如何从C++（JNI）端关闭Android应用并提升反Hook难度？

一、绕过Hook的进程终止方式 #

传统的kill(getpid(), SIGKILL)因是libc封装的上层函数，极易被Frida/LSPosed等工具Hook。以下是几种更难被拦截的替代方案：

1. 直接调用系统调用（syscall） #

绕过libc的kill函数，直接通过syscall触发内核级进程终止。这种方式跳过用户态函数封装，Hook难度更高。示例代码：

#include <sys/syscall.h>
#include <unistd.h>

void terminateApp() {
    // 直接调用kill的系统调用
    syscall(SYS_kill, getpid(), SIGKILL);
    // 若上述调用被Hook， fallback到直接触发崩溃
    *(volatile int*)0 = 0;
}

注意：不同CPU架构的系统调用号不同（如arm64的SYS_kill是62，arm32是37），可通过编译宏适配，或结合下文动态获取系统调用号的策略。

2. 触发进程崩溃 #

直接制造内存访问错误强制终止进程，完全绕过用户态函数，几乎无法被Hook。缺点是会生成崩溃日志，但对于Root检测后的恶意环境终止场景，可接受性较高：

void forceCrash() {
    // 访问空指针触发段错误，内核直接终止进程
    volatile int* nullPtr = nullptr;
    *nullPtr = 1;
}

3. 调用tgkill终止线程 #

tgkill可指定进程ID和线程ID发送信号，同样通过syscall调用，比kill更难被批量Hook：

#include <sys/syscall.h>
#include <unistd.h>
#include <sys/types.h>

void terminateThreadAndProcess() {
    pid_t pid = getpid();
    tid_t tid = gettid();
    syscall(SYS_tgkill, pid, tid, SIGKILL);
    *(volatile int*)0 = 0; // fallback
}

二、提升Hook难度的核心策略 #

虽无法完全阻止Hook，但可通过以下手段大幅提高攻击者的分析成本：

1. 动态获取系统调用号 #

不要硬编码SYS_kill等系统调用号，而是从进程辅助向量（/proc/self/auxv）中解析系统调用表，动态查找目标调用号。这样攻击者无法通过静态分析预判你会调用哪个系统调用：

// 简化示例：从auxv中获取syscall表基址，动态查找SYS_kill的编号
long getSyscallNumber(const char* name) {
    // 实现逻辑：读取/proc/self/auxv，解析AT_SYSINFO_EHDR，遍历syscall表匹配名称
    // 具体实现需适配不同架构，此处省略细节
}

void dynamicTerminate() {
    long sysKillNum = getSyscallNumber("kill");
    syscall(sysKillNum, getpid(), SIGKILL);
    forceCrash();
}

2. 内嵌汇编直接触发系统调用 #

完全绕过syscall函数，用汇编指令直接触发内核调用。以arm64为例：

void asmTerminate() {
    pid_t pid = getpid();
    __asm__ volatile (
        "mov x0, %0\n"    // 第一个参数：pid
        "mov x1, #9\n"    // 第二个参数：SIGKILL（编号9）
        "mov x8, #62\n"   // 系统调用号：SYS_kill（arm64为62）
        "svc #0\n"        // 触发系统调用
        : : "r"(pid)
    );
    forceCrash();
}

这种方式连syscall函数都不会调用，攻击者需要直接分析汇编指令才能拦截。

3. 代码混淆与控制流平坦化 #

对JNI层的终止逻辑进行代码混淆：

• 控制流平坦化：打乱代码执行顺序，让逆向分析难以追踪逻辑
• 字符串/常量加密：将系统调用名称、信号编号等常量加密存储，运行时动态解密
• 指令替换：用等价指令替换原有逻辑，增加静态分析难度

4. 多路径终止逻辑 #

实现多种终止方式的随机或顺序执行，攻击者需要同时Hook所有路径才能生效：

void multiPathTerminate() {
    int choice = rand() % 3;
    switch(choice) {
        case 0:
            syscall(SYS_kill, getpid(), SIGKILL);
            break;
        case 1:
            terminateThreadAndProcess();
            break;
        case 2:
            forceCrash();
            break;
    }
}

5. 反Hook与反调试检测 #

在执行终止逻辑前，先检测是否存在Hook工具痕迹：

• 扫描进程内存，查找Frida、Xposed等工具的特征字符串（如frida-agent）
• 检查/proc/self/maps，判断是否加载了可疑动态库
• 用ptrace附加自身，阻止调试器附加
• 检测系统调用表是否被篡改

若检测到Hook痕迹，直接切换到最难以被拦截的崩溃方式。

6. 内存保护与代码自修改 #

• 用mprotect将终止逻辑所在的代码段设置为只读，防止攻击者篡改代码
• 运行时动态修改终止函数的指令（如将跳转指令替换为系统调用汇编），让静态分析无法获取真实逻辑

内容的提问来源于stack exchange，提问作者Ghost