第14章 Hook技术

在《第14章 Hook技术》中，本课程对应刘望舒《Android进阶解密》，电子工业出版社2018年10月初版，468页、702千字，ISBN 9787121348389。原书以Android 8.0系统源码为主；本页不会用Android 10后的ATMS、现代ART实现、Perfetto或新隐藏API政策替换原书链路。

从代理模式和动态代理建立替换点，再分别Hook Activity与Context的startActivity调用链，验证代理注入与委托。源码实验固定AOSP Android 8.0与作者出版仓库提交 3860d9e1；后续版本只作为迁移差异，不改变正式目录分母。

从一条可证伪的调用链开始

先预测：按字段名反射替换单例却不校验Android 8.0版本，会因缓存位置或隐藏实现变化失效；吞掉未处理方法还会改变整个系统服务代理语义。把预测写成入口、对象身份、进程/线程、状态和完成回调五列，再去读源码。若结果与预测不同，先修正模型，不要选择性截取调用栈。

原书面向应用开发者学习系统源码，重点不是抄完整函数，而是抓住跨层调用的关键节点。每个节点都要回答：谁发起、在哪个进程和线程执行、哪份状态被修改、后续如何被唤醒、失败如何返回、什么现象代表真正完成。

验收不变量是：Hook对象与原对象满足同一接口，未命中的调用完整委托，命中调用可记录/改写且能恢复原引用，不破坏并发与异常语义。只有源码版本、符号关系、运行轨迹与最终状态四类证据一致，结论才可以进入下一章。

核心词汇与版本门

Hook、代理模式、动态代理、IActivityManager、Instrumentation

以上词汇都固定在Android 8.0语义。在《第14章 Hook技术》中，Android 7.0只在原书明确比较AMS家族时出现；Android 9以后反射/隐藏API限制、Android 10的ActivityTaskManager、现代Profiler/Perfetto等只能写进迁移备注，不能改写本页正式链路。

原书目录核对清单

本页承担10个目录或复习节点，正文、图解、实验和题目必须能反向定位每一项：

• 14.1 Hook技术概述
• 14.2 Hook技术分类
• 14.3 代理模式
• 14.3.1 代理模式简单实现
• 14.3.2 动态代理的简单实现
• 14.4 Hook startActivity方法
• 14.4.1 Hook Activity的startActivity方法
• 14.4.2 Hook Context的startActivity方法
• 14.4.3 Hook startActivity总结
• 14.5 本章小结

分步追踪：源码、运行与反例

可复现实验

Object proxy = Proxy.newProxyInstance(loader, new Class[]{IActivityManager.class}, handler);

call -> proxy match? -> inspect/replace args -> original.invoke -> preserve result/exception

install original reference | verify Android 8.0 field | invoke | restore | compare trace

动手试：在同一镜像、同一构建和同一输入上重复正常、冷启动/首次加载、热路径、单变量失败与恢复五轮。在《第14章 Hook技术》中，记录PID/TID、调用入口、对象或token、状态前后值、耗时、异常/返回码和最终可见结果；性能章再记录P50/P95/P99，内存章保留GC Root路径。

独立证据门

第14章 Hook技术 的在《第14章 Hook技术》中，最小证据包包含：出版社目录、Android版本、源码文件和符号、调用/状态图、PID/TID或加载器身份、一条失败注入、日志/追踪/堆证据、最终结果、已知限制、停止、恢复、回退、责任人与复核人。

练习

本章回顾

“第14章 Hook技术”的核心是从代理模式和动态代理建立替换点，再分别Hook Activity与Context的startActivity调用链，验证代理注入与委托。按字段名反射替换单例却不校验Android 8.0版本，会因缓存位置或隐藏实现变化失效；吞掉未处理方法还会改变整个系统服务代理语义是必须保留的反证；源码阅读只有连接运行时的进程、线程、状态与最终结果，才从“知道类名”升级为“能诊断”。

← 上一页：第13章 热修复原理 · 下一页：第15章 插件化原理 →

原版目录概念补充核对

以下条目补齐官方目录中容易被示例主线掩盖的概念。它们不重复罗列目录，而是明确每项概念的机制、适用边界和验收证据。

14.2 Hook技术分类：机制、边界与证据

第14章 Hook技术中的14.2 Hook技术分类涉及 Java、Native、加载器身份与运行时内存边界；同名类型、引用或方法在不同加载器和线程中并不自动等价。用源码符号、类加载日志、JNI 引用计数、堆/GC 轨迹或正反加载案例验证对象身份、生命周期和释放条件。

14.3 代理模式：机制、边界与证据

第14章 Hook技术中的14.3 代理模式通过改变加载、查找或分发路径实现，必须区分 Android 8.0 的可行机制、隐藏实现依赖与现代平台限制。记录被替换的入口、原对象和代理对象身份、加载顺序与回滚点，再用补丁缺失、签名不符或进程重建样本确认失败不会静默污染状态。

14.3.1 代理模式简单实现：机制、边界与证据

第14章 Hook技术中的14.3.1 代理模式简单实现通过改变加载、查找或分发路径实现，必须区分 Android 8.0 的可行机制、隐藏实现依赖与现代平台限制。记录被替换的入口、原对象和代理对象身份、加载顺序与回滚点，再用补丁缺失、签名不符或进程重建样本确认失败不会静默污染状态。

14.3.2 动态代理的简单实现：机制、边界与证据

第14章 Hook技术中的14.3.2 动态代理的简单实现通过改变加载、查找或分发路径实现，必须区分 Android 8.0 的可行机制、隐藏实现依赖与现代平台限制。记录被替换的入口、原对象和代理对象身份、加载顺序与回滚点，再用补丁缺失、签名不符或进程重建样本确认失败不会静默污染状态。

14.4 Hook startActivity方法：机制、边界与证据

第14章 Hook技术中的14.4 Hook startActivity方法由 framework 对象、system_server 状态和应用进程回调共同完成，API 返回不等于系统状态已经落定。应跟踪 token/record、目标进程与线程、生命周期回调和最终窗口或组件状态，并用无效 token、进程重建或迟到回调验证拒绝与恢复路径。

14.4.1 Hook Activity的startActivity方法：机制、边界与证据

第14章 Hook技术中的14.4.1 Hook Activity的startActivity方法由 framework 对象、system_server 状态和应用进程回调共同完成，API 返回不等于系统状态已经落定。应跟踪 token/record、目标进程与线程、生命周期回调和最终窗口或组件状态，并用无效 token、进程重建或迟到回调验证拒绝与恢复路径。

14.4.2 Hook Context的startActivity方法：机制、边界与证据

第14章 Hook技术中的14.4.2 Hook Context的startActivity方法由 framework 对象、system_server 状态和应用进程回调共同完成，API 返回不等于系统状态已经落定。应跟踪 token/record、目标进程与线程、生命周期回调和最终窗口或组件状态，并用无效 token、进程重建或迟到回调验证拒绝与恢复路径。

14.4.3 Hook startActivity总结：机制、边界与证据

第14章 Hook技术中的14.4.3 Hook startActivity总结由 framework 对象、system_server 状态和应用进程回调共同完成，API 返回不等于系统状态已经落定。应跟踪 token/record、目标进程与线程、生命周期回调和最终窗口或组件状态，并用无效 token、进程重建或迟到回调验证拒绝与恢复路径。

14.5 本章小结：机制、边界与证据

第14章 Hook技术中的14.5 本章小结必须落回 Android 8.0 源码中的入口、对象、进程/线程、状态变化与完成点。固定版本和输入，先预测正常链路，再只注入一个失败条件，以源码符号、运行日志和最终系统状态三方核对。