Android 逆向：在 Unidbg 中解决 native 函数内调用 Java 方法的报错

Android 逆向：在 Unidbg 中解决 native 函数内调用 Java 方法的报错 | 极客日志

背景与目标

在使用 Unidbg 对 Android .so 进行离线执行时，常会遇到 native 函数内部调用 Java 方法（JNIEnv 回调）的情况。若未在 Unidbg 中提供对应的 Java 实现或模拟，通常会报出 "not implemented"、"FindClass 失败"、"GetMethodID 返回 null"、"类型不匹配"等错误。

错误类型	原因	解决方案
UnsupportedOperationException	AbstractJni 未实现	实现对应方法
FindClass 失败	类名不准或未加载	确认类名，加载 APK/Dex
GetMethodID 为 null	签名不匹配	校验 JNI 签名
类型不匹配	返回 DvmObject 类型错误	返回正确类型
native 崩溃	寄存器/内存问题	开启 verbose，Inspect

原理

native 如何调用 Java？

在真实的 Android 环境中，native 获取到 JNIEnv* 后，会使用如下调用：

FindClass("com/example/Device")
GetStaticMethodID(...) / GetMethodID(...)
CallStaticObjectMethod(...) / CallObjectMethod(...)
读取字段：GetStaticFieldID(...) / GetObjectField(...)

这些都属于"native 回调 Java"的过程。只要 native 里有这些调用，Unidbg 默认是"不知道如何返回"的，除非你提供"Java 世界"的实现或 stub。

Unidbg 如何承接 JNI 回调？

Unidbg 在创建 VM（Dalvik/ART）后，会通过 vm.setJni(...) 绑定一个 AbstractJni 的子类。
当 native 通过 JNIEnv 调用 Java 方法时，Unidbg 会把这次调用"回调"到你的 AbstractJni 子类中对应的函数，例如：
- callObjectMethod(...)
- callStaticObjectMethod(...)
- getStaticIntField(...) / getStaticObjectField(...) 等
你需要在这些方法里，根据"类名 + 方法名 + 签名"判断当前调用是谁，并返回合适的 DvmObject<?>（如 StringObject、DvmInteger）。这样 native 就能得到期望值，继续执行。

执行流程：

启动：配置 Emulator + VM
加载 libdemo.so
执行 JNI_OnLoad
调用 JNI 导出函数
Native 是否通过 JNIEnv 调用 Java?
路由到 AbstractJni 对应方法
返回模拟的 DvmObject 或基础类型
Native 继续执行业务逻辑
将执行结果返回给 Unidbg

常见报错与原因

java.lang.UnsupportedOperationException: callObjectMethod … not implemented 你的 AbstractJni 子类没有处理该 Java 方法的调用（类/方法/签名没匹配）。
FindClass("xxx") 返回空或抛异常 你的 Jni 没有正确处理 FindClass，或 vm.resolveClass("xxx") 对应的类没有可用（未加载 APK/Dex 或未 stub）。
GetMethodID/GetStaticMethodID 返回空 与上类似；签名不匹配尤为常见（注意 JNI 签名格式）。
返回类型不对导致崩溃 例如 native 期望 String，你却返回了一个非 StringObject；或者签名是 ()I（返回 int），你却返回了 DvmObject。

场景

native 函数 doWork(Context ctx) 需要调用 Java 层获取设备信息（如 packageName、deviceId、Build.MODEL 等），再拼接返回一个签名字符串。
在 Unidbg 中，我们用自定义 Jni 拦截这些调用并返回"伪造数据"，让函数跑通。

native 中的伪代码示例：

jstring Java_com_example_NativeBridge_doWork(JNIEnv* env, jclass clazz, jobject ctx){
    jclass devCls = env->FindClass("com/example/Device");
    jmethodID getId = env->GetStaticMethodID(devCls,"getDeviceId","(Landroid/content/Context;)Ljava/lang/String;");
    jstring deviceId =(jstring) env->CallStaticObjectMethod(devCls, getId, ctx);
    jclass ctxCls = env->FindClass("android/content/Context");
    jmethodID pkg = env->GetMethodID(ctxCls,"getPackageName","()Ljava/lang/String;");
    jstring pkgName =(jstring) env->CallObjectMethod(ctx, pkg);
    jclass buildCls = env->FindClass("android/os/Build");
    jfieldID modelField = env->GetStaticFieldID(buildCls,"MODEL","Ljava/lang/String;");
    jstring model =(jstring) env->GetStaticObjectField(buildCls, modelField);
    // 拼接签名（伪）
    // return "sign:" + deviceId + "|" + pkgName + "|" + model;
}

解决方案

方案一、用 AbstractJni 自定义方法返回值（最常用）

优点：简单直接，适合没有完整 APK 的场景
做法：匹配类名/方法名/签名，返回合理的 DvmObject 或基础类型，让 native 满足条件分支即可

unidbg 调用流程

import com.github.unidbg.AndroidEmulator;
import com.github.unidbg.AndroidEmulatorBuilder;
import com.github.unidbg.linux.android.AndroidResolver;
import com.github.unidbg.memory.Memory;
import com.github.unidbg.Module;
import com.github.unidbg.linux.android.dvm.*;
import com.github.unidbg.utils.Inspector;

public class UnidbgJniDemo {
    private AndroidEmulator emulator;
    private VM vm;
    private Module module;

    public UnidbgJniDemo() {
        // 1) 构建 32 位 Emulator（如需 64 位：for64Bit）
        emulator = AndroidEmulatorBuilder.for32Bit().build();
        Memory memory = emulator.getMemory();
        memory.setLibraryResolver(new AndroidResolver(23)); // 指定 API Level

        // 2) 创建 VM（不加载 APK，亦可传 APK 文件以更真实）
        vm = emulator.createDalvikVM(null);
        vm.setVerbose(true); // 打开详细日志

        // 3) 设置自定义 Jni
        vm.setJni(new MyJni(vm));

        // 4) 加载目标 so 并执行 JNI_OnLoad
        // 确保 libdemo.so 可被找到（工作目录或搜索路径）
        DalvikModule dm = vm.loadLibrary("demo", true);
        module = dm.getModule();
        dm.callJNI_OnLoad(emulator);
    }

    // 调用导出 JNI 函数：Java_com_example_NativeBridge_doWork
    public void  {
           vm.resolveClass();
        
        DvmObject<?> context = vm.resolveClass().newObject();
        DvmObject<?> result = bridge.callStaticJniMethodObject(
                emulator,
                ,
                context
        );
        System.out.println( + result.getValue());
    }

        {
            ();
        demo.callDoWork();
    }

    
         {
          VM vm;

          {
            .vm = vm;
        }

        
         DvmClass  {
            
             vm.resolveClass(className);
        }

        
         DvmObject<?> callStaticObjectMethod(VM vm, DvmClass dvmClass, String methodName, String signature, VarArgs varArgs) {
               dvmClass.getName(); 
             (.equals(className) && .equals(methodName) && .equals(signature)) {
                DvmObject<?> context = varArgs.getObjectArg();
                  (vm, );
            }
              ( + className +  + methodName + signature);
        }

        
         DvmObject<?> callObjectMethod(VM vm, DvmObject<?> dvmObject, String methodName, String signature, VarArgs varArgs) {
               dvmObject.getObjectType().getName(); 
             (.equals(className) && .equals(methodName) && .equals(signature)) {
                  (vm, );
            }
              ( + className +  + methodName + signature);
        }

        
         DvmObject<?> getStaticObjectField(VM vm, DvmClass dvmClass, String fieldName, String signature) {
               dvmClass.getName(); 
             (.equals(className) && .equals(fieldName) && .equals(signature)) {
                  (vm, );
            }
            
             (.equals(className) && .equals(fieldName) && .equals(signature)) {
                  (vm, );
            }
             .getStaticObjectField(vm, dvmClass, fieldName, signature);
        }

        
           {
               dvmClass.getName(); 
             (.equals(className) && .equals(fieldName)) {
                 ;
            }
             .getStaticIntField(vm, dvmClass, fieldName);
        }

        
           {
            System.out.println( + className +  + methods.length);
            .registerNativeMethods(vm, dvmClass, className, methods);
        }
    }
}

方案二、加载 APK

配置说明：将真实 APK 文件放在指定路径（修改 new File("path/to/your/app.apk")）确保 APK 中包含 com.example.NativeBridge 类将目标 SO 库（如 libnative-lib.so）放在工作目录或指定路径只需在 JNI 中补充 APK 中缺少的 Android 系统方法

import com.github.unidbg.AndroidEmulator;
import com.github.unidbg.AndroidEmulatorBuilder;
import com.github.unidbg.linux.android.AndroidResolver;
import com.github.unidbg.linux.android.dvm.*;
import com.github.unidbg.memory.Memory;
import com.github.unidbg.Module;
import java.io.File;

public class ApkLoadedDemo {
    private AndroidEmulator emulator;
    private VM vm;
    private Module module;

    public ApkLoadedDemo() {
        // 1. 创建模拟器
        emulator = AndroidEmulatorBuilder.for32Bit().build();
        Memory memory = emulator.getMemory();
        memory.setLibraryResolver(new AndroidResolver(23)); // API Level 23

        // 2. 加载真实 APK 文件
        File apkFile = new File("path/to/your/app.apk");
        vm = emulator.createDalvikVM(apkFile);
        vm.setVerbose(true); // 启用详细日志

        // 3. 设置自定义 Jni 实现
        vm.setJni(new ApkJni(vm));

        // 4. 加载目标 SO 库
        DalvikModule dm = vm.loadLibrary("native-lib", true);
        module = dm.getModule();
        dm.callJNI_OnLoad(emulator);
    }

    public   {
        
           vm.resolveClass();
        
        DvmObject<?> context = vm.resolveClass().newObject();
        
        DvmObject<?> result = bridge.callStaticJniMethodObject(
                emulator,
                ,
                context
        );
        System.out.println( + result.getValue());
    }

        {
            ();
        demo.executeNativeMethod();
    }

    
         {
          VM vm;

          {
            .vm = vm;
        }

        
         DvmObject<?> getStaticObjectField(VM vm, DvmClass dvmClass, String fieldName, String signature) {
            
             (.equals(dvmClass.getName()) && .equals(fieldName) && .equals(signature)) {
                  (vm, );
            }
             .getStaticObjectField(vm, dvmClass, fieldName, signature);
        }

        
           {
            
             (.equals(dvmClass.getName()) && .equals(fieldName)) {
                 ;
            }
             .getStaticIntField(vm, dvmClass, fieldName);
        }
    }
}

方案三、轻量 Dex 实现

import com.github.unidbg.AndroidEmulator;
import com.github.unidbg.AndroidEmulatorBuilder;
import com.github.unidbg.linux.android.AndroidResolver;
import com.github.unidbg.linux.android.dvm.*;
import com.github.unidbg.memory.Memory;
import com.github.unidbg.Module;
import com.github.unidbg.utils.Inspector;
import java.io.ByteArrayOutputStream;
import java.io.FileOutputStream;
import java.util.jar.JarEntry;
import java.util.jar.JarOutputStream;

public class LightDexImplementation {
    private AndroidEmulator emulator;
    private VM vm;
    private Module module;

    public LightDexImplementation() {
        // 创建模拟器
        emulator = AndroidEmulatorBuilder.for32Bit().build();
        Memory memory = emulator.getMemory();
        memory.setLibraryResolver(new AndroidResolver(23)); // API Level 23

        // 创建虚拟机
        vm = emulator.createDalvikVM(null);
        vm.setVerbose(true); // 启用详细日志

        // 加载轻量 Dex
        byte[] dexBytes = generateLightDex();
        DalvikModule dm = vm.load(dexBytes);
        dm.callJNI_OnLoad(emulator);

        // 设置 Jni 实现
        vm.setJni(new LightJni(vm));

        // 加载目标 SO 库
        dm = vm.loadLibrary(, );
         = dm.getModule();
        dm.callJNI_OnLoad(emulator);
    }

    
     [] generateLightDex() {
            ();
        
        dexBuilder.addClass(,  +
                 +
                );
        
        dexBuilder.addClass(,  +
                 +
                 +
                 +
                );
         dexBuilder.build();
    }

    
        Exception {
            ();
            (baos);
        
        jar.putNextEntry( ());
        jar.write(generateLightDex());
        jar.closeEntry();
        
        jar.putNextEntry( ());
        jar.write(( +
                 +
                 +
                 +
                 +
                ).getBytes());
        jar.closeEntry();
        jar.close();
        
         (    ()) {
            fos.write(baos.toByteArray());
        }
    }

       {
        
           vm.resolveClass();
        
        DvmObject<?> context = vm.resolveClass().newObject();
        
        DvmObject<?> result = bridge.callStaticJniMethodObject(
                emulator,
                ,
                context
        );
        System.out.println( + result.getValue());
    }

        {
            ();
        demo.executeDoWork();
    }

    
         {
          VM vm;

          {
            .vm = vm;
        }

        
         DvmObject<?> callObjectMethod(VM vm, DvmObject<?> dvmObject, String methodName, String signature, VarArgs varArgs) {
            
             (.equals(dvmObject.getObjectType().getName()) && .equals(methodName) && .equals(signature)) {
                  (vm, );
            }
             .callObjectMethod(vm, dvmObject, methodName, signature, varArgs);
        }

        
         DvmObject<?> getStaticObjectField(VM vm, DvmClass dvmClass, String fieldName, String signature) {
            
             (.equals(dvmClass.getName()) && .equals(fieldName) && .equals(signature)) {
                  (vm, );
            }
             .getStaticObjectField(vm, dvmClass, fieldName, signature);
        }
    }
}

方案四、RegisterNatives 监控与分析

一些 .so 通过 RegisterNatives 动态注册 JNI 方法，Unidbg 会回调到 registerNativeMethods，便于记录与分析。

添加 RegisterNatives 钩子监控
捕获并解析所有动态注册的 JNI 方法
输出方法名、签名和函数指针
适用于逆向分析和安全审计
不影响正常功能执行

import com.github.unidbg.AndroidEmulator;
import com.github.unidbg.AndroidEmulatorBuilder;
import com.github.unidbg.linux.android.AndroidResolver;
import com.github.unidbg.linux.android.dvm.*;
import com.github.unidbg.memory.Memory;
import com.github.unidbg.Module;
import com.github.unidbg.arm.backend.Backend;

public class RegisterNativesMonitor {
    private AndroidEmulator emulator;
    private VM vm;
    private Module module;

    public RegisterNativesMonitor() {
        // 创建模拟器
        emulator = AndroidEmulatorBuilder.for32Bit().build();
        Memory memory = emulator.getMemory();
        memory.setLibraryResolver(new AndroidResolver(23)); // API Level 23

        // 创建虚拟机
        vm = emulator.createDalvikVM(null);
        vm.setVerbose(true); // 启用详细日志

        // 设置 Jni 实现
        vm.setJni(new MonitorJni(vm));

        // 加载目标 SO 库
        DalvikModule dm = vm.loadLibrary("demo", true);
        module = dm.getModule();
        dm.callJNI_OnLoad(emulator);

        // 设置 RegisterNatives 钩子
        setupRegisterNativesHook();
    }

    private void setupRegisterNativesHook() {
        
           .findSymbol();
         (registerNativesAddr == ) {
            System.out.println();
            ;
        }
        
        emulator.getBackend().addHook( (), registerNativesAddr);
    }

       {
        
           vm.resolveClass();
        
        DvmObject<?> context = vm.resolveClass().newObject();
        
        DvmObject<?> result = bridge.callStaticJniMethodObject(
                emulator,
                ,
                context
        );
        System.out.println( + result.getValue());
    }

        {
            ();
        demo.executeDoWork();
    }

    
        {
        
           {
            
               backend.getRegisters()[]; 
               backend.getRegisters()[]; 
               backend.getRegisters()[]; 
               backend.getRegisters()[]; 

            
               vm.findClassByAddress(clazz).getName();
            System.out.println( + className);
            System.out.println( + methodCount);

            
               methodsPtr;
             (   ; i < methodCount; i++) {
                
                   backend.readPointer(currentPtr);
                   backend.readCString(namePtr);
                
                   backend.readPointer(currentPtr + emulator.getPointerSize());
                   backend.readCString(sigPtr);
                
                   backend.readPointer(currentPtr + emulator.getPointerSize() * );
                System.out.printf(, i + , name, signature, fnPtr);
                
                currentPtr += emulator.getPointerSize() * ;
            }
        }
    }

    
         {
          VM vm;

          {
            .vm = vm;
        }

        
         DvmObject<?> callStaticObjectMethod(VM vm, DvmClass dvmClass, String methodName, String signature, VarArgs varArgs) {
            
             (.equals(dvmClass.getName()) && .equals(methodName) && .equals(signature)) {
                  (vm, );
            }
             .callStaticObjectMethod(vm, dvmClass, methodName, signature, varArgs);
        }

        
         DvmObject<?> callObjectMethod(VM vm, DvmObject<?> dvmObject, String methodName, String signature, VarArgs varArgs) {
            
             (.equals(dvmObject.getObjectType().getName()) && .equals(methodName) && .equals(signature)) {
                  (vm, );
            }
             .callObjectMethod(vm, dvmObject, methodName, signature, varArgs);
        }

        
         DvmObject<?> getStaticObjectField(VM vm, DvmClass dvmClass, String fieldName, String signature) {
            
             (.equals(dvmClass.getName()) && .equals(fieldName) && .equals(signature)) {
                  (vm, );
            }
             .getStaticObjectField(vm, dvmClass, fieldName, signature);
        }
    }
}

Android 逆向：在 Unidbg 中解决 native 函数内调用 Java 方法的报错

背景与目标

原理

native 如何调用 Java？

Unidbg 如何承接 JNI 回调？

常见报错与原因

场景

native 中的伪代码示例：

解决方案

方案一、用 AbstractJni 自定义方法返回值（最常用）

unidbg 调用流程

方案二、加载 APK

方案三、轻量 Dex 实现

方案四、RegisterNatives 监控与分析

更多推荐文章

相关免费在线工具

Android 逆向：在 Unidbg 中解决 native 函数内调用 Java 方法的报错

背景与目标

原理

native 如何调用 Java？

Unidbg 如何承接 JNI 回调？

常见报错与原因

场景

native 中的伪代码示例：

解决方案

方案一、用 AbstractJni 自定义方法返回值（最常用）

unidbg 调用流程

方案二、加载 APK

方案三、轻量 Dex 实现

方案四、RegisterNatives 监控与分析

微信扫一扫，关注极客日志

更多推荐文章

相关免费在线工具