ARM INLINE HOOK （一）

运行在ARM指令集的CPU上（比如Android手机），通过HOOK机制，对一些关键的方法进行监控，从而达到一些特殊目的，比如性能监控、安全等。

常用的HOOK方法有：GOT表Hook和Inline Hook。而inline hook具有更广泛的适用性，几乎可以Hook任何函数（当然也有特殊情况无法进行inline hook，后面会提到）。相较于GOT表hook，inline hook由于需要能读懂ARM指令，而且还需要会对修改过的指令进行修复，会写一些基本的ARM指令，所以门槛较高。如果您有兴趣研究底层的技术，可以好好读一下我这篇文章。

inline hook的原理：

如图：

这张图很清晰表达了inline hook的原理，Caller是调用者，Callee是被调用函数，inline hook修改被调用函数头，将其修改为jmp指令，跳转到Hook进去的方法里，在Hook方法里可以做一些工作，比如记录函数参数值，或者对传参机型一些合法校验等，然后执行Trampoline，Trampoline其实就是Callee方法里被覆盖为jmp的内容，但是注意，不是简单的把jmp覆盖的内容直接拷贝到Trampoline中执行，这里要做指令的修复（为什么？后面会详细解释），执行完Trampoline后继续执行Callee后面的指令，然后返回调用者，这就是一个完整的inline hook的执行流程。

所以实际的执行步骤如下：

     1、将需要hook的方法的头两个指令替换为跳转指令，并保存原指令；

     2、将保存的原指令等价搬迁到Trampoline，注意是等价搬迁不是拷贝，这样在执行hook的内容后继续执行原来的逻辑；

 要解决上述两个问题之前，我们必须先要了解：

     1、ARM和Thumb指令的区别，ARM指令是按照固定长度的四字节进行编码，需要四字节对齐，Thumb指令是可变长度的两字节或四字节编码，需要两字节对齐，Thumb指令大部分都是两字节编码，但是也有部分指令是四字节编码，比如：bl和blx指令就是四字节编码。

     2、Arm处理器采用3级流水线来增加处理器指令流的速度，也就是说程序计数器R15(PC)总是指向“正在取指”的指令，而不是指向“正在执行”的，即PC总是指向当前正在执行的指令地址再加2条指令的地址。

  所以被hook的方法的头两个指令被替换为如下：

        LDR PC, [PC, #-4]

        addr （自己编写的hook方法的地址）

   下面举例进行说明：

     需求：需要hook libc库中的read方法，在执行read方法前先跳转到my_read方法里，记录read的参数fd，*buf等内容，然后返回继续执行。

     那这里的addr就是my_read方法的地址。为什么要将PC寄存器减去4呢？因为PC当前的地址为PC+8，所以-4刚好执行下一条指令地址，然后通过LDR将addr的内容load进PC寄存器中，达到跳转的目的。

     1、首先将LDR PC, [PC, #-4]这条指令转化为16进制的机器码，这里推荐一个网站，可以提供arm指令和十六进制机器码之间的转换：http://svr-acjf3-armie.cl.cam.ac.uk/main.cgi，如图：

 2、备份read方法的头两条指令，在Assembly code中输入LDR PC, [PC, #-4]后，machine code部分就显示出十六进制的机器码，然后将0xE51FF004写入第一个指令，通过取值符获得my_read方法的地址，将该地址（四字节）写入下一条指令。

   OK，现在执行read方法时，会首先跳转到my_read方法中，记录相关数据。那么是不是大工告成了呢？远远没有！万里长征刚开始，下面就是最复杂的部分：指令修复。

  在了解指令修复之前，首先需要熟悉ARM指令的结构，ARM指令的的summary图如下：

        这张图基本上把ARM所以的指令结构都表示出来了（不包括Thumb），根据该图我们试着转化一条指令，该指令的格式为：

        LDR RX, [PC, #xx]，其中RX代表R0、R1...等寄存器#xx表示任意一个立即数，那么这条指令翻译成16进制后有什么特点呢？         1、31-28位，Cond：这个四位是固定条件位不用管；
       2、27-25位，101，Load指令标识
       3、24位，Load指令为1：add offset before transfer；

       4、23-20位：1001

       5、19-16位：1111：PC寄存器是R15

       从上述分析可以得出，将该指令 & 0xfff0000 等于0x59f0000，这个运算就把LDR RX, [PC, #xx]这个类型的指令进行了归类。

       下面就引出指令修复中的一个难题：因为所有的PC地址都只想当前指令地址向下偏移两个字节的地址，如果我们把该指令迁移到另外一个地址，那么执行该指令时，PC寄存器指向的是迁移的新地址加上两个字节的偏移地址，所以在迁移前需要判断一下，该指令是否包含PC寄存器：  例如：if ( (*instruction & 0x0fff0000) == 0x59f0000) ，如果包含PC寄存器，则首先将pc向下偏移两条指令的地址加上指令后的立即数，得到绝对地址。得到四个字节绝对地址后，可以保存起来，然后通过指令load指令进行加载。

       思路就是如此，但是实现起来有很多细节要考虑，比如Thumb，Thumb-2指令的支持，处理的细节也很麻烦，稍微出错就可能引起崩溃，而且很难定位。笔者花了大量的经历，基本上将涉及到PC寄存器的ARM、THUMB、THUMB-2指令都进行了修复。

      时间问题，这篇文章暂时写到这儿，后面我还会具体讲一些实例，如何做指令的解析、如何修复指令，ARM指令的操作很有意思，需要程序员有扎实的技术功底和耐心，比如要对位操作非常熟，我也打算为位操作写一篇专门的文章。到时候您会发现位操作有多好玩儿，有多强大。

     最后，推荐我写的一个抓包工具，WebSee，能抓取网页的http/https数据，无需root，无需中间人攻击，可以在华为应用商城下载：https://appstore.huawei.com/app/C101448345。