通过Xposed+Substrate实现非侵入性的Unity代码注入

别看标题这么厉害… 其实就是通过 hook 的方式实现在运行时替换 Unity 游戏中的 Assembly-CSharp.dll 来实现代码注入的功能。

为什么要做到这个运行时替换呢？原因如下：

• 目标游戏安装包有一个多G，每次重新打包和安装耗时将十分巨大。
• 目标游戏是付费游戏，所以应该在底层对签名做了校验。即使没有也要以防万一（迷惑行为

步入正题。

使用 Xposed 使目标游戏执行我们的代码

Xposed 就不用说了… 很常见的一个工具。为了实现标题的功能，我们只需要简单地 hook 掉 ContextWrapper 的 attachBaseContext 方法，在目标游戏启动时根据拿到的 Context 去得到我们自己的插件的 apk 路径，然后再用 System.load 去加载我们自己的库

需要注意的是，System.load 的源码如下：

@CallerSensitive
public static void load(String filename) {
	Runtime.getRuntime().load0(Reflection.getCallerClass(), filename);
}

也就是说 System.load 是根据调用者的 Class 来获取用于搜索动态库的 ClassLoader 的，而 Xposed 在加载我们的插件类时并没有根据 Context.getPackageContext 之类来创建 ClassLoader ，而是！直接！用 PathClassLoader！！因此我们插件类的 ClassLoader 里面并不会有 nativeLibraries 的搜索路径（一般是在 /data/data/包名/lib）。因此！不能用 System.loadLibrary！！！

也正因为如此，我们如果直接加载我们的动态库，系统将无法自动找到 libsubstrate.so，所以我们也需要把 libsubstrate.so 的加载放在 Java 层上来，并且要放在加载我们自己的动态库之前

下面是可爱的加载部分的代码w：

val nativeLibDir = context.packageManager.getApplicationInfo(CYMOE_PACKAGE_NAME, 0).nativeLibraryDir
File(nativeLibDir, "libsubstrate.so").absolutePath.run {
	Log.v(T, "Loading Substrate library, path: $this")
	System.load(this)
}
File(nativeLibDir, "libxxx.so").absolutePath.run {
	Log.v(T, "Loading 我的 library, path: $this")
	System.load(this)
}

完毕！接下来就来看看我们的 native 部分吧～

替换对方mono库的加载函数

众所周知，Unity 加载游戏代码是通过 mono 库（以前是 libmono.so，现在我这个游戏里面是 libmonobdwgc-2.0.so）来加载游戏中的 assets/bin/Data/Managed/Assembly-CSharp.dll 的。所以我们只需要 hook 掉 mono 库的对应方法就好啦～

问题来了：我们怎么获取到 mono 库的句柄？

我这边的方法是直接 hook 掉 dlopen 方法，在加载 mono 库时 hook，因为不知道为什么自己加载 mono 库和游戏真正加载的句柄不同… 按理来说一个进程打开的同一个动态库句柄应该是不变的。如果有知道的可以在下面的评论区给其他读者和我答疑解惑。

如何在 Android 高版本 hook dlopen 方法可以看 这篇文章。

问题又来了，mono 库加载 dll 的函数是谁呢？我最初尝试 hook fopen 并打印堆栈，看读取 apk 安装包的有哪些调用栈，不过实在是有太多了… 很难分析。没办法，最后偷了个懒，在 这里 找到了 mono 加载库的函数，也就是 mono_image_open_from_data_with_name ，我们只需要对传入这个函数的参数进行修改再调用原函数就好了。

注：由于我是把更改后的 Assembly-CSharp.dll 放在我自己软件的安装包里，所以还需要 Java 层额外向本地传一个 AAssetManager 来读取我自己软件的 Asset，大家也可以用其他方法，这里就不赘述。

上代码：

char assmbly_replacement[PATH_MAX];
AAsset *asset;

void* (*mono_image_open_from_data_with_name_old)(char *data, guint32 data_len, gboolean need_copy, void* status, gboolean refonly, const char *name);
void* (*__loader_dlopen_old)(const char* filename, int flags, const void* caller_addr);

void* mono_image_open_from_data_with_name_fake(char *data, guint32 data_len, gboolean need_copy, void* status, gboolean refonly, const char *name) {
	LOGI("image open: %s", name);
	if (endsWith(name, "Assembly-CSharp.dll")) {
		LOGI("Got Assembly-CSharp, replacing it");
		do {
			if (asset==nullptr) {
				LOGE("Asset is null");
				break;
			}
			off_t len = AAsset_getLength(asset);
			if (len<0) {
				LOGE("Length < 0");
				break;
			}
			LOGI("File length: %lu\n", len);
			char *file_data = new char[len];
			if (AAsset_read(asset, file_data, len)<0) {
				LOGE("Failed to read");
				delete[] file_data;
				break;
			}
			name = assmbly_replacement;
			data = file_data;
			data_len = len;
			LOGI("Replaced successfully");
		} while (false);
	}
	return mono_image_open_from_data_with_name_old(data, data_len, need_copy, status, refonly, name);
}

void* __loader_dlopen_fake(const char* filename, int flags, const void* caller_addr) {
	void *handle = __loader_dlopen_old(filename, flags, caller_addr);
	LOGI("dlopen: %s %d %p", filename, flags, handle);
	if (endsWith(filename, "libmonobdwgc-2.0.so")) {
		LOGI("Got you! libmono!");
		void *mono_image_open_from_data_with_name = dlsym(handle, "mono_image_open_from_data_with_name");
		HOOK_FUNCTION_DYNAMIC(mono_image_open_from_data_with_name);
	}
	return handle;
}

extern "C" JNIEXPORT JNICALL void Java_你_的_包名_类名_nativeSetReplacement(ARG_STATIC, jobject assetManagerObj, jstring path) {
	if (path==nullptr) return;
	AAssetManager *asset_manager = AAssetManager_fromJava(env, assetManagerObj);
	asset = AAssetManager_open(AAssetManager_fromJava(env, assetManagerObj), "Assembly-CSharp.dll", AASSET_MODE_STREAMING);
	const char* chars  = env->GetStringUTFChars(path, NULL);
	strncpy(assmbly_replacement, chars, PATH_MAX);
	env->ReleaseStringUTFChars(path, chars);
}

顺带一提，上面代码的 assembly_replacement 也是需要 Java 层传过来。通过日志可以发现 mono_image_open_from_data_with_name 的 name 参数是 安装包路径/assets/bin/Data/..... 的形式，所以我们也需要（不一定？）把 name 改成我们自己的路径。最后再把 data 参数和 data_len 参数改一下就好。（p.s. 最初我忘了改 data_len 导致出了一堆问题…）

Java 层设置的函数如下：（说是 Java 实则是 Kotlin）

// attachBaseContext时
nativeSetReplacement(
	context.createPackageContext(你自己的包名, 0).assets,
	context.packageManager.getApplicationInfo(你自己的包名, 0).sourceDir
			+ "/assets/Assembly-CSharp.dll"
)
.....
// native函数定义
@JvmStatic
external fun nativeSetReplacement(assetManager: AssetManager, path: String)

这样就整好了w。

结语

没有结语。总之是项目还没做完，就先不放在 GitHub 上面啦w

有兴趣或问题的可以联系我，Q：250851048