Android源碼中現(xiàn)在有大量的方法和變量被@hide所修飾，而這些被hide修飾的方法和變量是不允許應(yīng)用層進(jìn)行反射獲取的，所以富有探索精神的程序員們就開始想盡各種辦法繞過系統(tǒng)hide限制來使用@hide修飾的方法和變量。

1、套娃（適配Android10即之前）

Android11之前我們可以使用套娃的形式來欺騙系統(tǒng)，讓系統(tǒng)誤以為是系統(tǒng)調(diào)用的hide方法。而到了Android11之后，套娃就已經(jīng)失效了嘍，要尋找新的方法來和系統(tǒng)對抗。

1. 我們通過反射 API 拿到 getDeclaredMethod 方法。getDeclaredMethod 是 public 的，不存在問題；這個通過反射拿到的方法我們稱之為元反射方法。

2. 我們通過剛剛反射拿到元反射方法去反射調(diào)用 getDeclardMethod。這里我們就實現(xiàn)了以系統(tǒng)身份去反射的目的——反射相關(guān)的 API 都是系統(tǒng)類，因此我們的元反射方法也是被系統(tǒng)類加載的方法；所以我們的元反射方法調(diào)用的 getDeclardMethod 會被認(rèn)為是系統(tǒng)調(diào)用的，可以反射任意的方法。

例子：

Method metaGetDeclaredMethod =
        Class.class.getDeclaredMethod("getDeclardMethod"); // 公開API，無問題
Method hiddenMethod = metaGetDeclaredMethod.invoke(hiddenClass,
        "hiddenMethod", "hiddenMethod參數(shù)列表"); // 系統(tǒng)類通過反射使用隱藏 API，檢查直接通過。
hiddenMethod.invoke // 正確找到 Method 直接反射調(diào)用

代表：FreeReflection

2、源碼分析

而目前的Android11和Android12系統(tǒng)修復(fù)了這個漏洞，套娃無法在繼續(xù)使用。

所以我們只能另辟蹊徑。

系統(tǒng)在判斷調(diào)用者的時候是通過調(diào)用棧來判斷調(diào)用者的方向的，所以只要我們在調(diào)用棧上做手腳，讓系統(tǒng)誤以為不是應(yīng)用層的調(diào)用棧，即可繞過@hide限制。

static jobject Class_getDeclaredMethodInternal(JNIEnv* env, jobject javaThis, jstring name, jobjectArray args) {
  // ……
  Handle<mirror::Method> result = hs.NewHandle(
      mirror::Class::GetDeclaredMethodInternal<kRuntimePointerSize>(
          soa.Self(),
          klass,
          soa.Decode<mirror::String>(name),
          soa.Decode<mirror::ObjectArray<mirror::Class>>(args),
          GetHiddenapiAccessContextFunction(soa.Self())));
  if (result == nullptr || ShouldDenyAccessToMember(result->GetArtMethod(), soa.Self())) {
    return nullptr;
  }
  return soa.AddLocalReference<jobject>(result.Get());
}

如果ShouldDenyAccessToMember返回true，則getDeclaredMethodInternal會返回null，則上層會拋出異常。

bool VisitFrame() override REQUIRES_SHARED(Locks::mutator_lock_) {
    ArtMethod *m = GetMethod();
    ......
    ObjPtr<mirror::Class> declaring_class = m->GetDeclaringClass();
    if (declaring_class->IsBootStrapClassLoaded()) {
        ......
        // 如果 PREVENT_META_REFLECTION_BLACKLIST_ACCESS 為 Enabled，跳過來自 java.lang.reflect.* 的訪問
        // 系統(tǒng)對“套娃反射”的限制的關(guān)鍵就在此
        ObjPtr<mirror::Class> proxy_class = GetClassRoot<mirror::Proxy>();
        if (declaring_class->IsInSamePackage(proxy_class) && declaring_class != proxy_class) {
            if (Runtime::Current()->isChangeEnabled(kPreventMetaReflectionBlacklistAccess)) {
                return true;
            }
        }
    }

    caller = m;
    return false;
}

套娃為什么會失效，原因就在VisitFrame中

3、重點來了--解決方案（適配Anroid11&Android12）

我們解決方法的方向就是破壞調(diào)用堆棧，讓系統(tǒng)無法識別api的真正調(diào)用者。

具體做法：

1. 通過在jni層創(chuàng)建線程來執(zhí)行真正的反射操作，當(dāng)然，只是這樣還不足以欺騙系統(tǒng)。

2. 通過對線程調(diào)用attachthread方法來改變調(diào)用堆棧，從而達(dá)到欺騙系統(tǒng)的目的。google對attachthread的部分講解：https://developer.android.com/training/articles/perf-jni?hl=zh-cn

4、源碼

話不多說，直接上源碼：

1、通過async來創(chuàng)建線程，因為async可以返回future來把異步同步化，線程內(nèi)執(zhí)行g(shù)etDeclaredField_internal

Java_com_macoli_reflect_1helper_NativeReflect_getDeclaredField(JNIEnv *env, jobject t,
                                                               jclass clz, jstring fieldName) {
    auto global_clazz = env->NewGlobalRef(clz);
    jstring global_method_name = static_cast<jstring>(env->NewGlobalRef(fieldName)) ;
? ? //通過async來創(chuàng)建線程，因為async可以返回future來把異步同步化，線程內(nèi)執(zhí)行g(shù)etDeclaredField_internal
    auto future = std::async(&getDeclaredField_internal, global_clazz, global_method_name);
    auto result = future.get();

    env->DeleteGlobalRef(global_clazz) ;
    env->DeleteGlobalRef(global_method_name) ;

    return result ;
}

2、真正執(zhí)行反射操作

關(guān)鍵：attachCurrentThread()來對調(diào)用堆棧進(jìn)行轉(zhuǎn)變。

JNIEnv *attachCurrentThread() {
    JNIEnv *env;
    int res = _vm->AttachCurrentThread(&env, nullptr);
    __android_log_print(ANDROID_LOG_DEBUG, "native", "Found attached %d", res);
    return env;
}

void detachCurrentThread() {
    _vm->DetachCurrentThread();
}


static jobject getDeclaredField_internal(jobject object, jstring field_name) {

    JNIEnv *env = attachCurrentThread();//這里是重點

    jclass clazz_class = env->GetObjectClass(object);
    jmethodID methodId = env->GetMethodID(clazz_class, "getDeclaredField",
                                          "(Ljava/lang/String;)Ljava/lang/reflect/Field;");
    jobject res = env->CallObjectMethod(object, methodId, field_name);
    jobject global_res = nullptr;
    if (res != nullptr) {
        global_res = env->NewGlobalRef(res);
    }

    detachCurrentThread();
    return global_res;
}

測試：

 @Override
    protected void onCreate(Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        setContentView(R.layout.activity_main);

        findViewById(R.id.reflect_btn).setOnClickListener(v -> {
            try {

                 /** {@hide} */
                 /*
                public void setTraceTag(long traceTag) {
                    mTraceTag = traceTag;
                }
                * */
                Method m = ReflectHelper.getDeclaredMethod(Looper.class , "setTraceTag" , new Class[]{long.class}) ;
                m.invoke(Looper.getMainLooper() , 1000) ;
                Log.d("gggl" , "setTraceTag " + m.toString()) ;

                Class<?> activityThreadCls = Class.forName("android.app.ActivityThread") ;
                Field f = ReflectHelper.getDeclaredField(activityThreadCls , "DEBUG_BROADCAST") ;
                Object tag = f.get(null) ;
                Log.d("gggl" , f.toString()) ;
                Log.d("gggl" , tag.toString()) ;
//                CpuUsageInfo cpuUsageInfo = new CpuUsageInfo() ;
                /** @hide */
                /*public CpuUsageInfo(long activeTime, long totalTime) {
                    mActive = activeTime;
                    mTotal = totalTime;
                }*/
                if (Build.VERSION.SDK_INT >= Build.VERSION_CODES.N) {
                    Constructor cpuUsageInfoConstructor = ReflectHelper.getDeclaredConstructor(CpuUsageInfo.class , new Class[]{long.class , long.class}) ;
                    Object cpuUsageObj = cpuUsageInfoConstructor.newInstance(100 , 100) ;
                    Method getTotalM = CpuUsageInfo.class.getDeclaredMethod("getTotal") ;
                    Object r = getTotalM.invoke(cpuUsageObj) ;
                    Log.d("gggl" , "getTotal = " + r) ;
                }

            } catch (Exception e) {
                e.printStackTrace();
            }
        });
    }

華為mate 40 pro 測試結(jié)果：

總結(jié)：

源碼已上傳到gitee：https://gitee.com/gggl/reflect_helper

Android11&Android12文章來源地址http://www.zghlxwxcb.cn/news/detail-507349.html