引言

一直对安全方面挺感兴趣的，以前拜读过《白帽子讲 web 安全》，现在做移动端 Android 测试，在一次关于热埋点的学习中接触到了 Xposed，之后也会关注一点 Android 安全方面的东西，最近学习了一点 Android 动态加载的机制，跟大家分享一下

一点资源

https://www.ibm.com/developerworks/cn/java/j-lo-classloader/
http://blog.csdn.net/jiangwei0910410003/article/details/48415225
http://blog.csdn.net/itfootball/article/details/49806269
http://blog.csdn.net/androidsecurity/article/details/8664778
http://blog.csdn.net/jiangwei0910410003/article/details/17679823
还有一些工具： https://mp.weixin.qq.com/s?__biz=MjM5NjA0NjgyMA==&mid=2651061026&idx=1&sn=ae6aea9af3b082ea543e1051728bd0bc&scene=1&srcid=0530rqezgS1iLqK0W8tT8909&key=f5c31ae61525f82ea7ae094c2f43f3300c4f648faee145a20953616868278e738c3c425d7098c2cdfab164fbfe02339a&ascene=0&uin=MjQwNzI1NDc1&devicetype=iMac+MacBookPro12%2C1+OSX+OSX+10.10.5+build14F1605)&version=11020201&pass_ticket=ytjLePanA95PuTtMOQpYePApF6e0GJEgj%2BtLjnU6Q4Y%3D(

一点概念

java 程序是跑在虚拟机中的，原生 java 虚拟机叫 JVM（当然也分很多厂家，很多种类），Android 也是 java 程序，但 Android 的虚拟机，叫 Dalvik，Android 5.0 之后，舍弃了 Dalvik，用了 ART（Android Runtime）
一般来说，虚拟机使用 java 类的方法如下：java 源程序 (.java 文件) 在经过 java 编译器编译之后，就被转换成 java 字节码 (JVM 对应.class 文件，Dalvik 对应.dex 文件)，类加载器负责读取 java 字节码，并转换成 java.lang.Class 的一个实例，每个这样的实例用来表示一个 java 类
动态加载：在运行时动态加载或者重载类

类加载器

上面说到了类加载器，其实动态加载机制的核心就是类加载器的使用，在 java 里它是一种机制----反射（Reflection）
类加载器的基本职责，就是根据一个指定的类的名称，找到或者生成其对应的字节码，然后从这些字节码中定义出一个 java 类，即 java.lang.Class 的一个实例
说到类加载器，或者反射机制，涉及到下面三个类：

java.lang.Class
java.lang.ClassLoader
java.lang.reflect

应用

在常见的 java 项目（J2SE,J2EE）中，特别是跨项目合作的场景，经常会把 B 方的业务代码编译后的 class 文件打成一个 jar 包，A 在需要时动态加载 jar 包里的类。又或者要实现配置型的项目，会把需要加载的类（通常是一个接口）的名字写在一个配置文件中，自己程序里写关于这个接口的各种实现，运用动态加载机制，用父类（那个接口）引用指向子类（各种实现）对象，利用面向对象中的多态，来最大程度的实现可配置

但是

在 Android 里并不能用常规 java 项目中那种自定义 ClassLoader，重写 ClassLoader 里各种方法的方式来实现动态加载，主要原因有以下两点：

Android 中 ClassLoader 的 defineClass 方法具体是调用 VMClassLoader 的 defineClass 本地静态方法。而这个本地方法除了抛出一个 “UnsupportedOperationException” 之外，什么都没做，甚至连返回值都为空
在 Android 中，一个类不仅仅是一个类，为啥？比如 Android 里面的组件之一的 Activity，它在 Android 整体框架下，是有各种生命周期，内置了各种回调、监听器的，但是动态加载只能根据类名找到或者生成对应的字节码，然后从字节码中定义一个 java 类，一个普普通通的 java 类，即加载出来它就不再是什么 Activity，Service 了

肿么办

在 Android 里，我们不是自己重写 ClassLoader，而是用下面这两种 ClassLoader 来实现动态加载，他们也都是 ClassLoader 的子类

DexClassLoader（提供了一个释放.dex 文件的路径）
PathClassLoader（默认，提供完整路径后会把'.'替换成'/'）

Demo

关于动态加载，google 一下就会有挺多例子的，那我们就先实现一个最基本的例子，了解一下动态加载它到底是怎么一回事儿，它可以用来做什么
原材料准备：

Eclipse
Android Studio
Android SDK

首先，在 Eclipse 里建一个项目，项目结构长这样：

我新建了一个 Android 5 的 lib，里面放的是 Android SDK 里 api level=22 的 android.jar，各个版本大家可以到自己 Android SDK 路径下的 platforms 里面找
项目里有一个 package，com.fenfenzhong.interfaces，这是沿用了普通 java 项目的做法，即先定义接口，到时候可以根据这个接口写各种不同的实现类，充分利用多态
还有另外一个 package，com.fenfenzhong.impl，这个是专门放实现类

com.fenfenzhong.interfaces.IDynamic

package com.fenfenzhong.interfaces;
import android.app.Activity;

public interface IDynamic {

    public void init(Activity activity);

    public void clickMe();

}

com.fenfenzhong.impl.Dynamic

package com.fenfenzhong.impl;
import android.app.Activity;
import android.widget.Toast;
import com.fenfenzhong.interfaces.IDynamic;

//动态类的实现

public class Dynamic implements IDynamic {
    private Activity mActivity;

    @Override
    public void init(Activity activity) {
        mActivity = activity;

    }

    @Override
    public void clickMe() {
        Toast.makeText(mActivity, "hello dynamic", 1500).show(); 
    }


}

将上面的 com.fenfenzhong.impl.Dynamic 这个动态类打包，一般 jar 包里放的是字节码，是编译好的.class 文件，但那是为了不暴露源码，这里我们直接打包源文件，即.java 文件

打好的 jar 包，我命名为 dynamic.jar

然后我们把这个 jar 包放到 Android SDK build-tools 下某个版本里（随意），build-tools 里有很多很厉害的工具，比如 aapt，zipalign，但这次我们要用 dx 这个工具
执行
dx --dex --output=dynamic_for_android.jar dynamic.jar
这条指令的操作就是把 dynamic.jar 先打成一个.dex 文件，以便 Dalvik 虚拟机能认识，再把这个.dex 打成一个 jar 包，即 dynamic_for_android.jar，这个保管好，待会要用

接下来，我们需要一个连接宿主项目和动态实现类的桥梁，当然就是 com.fenfenzhong.interfaces.IDynamic 这个接口啦，再打一个 jar 包

命名为 dynamic_interface.jar

在 Android Studio 新建一个项目，叫 DynamicApp，把 dyncmic_interface.jar 导入到项目的 libs 里面

这个项目相当简单，就一个按钮，但我们想实现的是：点击这个按钮的时候，调用的是动态类中的实现方法

package com.fenfenzhong.dynamicapp;

import android.content.Context;
import android.os.Environment;
import android.support.v7.app.AppCompatActivity;
import android.os.Bundle;
import android.util.Log;
import android.view.View;
import android.widget.Button;
import android.widget.Toast;

import com.fenfenzhong.interfaces.IDynamic;

import java.io.File;

import dalvik.system.DexClassLoader;

public class MainActivity extends AppCompatActivity {

    private IDynamic dy;
    @Override
    protected void onCreate(Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        setContentView(R.layout.activity_main);

        Button clickMeBtn = (Button) findViewById(R.id.click_me);

        String dexPath = Environment.getExternalStorageDirectory().toString() + File.separator + "dynamic_for_android.jar";
        Log.i("dex", dexPath);
        Context context=getApplicationContext();
        File dexOutputDir = context.getDir("dex", 0);
//        String dexOutputDirs = Environment.getExternalStorageDirectory().toString();//如果使用这种outputdir的话，可能报异常

        DexClassLoader dcl = new DexClassLoader(dexPath,dexOutputDir.getAbsolutePath(),null,getClassLoader());
        try {
            Class dynamicClass = dcl.loadClass("com.fenfenzhong.impl.Dynamic");
            dy = (IDynamic)dynamicClass.newInstance();
            if(dy != null) {
                dy.init(MainActivity.this);
            }
        } catch (Exception e) {
            e.printStackTrace();
        }

        clickMeBtn.setOnClickListener(new View.OnClickListener() {
            @Override
            public void onClick(View v) {
                if(dy != null) {
                    dy.clickMe();
                }else {
                    Toast.makeText(getApplicationContext(), "cannot load class", Toast.LENGTH_LONG).show();
                }
            }
        });
    }
}

以上便是这个项目所有的代码，在最外层定义一个private IDynamic dy，这个 dy 就是父类（接口）引用
主要从 Sring dexPath 这里说起：

我们先定义 dexPath 为外部存储根目录下的 dynamic_for_android.jar，即指定到时候从这里去拿 dex 文件
dexOutputDir 这个变量主要是指定释放 dex 文件后的路径，因为我们使用 DexClassLoader，上面我说到，这种 ClassLoader 需要这么一个路径
DexClassLoader dcl 这里，就初始化了一个实例，叫 dcl，根据上面对 ClassLoader 的描述，我们可以指定一个类名，通过这个实例去找，或者生成该类的字节码
利用反射机制的newInstance()方法初始化一个对象，并用父类引用 dy 指向该对象，到此多态的实现条件已满足
这个 Activity 里有一个按钮，但它的 onClick 方法，调用的是 dy 的 clickMe()

好了，我们把那个 dynamic_for_android.jar 包 push 到 sd 卡的根目录,执行命令：
adb push dynamic_for_android.jar sdcard/

然后，运行一下程序

点击按钮

成功啦！！看到这个还是非常兴奋的！

总结

虽然只是一个特别小的 demo，但里面的一些步骤，一些坑，一些思想，只有一点点踩过来才能体会，Android 自身的框架决定了其动态加载不同于普通 java 项目，在这个 demo 里我们是直接把实现类 push 到 sdcard 的根目录，但如果从网上动态下载呢？反射的机制能让我们动态的定制功能，现在很多应用的换肤，添加模块都是通过这种方式，在安全方面，它还被应用到 apk 的加固，这个之后慢慢写~

↙↙↙阅读原文可查看相关链接，并与作者交流