Frida 动态加载 dex ，加载其中的 class 并调用对应的方法

碰到一个需求，需要在某函数调用时，将一个参数的所有字段与值打印出来。
最开始在安卓6.0 平台，使用第三方的 xposed ，于是写(抄)了一个反射类，很好用；
之后改到了安卓4.4，发现原版的 xposed hook 不起效果，注意到 hook 的方法是 native 方法，xposed 作者说如果是 native 方法，则可能 hook 会被覆盖，需要自己处理，然而第三方的 xposed 却没有被覆盖，推测可能有做优化，就没去深究。

1. Java 中的动态 load

而 Frida hook 是依旧有效果的，那么只要将反射类中获取对象实例字段与值的方法用 Frida 的 js 实现一遍就好了，但是我这人又懒，不想做重复的工作，好嘛，反正动态 load dex 从来没玩过，那正好可以玩一玩，于是先谷歌一番，找到了动态 load dex 的 java 代码：

// 用来 load 的 dex 的一个类
public class Dynamic {
    public static String sayHello(){
        return "hello world!";
    }
}

建立一个安卓工程，添加这个类，然后编译生成 apk，打开 apk 压缩包，把 dex 拖出来，然后 push 到设备中，那么 dex 这边已经准备好了；

// 动态 load 的 代码
public class MainActivity extends AppCompatActivity {

    @Override
    protected void onCreate(Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        setContentView(R.layout.activity_main);

        try {
            File optimizedDexOutputPath = new File("/data/local/tmp" + File.separator + "classes.dex");

            Context context = getApplicationContext();  //获取Context对象；
            File dexOutputDir = context.getDir("dex", 0);

            DexClassLoader cl = new DexClassLoader(optimizedDexOutputPath.getAbsolutePath(),
                dexOutputDir.getAbsolutePath(), null, dexOutputDir.getClass().getClassLoader());
            Class libProviderClazz = cl.loadClass("com.xxx.dynamicdex.Dynamic");
            Object obj = libProviderClazz.newInstance();

            Method method = libProviderClazz.getDeclaredMethod("sayHello");
            String ret = (String) method.invoke(obj);

            int i = 0;
        }
        catch (Exception e){
            e.printStackTrace();
        }
    }
}

再新建一个安卓工程，在 MainActivity 的 onCreate 中添加代码，编译调试，发现 sayHello() 确实能够调用成功；
注意 DexClassLoader 的构造中的 optimizedDirectory 参数，这里的路径必须指定当前 app 的私有目录，即 /data/data/com.xxx.yyy.zzz/aaa，手动创建 aaa 目录并且修改为相同的权限一样会报错，可以通过的是跟上方代码一样使用 context 来创建目录，或者使用大部分 app 都有的 ./cache 目录；

2. Frida 中的动态 load

接下来的问题是怎么将 load 的代码翻译成 Frida 的 js 代码；
一开始就一行对一行的翻译；

function loadDex(dexPath, optimizedDirectory){
        var cl = DexClassLoader.$new(dexPath, optimizedDirectory, null, Java.classFactory.loader);
        var libProviderClazz = cl.loadClass("com.xxx.dynamicdex.Dynamic");
        console.log("libProviderClazz : " + libProviderClazz);
        var obj = libProviderClazz.$new();
        var method = libProviderClazz.getDeclaredMethod("sayHello", null);
        var ret = method.invoke(obj, null);
        console.log("ret: " + ret);
    }

...

loadDex("/data/local/tmp/classes.dex", "/data/data/com.xxx.yyy.zzz/cache");

跑起来发现 getDeclaredMethod() 那里始终报错:
TypeError: undefined not callable (property 'getDeclaredMethod' of [object Object])

看起来似乎是 cl.loadClass 返回了 Java 中的类，而 Frida 需要使用自己包装过的类来调用对应的 Java 方法，那么需要将 libProviderClazz 强转为 Frida 认识的包装类，我们都知道使用 Java.use() 来获取包装类，然而 Java.use() 只能写在 Java.perform() 下面，而不能写在功能函数内部，有没有什么方法可以在内部获取包装类呢？

答案是有的，这篇文章中就提到过一种方法，https://bbs.pediy.com/thread-246767.htm；
就是直接使用 Java.use() 内部的 Java.classFactory.use()；
然而直接这样写必然会提示 "com.xxx.dynamicdex.Dynamic not found"，因为这个动态加载的类并没有被加载到默认的 classLoader 里面；
但是注意到我们前面的 DexClassLoader.$new(...)，这里返回了一个新的 classLoader，那么用该 loader 替换掉原来默认的 loader，是否可行呢；

修改代码如下：

// 既然能够拿到包装类，也没必要再通过反射的方式来调用方法了
function loadDex(dexPath, optimizedDirectory){
        var cl = DexClassLoader.$new(dexPath, optimizedDirectory, null, Java.classFactory.loader);
        
        Java.classFactory.loader = cl;

        var libProviderClazz =  Java.classFactory.use("com.xxx.dynamicdex.Dynamic");
        var ret = libProviderClazz.sayHello();
        console.log("ret: " + ret);
    }

跑起来，成功；