本文主要讨论如何在 xposed 模块中调用app中的方法，以及如何 hook 加壳的 app。
调用app中的方法
主要依靠 xposed 提供的几个 api，使用起来类似反射，不过比反射要简单的多。
静态方法
需要的参数：
- 类名
- 方法名
- 方法参数类型，是数组，比如有两个参数，形式应为：
java.lang.Class<?>[] parameterTypes = {String.class, int.class};，也可以不传，xposed 会自动匹配参数类型。
- 方法参数值
实例方法
参数与调用静态方法就第一个参数不一样，显然实例方法需要对象，静态方法需要类对象。
构造方法
需要的参数：
- 类名
- 方法参数类型，是数组，比如有两个参数，形式应为：
java.lang.Class<?>[] parameterTypes = {String.class, int.class};，也可以不传，xposed 会自动匹配参数类型。
- 方法参数值
加壳app的hook
想要hook加壳app中的方法，需要先知道两个基础知识：
- 加壳原理
- 脱壳
脱壳现在有很多的开源项目与脚本，fart，dexdump 都可以完成，只不过可能有些app做了 frida 特征识别，导致脱不下来，这个后面会说到。
加壳的原理其实也不难，简单来说就是，开发者编写的app被藏起来了，展示给我们看的只是包着app的一个壳，所以我们无法看到里面的app内容。但是一个重要的点是，app始终是要运行的，既然要运行，那么壳就会将它包着的app内容给拿出来，所以只要抓住这个点就能很好的理解脱壳。
至于加壳，就是相当于先将 app 给加密，然后在某个时机再解密出来，让其运行。具体可以看下面这些文章：
实战
看一个例子，材料已上传到 p23 （lebo.apk）。
使用jadx打开，发现里面没有 Activity 等类：
看AndroidManifest.xml里面，有很多类都找不到：
这说明该 apk 被加壳了。
那么，如果我们想hook
com.zw.lebo.SplashView 这个类，在它的 onCreate 方法里面弹一个 toast，该如何做呢？我们先尝试按照之前的方法，直接使用 findAndHookMethod 看看效果：
打开 app，运行，发现会提示错误：
这就是我们之前提到过的，需要传递对应的类加载器才能正确的找到类。
我们可以看看这个类加载器加载的 dex 里面有哪些类：
这个代码就不细说了，与Android的类加载机制有关，做过Android开发的应该会比较清楚。
具体的分析过程，可以自己去寻找源码。按照自己测试机的版本去看，因为不同的版本有些逻辑或者字段可能会不一样。
贴一个source查看网站：
打印一下，发现里面的类确实没有 Activity 相关的类，都是壳的类：
这就说明app壳只负责加载壳代码，那么app代码什么时候加载呢？自然是当app要运行的时候，几乎所有壳都是处理的 application，所以当 application 的 onCreate 方法执行完之后，下一步要展示app界面的时候，壳肯定要将app的代码释放出来。
那么，是如何释放的呢？这就又与Android的机制相关了，做过插件化开发的都知道有一个类叫做 LoadedApk，它描述的是一个已经加载过的 apk 文件，它里面有一个类加载器，就是用来加载 apk 里面的代码的。当壳释放完app代码后，类加载器也需要修正回来，不然就加载不到app代码了。
所以，当 Application 的 onCreate 方法执行完之后，我们就可以去 ActivityThread 里面的字段里面去拿 LoadedApk 对象，再去获取其类加载即可。
我们可以看一下这个 classLoader 里面加载的类，与加载类路径：
可以看到dex的路径是释放在了 files 文件夹里面。
重新启动app运行，就可以正常弹出 toast 了，这样我们就做到了 hook 加壳的 app。
总结
上面说的这个方法还是比较通用的。只要找准classLoader，对加壳app的hook也不难。
