前言
Android P對非SDK API的使用做了限制，導致在Android P上會出現一些狀況。在很早前預覽版本剛出來的時候，360團隊就出了兩篇文章。 Android P 呼叫隱藏API限制原理 以及 突破Android P(Preview 1)對呼叫隱藏API限制的方法
限制方式三種：
- 反射
- 直接呼叫
- jni呼叫
這一篇文章就是根據上面的文章來的。
方法一(不建議)
使用Provided(CompileOnly)的方式去解決呼叫限制，只能解決反射呼叫的問題，而無法解決直接呼叫或者jni呼叫的方式。不建議使用
方法二(不建議)
這個方法二對應的是360文章中的方法三。主要程式碼如下。
class ObjPtr {
public:
uintptr_t reference_;
};
ObjPtr
(*sys_GetDeclaredMethodInternal)(void *self, jobject kclass, jstring name, jobjectArray args);
void *(*executableGetArtMethod)(void *ex);
ObjPtr myGetDeclaredMethodInternal(void *self, jobject kclass, jstring name, jobjectArray args) {
ObjPtr res = sys_GetDeclaredMethodInternal(self, kclass, name, args);
if (res.reference_ != 0) {
void *pMethod = executableGetArtMethod((void *) (res.reference_));
reinterpret_cast<uint32_t *>(pMethod)[1] &= 0xcfffffff;
}
return res;
}
extern "C" int hookForPMethod() {
void *libc = fake_dlopen("/system/lib/libart.so", RTLD_NOW);
if (libc != NULL) {
void *p = fake_dlsym(libc, "_ZN3art6mirror5Class25GetDeclaredMethodInternalILNS_11Poin"
"terSizeE4ELb0EEENS_6ObjPtrINS0_6MethodEEEPNS_6ThreadENS4_IS1_EENS4_INS0_6StringEEEN"
"S4_INS0_11ObjectArrayIS1_EEEE");
if (p != NULL) {
MSHookFunction(p,
reinterpret_cast<void *>(myGetDeclaredMethodInternal),
reinterpret_cast<void **>(&sys_GetDeclaredMethodInternal));
}
*(void **) (&executableGetArtMethod) =
fake_dlsym(libc, "_ZN3art6mirror10Executable12GetArtMethodEv");
fake_dlclose(libc);
} //if
return 1;
}
複製程式碼其中，fake_dlopen、fake_dlsym 使用的是Nougat_dlfunctions,主要是Android 7.0以上對dlopen、dlsym等函式做了限制。因此用這個庫。而MSHookFunction，則是大名鼎鼎的cydiasubstrate。
上面的程式碼只解決了反射方法的問題。我按照這種思路去解決欄位問題的時候發現。
GetDeclaredField是inline的，無法切入。而CreateFromArtField又是hidden的，也不好切入。
因此，放棄了這種方法。
方法三(可用，但是有更好的)
這裡對應的方法三，對應的是360文章中的方法二，也就是修改classloader的方式。程式碼如下。
void (*setClassLoader)(void *pClass, void *new_cl);
ObjPtr (*toClass)(jclass global_jclss);
extern "C" void makeHiddenApiAccessable(JNIEnv *env) {
void *libart = fake_dlopen("/system/lib/libart.so", RTLD_NOW);
if (libart != NULL) {
*(void **) (&toClass) = fake_dlsym(libart, "_ZN3art16WellKnownClasses7ToClassEP7_jclass");
*(void **) (&setClassLoader) =
fake_dlsym(libart, "_ZN3art6mirror5Class14SetClassLoaderENS_6ObjPtrINS0_11ClassLoaderEEE");
jclass cls = env->FindClass("com/example/support_p/ReflectionHelper");
ObjPtr op = toClass(cls);
setClassLoader((void *) op.reference_, NULL);
}
}
複製程式碼沒錯，程式碼就是這麼點。這樣，我們就可以在ReflectionHelper中呼叫非公開API了。但是這裡會依賴Nougat_dlfunctions這個庫。
方法四(超級好)
既然是修改classloader，那麼我們為什麼不在java層修改呢。程式碼如下。
private void testJavaPojie() {
try {
Class reflectionHelperClz = Class.forName("com.example.support_p.ReflectionHelper");
Class classClz = Class.class;
Field classLoaderField = classClz.getDeclaredField("classLoader");
classLoaderField.setAccessible(true);
classLoaderField.set(reflectionHelperClz, null);
} catch (Exception e) {
e.printStackTrace();
}
}
複製程式碼而這裡用的相關反射只是light級別的，沒有什麼影響。反而程式碼量超小，也不依賴其他。
方法五(超級好+1)
這個方案來自 @區長 大神
方法四還是存在一點問題。如果以後把classloader加入到深灰或者黑名單，那就僵硬了。所以，我們不用反射，直接用unsafe去修改。程式碼這就不貼了。為了得到classloader的偏移量，我們寫一個和Class結構一樣的類，用這個類得到的classLoader的偏移量和Class是一樣的。
注意：
如果我們用修改ClassLoader的方式的話，那麼ReflectionHelper類中只能反射呼叫非公開API，注意了。