NDK--so插件化原理，hook技术实现andfix热修复-Windows系列-PHP中文网

NDK--so插件化原理，hook技术实现andfix热修复

絕刀狂花

发布： 2025-09-06 08:39:30

原创

195人浏览过

首先，我们探讨so插件化的原理，即hook技术。假设我们已知so库中的函数名和参数，如何调用这些函数？

在Linux系统下，我们创建一个名为sum.c的C文件，内容如下：

int sum(int a, int b) {
    return a + b;
}

登录后复制

使用gcc编译这个文件生成动态链接库：

gcc -fPIC -shared -o sum.so sum.c

登录后复制

接下来，创建一个名为main.c的C文件，用于调用so库中的函数。由于我们知道sum.so中的函数名和参数，我们首先定义一个与之对应的函数指针：

typedef int (*sum)(int, int);
int main() {}

登录后复制

然后，我们使用dlopen函数获取动态链接库的句柄，并使用dlsym函数获取相应函数在内存中的地址。需要导入dlfcn.h头文件：

#include <dlfcn.h>
#include <stdio.h>

typedef int (*sum)(int, int);

int main() {
    void *handle = dlopen("./sum.so", RTLD_LAZY);
    sum sum_address = 0;
    sum_address = (sum)dlsym(handle, "sum");
    printf("%d\n", sum_address(10, 20));
    return 0;
}

登录后复制

使用gcc编译main.c文件：

gcc -rdynamic -o main main.c -ldl

登录后复制

执行生成的可执行文件，结果如下：

NDK--so插件化原理，hook技术实现andfix热修复

插件化原理在于，main.c文件不需要知道sum.so中的函数具体实现，只需知道函数名和参数即可调用对应函数。例如，如果我们将sum函数的功能改为将两个int变量相乘，只需修改sum.c中的代码并重新编译sum.so，而不需要重新编译main.c。此外，还可以从服务器下载so文件的方式实现插件化，甚至可以调用其他APP的so文件。

接下来，我们探讨热修复手写实现。在产品发布后，线上APP可能会出现bug。通常可以通过升级版本重新发布APP来修复，但如果bug非常严重，热修复技术可以不升级APP就修复bug。今天我们探讨阿里系的andfix如何实现热修复。

首先，我们在APP中模拟一个bug，在工具类中创建一个方法，用于模拟异常：

package com.aruba.andfixapplication;

public class Tools {
    public static int calc(int origin) {
        int result = origin / 0;
        return result;
    }
}

登录后复制

很明显，任何数除以0都会抛出异常。在Java虚拟机中，每个Java文件会编译成class文件，并在需要时加载到JVM中。每个class文件在JVM中只有一份内存，方法最终会被加载到方法区。在C/C++中，每个函数最终存放在内存中，有一个指针指向函数的内存地址。利用so插件化的原理，如果我们在Java中可以修改方法的指向，让它指向我们更正的方法，就可以实现热修复。

NDK--so插件化原理，hook技术实现andfix热修复

掌握JNI后，我们可以从native层利用C/C++改变class的方法指向。我们从这点入手，将Java的方法对象（Method）传给native层。

我们模拟服务器，创建一个文件夹，编写更正的方法：

NDK--so插件化原理，hook技术实现andfix热修复

package com.aruba.andfixapplication.web;

public class Tools {
    public static int calc(int origin) {
        int result = origin / 1;
        return result;
    }
}

登录后复制

替换方法需要知道相应的类全名和方法名，我们使用注解来指定更正方法中需要更正的类和方法：

package com.aruba.andfixapplication;

import java.lang.annotation.ElementType;
import java.lang.annotation.Retention;
import java.lang.annotation.RetentionPolicy;
import java.lang.annotation.Target;

@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
public @interface Replace {
    String clazz();
    String method();
}

登录后复制

package com.aruba.andfixapplication.web;

import com.aruba.andfixapplication.Replace;

public class Tools {
    @Replace(clazz = "com.aruba.andfixapplication.Tools", method = "calc")
    public static int calc(int origin) {
        int result = origin / 1;
        return result;
    }
}

登录后复制

接下来，我们需要加载新的Tools类的class，并将方法指针替换。在安卓中，虚拟机不是JVM，而是dalvik和art虚拟机。编译过程中会将class文件打包成dex文件，因此我们需要手动将class打包成dex文件。在Android Studio中build后，找到class文件：

NDK--so插件化原理，hook技术实现andfix热修复

进入classes目录，删除其他class文件：

NDK--so插件化原理，hook技术实现andfix热修复

使用sdk目录下的build-tools中的dx批处理文件，在命令行执行以下命令：

绘蛙AI修图

绘蛙平台AI修图工具，支持手脚修复、商品重绘、AI扩图、AI换色

129

查看详情

C:\Users\tyqhc\AppData\Local\Android\sdk\build-tools\29.0.2\dx --dex --output ./out.dex ./

登录后复制

成功生成dex文件，如下：

NDK--so插件化原理，hook技术实现andfix热修复

保存这份dex文件，模拟从服务器下载dex文件。接下来编写加载dex文件，获取Method的代码：

package com.aruba.andfixapplication;

import android.content.Context;
import android.os.Build;
import java.io.File;
import java.io.IOException;
import java.lang.reflect.Method;
import java.util.Enumeration;
import dalvik.system.DexFile;

public class DexManager {
    private Context mContext;
    private static final DexManager ourInstance = new DexManager();

    public static DexManager getInstance() {
        return ourInstance;
    }

    private DexManager() {
    }

    public void setContext(Context mContext) {
        this.mContext = mContext;
    }

    public void loadDexFile(File file) {
        try {
            DexFile dexFile = DexFile.loadDex(file.getAbsolutePath(),
                    new File(mContext.getCacheDir(), "fix.dex").getAbsolutePath(),
                    Context.MODE_PRIVATE);
            Enumeration<String> entry = dexFile.entries();
            while (entry.hasMoreElements()) {
                String className = entry.nextElement();
                Class<?> clazz = dexFile.loadClass(className, mContext.getClassLoader());
                if (clazz != null) {
                    fixClass(clazz);
                }
            }
        } catch (IOException e) {
            e.printStackTrace();
        }
    }

    private void fixClass(Class<?> clazz) {
        Method[] methods = clazz.getDeclaredMethods();
        for (int i = 0; i < methods.length; i++) {
            Method method = methods[i];
            Replace replace = method.getAnnotation(Replace.class);
            if (replace != null) {
                try {
                    Class<?> bugClazz = Class.forName(replace.clazz());
                    Method bugMethod = bugClazz.getDeclaredMethod(replace.method(), method.getParameterTypes());
                    replace(bugMethod, method);
                } catch (Exception e) {
                    e.printStackTrace();
                }
            }
        }
    }

    private native void replace(Method bugMethod, Method fixMethod);
}

登录后复制

最后，将两个Method通过native方法replace处理。在处理之前，我们需要了解安卓虚拟机的原理。在安卓4.4以前使用的是dalvik虚拟机：

DVM的源码位于dalvik/目录下，其中dalvik/vm目录下的内容是DVM的具体实现部分，它会被编译成libdvm.so；dalvik/libdex会被编译成libdex.a静态库，作为dex工具使用；dalvik/dexdump是.dex文件的反编译工具；DVM的可执行程序位于dalvik/dalvikvm中，将会被编译成dalvikvm可执行程序。

Java的对象都继承自Object，而它其实是一个C语言中的结构体ClassObject，结构如下图：

NDK--so插件化原理，hook技术实现andfix热修复

其中vtable为方法表，存放了这个class的所有函数指针，我们的核心就是要改变函数指针的指向。

虚拟机加载类的流程如下图：

NDK--so插件化原理，hook技术实现andfix热修复

加载最终会打上CLASS_INITIALIZED的标记，即上述结构体中ClassStatus对象为CLASS_INITIALIZED，只有有这个标记，它才能被正常使用。

了解这些后，我们的思路为：在native层中，找到刚才在Java层利用DexFile加载的class，与之对应的native层的ClassObject结构体，将它的ClassStatus对象status变为CLASS_INITIALIZED；然后将出现bug的Method指向修复的Method指针。

编写相应的C++代码：

#include <jni.h>
#include <string>
#include <dlfcn.h>
#include "dalvik.h"

extern "C"
JNIEXPORT void JNICALL
Java_com_aruba_andfixapplication_DexManager_replace(JNIEnv *env, jobject instance, jint sdk,
                                                    jobject bug_methodMethod,
                                                    jobject fix_methodMethod,
                                                    jclass fix_methodClazz) {
    Method *bug_method = (Method *) env->FromReflectedMethod(bug_methodMethod);
    Method *fix_method = (Method *) env->FromReflectedMethod(fix_methodMethod);

    void *dvm_hand = dlopen("libdvm.so", RTLD_NOW);

    typedef Object *(*FindObject)(void *thread, jobject jobject1);
    typedef void *(*FindThread)();

    FindObject findObject = (FindObject) dlsym(dvm_hand, sdk > 10 ?
                                               "_Z20dvmDecodeIndirectRefP6ThreadP8_jobject" :
                                               "dvmDecodeIndirectRef");
    FindThread findThread = (FindThread) dlsym(dvm_hand,
                                               sdk > 10 ? "_Z13dvmThreadSelfv" : "dvmThreadSelf");

    ClassObject *firstFiled = (ClassObject *) findObject(findThread(), fix_methodClazz);
    firstFiled->status = CLASS_INITIALIZED;

    bug_method->accessFlags |= ACC_PUBLIC;
    bug_method->methodIndex = fix_method->methodIndex;
    bug_method->jniArgInfo = fix_method->jniArgInfo;
    bug_method->registersSize = fix_method->registersSize;
    bug_method->outsSize = fix_method->outsSize;
    bug_method->prototype = fix_method->prototype;
    bug_method->insns = fix_method->insns;
    bug_method->nativeFunc = fix_method->nativeFunc;
}

登录后复制

最终效果：

正常运行：

NDK--so插件化原理，hook技术实现andfix热修复