Arm Inline hook的简易原理图

Arm架构下有arm指令和thumb指令之分，不同指令集的hook过程不一样。

假设我们要hook libc.so中的execv和read函数，android系统的库应该都加了-mthumb-interworking编译选项，支持thumb/arm的代码交织，所以要区分目标函数是thumb还是arm指令的。

用ndk编译自己的代码好像默认的是arm（虽然我网上查的说默认是thumb，但我的库编译出来的是arm，不知为何），下面的图假设我自己的函数库是arm指令的。

另外，inline hook中最麻烦的部分应该是指令修正， 指令中有PC寄存器相对偏移的指令，这种情况需要指令修正情况，Arm指令模式下的指令修正相对简单，Thumb指令模式下很麻烦，这里暂时不介绍。

一. ARM指令

图1 目标函数是Arm指令下的Inline hook原理图

ARM指令模式下的指令修正相对来说比较简单点，我在网上查了一下主要涉及LDR/STR，ADD，以及B系列的指令，这些指令可能会以pc寄存器作为Rn寄存器，然后加上一个偏移量得到的值作为操作数。因为在hook的时候指令搬迁到另外一块buffer中，所以pc的值肯定改变了，这时候就需要指令修正。下面就以LDR/STR指令为例说一下修正的过程，这类指令也有offset是立即数和寄存器之分，在网上查资料很多都是解析指令得到offset的值，然后与当前pc相加先得到该操作数，然后把操作数也搬迁到另一块buffer中，其实不用这么复杂。

1. offset为立即数
比如目标函数的第一条指令是LDR Rd, [pc, #imm]，该函数内存的分布如下（每一项是一条指令，即4字节）：

-----------------------------------------

LDR Rd, [pc, #imm]

-----------------------------------------

Command1

-----------------------------------------

Command2

-----------------------------------------

......

-----------------------------------------

当系统执行到第一条指令的时候，pc指向的是被加载指令，也就是Command2的位置，实际上pc的值就是Command2指令的地址，那么我们就可以把Command2的地址也搬迁到另一块buffer中，然后构造两条指令，先将Command2的地址加载到某个寄存器中，然后在将这个寄存器与#imm相加就得到正确的操作数了，这样操作要更容易些。搬迁后的buffer如下（每一项是一条指令，即4字节）：

----------------------------------------

LDR Rd, [pc, #12]

----------------------------------------

LDR Rd, [Rd, #imm]

----------------------------------------

Command1

----------------------------------------

LDR pc, [pc, #-1]

----------------------------------------

Command2的地址

----------------------------------------

Command2的地址

----------------------------------------

可以将上面的buffer与图1中的buffer做对照，发现为了做指令修正，原函数的第一条指令搬迁到新的buffer中由两条指令来完成。

2. offset为寄存器
如果目标函数的第一条指令是LDR Rd, [pc, Rm]，该函数内存的分布如下（每一项是一条指令，即4字节）：

-----------------------------------------

LDR Rd, [pc, Rm]

-----------------------------------------

Command1

-----------------------------------------

Command2

-----------------------------------------

......

-----------------------------------------

道理和上面一样，pc的值是Command2指令的地址，按同样的方法搬迁，buffer如下：

----------------------------------------

stmdb sp!, {R0}

----------------------------------------

LDR R0, [pc, #16]

----------------------------------------

LDR Rd, [R0, Rm]

----------------------------------------

ldmia sp!, {R0}

----------------------------------------

Command1

----------------------------------------

LDR pc, [pc, #-1]

----------------------------------------

Command2的地址

----------------------------------------

Command2的地址

----------------------------------------

上面的Rm不是R0，如果Rm是R0的话，换成R1就好了。

二. Thumb指令

图2 目标函数是thumb指令下的Inline hook原理图