate(function() {
Java.perform(function() {
	var targetClass='com.example.application.Money';
	var methodName='$init';
	var gclass = Java.use(targetClass);
	gclass[methodName].overload('int','java.lang.String').implementation = function(arg0,arg1) {
		var arg0=100
		var arg1='huhjh'
		console.log('\nGDA[Hook $init(int,java.lang.String)]'+'\n\targ0 = '+arg0+'\n\targ1 = '+arg1);
		var i=this[methodName](arg0,arg1);
		console.log('\treturn '+i);
		return i;
	}
})
})

重载方法Hook

反编译

方法的主要功能是将传入的int型参数加上前缀并返回

传入的参数为123456

Frida Hook

修改参数内容再进行hook

setImmediate(function() {
Java.perform(function() {
	var targetClass='com.example.application.Utils';
	var methodName='test';
	var gclass = Java.use(targetClass);
	gclass[methodName].overload('int').implementation = function(arg0) {
		var arg0 = 666
		console.log('\nGDA[Hook test(int)]'+'\n\targ0 = '+arg0);
		var i=this[methodName](arg0);
		console.log('\treturn '+i);
		return i;
	}
})
})

对象参数Hook

反编译

test的参数为一个对象也是一个重载，对象是Money

在入口处被实例化调用

Frida Hook

同样也hook不到返回值，只能通过修改入口参数来改变程序的输出结果

setImmediate(function() {
Java.perform(function() {
	var targetClass='com.example.application.Money';
	var methodName='$init';
	var gclass = Java.use(targetClass);
	gclass[methodName].overload('int','java.lang.String').implementation = function(arg0,arg1) {
		var arg0=1000
		var arg1='sdsdf'
		console.log('\nGDA[Hook $init(int,java.lang.String)]'+'\n\targ0 = '+arg0+'\n\targ1 = '+arg1);
		var i=this[methodName](arg0,arg1);
		console.log('\treturn '+i);
		return i;
	}
})		
})

argetClass);
gclass[methodName].overload(‘int’,‘java.lang.String’).implementation = function(arg0,arg1) {
var arg0=1000
var arg1=‘sdsdf’
console.log(’\nGDA[Hook $init(int,java.lang.String)]’+’\n\targ0 = ‘+arg0+’\n\targ1 = ‘+arg1);
var i=thismethodName;
console.log(’\treturn '+i);
return i;
}
})
})

[外链图片转存中...(img-yQHbW6po-1639893502627)]