前言

用了很久的zygiskNext不开源了，于是自己从零写了一个项目类似的项目a18K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6f1K9r3g2Z5k6i4m8@1j5g2)9J5c8V1q4F1k6s2u0G2K9h3c8Q4x3X3c8p5k6h3u0#2k6#2)9J5k6p5W2F1K9X3g2U0N6q4!0q4c8W2!0n7b7#2)9^5b7H3`.`.
其实本来是在zygiskNext的基础上进行魔改的，但是后来发现有个对抗问题确实绕不过，于是只能全部重构了。

注入检测问题

老版本的zygisNext本身自己有很多特征，这些检测我就不写了，我只写一个就是老版本zygiskNext和面具的zygisk 这种注入方式可以比较稳定检测的技术（新版本的zygiskNext 已经修复了这个问题了，另外，这个技术不敢保证100%哦）。

检测原理概述

遍历soinfo列表，如果发生空隙那说明在zygote 进程中有过早加载的so调用了dlclose，这种情况基本都可以说明zygote被入侵了。

zygisk so自卸载

想要知道通杀检测技术，就要知道zygisk 具体做了。
zygisk 有一个思路很巧妙的so自卸载技术，我当时在学习的时候也是惊为天人。
我们都知道zygisk有一个so注入到了zygote 进程了，但是在app进程启动以后，我们会发现这个so直接从app进程里消失了，开始我以为是开了一个监控进程或者是ptrace监控什么的，后来发现都不是，然后我去研究代码，发现了下面这个hook的代码

这是一个plt hook的代码看起来没什么神奇的，但是正是在这里，so对自身完成了卸载。
他的原理是hook了一个和dlclose 签名一样，函数返回值，包括返回内容可能也差不多的函数，我们看下这个函数编译出来的样子

看下调用dlclose函数，一般来说调用系统函数都需要使用 bl指令，但是在这里使用的是b指令，我们执行完我们的代码，带着上一个被hook函数的返回地址，或者说堆栈去b dlclose函数，dlclose函数会直接像直接调用 bl的那样返回，同时通过上一个堆栈的地址进行函数返回。

clang::musttail 这个 可能就是将bl 变成b指令的关键。

基于dlclose的so加载检测

soinfo申请

可以看到上面的函数调用了dlclose，我们正常的思维里，调用了dlopen以后，函数完成关闭，就没有然后了，但是其实不然。
我们看一下soinfo的生成逻辑

这个new 生成soinfo ，会在g_soinfo_allocator.alloc() 返回的地址上分配内存，这也就导致了所有的soinfo的地址是紧紧挨在一起的。如果我们关闭中间的soinfo，这个中间位置就会空出来。而我们的检测就是检测中间是否有空出来的soinfo。

查看soinfo间距的代码

不同soinfo对比

正常的soinfo

有问题的soinfo

我们可以看到有问题的这个soinfo,其中有一个间距为0x4b0，这说明中间刚好关闭了一个soinfo

如何发现和分析这个问题的

是通过一款检测软件homles检测了这个问题，我当时魔改zygiskNext基本已经完成，所有的特征全部修改，但是还是显示注入，这引起了我对于zygiskNext本身这种注入方式的怀疑，于是我从来开始一步一步严重，最终发现在使用so自卸载技术的时候会发生被检测到底情况，如果不是用这种技术，就不会被检测。然后我立马就锁定了dlclose所带来的soInfo 间距检测问题。

为什么zygisk 会有这个问题

（在重复一次，新版本的zygiskNext 已经修复了这个问题了，这个技术不敢保证100%哦）
老版本的zygiskNext 和 目前的magisk zygisk （v28.1）加载libzgysik.so的时机太早了，导致libzgysik.so的soinfo太过于靠前，尤其是libart.so这些都没有加载，时机太早了，当用户进程启动以后，会关闭一些soinfo,然后在打开一些soinfo,如果关闭soinfo无法回退到到这个位置，导致这个位置发生了空隙，尤其明显的是，会发生一个soinfo的空隙，而且会在某些soinfo前面，比如libart.so。
但是这目前是我的猜测。因为我并没有去验证soinfo 关闭以后再次申请soinfo 的 机制，同时我也测试过一些手机，发现实际只要在libart.so的后面好像就没有问题，难道刚好就关闭到libart.so的soinfo后面吗

解决方案

只要将libzygisk.so 的加载时机向后延，我开始是在zygote 启动systemservice进程之前，后来我在测试工具的时候，发现放到libart.so 加载时机之后也没问题。

最后

这个技术目前来说，已经有了可以绕过的方案，并且我自己也完成了，有点价值，但是不大，不过确实是有值得学习，所以写个博客蹭点流量。
如果你对我写的感兴趣就关注一下我的公众号吧。再次推销下我的项目
a83K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6f1K9r3g2Z5k6i4m8@1j5g2)9J5c8V1q4F1k6s2u0G2K9h3c8Q4x3X3c8p5k6h3u0#2k6#2)9J5k6p5W2F1K9X3g2U0N6l9`.`.