0x00 前言

Android的核心是逆向工程師的好夥伴。雖然常規的Android應用被限制和沙盒化，逆向工程師可以按自己希望自定義和改變作業系統和核心中行為。這給了你不可多得的優勢，因為大部分完整性校驗和防篡改功能都依賴核心的服務。部署這種可以濫用信任並自我欺騙的核心和環境，可以避免走很多歪路。

Android應用有幾種方式和系統環境互動。標準方法是通過安卓應用框架的API函式。然而在底層，很多重要的函式，例如分配記憶體和訪問檔案，都是被轉化為linux的系統呼叫。在ARM linux中，系統呼叫的呼叫是通過SVC指令觸發軟體中斷實現的。中斷呼叫核心函式vector_swi()，用系統呼叫號作為一個函式指標表的偏移（如安卓上的sys_call_table）。

攔截系統呼叫最直接的方法是注入你的程式碼到核心記憶體中，覆蓋系統呼叫表中的原始函式地址重定向執行。不幸的是，目前Android核心加強了記憶體限制阻止了這種操作。具體來說，核心是在啟用CONFIG_STRICT_MEMORY_RWX選項的情況下構建的。這阻止了向只讀核心記憶體區寫入，意味著任何試圖修改系統程式碼或者系統呼叫表的操作都將導致崩潰和重啟。繞過這個的一個方法就是自己編譯核心：能夠禁用這種保護，做更多自定義的修改有利於逆向分析。如果你按常規方法逆向Android應用，構建你自己的逆向沙盒是不明智的。

注意：下面的步驟是最好在Ubuntu 14.04環境中用Android NDK 4.8

0x01 構建核心

為了hack的目的，我推薦使用支援AOSP的裝置。Google的Nexus智慧手機和平板電腦是最合理的選擇，從AOSP構建的核心和系統元件在上面執行沒有問題。另外，索尼的Xperia也可以。為了構建AOSP核心，需要一系列工具（交叉編譯工具）和相應的核心原始碼。根據谷歌的指導，確定了正確的git倉庫和分支。

例如，獲取匹配Nexus 5的Lollipop的核心原始碼，需要克隆“msm”倉庫並檢出一個分支“android-msm-hammerhead”。一旦原始碼下載了，用make hammerhead_defconfig(或者whatever_defconfig，取決於你的裝置)命令建立預設核心配置。

為了啟動系統呼叫掛鉤功能，我推薦增加可載入模組的支援，由/dev/kmem介面支援，同時匯出全域性核心符號表。不要忘了禁用記憶體保護。這些選項的值在配置檔案中已經存在，只需要簡單的設定以下值。

一旦你完成了編輯配置檔案。或者，您現在可以建立一個獨立的工具鏈，用於交叉編譯核心和以後的任務。為了給Android 5.1建立一個工具鏈，執行Android NDK包的make-standalone_toolchain.sh：

設定CROSS_COMPILE環境變數，指向NDK目錄，並執行make構建核心。

當構建過程完成後，能在arch/arm/boot/zImage-dtb找到引導核心模組。

0x02 啟動新核心

在啟動新核心前，備份一個你裝置的原始引導映像。找到啟動分割槽的位置：

然後，將所有的內容轉儲到一個檔案中：