Android反射@hide API 方法、变量，支持Android11和Android12

原创

已于 2023-06-19 15:42:04 修改 · 1.2w 阅读

标签

#android #java #开发语言

于 2023-02-24 00:24:07 首次发布

文章详细介绍了如何在Android系统中绕过@hide限制，使用被隐藏的方法和变量。早期通过套娃方式欺骗系统，但在Android11和12中此方法失效。文章深入源码，分析了系统判断调用者的方式，并提出了通过JNI创建线程并改变调用堆栈的新解决方案，以适应Android11和12的限制。

Android源码中现在有大量的方法和变量被@hide所修饰，而这些被hide修饰的方法和变量是不允许应用层进行反射获取的，所以富有探索精神的程序员们就开始想尽各种办法绕过系统hide限制来使用@hide修饰的方法和变量。

1、套娃（适配Android10即之前）

Android11之前我们可以使用套娃的形式来欺骗系统，让系统误以为是系统调用的hide方法。而到了Android11之后，套娃就已经失效了喽，要寻找新的方法来和系统对抗。

我们通过反射 API 拿到 getDeclaredMethod 方法。getDeclaredMethod 是 public 的，不存在问题；这个通过反射拿到的方法我们称之为元反射方法。

我们通过刚刚反射拿到元反射方法去反射调用 getDeclardMethod。这里我们就实现了以系统身份去反射的目的——反射相关的 API 都是系统类，因此我们的元反射方法也是被系统类加载的方法；所以我们的元反射方法调用的 getDeclardMethod 会被认为是系统调用的，可以反射任意的方法。

例子：

Method metaGetDeclaredMethod =
        Class.class.getDeclaredMethod("getDeclardMethod"); // 公开API，无问题
Method hiddenMethod = metaGetDeclaredMethod.invoke(hiddenClass,
        "hiddenMethod", "hiddenMethod参数列表"); // 系统类通过反射使用隐藏 API，检查直接通过。
hiddenMethod.invoke // 正确找到 Method 直接反射调用

代表：FreeReflection

2、源码分析

而目前的Android11和Android12系统修复了这个漏洞，套娃无法在继续使用。

所以我们只能另辟蹊径。

系统在判断调用者的时候是通过调用栈来判断调用者的方向的，所以只要我们在调用栈上做手脚，让系统误以为不是应用层的调用栈，即可绕过@hide限制。

static jobject Class_getDeclaredMethodInternal(JNIEnv* env, jobject javaThis, jstring name, jobjectArray args) {
  // ……
  Handle<mirror::Method> result = hs.NewHandle(

最低0.47元/天解锁文章