function hook_dlopen() {  var android_dlopen_ext = Module.findExportByName(null, "android_dlopen_ext");  console.log("addr_android_dlopen_ext", android_dlopen_ext);  Interceptor.attach(android_dlopen_ext, {onEnter: function (args) {      var pathptr = args[0];      if (pathptr != null && pathptr != undefined) {        var path = ptr(pathptr).readCString();        console.log("android_dlopen_ext:", path);      }    },onLeave: function (retvel) {    }  })}function main() {   hook_dlopen()}setImmediate(main)

每隔几毫秒检查一次    ↓发现了Frida的痕迹    ↓执行反制措施：卡死界面 + 杀进程

function hook_clone() {    var clone = Module.findExportByName('libc.so', 'clone');    Interceptor.attach(clone, {onEnter: function (args) {        console.log("═══ Clone Called ═══");        console.log("args[0] (wrapper):", args[0]);  // __pthread_start        console.log("args[1] (stack)  :", args[1]);        console.log("args[2] (flags)  :", args[2]);        console.log("args[3] (tls)    :", args[3]);  //// 线程局部存储（TLS）        if (args[3] != 0) {          try {            // 读取真正的线程函数            var real_func = args[3].add(96).readPointer();            var module = Process.findModuleByAddress(real_func);            if (module) {              var offset = real_func.sub(module.base);              console.log(" 真正的线程函数:");              console.log("   SO名称:", module.name);              console.log("   函数地址:", real_func);              console.log("   偏移:", ptr(offset));              if (module.name.includes("DexHelper")) {                console.log(" 检测到目标so!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!");              }            }          } catch(e) {            console.log("解析失败:", e);          }        }      }    });  }  setImmediate(hook_clone);

// /libcore/libart/src/main/java/java/lang/Thread.javapublic synchronized void start() {    checkNotStarted(); // 保证线程只启动一次    hasBeenStarted = true;    // 调用 native 方法创建线程    nativeCreate(this, stackSize, daemon);}

// /art/runtime/native/java_lang_Thread.cc// 宏定义#define NATIVE_METHOD(className, functionName, signature) \    { #functionName, signature, reinterpret_cast<void*>(className ## _ ## functionName) }// 方法注册NATIVE_METHOD(Thread, nativeCreate, "(Ljava/lang/Thread;JZ)V"),

// /art/runtime/native/java_lang_Thread.ccstaticvoid Thread_nativeCreate(JNIEnv* env, jclass, jobject java_thread,                                jlong stack_size, jboolean daemon) {    // 创建 Native 线程    Thread::CreateNativeThread(env, java_thread, stack_size, daemon == JNI_TRUE);}

// /art/runtime/thread.ccvoid Thread::CreateNativeThread(JNIEnv* env, jobject java_peer,                                 size_t stack_size, bool is_daemon) {    Thread* self = static_cast<JNIEnvExt*>(env)->self;    Runtime* runtime = Runtime::Current();    // 1. 创建 ART 的 Thread 对象    Thread* child_thread = new Thread(is_daemon);    // 2. 关联 Java 层的 Thread 对象（jpeer）    child_thread->tlsPtr_.jpeer = env->NewGlobalRef(java_peer);    // 3. 修正栈大小    stack_size = FixStackSize(stack_size);    // 4. 在 Java Thread 对象中设置 native peer 指针    env->SetLongField(java_peer, WellKnownClasses::java_lang_Thread_nativePeer,                      reinterpret_cast<jlong>(child_thread));    // 5. 创建 JNI 环境    std::unique_ptr<JNIEnvExt> child_jni_env_ext(        JNIEnvExt::Create(child_thread, Runtime::Current()->GetJavaVM()));    // 6. 设置线程属性并创建 pthread    pthread_t new_pthread;    pthread_attr_t attr;    pthread_attr_init(&attr);    child_thread->tlsPtr_.tmp_jni_env = child_jni_env_ext.get();    // 7. 调用 pthread_create 创建线程    int pthread_create_result = pthread_create(        &new_pthread,            //返回线程句柄        &attr,        Thread::CreateCallback,  // 线程入口函数        child_thread             // 传递给线程的参数    );    if (pthread_create_result == 0) {        child_jni_env_ext.release();        return;    }    // 创建失败的处理...}

// /art/runtime/thread.ccvoid* Thread::CreateCallback(void* arg) {    Thread* self = reinterpret_cast<Thread*>(arg);    Runtime* runtime = Runtime::Current();    // 1. 附加到 ART 虚拟机    self->Init(runtime->GetThreadList(), runtime->GetJavaVM());    // 2. 初始化线程相关资源    self->InitCardTable();    self->InitTid();    self->InitAfterFork();    // 3. 调用 Java 层的 run() 方法    {        ScopedObjectAccess soa(self);        self->NotifyThreadBirth();        // 获取 Thread.run() 方法        ArtMethod* run_method =             WellKnownClasses::java_lang_Thread_run->GetArtMethod();        // 反射调用 run 方法        JValue result;        run_method->Invoke(self,                           reinterpret_cast<uint32_t*>(&self->tlsPtr_.jpeer),                          sizeof(void*),                           &result,                           "V");    }    // 4. 线程执行完毕，清理资源    self->NotifyThreadDeath();    return nullptr;}

int pthread_create_result = pthread_create(        &new_pthread,            //返回线程句柄        &attr,        Thread::CreateCallback,  // 线程入口函数        child_thread             // 传递给线程的参数    );

// 1. 应用层调用pthread_t thread;pthread_create(&thread, NULL, my_function, my_arg);// 2. pthread_create 内部实现int pthread_create(pthread_t* thread_out, constpthread_attr_t* attr,void* (*start_routine)(void*), void* arg) {    // 分配并初始化 pthread_internal_tpthread_internal_t* thread =         reinterpret_cast<pthread_internal_t*>(            calloc(sizeof(pthread_internal_t), 1));    // 设置关键字段    thread->start_routine = start_routine;        thread->start_routine_arg = arg;                // 分配线程栈    thread->stack_base = mmap(...);    thread->stack_size = stack_size;    // 调用 clone 系统调用int flags = CLONE_VM | CLONE_FS | CLONE_FILES |                 CLONE_SIGHAND | CLONE_THREAD |                 CLONE_SYSVSEM | CLONE_SETTLS |                 CLONE_PARENT_SETTID | CLONE_CHILD_CLEARTID;    // 关键：thread 作为 TLS 参数传递给 cloneint tid = clone(__pthread_start,           // 包装函数                   thread->stack_top(),        // 栈顶                   flags,                       // 克隆标志                   thread,                      // TLS (args[3])                   &(thread->tid));             // parent_tidptr    // 将 pthread_internal_t 加入全局链表    __pthread_internal_add(thread);    // 返回线程句柄    *thread_out = reinterpret_cast<pthread_t>(thread);    return 0;}// 3. __pthread_start 包装函数staticint __pthread_start(void* arg) {pthread_internal_t* thread =         reinterpret_cast<pthread_internal_t*>(arg);    // 设置线程 ID    thread->tid = gettid();    // 调用真正的线程函数void* result = thread->start_routine(thread->start_routine_arg);    // 线程退出    pthread_exit(result);    return 0;}

int pthread_create_result = pthread_create(        &new_pthread,            //返回线程句柄        &attr,        Thread::CreateCallback,  // 线程入口函数        child_thread             // 传递给线程的参数    );

struct pthread_internal_t {void* next;                      // 0x00 - 链表指针void* prev;                      // 0x08 - 链表指针pid_t tid;                       // 0x10 - 线程 IDpid_t cached_pid;                // 0x14 - 缓存的进程 ID    // ... 省略一些字段 ...pthread_mutex_t startup_mutex;   // 0x88 - 启动互斥锁bool startup_flag;               // 0x8C - 启动标志void* mmap_base;                 // 0x90 (144) - mmap 分配的基地址size_t mmap_size;                // 0x98 (152) - mmap 分配的大小void* (*start_routine)(void*);   // 0x60 (96) - 线程入口函数（更正！）void* start_routine_arg;         // 0x68 (104) - 传递给线程函数的参数    // ... 其他字段 ...};  // 总大小：704 字节 (0x2C0)

console.log("启动反调试绕过...");var anti_debug_offsets = [    0x4c574,    0x56c10,    0x54584,    0x5c3c4];function waitForModule() {    var module = Process.findModuleByName("libDexHelper.so");    if (module) {        console.log("找到 libDexHelper.so 基址:", module.base);        hookAntidebugFunctions(module.base);    } else {        console.log("等待 libDexHelper.so 加载...");        setTimeout(waitForModule, 100);    }}function hookAntidebugFunctions(base) {    console.log("开始Hook反调试函数");    var dummy_func = new NativeCallback(function(arg) {        return 0;    }, 'int', ['pointer']);    anti_debug_offsets.forEach(function(offset, index) {        var func_addr = base.add(offset);        var hook_num = index + 1;        console.log("Hook 函数 #" + hook_num + " 偏移:" + ptr(offset) + " 地址:" + func_addr);        try {            Interceptor.replace(func_addr, dummy_func);            console.log("replace 替换成功");        } catch(e1) {            console.log("replace 失败，尝试 attach");            try {                Interceptor.attach(func_addr, {onEnter: function(args) {                        console.log("函数 #" + hook_num + " 被调用");                        for (var i = 0; i < 8; i++) {                            try {                                args[i] = ptr(0);                            } catch(e) {}                        }                    },onLeave: function(retval) {                        retval.replace(0);                        console.log("返回值已改为0");                    }                });                console.log("attach 拦截成功");            } catch(e2) {                console.log("attach 也失败:", e2.message);            }        }    });    console.log("所有函数Hook完成");}setTimeout(waitForModule, 500);

文章来源：看雪学苑