浅谈 Xposed 新概念 [模块作用域]

众所周知，Xposed 是一个系统级别的软件框架，它与 Cydia Substrate 不同，Xposed 仅可 hook app_process 中的 java 函数，不过对于大部分的 Android 应用来说已经足够了；

它所提供的 API 可以供模块开发者在不修改目标应用字节码的前提下修改目标应用的行为，甚至是将自定义的代码注入进目标应用中，由目标应用代为执行。

Xposed 模块开发起来也非常简单，简单来说，获取目标应用的源码或者反编译出伪代码，找到目标方法，将相关逻辑写入模块，编译，完成。

于是，一种新的安全风险也随之出现了

某“步数模块”对 [桃饱] 应用插入淘口令

某“后台管理模块”做了一堆根本不应该它去做的功能

......

更有甚者利用 [巨信] 的公众号功能，为自己的帖子刷流量

而当你想要禁止掉这种滥用行为的时候，你会发现，也许它根本就没有申请正常情况下做这些事情需要的权限，更别谈禁止了

这是因为它将代码注入到了 [巨信] 应用中，所有的工作都是由 [巨信] 来完成的，如果你使用抓包软件来抓取流量包的话，你会发现所有的相关流量都是由 [巨信] 发送和接收的

应该庆幸的是，目前所抓到类似行为的模块都是使用 java （或 kotlin 等 jvm 语言）层来编写的，反编译还算比较容易

可是如果模块使用 native （ C/C++）层编写（据我所知已经有一些模块使用 native 层来编写），或者使用了一堆非常恶心人的加固 /混淆呢？

要求所有模块必须开源一定是不可能的事情，第一这会大大打击模块开发者的积极性，第二即使开源也不能确保一定是安全的

（更何况某个自诩“安全”的 Xposed 框架商业化分支也还是闭源的，何谈模块开源？）

我相信 Xposed 的作者 rovo89 （等一下，Xposed 停更的最后一个版本号是 89，我好像发现了什么 zzz ）一定也注意到了这个问题，只是因为某些原因最终弃坑掉了整个 Xposed 项目

于是，我们提出了一个新的概念

我将它称为

[模块作用域] (Modules Activation Scope)

它能做什么？

简单来说，用户可以自主选择某个模块只对某些应用生效（或某个应用只激活某些模块，这个根据不同 Xposed 框架分支开发者的喜好自由安排）

这样虽说不可能完全解决 Xposed 模块滥用行为的安全问题，至少可以防止 Xposed 模块跨域对非目标应用进行 hook 操作

如何才能用上这一功能？

当前（截至发稿）已经有多种 Xposed 框架分支的开发者响应了这一概念

EdXposed 此功能正在开发中

应用转生已发布

还有其他分支未收集

用户需要做的就是等待当前使用的分支更新这一功能

同时，我修改了开源分支 XPatch 的代码以支持这一功能，高级用户可以尝试使用一下

演示视频： https://www.bilibili.com/video/av80958793

源代码（已修改）： https://github.com/MlgmXyysd/xposed_module_loader

（ DEV ）模块开发者需要特殊适配这一功能吗？

不需要

为 Xposed 框架分支添加新功能一定应该是建立在兼容原版 API 的基础上的（当然某个 Xposed 分支妄图分裂 Xposed 生态从而创建自己由 Xposed API 魔改而来的 TxxCxx API 我是不敢恭维，也不想在这里过多提及）

模块开发者唯一需要做的就是告知用户你的模块 hook 了哪个应用的包名，供用户来参考

（ DEV ）我该如何为我的框架分支添加这一功能？

为单独的应用存储模块列表（推荐使用目标应用包名作为标识符），并设立全局列表（无法读取当前应用的列表时可读取全局列表）

具体代码自行实现

（ DEV ）为什么不像 Android 软件在 Manifest 中声明权限那样要求模块声明 hook 列表？

在上文中我提到了兼容性

除此之外，要求模块适配自己的 API 同样是一种不可能的行为

一味的要求开发者适配自己的 API 会导致对其他 Xposed 框架分支的兼容性下降，或者同时兼容多个分支的难度上升同时，保留原版 Xposed API 也是对 Xposed 原开发者 rovo89 的一种尊重

换一种问法，框架完全可以做到的事情为什么非要模块开发者来做呢？

这一概念经过测试完全是可行的（已有经由 XPatch 修改的 demo 测试成功，见上文）

但是，概念也有它本身的一个漏洞，它仅封堵掉了模块对于跨域应用的滥用行为，并没有从根本上杜绝滥用行为的发生（如，针对正常的目标应用的滥用行为），用户在选择模块时仍需谨慎

我是 MlgmXyysd，希望更多 Xposed 框架分支可以响应这一概念，同时也希望更多的开发者可以开发出自己的 Xposed 框架开源分支

附件：

目前已知的几种 Xposed 实现方案的「作者是个人还是公司、是否开源、是否商业化」的总结

鉴于阻止运行的前车之鉴「 2.3.2 之后（不含 2.3.2 ）的阻止运行你敢用嘛？」（ From @LetITFlyW ）

如果你没为服务付钱，那可能你就是产品。免费商业化比收费商业化更可怕。建议各位有使用 Xposed 的需求的朋友在条件适宜的情况下拥抱开源或者虽闭源但非商业化的实现方案。另：在任何情况下均不建议关注「某个 Xposed 实现方案的作者」的「推送过多次广告文章」的微信公众号。

locoz

2020-02-21 16:51:02 +08:00

@yll2002 #70 戾气都有点重😂毕竟撕挺久了，去年年底就看到在撕逼...

不过换位思考一下之后，我感觉是这样的：
维术可能是想着“这种应该是个人都能理解用途的做法为什么也能拿出来黑我？”
mlgmxyysd 可能是想着“我锤都在这了你还能狡辩？”

---
@weishu @mlgmxyysd
然后有些东西确实是与事实存在偏差的，比如：

1、协议条款问题：在软件挂在企业名下的情况下， [条款写得严谨一些没什么毛病] ，要不然指不定哪天莫名其妙地就被搞事的人告了...如果要说这个协议代表着太极会在后台做啥见不得人的事情的话，还是拿出抓包或者反编译得到的实锤出来说比较好。

2、公众号问题：这种盈利方式其实挺好的，只是部分高粘性用户会去点广告给维术创收而已，剩下大部分用户都是完全白嫖的。从阅读量来看的话，维术的公众号一条推文广告收益约为 1W 人民币左右。虽然他公众号还有一些其他可创收的地方，但是毕竟没有看到怎么导流，目测推文广告收益的占比应该是能达到整个公众号收入的 90%甚至更高的。

推广告的频率的话，我关注他公众号很久了，刚刚翻记录看了一下， [发广告的频率极低] ，大部分推文都是技术分享、日常分享、太极更新等， [并不像 mlgmxyysd 所说] 的“公众号里还 [经常] 可以看到标题党广告”。

3、太极与维术的企业有关联问题：确实，为了高新企业认证是需要有多个软件著作权的。作为开发者和企业法人，拿自己开发的东西去做这个著作权认证完全没有问题， [并不能证明太极是由深圳次元空间网络科技有限公司运营和管理的] 。

官网方面，如果只是为了搞著作权的话，官网本来就是随便搞了给审核人员看的， [搞完之后把原本的“官网”全部下掉也是很正常的事情] 。

4、太极联网问题：“我记得，太极如果服务器不稳定，手机上太极就出错。酷安当时好多人问太极崩了？我觉得这种机制和应用控制器一样可怕。” [这个情况我没有遇到过] ，我觉得这个崩了 [应该是指以前有校验的版本？] （好像什么时候去掉了校验来着？）

5、模块作用域是否抄袭问题：虽然 mlgmxyysd 博客的评论区在 github 上对应的 issue 创建时间是昨天，但是 [B 站上的视频确实是 2019-12-28 13:12:12 发布的] 。而 [太极这边的这个功能建议] 我也确实在维术的群里看到过， [确实是有人提过这种需求] 。只能说有抄袭嫌疑，但无法证明，拿这个出来撕逼我个人认为也没啥必要...

j137tt736CExzlfM

2020-02-21 17:04:51 +08:00

> 1、协议条款问题：在软件挂在企业名下的情况下， [条款写得严谨一些没什么毛病] ，要不然指不定哪天莫名其妙地就被搞事的人告了...如果要说这个协议代表着太极会在后台做啥见不得人的事情的话，还是拿出抓包或者反编译得到的实锤出来说比较好。

这点说的很好，凡是企业挂名的软件，隐私条款都会写的比较严格，但是并不代表一定做了什么见不得人的事情，一切还是以事实说话，不要因为一个人长得像流氓，就说他是流氓！

> 2、公众号问题：这种盈利方式其实挺好的，只是部分高粘性用户会去点广告给维术创收而已，剩下大部分用户都是完全白嫖的。从阅读量来看的话，维术的公众号一条推文广告收益约为 1W 人民币左右。虽然他公众号还有一些其他可创收的地方，但是毕竟没有看到怎么导流，目测推文广告收益的占比应该是能达到整个公众号收入的 90%甚至更高的。

> 推广告的频率的话，我关注他公众号很久了，刚刚翻记录看了一下， [发广告的频率极低] ，大部分推文都是技术分享、日常分享、太极更新等， [并不像 mlgmxyysd 所说] 的“公众号里还 [经常] 可以看到标题党广告”。

凡是做开源，有付出，通过这种方式获取点许收益本来就无可厚非。

3、太极与维术的企业有关联问题：确实，为了高新企业认证是需要有多个软件著作权的。作为开发者和企业法人，拿自己开发的东西去做这个著作权认证完全没有问题， [并不能证明太极是由深圳次元空间网络科技有限公司运营和管理的] 。

官网方面，如果只是为了搞著作权的话，官网本来就是随便搞了给审核人员看的， [搞完之后把原本的“官网”全部下掉也是很正常的事情] 。

4、太极联网问题：“我记得，太极如果服务器不稳定，手机上太极就出错。酷安当时好多人问太极崩了？我觉得这种机制和应用控制器一样可怕。” [这个情况我没有遇到过] ，我觉得这个崩了 [应该是指以前有校验的版本？] （好像什么时候去掉了校验来着？）

“我觉得这种机制和应用控制器一样可怕“ ，你觉的东西不一定是事实。

5、模块作用域是否抄袭问题：虽然 mlgmxyysd 博客的评论区在 github 上对应的 issue 创建时间是昨天，但是 [B 站上的视频确实是 2019-12-28 13:12:12 发布的] 。而 [太极这边的这个功能建议] 我也确实在维术的群里看到过， [确实是有人提过这种需求] 。只能说有抄袭嫌疑，但无法证明，拿这个出来撕逼我个人认为也没啥必要...

先实锤别人抄袭再说吧，没有实锤都是猜测，这种猜测很容易让人反感，哪怕是别人不了解情况，看到也会反感