1.Android Framework——Binder 监控方案
2.深度分析Binder线程池的启动流程
3.Android Binder机制原理解析
4.Android-Binder机制
5.Binder基础介绍
6.一文分析Binder机制和AIDL的理解

Android Framework——Binder 监控方案

       在Android应用开发中，Binder作为普遍使用的IPC机制，监控其主要出于以下目的：一，监控特定系统服务，借助ServiceManager和AIDL设计，通过动态代理替换当前进程对应的webshell大马源码Proxy对象实现监控；二，实现进程内全局Binder监控，需考虑拦截transact方法。

       针对监控需求，ProxyTransactListener在Android 引入，可在Binder调用前后触发回调，适用于SystemUI监控主线程的Binder调用。尽管ProxyTransactListener和相关接口被隐藏，但可绕过限制，通过动态代理创建实例，实现对进程内Java Binder调用的全局监控。

       绕过hidden api限制的方案包括在Android 系统禁用元反射后，使用Native线程Attach获取JNIEnv，构造没有Java caller的情况。原理在于系统在回溯Java堆栈找不到caller时，信任调用不做hidden api拦截，实现全局hidden api白名单。此方案简单且兼容性好，但存在缺点，即无法监控Native的Binder调用。

       基于JNI Hook可以hook BinderProxy.transactNative，实现全版本进程内Java Binder调用的全局监控，获取完整参数和返回结果。JNI Hook基于JNI边界hook Java对应的Native函数实现，稳定性较高。具体操作是找到原Native函数并替换，无需手动触发Binder调用。考虑到BpBinder.transact为导出虚函数且动态绑定，直接PLT Hook libbinder.so中对该函数的调用即可。

       拦截BpBinder.transact调用后，获取Binder对象的描述符及传输数据大小，通过调用导出接口实现。String处理需自定义类，利用其稳定布局及私有属性mString。通过调用Parcel::dataSize接口获取数据大小，并声明空类承接data参数实现引用转换。

       监控Binder调用仅是第一步，关键在于数据处理，挖掘IPC耗时卡顿和数据过大导致的问题。堆栈信息、调用描述符和code是定位问题的重要信息。了解Android Framework框架中的核心知识点对开发者至关重要，推荐《Android Framework学习手册》，几乎覆盖了Framework相关的知识点，包括Handler、Binder、AMS、WMS、姓名测试 源码PMS、事件分发机制、UI绘制等，还有Android面试题。

       深入理解Android Framework底层对现代Android开发至关重要，因为它提供了基础服务和API，使得应用能够与操作系统进行交互和通信。

深度分析Binder线程池的启动流程

       理论基础Binder

       Binder它是Android中的一种进程间通信机制，它主要采用的是CS架构模式。Binder框架中主要涉及到4个角色Client、Server、ServiceManager及Binder驱动，其中Client、Server、ServiceManager运行在用户空间，Binder驱动运行在内核空间。

线程池

       线程池它是一种用于多线程处理形式，处理过程中将任务添加到队列，然后在创建线程后自动启动这些任务。线程池线程都是后台线程。每个线程都使用默认的堆栈大小，以默认的优先级运行，并处于多线程单元中。

       简单的说：线程池就是创建一些线程，它们的集合称为线程池。

Binder线程池启动流程

       我们知道一个新的app应用程序进程在创建完成之后，它会通过调用RunTimeInit类的静态成员函数zygoteInitNative来进行启动Binder线程池。

       Binder线程池启动过程中，主要调用几个关键函数：ZygoteInitNative--->onZygoteInit--->startThreadPool。

       下面的源码分析主要是以android5.0版本为例。

ZygoteInitNative源码分析

       由于ZygoteInitNative函数是java实现的代码，实践上最终调用的是由C++实现的JNI方法。以下代码来源于系统的/frameworks/base/core/jni/androidRuntime.cpp文件中

staticvoidcom_android_internal_os_RuntimeInit_nativeZygoteInit(JNIEnv*env,jobjectclazz){ //gCurRuntime是个全局的变量，后面跟上的是另外实现的方法。gCurRuntime->onZygoteInit();}onZygoteInit源码分析

       onZygoteInit函数在需要源码的位置：/frameworks/base/cmds/app_process/app_main.cpp文件中。

该函数是个虚函数，并且是一个无返回值和无参数的函数virtualvoidonZygoteInit(){ //Re-enabletracingnowthatwe'renolongerinZygote.atrace_set_tracing_enabled(true);//获取进程的状态信息sp<ProcessState>proc=ProcessState::self();//打印日志信息ALOGV("Appprocess:startingthreadpool.\n");//启动线程池proc->startThreadPool();}startThreadPool源码分析

       startThreadPool系统实现在\frameworks\native\libs\binder\ProcessState.cpp文件中。

       每一个支持Binder进程间通信机制的进程内都有一个唯一的ProcessState对象，当这个ProcessState对象的成员函数StartThreadPool函数被第一次调用的时候，它就会在当前进程中启动一个线程池，并将mThreadPoolStarted这个成员变量设置为true。

//该函数是个无参数，无返回值的函数voidProcessState::startThreadPool(){ AutoMutex_l(mLock);//判断线程池是否启动状态，启动的话就将标志信息设置为true属性。if(!mThreadPoolStarted){ mThreadPoolStarted=true;spawnPooledThread(true);}}总结

       Binder在android底层中是一个非常重要的机制，我们在实际的项目调用过程中，我们在app应用程序中只要实现自己的Binder本地对象的时候，跟其他服务一样，只需要将它进行启动起来，并且进行注册到ServerMananger就可以了。至于内部的实现一般是不需要去关心的。

Android Binder机制原理解析

       在开发中，底部tablayout 源码跨进程通信是常见需求，Android系统提供了Binder机制解决这一问题。Binder是进程间通信的核心，系统如ActivityServiceManager、AMS、IMS等都依赖于其底层支持。

       Binder机制的优势在于它提供了一种高效且灵活的通信方式。与Socket、消息队列和内存共享等传统IPC方式相比，Binder在Android系统中实现了更高级的进程间通信。

       进程间通信原理中，动态内核可加载模块使Binder驱动得以在Linux内核中运行，内存映射技术则实现高效数据交换。内存映射通过mmap()实现，确保用户空间与内核空间的实时同步，减少数据拷贝次数，提升性能。

       在实际应用中，Client通过名字向ServiceManager获取Binder实例，而Server通过Binder驱动向ServiceManager注册服务。ServiceManager作为中介，负责处理Binder的注册与获取请求，实现进程间通信。Binder驱动在其中提供底层操作支持，包括建立通信、传递Binder等。

       对象传递是Binder机制的关键。当Client请求访问Server对象时，实际上传递的是对象代理，而非对象本身。代理对象会将调用请求转发给Server对象，完成数据交换。这一过程为同步操作，确保了通信的可靠性和稳定性。

       本文旨在深入理解Binder机制，包括其原理、运行机制和对象传递方式。通过分析，读者可以对Android系统中的进程间通信有更全面的认识，为实际开发提供理论支持。

Android-Binder机制

       Binder作为Android系统的IPC机制，旨在解决跨进程通信的问题。其基于Linux的内存映射技术，允许用户进程与内核进程共享同一块内存，从而减少内存读写操作，提高性能和效率。

       Android系统中的Binder实现了一种客户端/服务器(C/S)架构，其中客户端(Client)发起请求，服务器(Server)提供服务。通过Binder Driver作为桥梁，客户端通过ServiceManager获取系统中的Binder服务。这一机制特别适用于Android这一嵌入式设备环境，kafka 源码 阅读考虑到了性能和内存优化。

       在对象调用方面，当一个进程(A进程)需要调用另一个进程(B进程)中的某个对象时，由于无法直接共享对象（不同进程），Android采用代理模式解决这一问题。A进程生成B进程对象的代理对象，当进程相同则直接调用，不同则通过Binder的IPC机制实现通信。

       Android开发中涉及的Binder模式包括调用接口、接口的Stub抽象类和Proxy静态类。使用AIDL自动生成这三类，并封装到同一外部类中，避免了Proxy和Stub类名的重复问题。

       以BookManager接口为例，其支持addBook和getBooks方法，通过继承IInterface接口表示实现位于另一个进程中的服务。BookManagerStub表示Server进程中的BookManager接口对象，通过onBind方法返回给客户端。BookClientActivity连接服务时，通过BookManagerStub的asInterface转换为BookManager对象。在跨进程场景下，构造BookManagerProxy以实现与Server进程的通信。

       BookManagerProxy在Client进程中，而BookManagerStub在Server进程中。BookManagerProxy通过IBinder的transact方法向Server进程发送数据并接收结果，解析后作为调用的返回值。这里的IBinder对象是Server端中新创建的BookManagerStub实例，但在同一进程下是真实的对象，而非跨进程对象。Binder机制通过共享内存实现对象之间的差异屏蔽，使Client中的对象调用仿佛在访问Server中的对象。

       在BookManagerProxy中调用transact方法触发BookManagerStub的onTransact方法。根据code判断调用方法，从data中获取Client发送的数据，并将调用结果通过replay返回。尽管从逻辑上区分C端和S端，但在实际的通信过程中，C端与S端的角色并非绝对固定，而是基于发起调用的行为来区分。

Binder基础介绍

       在Android系统中，应用以独立进程运行，进程间通信机制(IPC)用于实现数据共享。常用IPC方式包括共享内存、管道、信号处理、socket、Binder等，Android根据不同场景选择合适的方式。本文重点介绍Android系统中的Binder机制。

       Binder机制分为四个部分，其运作方式主要由客户端和服务器端通过mRemote对象进行消息传递。客户端使用transact()方法发起请求，新闻推送 源码服务端在onTransact()方法处理请求并返回结果，实现了进程间数据交互。

       Proxy/Stub模式简化了Activity与Service间通信，通过中介代理实现业务关注点与实现细节分离。AIDL(Android Interface Define Language)是用于生成可在Android设备上进行IPC的代码，通过代理存根结构实现跨进程调用。HIDL(Android Hardware Interface Definition Language)在Android 8后引入，用于更特定的硬件接口定义。

       Android 8引入Treble机制，解耦Android框架与供应商接口，简化更新流程。新Binder机制引入了“binder”,“hwbinder”,“vndbinder”三个域，满足不同场景需求。VndBinder提供给供应商服务使用，HwBinder用于跨系统和供应商分区通信。这些变化优化了系统更新流程，提高了安全性与稳定性。

       综上所述，Android系统通过Binder机制实现了进程间高效通信，通过AIDL和HIDL等接口定义语言简化了通信逻辑。Treble机制进一步提升了系统可维护性和更新效率，为Android系统的长期稳定发展奠定了基础。

一文分析Binder机制和AIDL的理解

       深入了解Android进程间通信机制，如同破解系统奥秘的钥匙，它在源码探索和问题解决中扮演着核心角色。Binder机制，源自OpenBinder，正是这个领域的主角，它弥补了Linux原生通信方式在性能和安全性的短板。它的运作涉及驱动层与应用层的无缝对接，包括与系统服务如Activity Manager Service (AMS) 的深度协作。

       Binder，作为Java编写的通信工具包，是Android多进程通信的基石。尽管AIDL（Android Interface Definition Language）常用于简化这一过程，但并非不可或缺。让我们通过一个实例，不依赖AIDL，来揭示Binder通信的内在机制。想象一个简单的场景：一个客户端（ClientBinder）与服务端（ServerBinder，继承自Binder并实现onTransact方法）之间的字符串传递，透彻理解Binder通信的运作原理。

       项目框架中，服务端在Service的onBind方法中返回一个ServerBinder实例。对比手动实现与AIDL生成的代码，AIDL的便捷性便一目了然。客户端通过ServiceConnection，如下面这段代码，与远程服务建立连接：

       1. 创建ServiceConnection，获取远程服务的IBinder

       2. intent设置服务类名："com.binder.server.RemoteService"

       3. bindService(intent, serviceConnection, Context.BIND_AUTO_CREATE)

       4. 若未连接，尝试bindService

       5. 传递数据：通过IBinder调用mStingEditText的文本，如data.writeString(text)

       6. 成功连接后，调用transact方法传递请求

       接收数据的环节，服务端将数据展示在tvShowMessage上，通过新线程处理，如`new Handler().post(() -> ServerMainActivity.tvShowMessage.setText(message));`。当连接断开时，serviceConnection的onServiceDisconnected方法会被触发。

       关键在于客户端如何通过IBinder获取服务端对象并调用transact进行跨进程通信。AIDL的引入让这个过程更加优雅，例如在ClientMainActivityUseAidl中，服务连接成功后，通过IBinder代理mServer，调用自定义接口IShowMessageAidlInterface的showMessage方法。

       在交互过程中，客户端通过IShowMessageAidlInterface的Stub内部类，将本地的IBinder转换为接口，这样数据的发送就通过showMessage方法进行。AIDL的asInterface方法负责封装本地或远程处理，Proxy类则负责数据的打包和跨进程传输，确保数据的无缝传递。

       总结来说，客户端利用AIDL的asInterface处理远程IBinder，而Proxy类则是这一切的幕后功臣。服务端的onBind方法返回AIDL生成的Stub，它在客户端调用transact时负责接收和处理请求，执行showMessage方法。这样，AIDL生成的Stub和Proxy成为客户端发送数据的桥梁，而在服务端，它们则是数据处理的核心所在。

       掌握Binder机制和AIDL的精髓，你将解锁Android进程间通信的无尽可能，为你的应用开发增添无限力量。无论何时，当你深入探索Android源码，这些核心原理都将是你不可或缺的指南。

Android Binder Hook的实现

        Binder Hook可以Hook掉当前App用到的系统Service服务。

        以LocationManager为例，在获取一个LocationManager时分为两步。第一，获取IBinder对象；第二：IBinder对象通过asInterface()转化为LocationMangerService对象。最后初始化LocationManager，application层用到的都是LocationManager。

        Hook的大致原理是：ServiceManager在获取某个Binder时，如果本地有缓存的Binder，就不再跨进程请求Binder了。我们可以在缓存中加入自己的Binder，使得ServiceManager查询本地缓存时得到一个自定义的CustomBinder对象，不再跨进程向系统请求。并且ILocationManager.Stub.asInterface(CustomBinder)方法返回我们自定义的Service对象。

        这里面有两个地方需要用到自定义的对象。由于我们只Hook其中一部分的功能，其他功能还需要保留，所以用动态代理的方式创建自定义的Binder和自定义的Service。

        在理解后面的内容前你需要了解这些知识点：

        Activity等类在获取系统Service时，都是调用getSystemService(serviceName)方法获取的。

        Context 的 getSystemService() 方法调用了 SystemServiceRegistry 的 getSystemService() 方法。

        SystemServiceRegistry 中有一个常量 SYSTEM_SERVICE_FETCHERS，这是一个Map。保存了ServiceName和对应的ServiceFetcher。ServicFetcher是用于创建具体Service的类。ServiceFetcher 的关键方法是 createService() 方法。

        在 ServiceFetcher 的 createService() 方法中，调用了 ServiceManager.getService(name) 方法。以 LocationManager 对应的 ServiceFetcher 为例，它的createService()方法源码如下：

        假如我们要修改 LocationManager 的 getLastKnownLocation() 方法（下文都是）。我们要做的就是让ServiceManager.getService("location")返回我们自定义的Binder。先看一下这个方法简化后的源码：

        sCache是一个Map，缓存了已经向系统请求过的Binder。如果我们需要让这个方法返回我们我们自己的binder，只需要事先往sCache中put一个自定义的Binder就行了。

        在put之前，需要先创建出一个自定义的Binder。这个Binder在被 ILocationManager.Stub.asInterface 处理后，可以返回一个自定义的 LocationManagerService。

        先看一下Binder的 asInterface() 的实现：

        如果把 queryLocalInterface()方法返回一个自定义的Service，使得走if语句内部，不走else，那就算是Hook成功了。

        假设我们想让系统的LocationManager返回的位置信息全是在天安门(., .)。那我们需要使得 LocatitionManagerService 的 getLastLocation() 方法 返回的全是 (., .)。

        由于我们不能直接拿到系统的这个Service对象，可以先用反射的方式拿到系统的LocationManagerService。然后拦截getLastLocation()方法。

        原生的Binder对象在调用 queryLocalInterface() 方法时会返回原生的Service对象。我们希望返回3.1中的自定义Service。所以这里拦截 queryLocalInterface() 方法。

        有了自定义的Binder后，将它注入到ServiceManger的sCache变量中就完成Hook了~

        当onClick被调用的时候，Toast和Log都会显示天安门的坐标(., .)。证明Hook成功！

        你甚至可以用Binder Hook的方式Hook掉 ActivityManager。

Android小白学习之路(5)——Binder介绍

       Binder是Android系统中实现进程间通信（IPC）的关键类，它通过IBinder接口提供跨进程通信能力。从系统架构的角度，Binder充当ServiceManager连接各Manager和服务的桥梁，为应用层提供服务端和服务间的通信媒介。具体应用中，Binder主要用于Service，包含AIDL和Messenger，其中普通Service不涉及进程间通信，而Messenger底层基于AIDL实现。

       在开发中，AIDL（Android Interface Definition Language）作为接口定义语言，用于描述服务端和客户端通信接口，生成用于IPC的代码。通过AIDL，开发者可以定义服务方法，自动生成相应的Binder类，从而实现应用间的数据共享。例如，通过绑定服务调用方法获取书籍列表并添加书籍。

       在创建示例时，首先定义Book类表示图书信息，实现Parcelable接口。接着创建Book.aidl文件描述Book类，BookController.aidl文件定义接口，包括获取图书列表和添加书籍的方法。系统会根据AIDL文件自动生成BookController.java类，该类继承IInterface接口，用于承载Binder的功能。

       BookController.java类声明了getBookList()和addBook()方法，分别对应BookController.aidl中的方法。通过内部类Stub，实现服务端和客户端之间的调用，根据进程位置选择不同的代理类。此外，onTransact()方法处理跨进程调用，确定调用方法并执行，返回结果或异常。

       客户端通过transact()方法发起请求，调用服务端方法。服务端接收到请求后，通过onTransact()方法处理调用，执行对应方法并将结果返回。客户端通过Parcel对象接收返回值，完成数据交换。

       值得注意的是，Binder的管理方法linkToDeath()和unlinkToDeath()确保服务端异常终止时，客户端能够及时察觉并恢复连接，避免功能中断。

       总之，通过分析Binder的工作原理，包括其方法和机制，理解了进程间通信的基础。结合Serializable和Parcelable接口的介绍，对IPC的基础内容有了全面了解。未来将探讨更多进程间通信方式。

Android进阶——Android跨进程通讯机制之Binder、IBinder、Parcel、

       前言：

       Binder机制是Android系统提供的跨进程通讯机制，这篇文章会从基础概念知识开始介绍，引出Binder机制，并归纳其在Linux系统中的优缺点。接着分析Binder的通信模型和原理，重点介绍AIDL实现原理，以及AMS的Binder体系。文章将穿插介绍IBinder、Binder、Parcel等关键组件，旨在为读者提供易于理解的阅读体验，不涉及Framework层的深度原理，适用于具备AIDL使用基础的读者。

       基础概念：

       本文将从Linux相关基础概念出发，介绍进程隔离、用户空间与内核空间、系统调用与内核态/用户态，以及内核模块/驱动，帮助读者理解Binder驱动出现的原因。

       一、进程隔离

       为了保证安全，Linux系统中的进程不能操作其他进程的数据。通过虚拟内存机制，每个进程拥有独立的线性连续内存空间。操作系统将虚拟内存空间映射到物理内存，实现进程间的隔离。然而，进程间的数据通讯是不可避免的，因此需要跨进程通信机制。

       二、用户空间与内核空间

       用户空间表示进程运行在特定操作模式中，无权接触物理内存或设备。内核空间则是独立于应用程序，可以访问受保护的内存空间和底层硬件设备。用户进程通过系统调用与内核空间进行交互。

       三、系统调用与内核态/用户态

       系统调用是用户空间访问内核空间的唯一方式。在Linux系统中，通过四层环的概念，安全边界得以实现，其中1号环持有最高权限，3号环持有最低权限。用户进程需通过系统调用实现跨权限访问。

       四、内核模块与驱动

       内核模块/驱动通过系统调用实现用户空间与内核空间之间的通信。在Android系统中，Binder驱动作为运行在内核空间的模块，负责各个用户进程间的通讯，实现了进程间的高效、安全通信。

       五、总结

       将前面的概念综合理解，可以更好地消化知识点：进程隔离导致内存隔离、进程间通信需求、系统调用与内核模块/驱动的使用。Binder驱动正是内核模块/驱动中的关键组件，用于实现Android系统的跨进程通信。

       为什么要用Binder：

       Binder机制相较于Linux系统提供的其他跨进程通信方式，如管道、消息队列、信号量、内存共享、套接字等，具有传输性能好、安全性强等优势。

       Binder通信模型与原理：

       模型包括服务端注册、客户端获取服务、通信过程。服务端通过Binder驱动在ServiceManager中注册，客户端通过Binder驱动获取并进行通信。

       Binder对象与驱动：

       Binder驱动对具有跨进程传递能力的对象进行特殊处理，自动完成代理对象与本地对象的转换，保存了每个跨越进程的Binder对象的相关信息。

       Java层的Binder与AIDL：

       Binder类和BinderProxy类继承自IBinder，具备跨进程传输能力。IBinder是远程对象的基本接口，用于高性能的远程调用。AIDL生成的Stub类继承自Binder，实现了远程服务与客户端的交互。

       AIDL实现流程：

       服务端实现Stub接口，客户端通过bindService回调获取AIDL接口。调用Stub.asInterface获取BinderProxy对象，进而调用add方法。AIDL原理包括Stub类、asInterface方法、add方法的实现，以及数据传输过程。

       AMS的Binder体系：

       AMS作为Android核心服务，负责组件启动、切换、调度及应用进程管理。Binder体系在其中发挥关键作用，实现高效、安全的进程间通信。

       结语：

       本文简要介绍了Binder机制的基本原理，旨在提供易于理解的入门知识。未来将深入探讨Framework层的详细原理。鼓励读者通过手写远程Service实现跨进程通信，以加深对AIDL和Binder的理解。

你对Framework 底层中的 Binder机制原理了解多少？

       Binder 是一种高效、方便、安全的进程间通信方式，用于 Android 中的系统服务和应用程序间的交互。其通信模型涉及四方：Binder 驱动层、Client 端、Service 端和 ServiceManager。Client 端和 Service 端通过 ServiceManager 作为上下文管理者来注册和获取服务。

       Client 和 Service 通过 binder_open 打开驱动，根据返回的文件描述符进行内存映射，分配缓冲区，并启动 binder 线程。ServiceManager 的主要功能是注册和获取服务，通过 binder_open 打开驱动，注册为大管家，并进入 binder_loop 循环处理请求。

       Service 注册时，首先启动 binder 机制，注册线程，然后初始化服务，最后通过 ServiceManager 注册。ServiceManager 获取服务的 Binder 代理对象，通过 defaultServiceManager 和 getStrongProxyForHandle(0) 方法实现。

       Client 获取服务同样通过 ServiceManager 的代理对象实现。Binder 驱动层在处理请求时，根据 handle 值封装 BinderProxy 对象，完成注册过程。

       IPC 通信流程涉及 Proxy、Binder、Parcel 和 BpBinder。从应用层的 Proxy 的 transact 函数开始，传递到 Java 层的 BinderProxy，再到 Native 层的 BpBinder 的 transact。BpBinder 的 transact 实际上是调用 IPCThreadState 的 transact 函数，通过 handle 值找到 Binder 实体对象。

       Service 端的通信涉及 Binder 线程、getAndExecuteCommand 和 executeCommand。在执行命令时，通过 onTransact 函数处理请求，然后发送 BC_REPLY 响应。Binder 对象在 Parcel 中通过 readStrongBinder/writeStrongBinder 存储，存储原理是 flat_binder_object。

       OneWay 是异步调用机制，不需要等待返回结果。系统服务常使用 OneWay，如 Activity 启动。Framework 中使用管道、Socket、共享内存和信号进行进程间通信，这些机制各有特点，用于不同场景。

       对于 Android Framework 的深入理解，不仅包括底层原理，还应理解如何在实际开发中运用。为了帮助开发者更深入地掌握 Framework 底层原理，《Android Framework核心笔记》及相关学习资料提供了全面的指导。这些资源涵盖了 Handler、Binder、Zygote、AMS、PMS、WMS 等关键组件的实现细节，是提升 Android 开发能力的宝贵资源。