android应用程序fps meter[帧数显示]的分析 —— 浅谈root的风险 (3)
2013-07-11 19:00
666 查看
上节已经详细说了下注入过程，最后寄生进程在宿主进程中下了个蛋，这下完的蛋有什么作用呢？接下来再具体分析一下。
主要是unwind库和软浮点库的实现。除此之外，还有几个符号比较有意思，这是全局变量符号：
如果对绘图和刷屏及so注入原理比较了解的话，这里可能已经可以猜出来它干了什么，不过暂且先放一放。
从上一节的ptrace分析可以知道，fps meter这个apk运行后，将lib0.so注入到surfaceflinger中后，会运行lib0.so的load方法，那么我们就接着分析这个注入的so库都做了些什么。
用IDA pro看一下load函数的反汇编：
这个函数很长，上图只截了开头一部分。此函数的一大半工作都在往栈上压数据。一开始压GOT表的地址，接下来压的都是ASCII码，只要细心一点，就能推出栈中压入的数据。这里理了一下，栈上压的字符串是：
1.eglSwapBuffers
2./system/lib/hw
3./system/vendor/lib/hw
4.hwcomposer
5./system/lib/libsurfaceflinger.so
6./data/data/com.aatt.fpsm/pipe
这些实际上就是常量字符串，不知为何要代码一个字符一个字符往栈里压，如果是为阻止别人偷窥代码行为，至少也要稍微加扰绕一绕，这也太简单了，根本无法保护。
不过，OK，整理出这些字符串，也不想费劲的抠汇编了，这个函数接下来的代码不用分析也能猜出来了：
创建/data/data/com.aatt.fpsm/pipe ，surfaceFlinger向这个pipe中写入帧率，fps meter读出数据并显示在屏幕上。
搜索hwcomposer HAL的实现代码，这个HAL通常位于/system/lib/hw或/system/vendor/lib/hw下
搜索eglSwapBuffers在GOT表中的地址，将其地址修改掉，换成自己实现的代码，做一番处理后，再调用真正的eglSwapBuffers。
我们可以在egl.cpp的eglSwapBuffers的实现中打印出CallStack验证一下，可以按照如下方式修改代码，打印出每次对eglSwapBuffers的调用堆栈情况：
mm后将重新生成的几个so用adb push到机器中，重启，再次运行fps meter，查看打印，见到如下：
看到调用堆栈中有 D/CallStack( 2938): (null)#01 pc 0000195c /data/data/com.aatt.fpsm/files/0.so ，其调用真正的eglSwapBuffers，而它又是被DisplayDevice::swapBuffers调用，果然劫持替换了原生代码中的eglSwapBuffers！！
我们再看下劫持函数做了些什么事情， 通过pc 0000195c 我们找到相关的函数，函数的汇编如下：
此汇编函数不算复杂，从汇编代码我们大体能看出此函数的工作路径：
1. 调用真正的eglswapBuffers
2. 记录当前时间信息
3. 统计帧率，汇报给fps meter应用程序
翻译成C++代码，大约如下：
timer和fps的计算没大看明白具体计算方法，头疼，也就不抠了。最后，surfaceflinger进程通过写pipe，向fps meter进程上报了帧率数据，整个工作机制分析完成。
lib0的感染过程分析
对于本例注入的so动态库，首先看一下so的符号：$ readelf -s ./lib0.so Symbol table '.dynsym' contains 136 entries: Num: Value Size Type Bind Vis Ndx Name 0: 00000000 0 NOTYPE LOCAL DEFAULT UND 1: 00000000 0 FUNC GLOBAL DEFAULT UND __cxa_finalize 2: 00000000 0 FUNC GLOBAL DEFAULT UND __cxa_atexit 3: 00000000 0 FUNC GLOBAL DEFAULT UND opendir 4: 00000000 0 FUNC GLOBAL DEFAULT UND readdir 5: 00000000 0 FUNC GLOBAL DEFAULT UND strncmp 6: 00000000 0 FUNC GLOBAL DEFAULT UND closedir 7: 00003adc 8 FUNC GLOBAL DEFAULT 7 __aeabi_unwind_cpp_pr0 8: 00000000 0 FUNC GLOBAL DEFAULT UND strcmp 9: 00000000 0 FUNC GLOBAL DEFAULT UND mprotect 10: 00003ad4 8 FUNC WEAK DEFAULT 7 __aeabi_unwind_cpp_pr1 11: 000025dc 40 FUNC GLOBAL DEFAULT 7 __aeabi_i2d 12: 000026b8 620 FUNC GLOBAL DEFAULT 7 __aeabi_dmul 13: 00002924 516 FUNC GLOBAL DEFAULT 7 __aeabi_ddiv 14: 0000230c 684 FUNC GLOBAL DEFAULT 7 __aeabi_dadd 15: 00002308 688 FUNC GLOBAL DEFAULT 7 __aeabi_dsub 16: 00002c2c 20 FUNC GLOBAL DEFAULT 7 __aeabi_dcmpge 17: 00002e98 32 FUNC GLOBAL DEFAULT 7 __aeabi_i2f 18: 00002f44 408 FUNC GLOBAL DEFAULT 7 __aeabi_fmul 19: 00002c54 160 FUNC GLOBAL DEFAULT 7 __aeabi_d2f 20: 000030dc 352 FUNC GLOBAL DEFAULT 7 __aeabi_fdiv 21: 00002d00 400 FUNC GLOBAL DEFAULT 7 __aeabi_fadd 22: 0000323c 92 FUNC GLOBAL DEFAULT 7 __aeabi_f2iz 23: 00000000 0 FUNC GLOBAL DEFAULT UND clock_gettime 24: 00000000 0 FUNC GLOBAL DEFAULT UND write 25: 00006028 4 OBJECT GLOBAL DEFAULT 15 eglSwapBuffers_addr 26: 00006024 4 OBJECT GLOBAL DEFAULT 15 frames 27: 00006010 8 OBJECT GLOBAL DEFAULT 15 current_timer 28: 00006018 8 OBJECT GLOBAL DEFAULT 15 timer 29: 00006020 4 OBJECT GLOBAL DEFAULT 15 fps 30: 0000602c 4 OBJECT GLOBAL DEFAULT 15 fd 31: 00001a81 1208 FUNC GLOBAL DEFAULT 7 load 32: 00000000 0 FUNC GLOBAL DEFAULT UND strcpy 33: 00000000 0 FUNC GLOBAL DEFAULT UND strlen 34: 00000000 0 FUNC GLOBAL DEFAULT UND strcat 35: 00000000 0 FUNC GLOBAL DEFAULT UND dlsym 36: 00000000 0 FUNC GLOBAL DEFAULT UND dlopen 37: 00000000 0 FUNC GLOBAL DEFAULT UND dlclose 38: 00000000 0 FUNC GLOBAL DEFAULT UND open 39: 00000000 0 OBJECT GLOBAL DEFAULT UND __stack_chk_guard 40: 00006008 4 OBJECT GLOBAL DEFAULT 15 hwcomposer_patch 41: 00000000 0 FUNC GLOBAL DEFAULT UND __stack_chk_fail 42: 00001f39 968 FUNC GLOBAL DEFAULT 7 unload 43: 00000000 0 FUNC GLOBAL DEFAULT UND close 44: 00006004 0 NOTYPE GLOBAL DEFAULT ABS _edata 45: 00006004 0 NOTYPE GLOBAL DEFAULT ABS __bss_start 46: 00006030 0 NOTYPE GLOBAL DEFAULT ABS _end 47: 00000000 0 FUNC WEAK DEFAULT UND __gnu_Unwind_Find_exidx 48: 00000000 0 FUNC GLOBAL DEFAULT UND abort 49: 00000000 0 FUNC GLOBAL DEFAULT UND memcpy 50: 00002300 0 FUNC GLOBAL DEFAULT 7 __aeabi_drsub 51: 00002308 688 FUNC GLOBAL DEFAULT 7 __subdf3 52: 0000230c 684 FUNC GLOBAL DEFAULT 7 __adddf3 53: 000025b8 36 FUNC GLOBAL DEFAULT 7 __floatunsidf 54: 000025b8 36 FUNC GLOBAL DEFAULT 7 __aeabi_ui2d 55: 000025dc 40 FUNC GLOBAL DEFAULT 7 __floatsidf 56: 00002604 64 FUNC GLOBAL DEFAULT 7 __extendsfdf2 57: 00002604 64 FUNC GLOBAL DEFAULT 7 __aeabi_f2d 58: 00002644 116 FUNC GLOBAL DEFAULT 7 __floatundidf 59: 00002644 116 FUNC GLOBAL DEFAULT 7 __aeabi_ul2d 60: 00002658 96 FUNC GLOBAL DEFAULT 7 __floatdidf 61: 00002658 96 FUNC GLOBAL DEFAULT 7 __aeabi_l2d 62: 000026b8 620 FUNC GLOBAL DEFAULT 7 __muldf3 63: 00002924 516 FUNC GLOBAL DEFAULT 7 __divdf3 64: 00002b28 152 FUNC GLOBAL DEFAULT 7 __gtdf2 65: 00002b28 152 FUNC GLOBAL DEFAULT 7 __gedf2 66: 00002b30 144 FUNC GLOBAL DEFAULT 7 __ltdf2 67: 00002b30 144 FUNC GLOBAL DEFAULT 7 __ledf2 68: 00002b38 136 FUNC GLOBAL DEFAULT 7 __cmpdf2 69: 00002b38 136 FUNC GLOBAL DEFAULT 7 __nedf2 70: 00002b38 136 FUNC GLOBAL DEFAULT 7 __eqdf2 71: 00002bc0 48 FUNC GLOBAL DEFAULT 7 __aeabi_cdrcmple 72: 00002bdc 20 FUNC GLOBAL DEFAULT 7 __aeabi_cdcmpeq 73: 00002bdc 20 FUNC GLOBAL DEFAULT 7 __aeabi_cdcmple 74: 00002bf0 20 FUNC GLOBAL DEFAULT 7 __aeabi_dcmpeq 75: 00002c04 20 FUNC GLOBAL DEFAULT 7 __aeabi_dcmplt 76: 00002c18 20 FUNC GLOBAL DEFAULT 7 __aeabi_dcmple 77: 00002c40 20 FUNC GLOBAL DEFAULT 7 __aeabi_dcmpgt 78: 00002c54 160 FUNC GLOBAL DEFAULT 7 __truncdfsf2 79: 00002cf4 412 FUNC GLOBAL DEFAULT 7 __aeabi_frsub 80: 00002cfc 404 FUNC GLOBAL DEFAULT 7 __subsf3 81: 00002cfc 404 FUNC GLOBAL DEFAULT 7 __aeabi_fsub 82: 00002d00 400 FUNC GLOBAL DEFAULT 7 __addsf3 83: 00002e90 40 FUNC GLOBAL DEFAULT 7 __floatunsisf 84: 00002e90 40 FUNC GLOBAL DEFAULT 7 __aeabi_ui2f 85: 00002e98 32 FUNC GLOBAL DEFAULT 7 __floatsisf 86: 00002eb8 140 FUNC GLOBAL DEFAULT 7 __floatundisf 87: 00002eb8 140 FUNC GLOBAL DEFAULT 7 __aeabi_ul2f 88: 00002ec8 124 FUNC GLOBAL DEFAULT 7 __floatdisf 89: 00002ec8 124 FUNC GLOBAL DEFAULT 7 __aeabi_l2f 90: 00002f44 408 FUNC GLOBAL DEFAULT 7 __mulsf3 91: 000030dc 352 FUNC GLOBAL DEFAULT 7 __divsf3 92: 0000323c 92 FUNC GLOBAL DEFAULT 7 __fixsfsi 93: 00003acc 8 FUNC WEAK DEFAULT 7 __aeabi_unwind_cpp_pr2 94: 00004098 0 FUNC GLOBAL DEFAULT 7 __gnu_Unwind_Restore_VFP_ 95: 00004088 0 FUNC GLOBAL DEFAULT 7 __gnu_Unwind_Restore_VFP 96: 000040a8 0 FUNC GLOBAL DEFAULT 7 __gnu_Unwind_Restore_VFP_ 97: 000040b8 0 FUNC GLOBAL DEFAULT 7 __gnu_Unwind_Restore_WMMX 98: 00004140 0 FUNC GLOBAL DEFAULT 7 __gnu_Unwind_Restore_WMMX 99: 00004074 20 FUNC GLOBAL DEFAULT 7 restore_core_regs 100: 0000365c 68 FUNC GLOBAL DEFAULT 7 _Unwind_VRS_Get 101: 000036c8 68 FUNC GLOBAL DEFAULT 7 _Unwind_VRS_Set 102: 00000000 0 NOTYPE WEAK DEFAULT UND __cxa_begin_cleanup 103: 00000000 0 NOTYPE WEAK DEFAULT UND __cxa_type_match 104: 00004274 916 FUNC GLOBAL DEFAULT 7 __gnu_unwind_execute 105: 00000000 0 NOTYPE WEAK DEFAULT UND __cxa_call_unexpected 106: 00003ae4 856 FUNC GLOBAL DEFAULT 7 _Unwind_VRS_Pop 107: 000040a0 0 FUNC GLOBAL DEFAULT 7 __gnu_Unwind_Save_VFP_D 108: 00004090 0 FUNC GLOBAL DEFAULT 7 __gnu_Unwind_Save_VFP 109: 000040b0 0 FUNC GLOBAL DEFAULT 7 __gnu_Unwind_Save_VFP_D_1 110: 000040fc 0 FUNC GLOBAL DEFAULT 7 __gnu_Unwind_Save_WMMXD 111: 00004154 0 FUNC GLOBAL DEFAULT 7 __gnu_Unwind_Save_WMMXC 112: 00003e3c 8 FUNC GLOBAL DEFAULT 7 _Unwind_GetCFA 113: 00003e44 164 FUNC GLOBAL DEFAULT 7 __gnu_Unwind_RaiseExcepti 114: 00003ee8 28 FUNC GLOBAL DEFAULT 7 __gnu_Unwind_ForcedUnwind 115: 00003f04 108 FUNC GLOBAL DEFAULT 7 __gnu_Unwind_Resume 116: 00003f70 32 FUNC GLOBAL DEFAULT 7 __gnu_Unwind_Resume_or_Re 117: 00003f90 4 FUNC GLOBAL DEFAULT 7 _Unwind_Complete 118: 00003f94 32 FUNC GLOBAL DEFAULT 7 _Unwind_DeleteException 119: 00003fb4 192 FUNC GLOBAL DEFAULT 7 __gnu_Unwind_Backtrace 120: 00004074 20 FUNC GLOBAL DEFAULT 7 __restore_core_regs 121: 00004168 36 FUNC GLOBAL DEFAULT 7 ___Unwind_RaiseException 122: 00004168 36 FUNC GLOBAL DEFAULT 7 _Unwind_RaiseException 123: 0000418c 36 FUNC GLOBAL DEFAULT 7 ___Unwind_Resume 124: 0000418c 36 FUNC GLOBAL DEFAULT 7 _Unwind_Resume 125: 000041b0 36 FUNC GLOBAL DEFAULT 7 ___Unwind_Resume_or_Rethr 126: 000041b0 36 FUNC GLOBAL DEFAULT 7 _Unwind_Resume_or_Rethrow 127: 000041d4 36 FUNC GLOBAL DEFAULT 7 ___Unwind_ForcedUnwind 128: 000041d4 36 FUNC GLOBAL DEFAULT 7 _Unwind_ForcedUnwind 129: 000041f8 36 FUNC GLOBAL DEFAULT 7 ___Unwind_Backtrace 130: 000041f8 36 FUNC GLOBAL DEFAULT 7 _Unwind_Backtrace 131: 00004608 64 FUNC GLOBAL DEFAULT 7 __gnu_unwind_frame 132: 00004648 44 FUNC GLOBAL DEFAULT 7 _Unwind_GetRegionStart 133: 00004674 56 FUNC GLOBAL DEFAULT 7 _Unwind_GetLanguageSpecif 134: 000046ac 8 FUNC GLOBAL DEFAULT 7 _Unwind_GetDataRelBase 135: 000046b4 8 FUNC GLOBAL DEFAULT 7 _Unwind_GetTextRelBase
主要是unwind库和软浮点库的实现。除此之外，还有几个符号比较有意思，这是全局变量符号：
25: 00006028 4 OBJECT GLOBAL DEFAULT 15 eglSwapBuffers_addr 26: 00006024 4 OBJECT GLOBAL DEFAULT 15 frames 27: 00006010 8 OBJECT GLOBAL DEFAULT 15 current_timer 28: 00006018 8 OBJECT GLOBAL DEFAULT 15 timer 29: 00006020 4 OBJECT GLOBAL DEFAULT 15 fps
如果对绘图和刷屏及so注入原理比较了解的话，这里可能已经可以猜出来它干了什么，不过暂且先放一放。
从上一节的ptrace分析可以知道，fps meter这个apk运行后，将lib0.so注入到surfaceflinger中后，会运行lib0.so的load方法，那么我们就接着分析这个注入的so库都做了些什么。
用IDA pro看一下load函数的反汇编：
这个函数很长，上图只截了开头一部分。此函数的一大半工作都在往栈上压数据。一开始压GOT表的地址，接下来压的都是ASCII码，只要细心一点，就能推出栈中压入的数据。这里理了一下，栈上压的字符串是：
1.eglSwapBuffers
2./system/lib/hw
3./system/vendor/lib/hw
4.hwcomposer
5./system/lib/libsurfaceflinger.so
6./data/data/com.aatt.fpsm/pipe
这些实际上就是常量字符串，不知为何要代码一个字符一个字符往栈里压，如果是为阻止别人偷窥代码行为，至少也要稍微加扰绕一绕，这也太简单了，根本无法保护。
不过，OK，整理出这些字符串，也不想费劲的抠汇编了，这个函数接下来的代码不用分析也能猜出来了：
创建/data/data/com.aatt.fpsm/pipe ，surfaceFlinger向这个pipe中写入帧率，fps meter读出数据并显示在屏幕上。
搜索hwcomposer HAL的实现代码，这个HAL通常位于/system/lib/hw或/system/vendor/lib/hw下
搜索eglSwapBuffers在GOT表中的地址，将其地址修改掉，换成自己实现的代码，做一番处理后，再调用真正的eglSwapBuffers。
我们可以在egl.cpp的eglSwapBuffers的实现中打印出CallStack验证一下，可以按照如下方式修改代码，打印出每次对eglSwapBuffers的调用堆栈情况：
~/android/frameworks/native/opengl/libs$ git diff diff --git a/opengl/libs/EGL/eglApi.cpp b/opengl/libs/EGL/eglApi.cpp index 23e89da..e31f6f2 100644 --- a/opengl/libs/EGL/eglApi.cpp +++ b/opengl/libs/EGL/eglApi.cpp @@ -38,6 +38,7 @@ #include <utils/SortedVector.h> #include <utils/String8.h> #include <utils/Trace.h> +#include <utils/CallStack.h> #include "egl_impl.h" #include "egl_tls.h" @@ -850,6 +851,10 @@ EGLBoolean eglSwapBuffers(EGLDisplay dpy, EGLSurface draw) ATRACE_CALL(); clearError(); + CallStack stk; + stk.update(); + stk.dump(); + const egl_display_ptr dp = validate_display(dpy); if (!dp) return EGL_FALSE;
mm后将重新生成的几个so用adb push到机器中，重启，再次运行fps meter，查看打印，见到如下：
D/CallStack( 2938): (null)#00 pc 0000e63c /system/lib/libEGL.so (eglSwapBuffers+99) D/CallStack( 2938): (null)#01 pc 0000195c /data/data/com.aatt.fpsm/files/0.so D/CallStack( 2938): (null)#02 pc 0001d72a /system/lib/libsurfaceflinger.so (android::DisplayDevice::swapBuffers(android::HWComposer&) const+41) D/CallStack( 2938): (null)#03 pc 00025ae0 /system/lib/libsurfaceflinger.so (android::SurfaceFlinger::doDisplayComposition(android::sp<android::DisplayDevice const> const&, android::Region const&)+143) D/CallStack( 2938): (null)#04 pc 00028b8c /system/lib/libsurfaceflinger.so (android::SurfaceFlinger::doComposition()+95) D/CallStack( 2938): (null)#05 pc 00028df8 /system/lib/libsurfaceflinger.so (android::SurfaceFlinger::handleMessageRefresh()+51) D/CallStack( 2938): (null)#06 pc 00029992 /system/lib/libsurfaceflinger.so (android::SurfaceFlinger::onMessageReceived(int)+57) D/CallStack( 2938): (null)#07 pc 00014c50 /system/lib/libutils.so (android::Looper::pollInner(int)+423) D/CallStack( 2938): (null)#08 pc 00014d70 /system/lib/libutils.so (android::Looper::pollOnce(int, int*, int*, void**)+103) D/CallStack( 2938): (null)#09 pc 000243b4 /system/lib/libsurfaceflinger.so (android::MessageQueue::waitMessage()+39) D/CallStack( 2938): (null)#10 pc 000249a0 /system/lib/libsurfaceflinger.so (android::SurfaceFlinger::threadLoop()+5) D/CallStack( 2938): (null)#11 pc 00011264 /system/lib/libutils.so (android::Thread::_threadLoop(void*)+111) D/CallStack( 2938): (null)#12 pc 00010dca /system/lib/libutils.so D/CallStack( 2938): (null)#13 pc 0000e3d8 /system/lib/libc.so (__thread_entry+72) D/CallStack( 2938): (null)#14 pc 0000dac4 /system/lib/libc.so (pthread_create+160)
看到调用堆栈中有 D/CallStack( 2938): (null)#01 pc 0000195c /data/data/com.aatt.fpsm/files/0.so ，其调用真正的eglSwapBuffers，而它又是被DisplayDevice::swapBuffers调用，果然劫持替换了原生代码中的eglSwapBuffers！！
我们再看下劫持函数做了些什么事情， 通过pc 0000195c 我们找到相关的函数，函数的汇编如下：
.text:00001948 ; =============== S U B R O U T I N E ================================
.text:00001948
.text:00001948
.text:00001948 sub_1948 ; DATA XREF: .text:00001E26o
.text:00001948 ; .text:off_1E80o ...
.text:00001948
.text:00001948 var_38 = -0x38
.text:00001948 var_34 = -0x34
.text:00001948 tp = -0x28
.text:00001948
.text:00001948 PUSH {R4-R7,LR}
.text:0000194A MOV R7, R10
.text:0000194C MOV R6, R9
.text:0000194E MOV R5, R8
.text:00001950 PUSH {R5-R7}
.text:00001952 LDR R4, =(_GLOBAL_OFFSET_TABLE_ - 0x195C)
.text:00001954 LDR R3, =(eglSwapBuffers_addr_ptr - 0x5F94)
.text:00001956 SUB SP, SP, #0x18
.text:00001958 ADD R4, PC
.text:0000195A LDR R3, [R4,R3]
.text:0000195C LDR R3, [R3]
.text:0000195E BLX R3
.text:00001960 LDR R3, =(frames_ptr - 0x5F94)
.text:00001962 ADD R1, SP, #0x38+tp ; tp
.text:00001964 MOVS R0, #0 ; clock_id
.text:00001966 LDR R5, [R4,R3]
.text:00001968 LDR R3, [R5]
.text:0000196A ADDS R3, #1
.text:0000196C STR R3, [R5]
.text:0000196E BLX clock_gettime
.text:00001972 LDR R0, [SP,#0x38+tp]
.text:00001974 BLX __floatsidf
.text:00001978 LDR R3, =0x408F4000
.text:0000197A LDR R2, =0
.text:0000197C BLX __muldf3
.text:00001980 MOVS R6, R0
.text:00001982 LDR R0, [SP,#0x38+tp.tv_nsec]
.text:00001984 MOVS R7, R1
.text:00001986 BLX __floatsidf
.text:0000198A LDR R2, =0
.text:0000198C LDR R3, =0x412E8480
.text:0000198E BLX __divdf3
.text:00001992 MOVS R2, R0
.text:00001994 MOVS R3, R1
.text:00001996 MOVS R0, R6
.text:00001998 MOVS R1, R7
.text:0000199A BLX __aeabi_dadd
.text:0000199E LDR R3, =(current_timer_ptr - 0x5F94)
.text:000019A0 STR R0, [SP,#0x38+var_38]
.text:000019A2 STR R1, [SP,#0x38+var_34]
.text:000019A4 LDR R3, [R4,R3]
.text:000019A6 STR R0, [R3]
.text:000019A8 STR R1, [R3,#4]
.text:000019AA LDR R3, =(timer_ptr - 0x5F94)
.text:000019AC LDR R1, [R4,R3]
.text:000019AE MOV R8, R1
.text:000019B0 MOV R6, R8
.text:000019B2 LDR R2, [R6]
.text:000019B4 LDR R3, [R6,#4]
.text:000019B6 LDR R0, [SP,#0x38+var_38]
.text:000019B8 LDR R1, [SP,#0x38+var_34]
.text:000019BA BLX __subdf3
.text:000019BE LDR R2, =0
.text:000019C0 LDR R3, =0x406F4000
.text:000019C2 MOVS R6, R0
.text:000019C4 MOVS R7, R1
.text:000019C6 BLX __aeabi_dcmpge
.text:000019CA CMP R0, #0
.text:000019CC BEQ loc_1A36
.text:000019CE LDR R1, [R5]
.text:000019D0 MOV R10, R1
.text:000019D2 CMP R1, #3
.text:000019D4 BGT loc_19E6
.text:000019D6 MOVS R0, R6
.text:000019D8 MOVS R1, R7
.text:000019DA LDR R3, =0x408F4000
.text:000019DC LDR R2, =0
.text:000019DE BLX __aeabi_dcmpge
.text:000019E2 CMP R0, #0
.text:000019E4 BEQ loc_1A36
.text:000019E6
.text:000019E6 loc_19E6 ; CODE XREF: sub_1948+8Cj
.text:000019E6 LDR R3, =(fps_ptr - 0x5F94)
.text:000019E8 MOV R0, R10
.text:000019EA LDR R1, [R4,R3]
.text:000019EC MOV R9, R1
.text:000019EE BLX __floatsisf
.text:000019F2 LDR R1, =0x447A0000
.text:000019F4 BLX __mulsf3
.text:000019F8 MOVS R1, R7
.text:000019FA MOV R10, R0
.text:000019FC MOVS R0, R6
.text:000019FE BLX __truncdfsf2
.text:00001A02 MOVS R1, R0
.text:00001A04 MOV R0, R10
.text:00001A06 BLX __divsf3
.text:00001A0A MOVS R1, 0x3F000000
.text:00001A0E BLX __aeabi_fadd
.text:00001A12 BLX __fixsfsi
.text:00001A16 MOV R2, R9
.text:00001A18 MOV R3, R8
.text:00001A1A STR R0, [R2]
.text:00001A1C LDR R1, [SP,#0x38+var_38]
.text:00001A1E LDR R2, [SP,#0x38+var_34]
.text:00001A20 STR R1, [R3]
.text:00001A22 STR R2, [R3,#4]
.text:00001A24 MOVS R3, #0
.text:00001A26 STR R3, [R5]
.text:00001A28 LDR R3, =(fd_ptr - 0x5F94)
.text:00001A2A MOV R1, R9 ; buf
.text:00001A2C MOVS R2, #4 ; n
.text:00001A2E LDR R3, [R4,R3]
.text:00001A30 LDR R0, [R3] ; fd
.text:00001A32 BLX write
.text:00001A36
.text:00001A36 loc_1A36 ; CODE XREF: sub_1948+84j
.text:00001A36 ; sub_1948+9Cj
.text:00001A36 ADD SP, SP, #0x18
.text:00001A38 MOVS R0, #1
.text:00001A3A POP {R2-R4}
.text:00001A3C MOV R8, R2
.text:00001A3E MOV R9, R3
.text:00001A40 MOV R10, R4
.text:00001A42 POP {R4-R7,PC}
.text:00001A42 ; End of function sub_1948此汇编函数不算复杂，从汇编代码我们大体能看出此函数的工作路径：
1. 调用真正的eglswapBuffers
2. 记录当前时间信息
3. 统计帧率，汇报给fps meter应用程序
翻译成C++代码，大约如下：
void *eglSwapBuffers_addr_ptr;
unsigned long frames;
unsigned long long current_timer;
unsigned long long timer;
EGLBoolean myEglSwapBuffers(EGLDisplay dpy, EGLSurface draw){
struct timespect tp;
// eglSwapBuffers_addr 就是前面的load函数，从GOT表中拿到的真正的eglSwapBuffers的地址
// 而原GOT表中的地址，已经被改为本函数的地址啦！
EGLBoolean result = eglSwapBuffers_addr(dpy, draw);
// clock id is 0
clock_gettime(CLOCK_REALTIME, &tp);
frames++;
current_timer = tp.tv_sec*1000000 + tp.tv_nsec/1000;
//计算timer的值
...
//计算fps的值
...
// 这里的fd是打开的/com.aatt.fpsm/pipe的文件句柄
write(fd, &fps, 4);
return result;
}timer和fps的计算没大看明白具体计算方法，头疼，也就不抠了。最后，surfaceflinger进程通过写pipe，向fps meter进程上报了帧率数据，整个工作机制分析完成。
总结
一旦系统被root后，普通的应用程序几乎可以做它想做的任何事情，如果能再允许remount系统的只读分区，那可能会有灾难性的危险。试想你的手机中存在这些类似fps meter这样的apk，你还能放心吗？不过问题也没那么可怕，若从正规市场如google play中下载的apk，一般问题不大，但如果从未知来源或山寨APP市场中安装的apk，同时你又root了系统，就要当心点了。
内容来自用户分享和网络整理，不保证内容的准确性，如有侵权内容，可联系管理员处理 
相关文章推荐
- android应用程序fps meter[帧数显示]的分析 —— 浅谈root的风险 (2)
- android应用程序fps meter[帧数显示]的分析 —— 浅谈root的风险 (3)
- android应用程序fps meter[帧数显示]的分析 —— 浅谈root的风险 (1)
- android应用程序fps meter[帧数显示]的分析 —— 浅谈root的风险
- android应用程序fps meter[帧数显示]的分析 —— 浅谈root的风险 (1)
- Android应用程序UI硬件加速渲染的预加载资源地图集服务（Asset Atlas Service）分析
- 【Android】显示网络图片代码分析
- Android 应用程序窗体显示状态操作（requestWindowFeature()的应用）[转]
- Android 应用程序窗体显示状态操作----requestWindowFeature()的应用
- Android应用程序与SurfaceFlinger服务的连接过程分析
- 浅谈Android的Lifecycle源码分析
- Android系统默认Home应用程序（Launcher）的启动过程源码分析
- Android 分析应用程序占用native内存
- Android系统应用程序安装过程源码分析
- Android系统进程间通信Binder机制在应用程序框架层的Java接口源代码文件分析
- android listview 不显示选中效果分析
- Android系统默认Home应用程序（Launcher）的启动过程源码分析
- Android中ActivityManagerService与应用程序(客户端)通信模型分析
- Android架构分析之基于Android系统的C应用程序开发
- 分析第一个Android应用程序