Chapter06-plus
该项目展示了如何使用 PLTHook 技术来获取线程创建的堆栈
运行环境
AndroidStudio3.2
NDK16~19
支持 x86 armeabi-v7a
说明
运行项目后点击开启 Thread Hook按钮，然后点击新建 Thread按钮。在Logcat 日志中查看到捕获的日志，类似如下：
com.dodola.thread.MainActivity$2.onClick(MainActivity.java:33)
android.view.View.performClick(View.java:5637)
android.view.View$PerformClick.run(View.java:22429)
android.os.Handler.handleCallback(Handler.java:751)
android.os.Handler.dispatchMessage(Handler.java:95)
android.os.Looper.loop(Looper.java:154)
android.app.ActivityThread.main(ActivityThread.java:6121)
java.lang.reflect.Method.invoke(Native Method)
com.android.internal.os.ZygoteInit$MethodAndArgsCaller.run(ZygoteInit.java:889)
com.android.internal.os.ZygoteInit.main(ZygoteInit.java:779)
实现步骤
寻找Hook点
我们来先线程的启动流程，可以参考这篇文章Android线程的创建过程
java_lang_Thread.cc:Thread_nativeCreate
static void Thread_nativeCreate(JNIEnv* env, jclass, jobject java_thread, jlong stack_size, jboolean daemon) {
Thread::CreateNativeThread(env, java_thread, stack_size, daemon == JNI_TRUE);
}
thread.cc 中的CreateNativeThread函数
void Thread::CreateNativeThread(JNIEnv* env, jobject java_peer, size_t stack_size, bool is_daemon) {
...
pthread_create_result = pthread_create(&new_pthread,
&attr,
Thread::CreateCallback,
child_thread);
...
}
整个流程就非常简单了，我们可以使用inline hook函数Thread_nativeCreate或者CreateNativeThread。
不过考虑到inline hook的兼容性，我们更希望使用got hook或者plt hook。
pthread_create就是一个非常好的点，我们可以利用它来做文章
查找Hook的So
上面Thread_nativeCreate、CreateNativeThread和pthread_create函数分别编译在哪个library中呢？
很简单，我们看看编译脚本Android.bp就知道了。
art_cc_library {
name: "libart",
defaults: ["libart_defaults"],
}
cc_defaults {
name: "libart_defaults",
defaults: ["art_defaults"],
host_supported: true,
srcs: [
thread.cc",
]
}
可以看到是在"libart.so"中，而pthread_create熟悉的人都知道它是在"libc.so"中的。
查找Hook函数的符号
C++ 的函数名会 Name Mangling，我们需要看看导出符号。
readelf -a libart.so
pthread_create函数的确是在libc.so中，而且因为c编译的不需要deMangling
001048a0 0007fc16 R_ARM_JUMP_SLOT 00000000 pthread_create@LIBC
真正实现
剩下的实现就非常简单了，如果你想监控其他so库的pthread_create。
profilo中也有一种做法是把目前已经加载的所有so都统一hook了，考虑到性能问题，我们并没有这么做，而且只hook指定的so.
hook_plt_method("libart.so", "pthread_create", (hook_func) &pthread_create_hook);
而pthread_create的参数直接查看pthread.h就可以了。
int pthread_create(pthread_t* __pthread_ptr, pthread_attr_t const* __attr, void* (*__start_routine)(void*), void*);
获取堆栈是在native反射Java的方法
jstring java_stack = static_cast<jstring>(jniEnv->CallStaticObjectMethod(kJavaClass, kMethodGetStack));
可以看到整个流程的确是so easy.