Xposed框架：模块开发、方法替换、系统级Hook

Xposed框架，说白了就是Android世界里的“手术刀”。

它能让你在不用修改APK的情况下，直接修改系统或应用的行为。我个人习惯把它比作“运行时补丁”——你不需要重新编译，不需要反编译，直接在内存里把方法给换了。

嗯，这听起来有点黑科技，但原理其实不复杂。今天我们就把它拆开揉碎了讲清楚。

Xposed的核心原理

Xposed为什么能Hook？它靠的是Zygote进程。

Android系统启动时，Zygote会加载所有框架层代码。Xposed在Zygote启动的早期阶段，把自己的jar包注入进去，然后替换了Zygote里的方法调用逻辑。

说白了，它在你手机开机的那一刻，就已经“潜伏”在系统里了。

核心流程：

  • Zygote启动 → Xposed注入 → 加载模块 → 注册Hook → 方法被替换

我刚开始接触Xposed时，一直以为它是在应用启动后才Hook的。后来踩了个坑才发现——不对，它是在Zygote阶段就完成了所有准备工作。你想想看，如果等应用跑起来再Hook，那很多系统级方法早就被调用了，根本来不及。

Zygote 启动 Xposed 注入框架 加载模块 APK 注册 Hook 方法 替换方法实现 目标方法被调用 执行 Hook 逻辑

模块开发：从零开始写一个Xposed模块

写Xposed模块，其实就三步：

  1. 创建一个Android项目，引入Xposed API
  2. 实现一个入口类，继承IXposedHookLoadPackage
  3. 在AndroidManifest里声明模块信息

先看build.gradle的依赖配置：

dependencies {
    provided 'de.robv.android.xposed:api:82'
    provided 'de.robv.android.xposed:api:82:sources'
}

注意是provided，不是implementation。为什么？因为Xposed API在系统里已经有了，你只需要编译时引用，不需要打包进去。我见过有人用implementation，结果模块体积翻了一倍，还跟系统自带的API冲突了。

然后是模块入口类：

public class MainHook implements IXposedHookLoadPackage {
    @Override
    public void handleLoadPackage(XC_LoadPackage.LoadPackageParam lpparam) {
        // 只Hook目标应用
        if (!lpparam.packageName.equals("com.example.target")) {
            return;
        }
        Log.d("XposedDemo", "已注入: " + lpparam.packageName);
    }
}

最后是AndroidManifest.xml：

<application>
    <meta-data
        android:name="xposedmodule"
        android:value="true" />
    <meta-data
        android:name="xposeddescription"
        android:value="这是一个示例模块" />
    <meta-data
        android:name="xposedminversion"
        android:value="82" />
</application>

小技巧：我习惯在assets/xposed_init文件里写上入口类的全限定名。虽然新版Xposed支持自动扫描，但手动指定更可靠，不容易漏加载。

方法替换：核心Hook操作

方法替换是Xposed最常用的功能。说白了，就是把目标方法的执行逻辑换成你自己的代码。

常用的API就这几个：

API 作用 使用场景
XposedHelpers.findAndHookMethod 按方法名和参数类型Hook 最常用，适合已知签名的方法
XposedHelpers.findAndHookConstructor Hook构造函数 拦截对象创建过程
XposedBridge.hookAllMethods Hook所有同名方法 方法被重载时使用
XposedBridge.hookAllConstructors Hook所有构造函数 类有多个构造器时

来看一个实际例子。假设我们要Hook一个应用的登录方法：

XposedHelpers.findAndHookMethod(
    "com.example.target.LoginManager",
    lpparam.classLoader,
    "login",
    String.class,  // 用户名
    String.class,  // 密码
    new XC_MethodHook() {
        @Override
        protected void beforeHookedMethod(MethodHookParam param) {
            // 在原始方法执行前，打印参数
            String username = (String) param.args[0];
            String password = (String) param.args[1];
            Log.d("XposedDemo", "用户名: " + username);
            Log.d("XposedDemo", "密码: " + password);
        }

        @Override
        protected void afterHookedMethod(MethodHookParam param) {
            // 在原始方法执行后，修改返回值
            Object result = param.getResult();
            if (result instanceof Boolean) {
                param.setResult(true);  // 强制登录成功
            }
        }
    }
);

这里有两个回调：beforeHookedMethod和afterHookedMethod。前者在原始方法执行前调用，后者在原始方法执行后调用。

我曾经在测试一个金融App时，发现它的登录校验特别严格。用beforeHookedMethod打印了参数，发现它把密码做了两次MD5再加盐。嗯，这要是硬破解，得费不少功夫。但用Xposed直接在afterHookedMethod里把返回值改成true，一秒就绕过了。

注意：修改返回值时，要确保类型一致。如果原始方法返回的是int，你setResult一个String，会直接抛ClassCastException。我刚开始写模块时就犯过这个错，排查了半天才发现是类型不匹配。

系统级Hook：玩转系统服务

系统级Hook，才是Xposed真正厉害的地方。它不仅能Hook应用里的方法，还能Hook系统框架层的方法。

比如，你想修改系统的WiFi状态显示逻辑：

XposedHelpers.findAndHookMethod(
    "android.net.wifi.WifiManager",
    lpparam.classLoader,
    "getConnectionInfo",
    new XC_MethodHook() {
        @Override
        protected void afterHookedMethod(MethodHookParam param) {
            WifiInfo info = (WifiInfo) param.getResult();
            if (info != null) {
                // 伪造WiFi信息
                // 注意：这里只是演示，实际需要反射修改字段
                Log.d("XposedDemo", "原始SSID: " + info.getSSID());
            }
        }
    }
);

再比如，拦截系统的剪贴板操作：

XposedHelpers.findAndHookMethod(
    "android.content.ClipboardManager",
    lpparam.classLoader,
    "setPrimaryClip",
    ClipData.class,
    new XC_MethodHook() {
        @Override
        protected void beforeHookedMethod(MethodHookParam param) {
            ClipData clip = (ClipData) param.args[0];
            if (clip != null && clip.getItemCount() > 0) {
                CharSequence text = clip.getItemAt(0).getText();
                Log.d("XposedDemo", "剪贴板内容: " + text);
            }
        }
    }
);

系统级Hook的难点在于——你得知道系统源码里有哪些类、哪些方法。我个人的习惯是，先反编译framework.jar，找到目标方法的确切签名，再写Hook代码。别凭记忆写，系统版本不同，方法签名可能不一样。

系统级Hook的常见场景：

  • 修改系统设置（如屏幕亮度、音量）
  • 拦截系统广播（如短信、电话）
  • 伪造系统信息（如设备ID、网络状态）
  • 监控系统服务调用（如LocationManager、PackageManager）

避坑指南：我踩过的那些坑

写Xposed模块，坑不少。我挑几个典型的说说：

  • ClassLoader问题：我曾经在Hook系统方法时，用了应用的ClassLoader去加载系统类，结果一直报ClassNotFoundException。后来才发现，系统类要用lpparam.classLoader，应用类才用Class.forName。两者不能混用。
  • 方法签名写错：Java的方法签名很严格。参数类型写错一个字母，Hook就不生效。我建议写之前，先用jadx反编译确认一下。
  • 模块不生效：有时候模块装上了，但Hook没触发。排查思路：先看Xposed日志（/data/data/de.robv.android.xposed.installer/log/），看模块有没有被加载。如果加载了但Hook没执行，那就是方法签名或ClassLoader的问题。
  • 性能问题：别在beforeHookedMethod里做耗时操作。这个方法在目标线程里同步执行，你卡住了，目标应用也跟着卡。我见过有人在这里写网络请求，结果整个App卡死。

调试技巧：我习惯在模块里加一个isDebug开关。调试时打开，打印详细日志；发布时关掉，避免日志刷屏。另外，Xposed的日志可以通过XposedBridge.log()输出，比Log.d更可靠，因为它会写到Xposed自己的日志文件里。

总结

Xposed框架，说白了就是Android安全测试的“瑞士军刀”。

模块开发不难，核心就三个步骤：引入API、写Hook逻辑、声明模块信息。方法替换是基本功，beforeHookedMethod和afterHookedMethod两个回调要熟练掌握。系统级Hook虽然门槛高一点，但掌握了ClassLoader的用法和系统源码的查找方法，也就那么回事。

嗯，最后说一句：Xposed虽好，但别乱用。系统级Hook一旦写错，轻则模块不生效，重则系统崩溃。我建议先在模拟器上测试，确认没问题了再上真机。

公众号:蓝海资料掘金营，微信deep3321

← 上一章 📖 返回目录 下一章 →