许多国产软件都会使用基站进行定位，android模拟器是没有流量卡的，所以没有基站位置，但是我们可以通过Xposed来让模拟器拥有指定的基站信息。拥有基站信息的模拟器就可以在地图app中定位了，这种方式比通过hook修改经纬度要更加好一点，可能大多数软件都是基站来判断，而不是经纬度。
基站定位使用到如下概念
MCC，Mobile Country Code，移动国家代码（中国的为460）；
MNC，Mobile Network Code，移动网络号码（中国移动为00，中国联通为01，中国电信为02）；
LAC，Location Area Code，位置区域码；
CID，Cell Identity，基站编号；
BSSS，Base station signal strength，基站信号强度。
通常基站信息由如下api 获取得到 :
-
telephonyManager # getAllCellInfo()
获取所有基站信息，返回的是一个List<CellInfo>基站列表信息 -
telephonyManager # getCellLocation()
获取当前基站信息，移动联通返回的是GsmCellLocation，通过返回值再去调用gsmCellLocation.getLac()和gsmCellLocation.getCid()可以得到当前的LAC和CID（这两个是基站的重要信息）；
电信返回的是CdmaCellLocation，获取到LAC和CID的方法是cdmaCellLocation.getNetworkId()和cdmaCellLocation.getBaseStationId() -
telephonyManager # GetNeighboringCellInfo()
获取邻近的基站信息，返回的是List<NeighboringCellInfo>基站列表信息
顺便提一下MCC和MNC的获取方式
通过telephonyManager # getNetworkOperator()获取得到，它返回一个字符串长度为5的值，前3位就是MCC ，后两位为MNC
可能的结果： 46000 中国移动（GSM） 46001 中国联通（GSM） 46002 中国移动（TD-S） 46003 中国电信（CDMA） 46004 空（似乎是专门用来做测试的） 46005 中国电信（CDMA） 46006 中国联通（WCDMA） 46007 中国移动（TD-S）46008 46009 46010 46011 中国电信（FDD-LTE）
接下来就是我们Xposed出场的时候了，通过真机运行BaseStationInfoDemo项目(包含上面这些方法)得到真实数据信息。将数据记录并运行HookCellInfoDemo项目（修改了模拟器的基站信息），然后在模拟器上运行BaseStationInfoDemo项目，观察日志输出，并可以在模拟器上打卡百度地图等地图软件观察当前位置。
下面分析需要hook哪些方法：
- 首先无可厚非的便是telephonyManager # getCellLocation()，因为其获取的是当前基站信息
XposedHelpers.findAndHookMethod("android.telephony.TelephonyManager", loadPackageParam.classLoader, "getCellLocation", new getCellLocationMethodHook());
getCellLocationMethodHook的实现如下：
private class getCellLocationMethodHook extends XC_MethodHook{
@Override
protected void beforeHookedMethod(MethodHookParam param) throws Throwable {
Log.i(TAG, "getCellLocation beforeHookedMethod: ");
GsmCellLocation gsmCellLocation = new GsmCellLocation();
// TODO 替换基站值
gsmCellLocation.setLacAndCid(10016,87066502);
param.setResult(gsmCellLocation);
}
}
就是在beforeHookedMethod中直接通过setResult将新建的带有基站LAC和CID信息的GsmCellLocation 返回。
- 修改 WiFi # getScanResults(), 否则 wifi 热点暴露真实位置，返回空list，模拟的就是关闭wifi的情况
XposedHelpers.findAndHookMethod("android.net.wifi.WifiManager", loadPackageParam.classLoader, "getScanResults", new getScanResultsMethodHook() );
private class getScanResultsMethodHook extends XC_MethodHook{
@Override
protected void beforeHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {
Log.i(TAG, "getScanResults beforeHookedMethod: ");
List<ScanResult> list = new ArrayList<>();
param.setResult(list);
}
}
- 直接hook NerworkInfo的成员变量的get方法修改成员变量值(只需修改6个，其他的wifi和4g的值是一样的)
首先看下源码中NerworkInfo类的实现方式，发现其是一个实现了Parcelable接口的序列化对象，它拥有多个成员变量，这里只需要修改6个，其他的在wifi或者4g网络的情况下的值不变
XposedHelpers.findAndHookMethod("android.net.NetworkInfo",loadPackageParam.classLoader,"getTypeName",new getTypeNameMethodHook());
private class getTypeNameMethodHook extends XC_MethodHook {
@Override
protected void beforeHookedMethod(MethodHookParam param) throws Throwable {
Log.i(TAG, "getTypeName beforeHookedMethod: ");
param.setResult("MOBILE");
}
}
// 修改当前网络类型，0为TYPE_MOBILE ， 1 为TYPE_WIFI（注意要指定包名hook，不要全局hook，否则会没有网络。此时是有wifi的标志的，但是获取网络的类型是数据）
XposedHelpers.findAndHookMethod("android.net.NetworkInfo", loadPackageParam.classLoader, "getType",new getTypeMethodHook());
private class getTypeMethodHook extends XC_MethodHook{
@Override
protected void beforeHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {
Log.i(TAG, "getType beforeHookedMethod: ");
param.setResult(ConnectivityManager.TYPE_MOBILE);
}
}
XposedHelpers.findAndHookMethod("android.net.NetworkInfo",loadPackageParam.classLoader,"getSubtype",new getSubtypeMethodHook());
private class getSubtypeMethodHook extends XC_MethodHook {
@Override
protected void beforeHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {
Log.i(TAG, "getSubtype beforeHookedMethod: ");
param.setResult(13);
}
}
XposedHelpers.findAndHookMethod("android.net.NetworkInfo",loadPackageParam.classLoader,"getSubtypeName",new getSubtypeNameMethodHook());
private class getSubtypeNameMethodHook extends XC_MethodHook {
@Override
protected void beforeHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {
Log.i(TAG, "getSubtypeName beforeHookedMethod: ");
param.setResult("LTE");
}
}
XposedHelpers.findAndHookMethod("android.net.NetworkInfo",loadPackageParam.classLoader,"getReason",new getReasonMethodHook());
private class getReasonMethodHook extends XC_MethodHook {
@Override
protected void beforeHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {
Log.i(TAG, "getReason beforeHookedMethod: ");
param.setResult("connected");
}
}
XposedHelpers.findAndHookMethod("android.net.NetworkInfo",loadPackageParam.classLoader,"getExtraInfo",new getExtraInfoMethodHook());
private class getExtraInfoMethodHook extends XC_MethodHook {
@Override
protected void beforeHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {
Log.i(TAG, "getExtraInfo beforeHookedMethod: ");
param.setResult("cmnet");
}
}
- 最后便是telephonyManager.getNetworkType()
// telephonyManager.getNetworkType())
XposedHelpers.findAndHookMethod("android.telephony.TelephonyManager", loadPackageParam.classLoader, "getNetworkType", new getNetworkTypeMethodHook());
private class getNetworkTypeMethodHook extends XC_MethodHook{
@Override
protected void beforeHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {
Log.i(TAG, "getNetworkType beforeHookedMethod: ");
param.setResult(13);
}
}
注意：一定指定对应的包名（例如百度地图和BaseStationInfoDemo）去hook，切记不可以全局hook，否则修改到模拟器的网络情况，模拟器将没有网络，定位等功能也就无法使用。
这样的话，最终模拟器的网络情况是有wifi图标，但是在指定包名内获取到的网络类型和NetworkInfo却是4g类型的数据，符合我们的业务需求。
附上源码地址：https://github.com/carrys17/CellInfo
里面的两个文件夹分别就是BaseStationInfoDemo项目和HookCellInfoDemo项目
