Android模拟器模拟基站信息，并将wifi伪造成4g数据信息

Lavande21 2019-08-06

展开全文

许多国产软件都会使用基站进行定位，android模拟器是没有流量卡的，所以没有基站位置，但是我们可以通过Xposed来让模拟器拥有指定的基站信息。拥有基站信息的模拟器就可以在地图app中定位了，这种方式比通过hook修改经纬度要更加好一点，可能大多数软件都是基站来判断，而不是经纬度。

基站定位使用到如下概念

MCC，Mobile Country Code，移动国家代码（中国的为460）；
MNC，Mobile Network Code，移动网络号码（中国移动为00，中国联通为01，中国电信为02）；
LAC，Location Area Code，位置区域码；
CID，Cell Identity，基站编号；
BSSS，Base station signal strength，基站信号强度。

通常基站信息由如下api 获取得到 :

telephonyManager # getAllCellInfo()
获取所有基站信息，返回的是一个List<CellInfo>基站列表信息
telephonyManager # getCellLocation()
获取当前基站信息，移动联通返回的是GsmCellLocation，通过返回值再去调用gsmCellLocation.getLac()和gsmCellLocation.getCid()可以得到当前的LAC和CID（这两个是基站的重要信息）；
电信返回的是CdmaCellLocation，获取到LAC和CID的方法是cdmaCellLocation.getNetworkId()和cdmaCellLocation.getBaseStationId()
telephonyManager # GetNeighboringCellInfo()
获取邻近的基站信息，返回的是List<NeighboringCellInfo>基站列表信息

顺便提一下MCC和MNC的获取方式

通过telephonyManager # getNetworkOperator()获取得到，它返回一个字符串长度为5的值，前3位就是MCC ，后两位为MNC

可能的结果： 46000 中国移动（GSM） 46001 中国联通（GSM） 46002 中国移动（TD-S） 46003 中国电信（CDMA） 46004 空（似乎是专门用来做测试的） 46005 中国电信（CDMA） 46006 中国联通（WCDMA） 46007 中国移动（TD-S）46008 46009 46010 46011 中国电信（FDD-LTE）

接下来就是我们Xposed出场的时候了，通过真机运行BaseStationInfoDemo项目(包含上面这些方法)得到真实数据信息。将数据记录并运行HookCellInfoDemo项目（修改了模拟器的基站信息），然后在模拟器上运行BaseStationInfoDemo项目，观察日志输出，并可以在模拟器上打卡百度地图等地图软件观察当前位置。

下面分析需要hook哪些方法：

首先无可厚非的便是telephonyManager # getCellLocation()，因为其获取的是当前基站信息

XposedHelpers.findAndHookMethod('android.telephony.TelephonyManager', loadPackageParam.classLoader, 'getCellLocation', new getCellLocationMethodHook());

getCellLocationMethodHook的实现如下：


private class getCellLocationMethodHook extends XC_MethodHook{
        @Override
        protected void beforeHookedMethod(MethodHookParam param) throws Throwable {
            Log.i(TAG, 'getCellLocation  beforeHookedMethod: ');
            GsmCellLocation gsmCellLocation = new GsmCellLocation();
            // TODO 替换基站值
            gsmCellLocation.setLacAndCid(10016,87066502);
            param.setResult(gsmCellLocation);
        }
    }

就是在beforeHookedMethod中直接通过setResult将新建的带有基站LAC和CID信息的GsmCellLocation 返回。

修改 WiFi # getScanResults(), 否则 wifi 热点暴露真实位置，返回空list，模拟的就是关闭wifi的情况


XposedHelpers.findAndHookMethod('android.net.wifi.WifiManager', loadPackageParam.classLoader, 'getScanResults', new getScanResultsMethodHook() );
private class getScanResultsMethodHook extends XC_MethodHook{
        @Override
        protected void beforeHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {
            Log.i(TAG, 'getScanResults  beforeHookedMethod: ');
            List<ScanResult> list = new ArrayList<>();
            param.setResult(list);
        }
    }

直接hook NerworkInfo的成员变量的get方法修改成员变量值(只需修改6个，其他的wifi和4g的值是一样的)

首先看下源码中NerworkInfo类的实现方式，发现其是一个实现了Parcelable接口的序列化对象，它拥有多个成员变量，这里只需要修改6个，其他的在wifi或者4g网络的情况下的值不变


XposedHelpers.findAndHookMethod('android.net.NetworkInfo',loadPackageParam.classLoader,'getTypeName',new getTypeNameMethodHook());
private class getTypeNameMethodHook extends XC_MethodHook {
        @Override
        protected void beforeHookedMethod(MethodHookParam param) throws Throwable {
            Log.i(TAG, 'getTypeName beforeHookedMethod: ');
            param.setResult('MOBILE');
        }
    }
 // 修改当前网络类型，0为TYPE_MOBILE ， 1 为TYPE_WIFI（注意要指定包名hook，不要全局hook，否则会没有网络。此时是有wifi的标志的，但是获取网络的类型是数据）
XposedHelpers.findAndHookMethod('android.net.NetworkInfo', loadPackageParam.classLoader, 'getType',new getTypeMethodHook());
private class getTypeMethodHook extends XC_MethodHook{
        @Override
        protected void beforeHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {
            Log.i(TAG, 'getType  beforeHookedMethod: ');
            param.setResult(ConnectivityManager.TYPE_MOBILE);
        }
    }
XposedHelpers.findAndHookMethod('android.net.NetworkInfo',loadPackageParam.classLoader,'getSubtype',new getSubtypeMethodHook());
private class getSubtypeMethodHook extends XC_MethodHook {
        @Override
        protected void beforeHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {
            Log.i(TAG, 'getSubtype beforeHookedMethod: ');
            param.setResult(13);
        }
    }
XposedHelpers.findAndHookMethod('android.net.NetworkInfo',loadPackageParam.classLoader,'getSubtypeName',new getSubtypeNameMethodHook());
private class getSubtypeNameMethodHook extends XC_MethodHook {
        @Override
        protected void beforeHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {
            Log.i(TAG, 'getSubtypeName beforeHookedMethod: ');
            param.setResult('LTE');
        }
    }
XposedHelpers.findAndHookMethod('android.net.NetworkInfo',loadPackageParam.classLoader,'getReason',new getReasonMethodHook());
private class getReasonMethodHook extends XC_MethodHook {
        @Override
        protected void beforeHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {
            Log.i(TAG, 'getReason beforeHookedMethod: ');
            param.setResult('connected');
        }
    }
XposedHelpers.findAndHookMethod('android.net.NetworkInfo',loadPackageParam.classLoader,'getExtraInfo',new getExtraInfoMethodHook());
private class getExtraInfoMethodHook extends XC_MethodHook {
        @Override
        protected void beforeHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {
            Log.i(TAG, 'getExtraInfo beforeHookedMethod: ');
            param.setResult('cmnet');
        }
    }

最后便是telephonyManager.getNetworkType()


 // telephonyManager.getNetworkType())
XposedHelpers.findAndHookMethod('android.telephony.TelephonyManager', loadPackageParam.classLoader, 'getNetworkType', new getNetworkTypeMethodHook());
private class getNetworkTypeMethodHook extends XC_MethodHook{
        @Override
        protected void beforeHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {
            Log.i(TAG, 'getNetworkType  beforeHookedMethod: ');
            param.setResult(13);
        }
    }