Frida 动态加载 dex ，加载其中的 class 并调用对

碰到一个需求，需要在某函数调用时，将一个参数的所有字段与值打印出来。
最开始在 安卓6.0 平台，使用第三方的 xposed ，于是写(抄)了一个反射类，很好用；
之后改到了 安卓4.4，发现原版的 xposed hook 不起效果，注意到 hook 的方法是 native 方法，xposed 作者说如果是 native 方法，则可能 hook 会被覆盖，需要自己处理，然而第三方的 xposed 却没有被覆盖，推测可能有做优化，就没去深究。

1. Java 中的动态 load

而 Frida hook 是依旧有效果的，那么只要将反射类中获取对象实例字段与值的方法用 Frida 的 js 实现一遍就好了，但是我这人又懒，不想做重复的工作，好嘛，反正动态 load dex 从来没玩过，那正好可以玩一玩，于是先谷歌一番，找到了动态 load dex 的 java 代码：

// 用来 load 的 dex 的一个类
public class Dynamic {
    public static String sayHello(){
        return "hello world!";
    }
}

建立一个安卓工程，添加这个类，然后编译生成 apk，打开 apk 压缩包，把 dex 拖出来，然后 push 到设备中，那么 dex 这边已经准备好了；

// 动态 load 的 代码
public class MainActivity extends AppCompatActivity {

    @Override
    protected void onCreate(Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        setContentView(R.layout.activity_main);

        try {
            File optimizedDexOutputPath = new File("/data/local/tmp" + File.separator + "classes.dex");

            Context context = getApplicationContext();  //获取Context对象；
            File dexOutputDir = context.getDir("dex", 0);

            DexClassLoader cl = new DexClassLoader(optimizedDexOutputPath.getAbsolutePath(),
                dexOutputDir.getAbsolutePath(), null, dexOutputDir.getClass().getClassLoader());
            Class libProviderClazz = cl.loadClass("com.xxx.dynamicdex.Dynamic");
            Object obj = libProviderClazz.newInstance();

            Method method = libProviderClazz.getDeclaredMethod("sayHello");
            String ret = (String) method.invoke(obj);

            int i = 0;
        }
        catch (Exception e){
            e.printStackTrace();
        }
    }
}

再新建一个安卓工程，在 MainActivity 的 onCreate 中添加代码，编译调试，发现 sayHello() 确实能够调用成功；
注意 DexClassLoader 的构造中的 optimizedDirectory 参数，这里的路径必须指定当前 app 的私有目录，即 /data/data/com.xxx.yyy.zzz/aaa，手动创建 aaa 目录并且修改为相同的权限一样会报错，可以通过的是跟上方代码一样使用 context 来创建目录，或者使用大部分 app 都有的 ./cache 目录；

2. Frida 中的动态 load

接下来的问题是怎么将 load 的代码翻译成 Frida 的 js 代码；
一开始就一行对一行的翻译；

function loadDex(dexPath, optimizedDirectory){
        var cl = DexClassLoader.$new(dexPath, optimizedDirectory, null, Java.classFactory.loader);
        var libProviderClazz = cl.loadClass("com.xxx.dynamicdex.Dynamic");
        console.log("libProviderClazz : " + libProviderClazz);
        var obj = libProviderClazz.$new();
        var method = libProviderClazz.getDeclaredMethod("sayHello", null);
        var ret = method.invoke(obj, null);
        console.log("ret: " + ret);
    }

...

loadDex("/data/local/tmp/classes.dex", "/data/data/com.xxx.yyy.zzz/cache");

跑起来发现 getDeclaredMethod() 那里始终报错:
TypeError: undefined not callable (property 'getDeclaredMethod' of [object Object])

看起来似乎是 cl.loadClass 返回了 Java 中的类，而 Frida 需要使用自己包装过的类来调用对应的 Java 方法，那么需要将 libProviderClazz 强转为 Frida 认识的包装类，我们都知道使用 Java.use() 来获取包装类，然而 Java.use() 只能写在 Java.perform() 下面，而不能写在功能函数内部，有没有什么方法可以在内部获取包装类呢？

答案是有的，这篇文章中就提到过一种方法，https://bbs.pediy.com/thread-246767.htm；
就是直接使用 Java.use() 内部的 Java.classFactory.use()；
然而直接这样写必然会提示 "com.xxx.dynamicdex.Dynamic not found"，因为这个动态加载的类并没有被加载到默认的 classLoader 里面；
但是注意到我们前面的 DexClassLoader.$new(...)，这里返回了一个新的 classLoader，那么用该 loader 替换掉原来默认的 loader，是否可行呢；

修改代码如下：

// 既然能够拿到包装类，也没必要再通过反射的方式来调用方法了
function loadDex(dexPath, optimizedDirectory){
        var cl = DexClassLoader.$new(dexPath, optimizedDirectory, null, Java.classFactory.loader);
        
        Java.classFactory.loader = cl;

        var libProviderClazz =  Java.classFactory.use("com.xxx.dynamicdex.Dynamic");
        var ret = libProviderClazz.sayHello();
        console.log("ret: " + ret);
    }

跑起来，成功；