[原创]获取jni函数地址-Android安全-看雪安全社区｜专业技术交流与安全研究论坛

# 获取jni函数地址

在ART中，每一个Java方法在虚拟机内部都对应着一个C++对象：Artmethod。对native方法来说在Artmethod中有两个很关键的指针：

一个是`entry_point_from_jni`：专门用于JNI调用的入口点。当Java层不论是静态注册还是动态注册最终都是这个入口。

再一个就是`entry_point_from_quick_compiled_code_`：这个就是ART 执行代码的通用入口

我们重点关注`entry_point_from_jni`

![image](upload/attach/202607/951483_6N2AXQ2DUAWYGHN.png)

Android 11 起，ART 把 JNI ID 从裸指针改造成了可切换的间接寻址体系，Android 12 沿用了这套设计

**kindices**是Debuggable App 默认的模式 在这个模式下`entry_point_from_jni`存放的就不是函数地址 而是一个索引。真正的函数地址被放在了一个全局的间接寻址表中。

**kPointer**则是Release App 默认的模式 在这里就是直接存储的是函数的内存地址

![image](upload/attach/202607/951483_WRQNJAQEAP6YBZR.png)

## 懒加载与跳板桩

在一个Native方法被实际调用之前，ART并不知道它对应的C/C++函数在哪里。为了处理这种未决的状态，ART使用了跳板桩。

当类被加载的时候，ArtMethod被创建，他的Native入口点被统一设置为一个名为GetJniDlsymLookupStub的跳板地址。当Java代码第一次调用这个native方法时,执行流跳到了这个Stub。这个Stub的内部逻辑是拿着方法名和签名，去通过dlsym在已加载的.so库中寻找真实的C++函数。找到真实的函数后,Stub会修改ArtMethod的内部指针，将入口点更新为真实的函数地址。这样在下一次再调用这个方法的时候，就直接跳入真实的函数了 不再去走Stub。这被称为**延迟绑定**。![image](upload/attach/202607/951483_3C4G9RN2X52GH67.png)

根据上面的内容不难看出 要实现目标需要解决kindices模式 懒加载 还需要向外提供一个接口 方便随时frida查看绑定状态

Patch 1 关掉 kIndices，保证 data_ 里存的是真实函数指针；Patch 2 在 SetDataPtrSize 这个唯一写入口下钩，抓绑定发生的瞬间；Patch 3 和 Patch 4 提供 dumpNativeBindings 接口，任意时刻把 data_ 读出来并用 dladdr 解析成 so!symbol+offset。

## Patch

### Patch 1：关闭 kIndices 模式

`art/runtime/runtime.cc` 原本根据 App 是否 debuggable 切换 JNI ID 模式：

```cpp
if (IsJavaDebuggable()) {
    SetJniIdType(JniIdType::kIndices);
} else {
    SetJniIdType(JniIdType::kPointer);
}
```

Debuggable App 走 kIndices，直接改成一律 kPointer：

```cpp
SetJniIdType(JniIdType::kPointer);
```

这样 data_ 里一定是真实函数指针。

### Patch 2：Hook 唯一的写入口

ArtMethod::data_ 的写入路径很多，但最后都会走到 `ArtMethod::SetDataPtrSize`。在这里做处理，所有绑定行为都能抓到。

先判 IsNative()，因为 data_ 是 union 语义，非 native 方法里存的是别的东西。

用 static std::atomic<int> s_enabled{-1} 做三态缓存，因为 SetDataPtrSize 是热路径，每次都读 prop 会拖慢启动。读 /proc/self/cmdline 做前缀匹配是为了兼容 :xxx 子进程。

```java
if (IsNative()) {
  static std::atomic<int> s_enabled{-1};
  int t = s_enabled.load(std::memory_order_acquire);
  if (t < 0) {
    char trace_buf[8] = {0};
    char pkg_buf[256] = {0};
#ifdef __ANDROID__
    ::__system_property_get("debug.jnidump.trace", trace_buf);
    ::__system_property_get("debug.jnidump.pkg", pkg_buf);
#endif
    int decision = 0;
    if (trace_buf[0] == '1') {
      // ... 读 /proc/self/cmdline 做前缀匹配 ...
    }
    s_enabled.store(decision, std::memory_order_release);
    t = decision;
  }
  if (t == 1) {
    void* old_data = GetNativePointer<void*>(DataOffset(pointer_size), pointer_size);
    if (old_data != nullptr && old_data != data) {
      LOG(INFO) << "JNIBIND: this=" << reinterpret_cast<void*>(this)
                << " " << old_data << " -> " << data;
    }
  }
}

```

### Patch 3：新增主动查询接口

Patch 2 抓过程，Patch 3 抓快照。在 VMDebug 里加 dumpNativeBindings(Class)，让 Frida 主动查任意类的绑定状态。

C++ 里做三件事：遍历 ArtMethod 只留 IsNative()，读 GetEntryPointFromJniPtrSize；用 dladdr 反查拿到 so、符号、偏移；

```java
PointerSize ptr_size = Runtime::Current()->GetClassLinker()->GetImagePointerSize();
const void* stub1 = GetJniDlsymLookupStub();
const void* stub2 = GetJniDlsymLookupCriticalStub();

for (ArtMethod& m : h_klass->GetMethods(ptr_size)) {
  if (!m.IsNative()) continue;
  const void* entry = m.GetEntryPointFromJniPtrSize(ptr_size);

Dl_info info;
  memset(&info, 0, sizeof(info));
  const char* lib = "?";
  const char* sym = "(no-symbol)";
  uintptr_t off = 0;
  if (entry != nullptr && dladdr(entry, &info) != 0) {
    if (info.dli_fname) lib = info.dli_fname;
    if (info.dli_sname) sym = info.dli_sname;
    if (info.dli_fbase) {
      off = reinterpret_cast<uintptr_t>(entry) -
            reinterpret_cast<uintptr_t>(info.dli_fbase);
    }
  }
  bool is_trampoline = (entry == stub1 || entry == stub2);
  // ... snprintf 拼输出 ...
}

```

### Patch 4：Java 侧声明

```java
public static native String[] dumpNativeBindings(Class<?> cls);
```

Patch 2 看绑定何时发生、何时被改，适合分析延迟注册和动态改绑。Patch 3 任意时刻拍快照，适合定位可疑方法。

先用 Patch 3 找可疑点（比如落在匿名内存的），再用 Patch 2 回看它怎么被绑上去的。

## 效果

![image](upload/attach/202607/951483_8AB2XR44HFFMBCU.png)

![image](upload/attach/202607/951483_BGUEHHVM5A6HJM9.png)

真实函数入口不在 data_ 里。只要绕开 data_ 这个字段，这两个 patch 就同时失效。

## 参考文章

https://bbs.kanxue.com/thread-282707.htm#msg_header_h1_5

https://bbs.kanxue.com/thread-290351.htm#msg_header_h1_2

‍

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最新回复 (39) 1 2 ▶
xianhuimin 雪币： 9341 活跃值： (6228) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 231 粉丝 2 关注私信	xianhuimin 2 楼看看 2026-7-1 15:32 0
xingbing 雪币： 158 活跃值： (5791) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 1400 粉丝 2 关注私信	xingbing 3 楼看看 2026-7-1 16:09 0
wx_插曲雪币： 411 活跃值： (991) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 323 粉丝 24 关注私信	wx_插曲 4 楼 66 2026-7-1 16:28 0
mb_cbgtaveo 雪币： 292 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 259 粉丝 0 关注私信	mb_cbgtaveo 5 楼 66666 2026-7-1 16:55 0
CheRevir 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 90 粉丝 0 关注私信	CheRevir 6 楼 66 2026-7-1 16:56 0
iBa0 雪币： 1901 活跃值： (5928) 能力值： ( LV4，RANK：40 ) 在线值：发帖 6 回帖 490 粉丝 37 关注私信	iBa0 7 楼 123 2026-7-1 19:45 0
ALick43 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	ALick43 8 楼 6666 2026-7-1 19:57 0
mb_kbkqyusp 雪币： 791 活跃值： (2175) 能力值： ( LV3，RANK：20 ) 在线值：发帖 3 回帖 65 粉丝 11 关注私信	mb_kbkqyusp 9 楼 6666 2026-7-2 11:28 0
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 707 粉丝 7 关注私信	mb_ldbucrik 10 楼感谢分享 2026-7-2 12:43 0
apxar 雪币： 410 活跃值： (1998) 能力值： ( LV3，RANK：20 ) 在线值：发帖 71 回帖 231 粉丝 0 关注私信	apxar 11 楼 1 2026-7-2 15:55 0
我就是小熊猫雪币： 1 活跃值： (808) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 46 粉丝 0 关注私信	我就是小熊猫 12 楼 666 2026-7-2 17:41 0
mb_gluymaeh 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 9 粉丝 0 关注私信	mb_gluymaeh 13 楼 666 2026-7-2 23:41 0
mb_urzqsoer 雪币： 206 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 121 粉丝 0 关注私信	mb_urzqsoer 14 楼 66666666666666666 2026-7-3 00:17 0
FMNS 雪币： 9 活跃值： (2036) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 124 粉丝 1 关注私信	FMNS 15 楼 555 2026-7-3 04:27 0
Zhuliyong 雪币： 205 活跃值： (110) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 16 粉丝 0 关注私信	Zhuliyong 16 楼 666 2026-7-3 11:52 0
mb_euhyowpw 雪币： 2 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 152 粉丝 0 关注私信	mb_euhyowpw 17 楼 666 2026-7-3 15:16 0
mb_qimctavn 雪币： 5327 活跃值： (6780) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 401 粉丝 1 关注私信	mb_qimctavn 18 楼 6 2026-7-6 06:50 0
nuomida 雪币： 149 活跃值： (340) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 43 粉丝 0 关注私信	nuomida 19 楼学习一下 2026-7-6 11:18 0
mb_jnmxfjku 雪币： 109 活跃值： (820) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 149 粉丝 0 关注私信	mb_jnmxfjku 20 楼 6 2026-7-6 16:09 0
斗转南see雪雪币： 202 活跃值： (548) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 26 粉丝 1 关注私信	斗转南see雪 21 楼学习了 2026-7-6 16:55 0
宛枫雪币： 236 活跃值： (485) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 56 粉丝 0 关注私信	宛枫 22 楼感谢分享 2026-7-7 00:31 0
wx_北极星_493 雪币： 159 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 59 粉丝 0 关注私信	wx_北极星_493 23 楼 666 2026-7-7 03:15 0
buluo533 雪币： 567 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 84 粉丝 1 关注私信	buluo533 24 楼学习了 2026-7-7 09:57 0
guijingwen 雪币： 7377 活跃值： (7605) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 312 粉丝 0 关注私信	guijingwen 25 楼 66 2026-7-7 14:31 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复