2. 程式人生 > >ART深度探索開篇：從Method Hook談起

ART深度探索開篇：從Method Hook談起

阿新 • • 發佈：2019-01-26

Android上的熱修復框架 AndFix 想必已經是耳熟能詳，它的原理實際上很簡單：方法替換——Java層的每一個方法在虛擬機器實現裡面都對應著一個ArtMethod的結構體，只要把原方法的結構體內容替換成新的結構體的內容，在呼叫原方法的時候，真正執行的指令會是新方法的指令；這樣就能實現熱修復，詳細程式碼見 AndFix。

為什麼可以這麼做呢？那得從 Android 虛擬機器的方法呼叫過程說起。作為一個系列的開篇，本文不打算展開講虛擬機器原理等內容，首先給大家一道開胃菜；後續我們再深入探索ART。

眾所周知，AndFix是一種 native 的hotfix方案，它的替換過程是用 c 在 native層完成的，但其實，我們也可以用純Java實現它！而且，程式碼還非常精簡，且看——

方法替換原理

既然我們知道 AndFix 的原理是方法替換，那麼為什麼直接替換Java裡面的 java.lang.reflect.Method 有什麼問題嗎？直接這樣貌似很難下結論，那我們換個思路。我們實現方法替換的結果，就是呼叫原方法的時候最終是呼叫被替換的方法。因此，我們可以看看 java.lang.reflect.Method類的 invoke 方法。（這裡有個疑問，Foo.bar()這種直接呼叫與反射呼叫Foo.class.getDeclaredMethod(“bar”).invoke(null) 有什麼區別嗎？這個問題後續再談）

1
2

private native
 
 Object invoke(Object receiver, Object[] args, boolean accessible)
        throws IllegalAccessException, IllegalArgumentException, InvocationTargetException;

這個invoke是一個native方法，它的native實現在 art/runtime/native/java_lang_reflect_Method.cc 裡面，這個jni方法最終呼叫了 art/runtime/reflection.cc 的 InvokeMethod方法：

1
2
 

3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29

object InvokeMethod(const ScopedObjectAccessAlreadyRunnable& soa, jobject javaMethod,
                     jobject javaReceiver, jobject javaArgs, bool accessible) {
  // 略...

  mirror::ArtMethod* m = mirror::ArtMethod::FromReflectedMethod(soa, javaMethod);

  mirror::Class* declaring_class = m->GetDeclaringClass();

  // 按需初始化類，略。。

  mirror::Object* receiver = nullptr;
  if (!m->IsStatic()) {
    // Check that the receiver is non-null and an instance of the field's declaring class.
    receiver = soa.Decode<mirror::Object*>(javaReceiver);
    if (!VerifyObjectIsClass(receiver, declaring_class)) {
      return NULL;
    }

    // Find the actual implementation of the virtual method.
    m = receiver->GetClass()->FindVirtualMethodForVirtualOrInterface(m);
  }

  // 略..
  InvokeWithArgArray(soa, m, &arg_array, &result, shorty);
  // 略 。。
  // Box if necessary and return.
  return soa.AddLocalReference<jobject>(BoxPrimitive(mh.GetReturnType()->GetPrimitiveType(),
                                                     result));
}

上面函式 InvokeMethod 的第二個引數 javaMethod 就是Java層我們進行反射呼叫的那個Method物件，在jni層反映為一個jobject；InvokeMethod這個native方法首先通過 mirror::ArtMethod::FromReflectedMethod 獲取了Java物件的在native層的 ArtMethod指標，我們跟進去看看是怎麼實現的：

1
2
3
4
5
6
7
8

ArtMethod* ArtMethod::FromReflectedMethod(const ScopedObjectAccessAlreadyRunnable& soa,
                                          jobject jlr_method) {
  mirror::ArtField* f =
      soa.DecodeField(WellKnownClasses::java_lang_reflect_AbstractMethod_artMethod);
  mirror::ArtMethod* method = f->GetObject(soa.Decode<mirror::Object*>(jlr_method))->AsArtMethod();
  DCHECK(method != nullptr);
  return method;
}

我們在這裡看到了一點端倪，獲取到了Java層那個Method物件的一個叫做 artMethod的欄位，然後強轉成了ArtMethod指標（這裡的說法不是很準確，但是要搞明白這裡面的細節一兩篇文章講不清楚 ~_~，我們暫且這麼認為吧。）

AndFix的實現裡面，也正是使用這個 FromReflectedMethod 方法拿到Java層Method對應native層的ArtMethod指標，然後執行替換的。

上面我們也看到了，我們在native層替換的那個 ArtMethod 不是在 Java 層也有對應的東西麼？我們直接替換掉 Java 層的這個artMethod 欄位不就OK了？但是我們要注意的是，在Java裡面除了基本型別，其他東西都是引用。要實現類似C++裡面那種替換引用所指向內容的機智，需要一些黑科技。

Unsafe 和 Memory

要在Java層操作內容，也不是沒有辦法做到；JDK給我們留了一個後門：sun.misc.Unsafe 類；在OpenJDK裡面這個類灰常強大，從記憶體操作到CAS到鎖機制，無所不能（可惜的是據說JDK8要去掉？）但是在Android 平臺還有一點點不一樣，在 Android N之前，Android的JDK實現是 Apache Harmony，這個實現裡面的Unsafe就有點雞肋了，沒法寫記憶體；好在Android 又開了一個後門：Memory 類。

有了這兩個類，我們就能在Java層進行簡單的記憶體操作了！！由於這兩個類是隱藏類，我寫了一個wrapper，如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41

private static class Memory {

    // libcode.io.Memory#peekByte
    static byte peekByte(long address) {
        return (Byte) Reflection.call(null, "libcore.io.Memory", "peekByte", null, new Class[]{long.class}, new Object[]{address});
    }

    static void pokeByte(long address, byte value) {
        Reflection.call(null, "libcore.io.Memory", "pokeByte", null, new Class[]{long.class, byte.class}, new Object[]{address, value});
    }

    public static void memcpy(long dst, long src, long length) {
        for (long i = 0; i < length; i++) {
            pokeByte(dst, peekByte(src));
            dst++;
            src++;
        }
    }
}

static class Unsafe {

    static final String UNSAFE_CLASS = "sun.misc.Unsafe";
    static Object THE_UNSAFE;

    private static boolean is64Bit;

    static {
        THE_UNSAFE = Reflection.get(null, UNSAFE_CLASS, "THE_ONE", null);
        Object runtime = Reflection.call(null, "dalvik.system.VMRuntime", "getRuntime", null, null, null);
        is64Bit = (Boolean) Reflection.call(null, "dalvik.system.VMRuntime", "is64Bit", runtime, null, null);
    }

    public static long getObjectAddress(Object o) {
        Object[] objects = {o};
        Integer baseOffset = (Integer) Reflection.call(null, UNSAFE_CLASS,
                "arrayBaseOffset", THE_UNSAFE, new Class[]{Class.class}, new Object[]{Object[].class});
        return ((Number) Reflection.call(null, UNSAFE_CLASS, is64Bit ? "getLong" : "getInt", THE_UNSAFE,
                new Class[]{Object.class, long.class}, new Object[]{objects, baseOffset.longValue()})).longValue();
    }
}

具體實現

接下來思路就很簡單了呀，用偽程式碼表示就是：

1

memcopy(originArtMethod, replaceArtMethod);

但是還有一個問題，我們要整個把 originMethod 的 artMethod 所在的記憶體直接替換為 replaceMethod 的artMethod 所在的記憶體（上面我們已經知道，Java層Method類的artMethod實際上就是native層的指標表示，在Android N上更明顯，這玩意兒直接就是一個long），現在我們已經知道這兩個地址是什麼，那麼我們把 replaceArtMethod 代表的記憶體複製到 originArtMethod 的區域，應該還需要知道一個 artMethod 有多大。

但是事情沒有一個 sizeof 那麼簡單。你看AndFix的實現是在每個Android版本把ArtMethod這個結構體複製一份的；要想用sizeof還得把這個類所有的引用複製過來，及其麻煩。更何況在Java裡面 sizeof都沒有。不過也不是沒有辦法，既然我們已經能在Java層拿到物件的地址，只需要建立一個數組，丟兩個ArtMethod，把兩個陣列元素的起始地址相減不就得到一個 artMethod的大小了嗎？(此方法來自Android熱修復升級探索——追尋極致的程式碼熱替換)

不過，既然我們實現了方法替換；還有最後一個問題，如果我們需要在替換後的方法裡面呼叫原函式呢？這個也很簡單，我們只需要把原函式copy一份儲存起來，需要呼叫原函式的時候呼叫那個copy的函式不就行了？不過在具體實現的時候，會遇到一個問題，就是 Java的非static 非private的方法預設是虛方法，在呼叫這個方法的時候會有一個類似查詢虛擬函式表的過程，這個在上面的程式碼 InvokeMethod 裡面可以看到：

1
2
3
4
5
6
7
8
9
10
11

mirror::Object* receiver = nullptr;
if (!m->IsStatic()) {
  // Check that the receiver is non-null and an instance of the field's declaring class.
  receiver = soa.Decode<mirror::Object*>(javaReceiver);
  if (!VerifyObjectIsClass(receiver, declaring_class)) {
    return NULL;
  }

  // Find the actual implementation of the virtual method.
  m = receiver->GetClass()->FindVirtualMethodForVirtualOrInterface(m);
}

在呼叫的時候，如果不是static的方法，會去查詢這個方法的真正實現；我們直接把原方法做了備份之後，去呼叫備份的那個方法，如果此方法是public的，則會查詢到原來的那個函式，於是就無限迴圈了；我們只需要阻止這個過程，檢視 FindVirtualMethodForVirtualOrInterface 這個方法的實現就知道，只要方法是 invoke-direct 進行呼叫的，就會直接返回原方法，這些方法包括：建構函式，private的方法( 見 https://source.android.com/devices/tech/dalvik/dalvik-bytecode.html) 因此，我們手動把這個備份的方法屬性修改為private即可解決這個問題。

至此，我們就用純Java實現了一個 AndFix，程式碼只有200行不到！！是不是很神奇？當然，這裡麵包含了很多黑科技，接下來我們將以這個為引子，深入探索Android ART的方方面面，揭開虛擬機器底層的神祕面紗，敬請期待～～

原文地址：　http://weishu.me/2017/03/20/dive-into-art-hello-world/

相關推薦

ART深度探索開篇：從Method Hook談起

Android上的熱修復框架 AndFix 想必已經是耳熟能詳，它的原理實際上很簡單：方法替換——Java層的每一個方法在虛擬機器實現裡面都對應著一個ArtMethod的結構體，只要把原方法的結構體內容替換成新的結構體的內容，在呼叫原方法的時候，真正執行的指令會是新方法的

深度學習概述：從感知機到深度網路

　　（注：本文譯自一篇部落格，作者行文較隨意，我儘量按原意翻譯，但作者所介紹的知識還是非常好的，包括例子的選擇、理論的介紹都很到位，由淺入深，源文地址） 　　近些年來，人工智慧領域又活躍起來，除了傳統了學術圈外，Google、Microsoft、facebook等工業界優秀企業也紛紛成立相關研究團隊，並取得

深度強化學習：從畫素玩Pong!

強化學習（Reinforcement Learning，RL）特別火！你看過許多新聞：電腦能自動學習ATARI遊戲，在圍棋比賽中擊敗世界冠軍，模擬四足動物學習跑和跳，機器人學習完成程式設計無法實現的複雜操作任務。這些進展都屬於RL研究的範疇。我本人自去年起關注RL：我閱讀了

深度強化訓練：從畫素點發出的Pong

這是一篇報道Reinforcement Learnning（RL）的部落格。RL是很熱門的！你可能已經注意到，電腦現在可以自動學習玩ATARI遊戲（從原始的 pixelsi遊戲中!），他們模擬的四足動物擊敗了世界冠軍，學習了跑步和跳躍。而且機器人正在學習如何執行復雜的操作任務

深度學習概述：從感知機到深度網路 （英文版）

A Deep Learning Tutorial: From Perceptrons to Deep Networks In recent years, there’s been a resurgence in the field of Artificial Inte

分散式系統理論基礎開篇：從放棄到入門

畢業頭兩年負責維護執行在刀片機上的業務，在機房裡拔插單板的日子是我逝去的青春。裝置之間通過VCS組成冷備，但即使有雙機軟體保護，宕機、網路丟包等問題發生時業務仍會受影響。這樣的系統架構下為保證SLA，有時候需要深入Linux系統核心或硬體層面分析機器重啟的原因。接下來負責維護承載在分散式叢集上的業務，相比前面

C++深度探索系列：智慧指標(Smart Pointer) [二]

                                           深度探索智慧指標(Smart Pointer) 主題索引： 一、剖析C++標準庫智慧指標(std::auto_ptr)        1.Do you Smart Pointer?    2

深度學習四：從迴圈神經網路入手學習LSTM及GRU

# 迴圈神經網路 ## 簡介 **迴圈神經網路（Recurrent Neural Networks， RNN）** 是一類用於處理序列資料的神經網路。之前的說的卷積神經網路是專門用於處理網格化資料（例如一個影象）的神經網路，而迴圈神經網路專門用於處理序列資料（例如$x^{(1)},x^{(2)},···,

分散式學習筆記二：從分散式一致性談到CAP理論、BASE理論

問題的提出 在電腦科學領域，分散式一致性是一個相當重要且被廣泛探索與論證問題，首先來看三種業務場景。 1、火車站售票 假如說我們的終端使用者是一位經常坐火車的旅行家，通常他是去車站的售票處購買車 票，然後拿著車票去檢票口，再坐上火車，開始一段美好的旅行----一切似乎都是那麼和諧。想象一

夯實Java：從面向物件說起

作者：伯特出處：github.com/ruicbAndroi…宣告：本文出自伯特的《LoulanPlan》，轉載務必註明作者及出處。 剛學習 Java 那會就接觸了“面向物件”的概念，但當時並沒有太多實戰經驗，所以對其的理解也僅限於概念。當工作兩年後再回顧一下，有些概念能夠落地了，遂記錄

機器學習入門好文：讓我們從機器學習談起

轉自 飛鳥各投林 導讀： 在本篇文章中，將對機器學習做個概要的介紹。本文的目的是能讓即便完全不瞭解機器學習的人也能瞭解機器學習，並且上手相關的實踐。當然，本文也面對一般讀者，不會對閱讀有相關的前提要求。 在進入正題前，我想讀者心中可能會有一個疑惑：機器學習有什麼重要性，

破解前端面試（80% 應聘者不及格系列）：從閉包說起

修訂說明：釋出《80% 應聘者都不及格的 JS 面試題》之後，全網閱讀量超過6W，在知乎、掘金、cnodejs都引發了很多討論，還被多個前端微信公號和技術媒體轉載。醞釀許久之後，筆者準備接下來撰寫前端面試題系列文章，內容涵蓋 DOM、HTTP、瀏覽器、框架、編碼、工程

掌握C#自定義泛型類：從初始化說起

C#自定義泛型類用得最廣泛，就是集合（Collection）中。實際上，泛型的產生其中一個原因就是為了解決原來集合類中元素的裝箱和拆箱問題（如果對裝箱和拆箱概念不明，請百度搜索）。由於泛型的使用，使得集合內所有元素都屬於同一類，這就把型別不同的隱患消滅在編譯階段——如果型別不對，則編譯錯誤。 這裡只討論C#

曹工說Tomcat1：從XML解析說起

一、前言 第一次被人喊曹工，我相當詫異，那是有點久的事情了，樓主13年校招進華為，14年在東莞出差，給東莞移動的通訊裝置進行版本更新。他們那邊的一個小夥子來接我的時候，這麼叫我的，剛聽到的時候，心裡一緊，樓主本來進去沒多久，業務也不怎麼熟練，感覺都是新聞聯播裡才聽到什麼“陳工”，&l

tomcat的啟動過程（從startup.bat談起）

前言 自己在做後臺開發時，每次都是直接執行startup.sh（伺服器是linux環境）。但是執行之後tomcat到底幹了啥，自己也是一臉懵逼。於是專門去研究了研究tomcat啟動過程。下面縮寫的是基於Windows環境下的，linux的執行流程也是一樣的

建設大資料平臺，從“治理”資料談起

一隨處可見的資料問題大資料不是憑空而來，1981年第一個資料倉庫誕生，到現在已經有了近40年的歷史，而國內企業資料平臺的建設大概從90年代末就開始了，從第一代架構出現到現在已經經歷了近20年的時間。在這20年的時間裡，國內資料平臺實施者可以說是受盡折磨，資料專案一直不受待見，

讓我們從機器學習談起

導讀：在本篇文章中，將對機器學習做個概要的介紹。本文的目的是能讓即便完全不瞭解機器學習的人也能瞭解機器學習，並且上手相關的實踐。當然，本文也面對一般讀者，不會對閱讀有相關的前提要求。 在進入正題前，我想讀者心中可能會有一個疑惑：機器學習有什麼重要性，以至於要閱讀完這篇非常長的文章呢？ 我並不直接回答

讓我們從機器學習談起(網上看到的最好的一篇入門介紹)

導讀：在本篇文章中，將對機器學習做個概要的介紹。本文的目的是能讓即便完全不瞭解機器學習的人也能瞭解機器學習，並且上手相關的實踐。當然，本文也面對一般讀者，不會對閱讀有相關的前提要求。 在進入正題前，我想讀者心中可能會有一個疑惑：機器學習有什麼重要性，以至於要閱讀完這篇非常長的文章呢？ 我並不直接回答

從機器學習談起(機器學習簡介)

http://www.cnblogs.com/subconscious/p/4107357.html ************************************************ 在本篇文章中，我將對機器學習做個概要的介紹。本文的目的是能讓即便完全不瞭

volatile關鍵字詳解(從快取一致性談起)

在講解volatile關鍵字之前，我們先來看看作業系統中快取一致性的概念。 眾所周知，cpu的執行速度是遠高於主存的讀寫速度的，在執行過程中，為了交換資料，cpu必須頻繁的進行資料的讀寫操作，主存讀寫速度慢造成了cpu執行的吞吐量減少。為了解決這一問題，現在的機器都會在新增