1、申 请 I D ：zpp0196
2、个人邮箱：794970247@qq.com
3、原创技术文章：
不知道从哪个版本开始抖音加入了 Xposed 检测，但是这个检测并不影响 APP 的使用，只是简单的用 Toast 提示（但是每次进去看着也很不舒服），如果没有安装 Xposed 自然不会有任何的提示，那既然他是检测 Xposed 的，那我就用 Xposed 解决他，下面是分析思路：
用到的工具：
apk：抖音短视频_v1.6.8.apk
IDE：Android Studio 3.0
反编译工具：Android Killer 1.3.1.0、MT 管理器 2.4.4（需要 VIP）
1. 首先先看一下 hook 前的原图：
2. 找关键字：
以 Xposed 为关键字（突破点）在工程（抖音短视频_v1.6.8.apk）中搜索，最后确定最有嫌疑的位置为：classes2/com.ss.android.ugc.aweme.app.i.smali
3. 分析代码：
smali 源码不好分析所以我转换成 Java 代码分析：
转换完可以看到 com.ss.android.ugc.aweme.app.i 这个类中有 4 个 boolean 返回值的方法：
private static boolean a() *
public static boolean a(Context paramContext)
private static boolean b() *
private static boolean b(Context paramContext) *
其中带 * 号的方法里面可以搜到 Xposed 关键字：
private static boolean a():
private static boolean b():
private static boolean b(Context paramContext):
但是并没有像上面图中那样完整的一句话。
4. 首次试水：
[Java] 纯文本查看 复制代码 public class ShakeSoundHook extends BaseModule{
@Override
public void handleLoadPackage(XC_LoadPackage.LoadPackageParam lpparam){
if(!lpparam.packageName.equals("com.ss.android.ugc.aweme")){
return;
}
logI("start hook ShakeSound");
findAndHookMethod("com.ss.android.ugc.aweme.app.i", lpparam.classLoader, "a", new XC_MethodReplacement(){
@Override
protected Object replaceHookedMethod(MethodHookParam param) throws Throwable{
logI("com.ss.android.ugc.aweme.app.i.a()");
return false;
}
});
findAndHookMethod("com.ss.android.ugc.aweme.app.i", lpparam.classLoader, "a", Context.class, new XC_MethodReplacement(){
@Override
protected Object replaceHookedMethod(MethodHookParam param) throws Throwable{
logI("com.ss.android.ugc.aweme.app.i.a(Context param)");
return false;
}
});
findAndHookMethod("com.ss.android.ugc.aweme.app.i", lpparam.classLoader, "b", new XC_MethodReplacement(){
@Override
protected Object replaceHookedMethod(MethodHookParam param) throws Throwable{
logI("com.ss.android.ugc.aweme.app.i.b()");
return false;
}
});
findAndHookMethod("com.ss.android.ugc.aweme.app.i", lpparam.classLoader, "b", Context.class, new XC_MethodReplacement(){
@Override
protected Object replaceHookedMethod(MethodHookParam param) throws Throwable{
logI("com.ss.android.ugc.aweme.app.i.b(Context param)");
return false;
}
});
}
}
编译后运行抖音 APP（因为用到的是热修复所以没有重启手机），依然会有提示，而且日志里面也没有打印任何东西，证明这些方法都没有被调用过（起码目前是这样）。
5. 入手 strings.xml：
既然在 java 代码里面没找到，Xposed 这个关键字也没有在 strings.xml 里面出现，那还有一种可能就是 Toast 中的字符串是拼接得到的，这次换一种搜索方式：
这次只搜前面的几个字「检测到」：
果然搜到了，将 "%s" 换成 "Xposed" 不就是上面 Toast 的内容了么，接着在 public.xml 中搜索他的 id(a_v)：
很明显用到的是第二个 type="string" 的，接着将他的 id(0x7f09020d) 转换为 10 进制(2131296781) 再次搜索结果没有搜到任何东西，以前就遇到过这种坑，然后我选择换工具继续找。
6. 换工具继续找：
PS：电脑端有其他工具应该也可以查出来，不过我不常用，用的多的还是手机上的 MT 管理器，照猫画虎，按照个人习好来。
这个 apk 有 3 个 dex 文件，除过 classes2 中的 R$string 以外，能搜到的唯一一个结果在 classes1/com.ss.android.ugc.aweme.app.b.a.i 里面：
反编译直接查看 java 源码得到：
[Java] 纯文本查看 复制代码 public class i implements a {
public static ChangeQuickRedirect a;
public void a() {
if (PatchProxy.isSupport(new Object[0], this, a, false, 4264, new Class[0], Void.TYPE)) {
PatchProxy.accessDispatch(new Object[0], this, a, false, 4264, new Class[0], Void.TYPE);
} else if (com.ss.android.ugc.aweme.app.i.a(AwemeApplication.t())) {
n.a(AwemeApplication.t(), String.format(AwemeApplication.t().getString(0x7f09020d), new Object[]{com.ss.android.ugc.aweme.app.i.b}));
c.a("find_hook", com.ss.android.ugc.aweme.app.i.b, null);
}
}
}
看到 format() 和 getString(0x7f09020d) 就可以猜到这一行应该就是显示 Toast 的方法，他没有返回值，应该不是判断的方法而是显示 Toast 的方法。
7. 再次试水：
这个相对于上面的可能性很大，所以直接 hook 打印日志测试：
[Asm] 纯文本查看 复制代码 public class ShakeSoundHook extends BaseModule{
@Override
public void handleLoadPackage(XC_LoadPackage.LoadPackageParam lpparam){
if(!lpparam.packageName.equals("com.ss.android.ugc.aweme")){
return;
}
logI("start hook ShakeSound");
findAndHookMethod("com.ss.android.ugc.aweme.app.b.a.i", lpparam.classLoader, "a", new XC_MethodReplacement(){
@Override
protected Object replaceHookedMethod(MethodHookParam param) throws Throwable{
logI( "com.ss.android.ugc.aweme.app.b.a.i.a()");
return null;
}
});
}
}
编译运行，结果就是那个烦人的 Toast 没有了：
控制台的 log：
一共连续打印了 3 次（至于为什么是三次这个要问抖音开发者），并且已经达到了预期的结果并且也不影响 APP 的使用，大功告成。
解析到此结束，谢谢观看，希望H大通过。 | 
吾爱游客
发表于 2018-1-7 16:29
发表于 2018-1-8 16:34
