Android 框架虚拟化实战董福源 360 手机卫士 2017.thegiac.com

Size: px

Start display at page:

Download "Android 框架虚拟化实战董福源 360 手机卫士 2017.thegiac.com"

堀桶筌富
5 years ago
Views:

1 Android 框架虚拟化实战董福源 360 手机卫士

2 什么是虚拟化原生 apk 在封闭系统内免安装运行 Android 系统的一种沙箱技术

3 技术架构 Sandbox apps Android OS

4 目录 Sandbox apps Android OS

5 Activity 插件化只能启动 Manifest 中声明的 activity 占坑方案欺骗 AMS

6 Activity 启动过程 ContentImpl Activity startactivity(intent) intent appthread activity AMS

7 Activity 启动过程 Sys Process Activity Manager Service check permission ActivityManagerNative attachapplication App Process Instrumentation 收集信息 ActivityRecord ProcessRecord 启动新进程 attachapplication applicationthread 启动 Activity ActivityThread main attach ApplicationThread bindapplication schedulelaunchactivity newapplication callapplicationoncreate newactivity callactivityoncreate

8 关键类结构 Instrumentation ActivityManagerNative Singleton<> gdefault execstartactivity() ActivityManagerProxy startactivity(intent) Intent newapplication Handler ActivityThread Binder IApplicationThread AMS callapplicationoncreate newactivity H handlebindapplication ApplicationThread schedulebindapplication Intent callactivityoncreate handlelaunchactivity schedulelaunchactivity

9 Java Hook 如何欺骗 AMS?

10 Java Hook 目的 Activity A ActivityA StubActivity1 intent: SutbActivity1 AMS Activity A ActivityA StubActivity1 intent: SutbActivity1

11 Java Hook Instrumentation ActivityManagerNative Singleton<> gdefault execstartactivity() ActivityManagerProxy startactivity(intent) intent newapplication Handler ActivityThread Binder IApplicationThread AMS callapplicationoncreate newactivity H handlebindapplication ApplicationThread schedulebindapplication intent callactivityoncreate handlelaunchactivity schedulelaunchactivity

12 Java Hook Singleton Handler.mCallback

13 Activity 插件化只有 1 个桩 standard 模式唯一的 taskaffinity

14 Activity 插件化多个 Activity? 多实例的桩代替多种模式? 用 standard 的桩模拟维护 ActivityStack Activity 管理桩管理

15 Activity 插件化模拟 SingleTop 检测栈顶 APP AMS FLAG_ACTIVITY_SINGLE_TOP SingleTop onnewintent SingleTop Activity B standard Activity A Task

16 Activity 插件化模拟 SingleTask APP AMS 检测栈清除 Activity C FLAG_ACTIVITY_SINGLE_TOP SingleTask standard onnewintent Activity C SingleTask Activity B standard Activity A Task

17 其它组件 Service 代理分发 Broadcast Receiver 静态改动态 Content Provider 本地安装代理分发

18 目录 Sandbox apps Android OS

19 系统服务 Sandbox App Sys Process AM Hook PM Hook Account Hook AppOps Hook PowerMgr Hook Binder Hook Layer Session Hook Binder Proxy WindowMgr Hook Activity Mgr Package Mgr Account Mgr App Ops Power Mgr Session Mgr Window Mgr Activity Mgr Account Mgr Power Mgr Window Mgr Package Mgr App Ops Session Mgr

20 目录 Sandbox apps Android OS

21 文件重定向路径替换 SD 卡目录隔离目录重定向 Native IO Hook 运行时替换

22 Inline hook 原函数 hook 函数 orig 函数 addr0 指令跳转 1 addr1 指令 2 指令 3 指令 4 指令 n addr1 指令 a 指令 b 指令 c 指令 d 指令 x addr2 指令 1 指令 2 跳到指令 3 分配空间存放前 2 条指令 - orig 修改原函数前 2 条指令, 跳转到 hook 函数执行 orig 函数

23 核心问题原函数原函数 orig 函数 addr0 指令 1 指令 2 addr0 指令跳转 1 addr1 指令 2 addr2 指令 1 指令 2 指令 3 指令 3 跳到指令 3 指令 4 指令 4 指令 n 指令 n 跨地址空间执行指令转译

24 核心问题原函数 orig 函数 addr0 指令跳转 1 addr1 指令 2 PC=addr0+8 addr2 指令 1 指令 2 PC=addr2+8 指令 3 跳到指令 3 指令 4 指令 n 与 PC 相关的指令需要转译

25 指令转译跳转 : addr0 addr1 ARM 指令 : LDR, PC, PC+1 addr1 e51ff004 只需要替换原函数的前 2 个指令在前 2 条出现的只有 1 种指令 Single Data Transfer 类指令 Rn=PC

26 指令转译 1) LDR Rd, [PC, #imm] LDR Rd, [PC, Rm] 计算 PC 并保存 LDR Rd, 原 PC LDR Rd, [Rd, #imm] 2) LDR Rd, [PC, Rd] 使用临时寄存器

27 Inline Hook 分配 orig 空间将 orig 映射到内存空间复制指令 ( 转译 ) 将 orig 改为可执行将原函数改为可写替换指令原函数指令跳转 1 addr1 指令 2 指令 3 指令 4 指令 n orig 函数 addr2 指令 1 指令 2 跳到指令 3

28 Inline Hook 1 分配 orig 空间 2 条备份指令 2 条指令跳回转码指令 + +

29 Inline Hook 2 将 orig 映射到内存空间 mmap 创建内存映射 length 为第 1 步计算出来的大小 PROT_READ PROT_WRITE 可读写权限 MAP_ANON, fd = -1 匿名内存映射相当于分配一块内存, 并映射到内存空间

30 Inline Hook 3 复制指令原函数 orig 函数 1) 普通指令 addr0 指令 1 addr2 指令 1 指令 2 指令 2 指令 3 LDR PC, -4 指令 4 addr0 + 2 指令 n

31 Inline Hook 3 复制指令 2) LDR Rd, [PC, #imm] LDR Rd, [PC, Rm] 原函数 orig 函数指令 1:LDR R5, [PC, imm] addr0 指令 1 指令 2 addr2 指令 a 指令 b PC:addr0 + 8 指令 3 指令 4 指令 2 LDR PC, -4 指令 a:ldr R5, [PC, #8] addr0 + 2 指令 b:ldr R5, [R5, imm] 指令 n addr0+8 两次赋值 Rd 代替直接使用 PC

32 Inline Hook 3 复制指令 3) LDR Rd, [PC, Rd] 原函数 orig 函数指令 1:LDR R5, [PC, R5] addr0 指令 1 指令 2 addr2 PUSH R0 指令 a Rd=Rm, 不能用 Rd 临时存储 PC 指令 3 指令 4 指令 b POP R0 其它过程与 2) 相同指令 n 指令 2 LDR PC, -4 addr0 + 2 addr0+8 与 2) 相同, 使用新寄存器, 操作前 PUSH, 操作后 POP

33 Inline Hook 4 将 orig 改为可执行 mprotect 将内存改为可执行 5 将原函数改为可写参数改为 :PROT_WRITE

34 Inline Hook THUMB 指令集短跳转无法实现跨越 addr0 到 addr2 的跳转需要转为 ARM 指令用 ARM 指令实现跳转指令对齐 4 字节对齐比 ARM 复杂很多替换 6-7 条指令, 实现十几种指令的转译

35 Example App : com.demo1 Write file : /data/data/com.demo1/files/test.txt Hook void *func = dlsym(lib, _open ); fopen_hook(file) 路径替换 fopen_hook(file) { return func_orig(file); } /data/data/com.demo1/files/test.txt /data/data/com.docker/apps/com.demo1/files/test.txt

36 总结 Sandbox apps Android OS

37 End thanks! 技术交流 : 奇卓社 ( 手机卫士技术公众号 )

38 扫码关注 GIAC 公众号

中文摘要智慧型手機由於有強大的功能, 以及優渥的便利性, 還能與網路保持隨時的鏈結與同步更新, 因此深受廣大消費者喜愛, 當然, 手機遊戲也成為現代人不可或缺的娛樂之

中文摘要智慧型手機由於有強大的功能, 以及優渥的便利性, 還能與網路保持隨時的鏈結與同步更新, 因此深受廣大消費者喜愛, 當然, 手機遊戲也成為現代人不可或缺的娛樂之臺北市大安高級工業職業學校資訊科一百零一學年度專題製作報告 ------ 以 Android 製作 ------ ----- 連線塔防遊戲 ------ Tower defense game using Internet technology 班級 : 資訊三甲組別 : A9 組組員 : 葉冠麟 (9906129)

Android 框架虚拟化实战 董福源 360 手机卫士 2017.thegiac.com

Android 框架虚拟化实战董福源 360 手机卫士 2017.thegiac.com