學完ASM Tree api,再也不怕hook了

語言: CN / TW / HK

highlight: arta

背景

看完本章,你將會學習到用ASM的tree api進行對匿名線程的hook操作,同時也能夠了解到asm相關的操作和背景知識介紹!對於ASM插樁來説,可能很多人都不陌生了,但是大多數可能都停留在core api上,對於現在市面上的一些插樁庫,其實很多都用tree api進行編寫了,因為tree api的簡單與明瞭的特性,也越來越成為許多開源庫的選擇。(ASM有兩套api類型,分別是core 和 tree)

image.png

ASM介紹

ASM其實就是一個可以編譯字節碼的工具,比如説我們日常開發會引入很多的類庫對不對,又或者説我們的項目太大了,想修改某個點的時候,統一修改容易出錯(比如隱私合規問題等),這個時候如果能有一個工具對生成後的class文件進行編輯的話,就非常方便我們進行後續的工作了。

本章主要介紹tree api,下文所説的ASM都是指tree api的操作哦,對於core api的介紹可以查看筆者曾經寫過的文章Spider

class文件

我們常説的class文件,其實從二進制的角度出發,無非是分成以下幾個部分: image.png 可以看到,一個class文件其實就是由上圖中的多個部分組成,而ASM,就是把這些結構進行了更進一步的抽象,對於class文件,其實就是抽象成asm中的class node類

image.png 對於一個class文件來説,通過以下就可以進行唯一性識別,分別是:version(版本),access(作用域,比如private等修飾符),name(名稱),signature(泛型簽名),superName(父類),interfaces(實現的接口),fields(當前的屬性),methoss(當前的方法)。 所以如果想要修改一個class,我們修改對應的classNode即可

fields

屬性,也是類非常重要的一部分,在字節碼中,是如此定義的

image.png 對於一個屬性,ASM將其抽象為FieldNode

image.png 對於一個屬性field來説,通過以下就可以進行唯一性識別:access(作用域,跟class結構一樣,比如private修飾),name(屬性名稱),desc(簽名),signature(泛型簽名),value(當前對應的數值)

methods

相比於屬性,我們的方法結構更為複雜 image.png 相比於屬性的單一,一個方法可能由多條指令組成而,一個方法的成功執行,也涉及到局部變量表跟操作數棧的配合。ASM中把方法抽象成這樣一個定義 方法 = 方法頭+方法體 - 方法頭:即標識一個方法的基本屬性,包括:access(作用域),name(方法名),desc(方法簽名),signature(泛型簽名),exceptions(方法可以拋出的異常) image.png - 方法體:相比於方法頭,方法體的概念其實就比較簡單了,其實方法體就是方法的各條指令的集合,主要包括instrutions(方法的指令集),tryCatchBlocks(異常的節點集),maxStack(操作數棧的最大深度),maxLocals(本地變量表的最大長度) image.png 可以看到,方法其中的InsnList對象,是特指方法的指令集的抽象,這裏繼續講解

InsnList

public class InsnList implements Iterable<AbstractInsnNode> { private int size; private AbstractInsnNode firstInsn; private AbstractInsnNode lastInsn; AbstractInsnNode[] cache; ... 可以看到,主要的對象就是firstInsn,與lastInsn,代表着方法指令集的頭指令與尾指令,每一個指令其實都被抽象成了AbstractInsnNode的子類,AbstractInsnNode定義了一條指令最基礎的信息,我們可以看看這個類的子類

image.png 這裏我們再看看我們最常用的methodInsnNode ``` public class MethodInsnNode extends AbstractInsnNode {

/* * The internal name of the method's owner class (see {@link * org.objectweb.asm.Type#getInternalName()}). * *

For methods of arrays, e.g., {@code clone()}, the array type descriptor. / public String owner;

/* The method's name. / public String name;

/* The method's descriptor (see {@link org.objectweb.asm.Type}). / public String desc;

/* Whether the method's owner class if an interface. / public boolean itf; ``` 這個就是一個普通方法指令最根本的定義了,owner(方法調用者),name(方法名稱),desc(方法簽名)等等,他們都有着相似的結構,這個也是我們接下來會實戰的重點。

Signature

嗯!我們最後介紹一下這個神奇的東西!不知道大家在看介紹的時候,有沒有一臉疑惑,這個我解釋為泛型簽名,這個跟desc(函數簽名)參數有什麼區別呢?當然,這個不僅僅在函數上有出現,在屬性,類的結構上都有出現!是不是非常神奇!

其實Signature屬性是在JDK 1.5發佈後增加到了Class文件規範之中,它是一個可選的定長屬性, 可以出現於類、屬性表和方法表結構的屬性表中。我們想想看,jdk1.5究竟是發生什麼了!其實就是對泛型的支持,那麼1.5版本之前的sdk怎麼辦,是不是也要進行兼容了!所以java標準組就想到了一個折中的方法,就是泛型擦除,泛型信息編譯(類型變量、參數化類型)之後 都通通被擦除掉,以此來進行對前者的兼容。那麼這又導致了一個問題,擦除的泛型信息有時候正是我們所需要的,所以Signature就出現了,把這些泛型信息存儲在這裏,以提供運行時反射等類型信息的獲取!實際上可以看到,我們大部分的方法或者屬性這個值都為null,只有存在泛型定義的時候,泛型的信息才會被存儲在Signature裏面

實戰部分

好啦!有了理論基礎,我們也該去實戰一下,才不是口水文!以我們線程優化為例子,在工作項目中,或者在老項目中,可能存在大多數不規範的線程創建操作,比如直接new Thread等等,這樣生成的線程名就會被賦予默認的名字,我們這裏先把這類線程叫做“匿名線程”!當然!並不是説這個線程沒有名字,而是線程名一般是“Thread -1 ”這種沒有額外信息含量的名字,這樣對我們後期的線程維護會帶來很大的干擾,時間長了,可能就存在大多數這種匿名線程,有可能帶來線程創建的oom crash!所以我們的目標是,給這些線程賦予“名字”,即調用者的名字

解決“匿名”Thread

為了達到這個目的,我們需要對thread的構造有一個瞭解,當然Thread的構造函數有很多,我們舉幾個例子 public Thread(String name) { init(null, null, name, 0); } public Thread(ThreadGroup group, String name) { init(group, null, name, 0); } 可以看到,我們Thread的多個構造函數,最後一個參數都是name,即Thread的名稱,所以我們的hook點是,能不能在Thread的構造過程,調用到有name的構造函數是不是就可以實現我們的目的了!我們再看一下普通的new Thread()字節碼

image.png 那麼我們怎麼才能把new Thread()的方式變成 new Thread(name)的方式呢?很簡單!只需要我們把init的這條指令變成有參的方式就可以了,怎麼改變呢?其實就是改變desc!方法簽名即可,因為一個方法的調用,就是依據方法簽名進行匹配的。我們在函數後面添加一個string的參數即可 node是methidInsnNode def desc = "${node.desc.substring(0, r)}Ljava/lang/String;${node.desc.substring(r)}" node.desc = desc 那麼這樣我們就可以完成了嗎,非也非也,我們只是給方法簽名對加了一個參數,但是這並不代表我們函數就是這麼運行的!因為方法參數的參數列表中的string參數我們還沒放入操作數棧呢!那麼我們就可以構造一個string參數放入操作數棧中,這個指令就是ldc指令啦!asm為我們提供了一個類是LdcInsnNode,我們可以創建一個該類對象即可,構造參數需要傳入一個字符串,那麼這個就可以把當前方法的owner(解釋如上,調用者名稱)放進去了,是不是就達到我們想要的目的了!好啦!東西我們又了,我們要在哪裏插入呢?

image.png 所以我們的目標很明確,就是在init指令調用前插入即可,asm也提供了insertBefore方法,提供在某個指令前插入的便捷操作。

method.instructions.insertBefore( node, new LdcInsnNode(klass.name) ) 我們看看最後插入後的字節碼

image.png 當然,我們插入asm代碼一般是在android提供給我們的Transform階段進行的(agp新版有改變,但是大體工作流程一致),所以我們在transfrom中為了避免對類的過度干擾,我們還需要把不必要的階段提早剔除!比如我們只在new Thread操作,那麼就把非Opcodes.INVOKESPECIAL的操作過濾即可。還有就是非init階段(即非構造函數階段)或者owner不為Thread類就可以提前過濾,不參與更改即可。

那我們看到完整的代碼(需要在Transform中執行的代碼) ``` static void transform(ClassNode klass) { println("ThreadTransformUtils") // 這裏只處理Thread klass.methods?.forEach { methodNode -> methodNode.instructions.each { // 如果是構造函數才繼續進行 if (it.opcode == Opcodes.INVOKESPECIAL) { transformInvokeSpecial((MethodInsnNode) it, klass, methodNode) } } }

}

private static void transformInvokeSpecial(MethodInsnNode node, ClassNode klass, MethodNode method) { // 如果不是構造函數,就直接退出 if (node.name != "" || node.owner != THREAD) { return } println("transformInvokeSpecial") transformThreadInvokeSpecial(node, klass, method)

}

private static void transformThreadInvokeSpecial( MethodInsnNode node, ClassNode klass, MethodNode method ) { switch (node.desc) { // Thread() case "()V": // Thread(Runnable) case "(Ljava/lang/Runnable;)V": method.instructions.insertBefore( node, new LdcInsnNode(klass.name) ) def r = node.desc.lastIndexOf(')') def desc = "${node.desc.substring(0, r)}Ljava/lang/String;${node.desc.substring(r)}" // println(" + $SHADOW_THREAD.makeThreadName(Ljava/lang/String;Ljava/lang/String;) => ${this.owner}.${this.name}${this.desc}: ${klass.name}.${method.name}${method.desc}") println(" * ${node.owner}.${node.name}${node.desc} => ${node.owner}.${node.name}$desc: ${klass.name}.${method.name}${method.desc}") node.desc = desc break }

} ```

最後

看到這裏,應該可以瞭解到asm tree api相關用法與實戰了,希望能有所幫助!

我正在參與掘金技術社區創作者簽約計劃招募活動,點擊鏈接報名投稿