Android9.0中在activity的onCreate之前hook dlopen函数，如果需要返回值(即修改了LR寄存器)，那么会触发：E/libEGL: EGL_ANDROID_blob_cache advertised, but unable to get eglSetBlobCacheFuncsANDROID。不会crash，但是界面不会绘制出来。
是因为dlopen(libEGL_adreno.so, 2)、dlopen(libGLESv2_adreno.so, 2)返回都是null。理论上其他任何hook框架也都存在这个问题，测试了几个也确实都存在。
dlopen函数实现在libdl.so，
.text:0000000000000EF8 WEAK dlopen
.text:0000000000000EF8 dlopen ; DATA XREF: LOAD:0000000000000508↑o
.text:0000000000000EF8
.text:0000000000000EF8 var_s0 = 0
.text:0000000000000EF8
.text:0000000000000EF8 ; __unwind {
.text:0000000000000EF8 STP X29, X30, [SP,#-0x10+var_s0]!
.text:0000000000000EFC MOV X29, SP
.text:0000000000000F00 MOV X2, X30 ; a3
.text:0000000000000F04 BL .__loader_dlopen
.text:0000000000000F08 LDP X29, X30, [SP+var_s0],#0x10
.text:0000000000000F0C RET
.text:0000000000000F0C ; } // starts at EF8
.text:0000000000000F0C ; End of function dlopen
这里把LR寄存器当作第三个参数传递给.__loader_dlopen，而我们hook时为了能拿到返回值是修改了LR寄存器的，这是不可避免的。如果不修改LR寄存器，除非我们知道函数结尾，在函数结尾修改LR寄存器或者跳到shellcode/hook函数，但是通常是不现实的，函数开头容易确认，函数结尾很难自动化确认。
// Proxy calls to bionic loader
__attribute__((__weak__))
void* dlopen(const char* filename, int flag) {
const void* caller_addr = __builtin_return_address(0);
return __loader_dlopen(filename, flag, caller_addr);
}
__builtin_return_address函数应该是gcc内部函数，0获取的是被调用函数返回后执行的指令地址，至于1之后的数字是否能获取到函数调用栈待测试。已测试：
爷爷函数：
.text:0000C250 ; __unwind {
.text:0000C250 PUSH {R4,R5,R7,LR}
.text:0000C252 ADD R7, SP, #8
...
.text:0000C292 BLX j__Z12test_replacev ; test_replace(void)
--------------------------------------
父函数：
.text:0000B648 PUSH {R7,LR}
.text:0000B64A MOV R7, SP
...
.text:0000B6A6 BLX j__Z12dump_replacePvS_PFvP10my_pt_regsP11STR_HK_INFOES5_PKc ;
--------------------------------------
子函数：
.text:0000D268 PUSH {R4-R7,LR}
.text:0000D26A ADD R7, SP, #0xC
...
.text:0000D2DA MOV R1, R7
.text:0000D2DC LDR R1, [R1]; 父函数传过来的R7的值
.text:0000D2DE LDR R3, [R1,#4];r3寄存器为__builtin_return_address(1)，即取父函数放在R7之后的LR寄存器的值
.__loader_dlopen就是一个跳板
.plt:0000000000000DD8 ; __int64 __fastcall __loader_dlopen(__int64 a1, __int64 a2, __int64 a3)
.plt:0000000000000DD8 .__loader_dlopen ; CODE XREF: dlopen+C↓p
.plt:0000000000000DD8 ADRP X16, #off_1FF70@PAGE
.plt:0000000000000DDC LDR X17, [X16,#off_1FF70@PAGEOFF]
.plt:0000000000000DE0 ADD X16, X16, #off_1FF70@PAGEOFF
.plt:0000000000000DE4 BR X17 ; __loader_dlopen
.plt:0000000000000DE4 ; End of function .__loader_dlopen
导入loader_dlopen函数，实现在linker/64，所以从libdl.so的got表中可以获取 loader_dlopen函数的绝对地址。
static void* dlopen_ext(const char* filename,
int flags,
const android_dlextinfo* extinfo,
const void* caller_addr) {
ScopedPthreadMutexLocker locker(&g_dl_mutex);
g_linker_logger.ResetState();
void* result = do_dlopen(filename, flags, extinfo, caller_addr);
if (result == nullptr) {
__bionic_format_dlerror("dlopen failed", linker_get_error_buffer());
return nullptr;
}
return result;
}
void* __loader_android_dlopen_ext(const char* filename,
int flags,
const android_dlextinfo* extinfo,
const void* caller_addr) {
return dlopen_ext(filename, flags, extinfo, caller_addr);
}
void* __loader_dlopen(const char* filename, int flags, const void* caller_addr) {
return dlopen_ext(filename, flags, nullptr, caller_addr);
}
dlopen_ext函数被loader_dlopen函数内联了，所以 loader_dlopen函数足够被inline hook了。
__int64 __fastcall _loader_dlopen(__int64 a1, unsigned int a2, __int64 a3)
{
_BYTE *v3; // x21
__int64 v4; // x19
unsigned int v5; // w20
__int64 v6; // x19
__int64 v7; // x0
v3 = (_BYTE *)a1;
v4 = a3;
v5 = a2;
_dl_pthread_mutex_lock(&_dl__ZL10g_dl_mutex);
_dl__ZN12LinkerLogger10ResetStateEv(&_dl_g_linker_logger);
v6 = _dl__Z9do_dlopenPKciPK17android_dlextinfoPKv(v3, v5, 0LL, v4);
if ( !v6 )
{
v7 = _dl__Z23linker_get_error_bufferv(0LL);
_dl__ZL23__bionic_format_dlerrorPKcS0_("dlopen failed", v7);
}
_dl_pthread_mutex_unlock(&_dl__ZL10g_dl_mutex);
return v6;
}
首先为了验证是不是因为LR寄存器导致的问题，使用dump函数"(dump((void*)dlopen, onPreCallBack, NULL, "dlopen");)"，只在函数之前打印下参数寄存器，之后调用原函数，发现可以正常运行了。
使用导入表/导出表hook dlopen也出现该问题。
hook __loader_dlopen代替dlopen，发现dump、replace都可以正常运行，至此可以确定确实是修改了LR寄存器的问题。
而loader_dlopen函数导出在linker，通过dlsym(RTLD_DEFAULT, " loader_dlopen")是获取不到的，linker不是动态库，这里采用
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
