1.T32 使用技巧
2.Android Framework源码解析，源码看这一篇就够了
3.深度分析Binder线程池的解析启动流程
4.AndroidFramework 之启动 ServiceManager
5.Android app的加壳和脱壳详解

T32 使用技巧

       探索T使用技巧，了解zygote进程mapping framework-res.apk文件的源码用户态虚拟地址映射原理。通过查看文件页名称，解析发现v.w结构体中vm_file为NULL，源码表示匿名页在用户地址空间。解析xorpay源码通过输入进程名查看特定用户空间虚拟地址映射，源码发现与物理页内容一致，解析表明这部分内容属于framework-res.apk文件。源码T工具可以执行脚本，解析扫描并打印所有任务及其vma信息，源码但此处无法展示具体内容。解析在内存中搜索野指针所属进程时，源码使用data.find命令。解析使用手工恢复container_of功能，源码便于查看复杂结构体关系。T培训内容包括Attach命令、显示当前PC运行指令、数据dump、查看全局变量结构体、查看static局部静态全局变量、结构体类型解析、文件http升级源码断点设置等。断点类型包括onchip和SOFT，后者在某些情况下可能无法正常触发。了解数据关于ARM流水线的解析，包括指令执行顺序、数据访问方式。T命令load和d.load.bin用于加载二进制文件到指定地址，用于加载Linux内核等。虚拟地址连续性在应用层函数中展示，内存管理需进一步学习。使用source code路径设置匹配源码和汇编，优化调试体验。通过这些技巧，开发者可以更高效地利用T工具进行调试和分析。

Android Framework源码解析，看这一篇就够了

       深入解析Android Framework源码，理解底层原理是Android开发者的关键。本文将带你快速入门Android Framework的层次架构，从上至下分为四层，掌握Android系统启动流程，了解Binder的web手机端源码进程间通信机制，剖析Handler、AMS、WMS、Surface、SurfaceFlinger、PKMS、InputManagerService、DisplayManagerService等核心组件的工作原理。《Android Framework源码开发揭秘》学习手册，全面深入地讲解Android框架初始化过程及主要组件操作，适合有一定Android应用开发经验的开发者，旨在帮助开发者更好地理解Android应用程序设计与开发的核心概念和技术。通过本手册的学习，将能迅速掌握Android Framework的关键知识，为面试和实际项目提供有力支持。

       系统启动流程分析覆盖了Android系统层次角度的三个阶段：Linux系统层、Android系统服务层、Zygote进程模型。理解这些阶段的关键知识，对于深入理解Android框架的启动过程至关重要。

       Binder作为进程间通信的源码制作为html重要机制，在Android中扮演着驱动的角色。它支持多种进程间通信场景，包括系统类的打电话、闹钟等，以及自己创建的WebView、视频播放、音频播放、大图浏览等应用功能。

       Handler源码解析，揭示了Android中事件处理机制的核心。深入理解Handler，对于构建响应式且高效的Android应用至关重要。

       AMS（Activity Manager Service）源码解析，探究Activity管理和生命周期控制的原理。掌握AMS的实现细节，有助于优化应用的用户体验和性能。

       WMS（Window Manager Service）源码解析，了解窗口管理、布局和显示策略的实现。深入理解WMS，对于构建美观且高效的生产流水 源码用户界面至关重要。

       Surface源码解析，揭示了图形渲染和显示管理的核心。Surface是Android系统中进行图形渲染和显示的基础组件，掌握其原理对于开发高质量的图形应用至关重要。

       基于Android.0的SurfaceFlinger源码解析，探索图形渲染引擎的实现细节。SurfaceFlinger是Android系统中的图形渲染核心组件，理解其工作原理对于性能优化有极大帮助。

       PKMS（Power Manager Service）源码解析，深入理解电池管理策略。掌握PKMS的实现，对于开发节能且响应迅速的应用至关重要。

       InputManagerService源码解析，揭示了触摸、键盘输入等事件处理的核心机制。深入理解InputManagerService，对于构建响应式且用户体验优秀的应用至关重要。

       DisplayManagerService源码解析，探究显示设备管理策略。了解DisplayManagerService的工作原理，有助于优化应用的显示性能和用户体验。

       如果你对以上内容感兴趣，点击下方卡片即可免费领取《Android Framework源码开发揭秘》学习手册，开始你的Android框架深入学习之旅！

深度分析Binder线程池的启动流程

       理论基础Binder

       Binder它是Android中的一种进程间通信机制，它主要采用的是CS架构模式。Binder框架中主要涉及到4个角色Client、Server、ServiceManager及Binder驱动，其中Client、Server、ServiceManager运行在用户空间，Binder驱动运行在内核空间。

线程池

       线程池它是一种用于多线程处理形式，处理过程中将任务添加到队列，然后在创建线程后自动启动这些任务。线程池线程都是后台线程。每个线程都使用默认的堆栈大小，以默认的优先级运行，并处于多线程单元中。

       简单的说：线程池就是创建一些线程，它们的集合称为线程池。

Binder线程池启动流程

       我们知道一个新的app应用程序进程在创建完成之后，它会通过调用RunTimeInit类的静态成员函数zygoteInitNative来进行启动Binder线程池。

       Binder线程池启动过程中，主要调用几个关键函数：ZygoteInitNative--->onZygoteInit--->startThreadPool。

       下面的源码分析主要是以android5.0版本为例。

ZygoteInitNative源码分析

       由于ZygoteInitNative函数是java实现的代码，实践上最终调用的是由C++实现的JNI方法。以下代码来源于系统的/frameworks/base/core/jni/androidRuntime.cpp文件中

staticvoidcom_android_internal_os_RuntimeInit_nativeZygoteInit(JNIEnv*env,jobjectclazz){ //gCurRuntime是个全局的变量，后面跟上的是另外实现的方法。gCurRuntime->onZygoteInit();}onZygoteInit源码分析

       onZygoteInit函数在需要源码的位置：/frameworks/base/cmds/app_process/app_main.cpp文件中。

该函数是个虚函数，并且是一个无返回值和无参数的函数virtualvoidonZygoteInit(){ //Re-enabletracingnowthatwe'renolongerinZygote.atrace_set_tracing_enabled(true);//获取进程的状态信息sp<ProcessState>proc=ProcessState::self();//打印日志信息ALOGV("Appprocess:startingthreadpool.\n");//启动线程池proc->startThreadPool();}startThreadPool源码分析

       startThreadPool系统实现在\frameworks\native\libs\binder\ProcessState.cpp文件中。

       每一个支持Binder进程间通信机制的进程内都有一个唯一的ProcessState对象，当这个ProcessState对象的成员函数StartThreadPool函数被第一次调用的时候，它就会在当前进程中启动一个线程池，并将mThreadPoolStarted这个成员变量设置为true。

//该函数是个无参数，无返回值的函数voidProcessState::startThreadPool(){ AutoMutex_l(mLock);//判断线程池是否启动状态，启动的话就将标志信息设置为true属性。if(!mThreadPoolStarted){ mThreadPoolStarted=true;spawnPooledThread(true);}}总结

       Binder在android底层中是一个非常重要的机制，我们在实际的项目调用过程中，我们在app应用程序中只要实现自己的Binder本地对象的时候，跟其他服务一样，只需要将它进行启动起来，并且进行注册到ServerMananger就可以了。至于内部的实现一般是不需要去关心的。

AndroidFramework 之启动 ServiceManager

        本文源码基于 Android ，涉及相关源码如下。

        ServiceManagaer 是 Binder 的守护进程，在 Binder 机制中起着重要的作用。本文将从源码的角度对其进行分析，整体流程如下：

        时序图如下。

        先来看看 ServiceManager 是如何启动的：

        在 Zygote 一文中说过， init 进程启动的第二阶段会解析 init.rc 文件。

        在这之后会触发 trigger init 。

        结合 init.rc 看看 action init 做了什么。

        当触发 trigger init 后，会启动 servicemanager 服务，其声明如下。

        对应的执行文件为 /system/bin/servicemanager ，在编译前位于 frameworks/native/cmds/servicemanager 下，来看看 Android.bp 。

        其对应的源码为 service_manager.c 和 binder.c ，入口函数 main() 位于 servicemanager.c 。

        启动完 ServiceManager 后会打开 Binder 驱动。

        在 main() 中首先调用 binder_open() 。

        binder_open() 主要做了如下事情：

        给结构体 binder_state 分配内存。

        系统调用 open() 打开 /dev/binder ，如果打开驱动失败，则执行 fail_open 释放内存。

        简单的解释一下什么是系统调用？

        由于需要限制不同的程序之间的访问能力，防止程序获取别的程序的内存数据， CPU 划分出两个权限等级，用户态和 内核态。

        所有的用户程序都是运行在用户态，但有时需要做一些内核态的事情，而唯一可以做这些事情的就是操作系统，所以程序需要向操作系统发起请求，以程序的名字来执行这些操作。这时就需要一个从用户态切换到内核态但不能控制内核态中执行的机制，这种机制就是 系统调用。

        系统调用 ioctl() 传入 BINDER_VERSION 命令获取 Binder 驱动版本，对比版本是否一致，不一致则执行 fail_open 释放内存。

        系统调用 mmap() 映射 kb 的内存空间，即把 Binder 驱动文件的 kb 映射到内存空间供 ServiceManager 使用，内存映射失败则执行 fail_map ，关闭 fd 并释放内存。

        ServiceManager 进程 mmap 的内存大小可以通过 adb shell 命令查看。

        可以看到内存映射地址为 0xff ~ 0xf ，差为 0x 即十进制的 kb 。

        打开 Binder 驱动后会将 ServiceManager 设置为上下文管理者。

        调用 binder_become_context_manager() 。

        android 新增 BINDER_SET_CONTEXT_MGR_EXT 命令来设置安全的上下文管理者，如果设置失败，则使用原有的 BINDER_SET_CONTEXT_MGR 命令来设置上下文管理者，两者区别在于是否携带参数。

        最后会进入循环，从 Binder 驱动读取和解析数据。

        调用 binder_loop() 进入循环，不断地通过系统调用 ioctl() 从 Binder 驱动读取数据，并通过 binder_parse() 进行数据解析。

        注意这里调用 binder_loop() 传入的 svcmgr_handler() ，后面会使用到。

        binder_write() 会封装 struct binder_write_read ，并通过系统调用 ioctl() 将对应的命令传递给 Binder 驱动。

        binder_parse() 用来解析从 Binder 驱动读取到的数据，然后根据不同的命令执行对应的操作。

        因为 cmd 命令可能有多个，所以通过 while 循环每次处理一个 cmd 命令，多 cmd 的结构大致如下图所示。

        这里重点看下 BR_TRANSACTION 命令。

        BR_TRANSACTION 是 Binder 驱动向 Server 端发送请求数据。

        binder_transaction_data 的结构如下，其表明了 transcation 传输的具体语义，语义码记录在 code 中，不同语义码携带的数据是不同的，这些数据由 data 指定。

        在解析完 binder_transaction_data 的具体语义后，会调用前面传给 binder_loop() 的 svcmgr_handler() ，其实就是 switch case 语义码做不同的事情。

        ServiceManager 的功能其实很简单：

        至此 ServiceManager 就分析完了。

Android app的加壳和脱壳详解

       了解Android应用的加壳与脱壳技术，我们首先需要理解APK文件结构与DEX文件原理。APK文件是Android应用的压缩包格式，解压后包含dex文件，这是Dalvik虚拟机执行的字节码文件。Zygote作为虚拟机进程，每次启动应用时生成子进程执行该应用。加壳技术在二进制程序中植入代码，加密、隐藏或混淆原始内容，以防止反编译。加壳后的APK在运行时，首先解压并获取编译信息，运行加密的DEX文件。

       实现加壳，主要是为保护内容加密、隐藏或混淆，使得反编译难以直接获取原始代码。脱壳则是反过程，目标是恢复原始代码。脱壳需要解压并定位到真实DEX文件，通常是在解密后执行脱壳，然后dump出明文状态的DEX文件。实现脱壳的关键是获取解密后DEX文件的起始地址与大小。

       常用脱壳方法包括基于Frida的工具，如Frida-Dexdump，帮助定位并dump脱壳后的DEX文件。此工具需要配合frida-server在模拟器或手机上运行，并利用frida-ps查看目标应用。接着通过指定应用包名调用Frida-Dexdump工具进行脱壳。脱壳后的文件可能需要通过合并工具（如jadx）整合为一个文件，并最终使用如jd-gui进行查看。另外，Fart、Youpk、BlackDex等工具也提供了不同的脱壳解决方案，覆盖了不同条件与需求，包括修改Android源码、基于ART的主动调用、无需root的脱壳等。

       每种脱壳工具都有其优势与局限性，如Frida-Dexdump与Frida环境结合简单，但可能受限于目标应用的具体保护方式；Fart与Youpk则需要特定条件与环境，但提供了更强大的脱壳能力；BlackDex则以其简便易用、无需root等特性，成为一种通用脱壳工具。然而，无论使用何种脱壳工具，都需要基于深入理解DEX文件结构与保护机制，以及对特定工具的特性与使用方法的掌握。