はじめに

この記事は、技術研究を目的とするものであり、決して違法な攻撃を助長するものではありません。
悪用厳禁です。(といっても悪用は難しいと思いますが...)

この記事で分かること

動的計装とは何か
なぜInMemoryDexClassLoaderが優秀なのか
アプリ実行中に任意のコードを差し替える方法

動的計装（Dynamic Instrumentation）とは？

プログラムの実行中に実行コードの変更や追加を行う技術を意味します。
主にサイバーセキュリティやデバッグの文脈で用いられることが多いです。

InMemoryDexClassLoaderについて

InMemoryDexClassLoaderとは？

本クラスを利用するにはAPI 26以上である必要があります。

動的計装を行うためのAndroid公式提供クラスです。
本クラスはdexファイル(後述します)と組み合わせて利用します。
また、本クラスは前身であるDexClassLoaderの弱点を補ったクラスでもあります。(後述します)

dexとは？

dexはDalvik Executableの略称です。
ART(AndroidRunTime)の前身であるDalvik VMから用いられているファイル形式です。
普段我々が実装しているKotlinコードなどは最終的にこのdexファイルに変換されます。
apkの中身を分解してみればdexが見えるでしょう。(今回は省略します)

今回は後から流し込みたいコード(payload)をこのdexファイルに変換し、それをInMemoryDexClassLoaderを通じて読み込ませます。

InMemoryDexClassLoaderとDexClassLoaderの違い

DexClassLoaderはInMemoryDexClassLoaderの前身です。
名前は酷似していますが、これらはある観点で非常に大きな違いを持っています。
それは"ストレージを圧迫するかどうか"です。

DexClassLoaderでは読み取ったdexを最適化し、その結果をファイルストレージへ書き込みます。
そのため、プログラムを実行する度にファイルが増えてしまいストレージを圧迫してしまいます...。

そこで、登場したのがInMemoryDexClassLoaderです。
これは名前の通りメモリ上で完結し、ストレージを圧迫しません。

概念実証開始

全体像

ペイロードコードを実装
dexファイル作成
アセットへ配置
ローダー実装

これが大まかな流れです。

ペイロードコードを実装

1.下記画像のようにappフォルダを右クリックしてNew->Moduleを押下

2.Android Libraryを選択し、モジュール名を決めてFinishを押下

3.モジュールが生成されるのでmain->java->内にPayload.ktを作成し下記のようなコードを実装する

object PayloadObject {
    @JvmStatic
    fun execute(): String {
        return "World!!"
    }
}

ここで、@JvmStaticを必ず付与してください。
これを付与することで、dexを読み込んだ後executeメソッドを実行する時にPayloadObject及びインスタンスを経由せず静的関数として呼ぶことができます。

dexファイル作成 & assetsへ配置

build.gradle.kts(app)へ下記の実装を行う

// ペイロードモジュールのビルド完了まで待機
evaluationDependsOn(":app:<ペイロードモジュール名>")
val payloadProject = project(":app:<ペイロードモジュール名>")
val jarTaskProvider = payloadProject.tasks.named<Jar>("jar")
// ...
android {
  // 色々設定...
  val sdkDir = sdkDirectory
  val btVersion = buildToolsVersion
  // dexファイル生成
  val buildPayloadDex = tasks.register<Exec>("buildPayloadDex") {
    dependsOn(jarTaskProvider)
    val inputJar = jarTaskProvider.get().archiveFile.get().asFile
    val outputDir = layout.buildDirectory.dir("payload-dex").get().asFile
    val d8Name = if (org.gradle.internal.os.OperatingSystem.current().isWindows) "d8.bat" else "d8"
        val d8Path = File(sdkDir, "build-tools/$btVersion/$d8Name")
        doFirst { outputDir.mkdirs() }
        commandLine(d8Path.absolutePath, "--output", outputDir.absolutePath, inputJar.absolutePath)
    }

  // assetsフォルダへの配置
  val copyDexToAssets = tasks.register<Copy>("copyDexToAssets") {
        dependsOn(buildPayloadDex)
        from(layout.buildDirectory.file("payload-dex/classes.dex"))
        into("src/main/assets")
        rename { "payload.dex" }
   }

  // preBuild に紐付け
  tasks.named("preBuild") {
    dependsOn(copyDexToAssets)
  }
}

上記で行っていることは簡潔に言えば、

payloadモジュールのビルドを待機
dexファイルを生成
assetsフォルダへdexを配置

ローダー実装

UI面は雑ですがこんな感じで...。

class MainActivity : ComponentActivity() {
    override fun onCreate(savedInstanceState: Bundle?) {
        super.onCreate(savedInstanceState)
        enableEdgeToEdge()
        setContent {
            PawnTheme {
                Scaffold(modifier = Modifier.fillMaxSize()) { innerPadding ->
                    Hoge(modifier = Modifier.padding(innerPadding))
                }
            }
        }
    }
}

@Composable
fun Hoge(modifier: Modifier = Modifier) {
    val viewModel: MainActivityViewModel = viewModel()
    Column(
        modifier = modifier.fillMaxSize(),
        horizontalAlignment = Alignment.CenterHorizontally,
        verticalArrangement = Arrangement.Center) {
        Text(viewModel.str.value)
        Button(onClick = {viewModel.onClickInjectButton()}) {
            Text("Inject!")
        }
    }
}

テキストとボタンが中央に配置されており、
ボタンを押すとペイロードによりテキストの内容がHelloからWorldへ書き換えられるイメージですね。

インジェクト含めたViewModelの処理がこちら

class MainActivityViewModel(
    application: Application
): AndroidViewModel(application) {
    private val context: Context
        get() = getApplication<Application>().applicationContext
    var str = mutableStateOf("Hello")
    fun onClickInjectButton() {
        val dexBytes = context.assets.open("payload.dex").use {
            it.readBytes()
        }
        str.value = InMemoryDexPayloadLoader(
            context = context,
            dexBytes = dexBytes,
            dstClassName = "com.payload.PayloadObject",
            dstMethodName = "execute"
        ).execute()
    }
}

後述しますが、InMemoryDexPayloadLoaderは別で作ったクラスです。
ここで指定しているのは下記の3点です。

dexファイルの中身(Byte)
ペイロードのクラス名
当該クラス内で実行したいメソッド名

肝心のInMemoryDexPayloadLoaderはこちら

/**
 * InMemoryDexClassLoaderを用いた動的ペイロード実行クラス
 * @param context コンテキスト
 * @param dexBytes 実行するペイロードのDexバイト
 * @param dstClassName 実行するクラス名
 * @param dstMethodName 実行するメソッド名
 */
class InMemoryDexPayloadLoader(
    private val context: Context,
    private val dexBytes: ByteArray,
    private val dstClassName: String,
    private val dstMethodName: String
) {
    companion object {
        private const val TAG = "PayloadLoader"
    }

    /**
     * ペイロード実行
     */
    fun <R> execute(): R {
        try {
            val loader = makeInMemoryDexClassLoader()
            val clazz = loader.loadClass(dstClassName)
            val method = clazz.getMethod(dstMethodName)
            @Suppress("UNCHECKED_CAST")
            return method.invoke(null) as R

        } catch (e: Throwable) {
            when (e) {
                is ClassNotFoundException -> {
                    Log.e(TAG, "Class not found: $dstClassName", e)
                    throw PayloadExecutionException("Class not found", e)
                }
                is NoSuchMethodException -> {
                    Log.e(TAG, "Method not found: $dstMethodName", e)
                    throw PayloadExecutionException("Method not found", e)
                }
                else -> {
                    Log.e(TAG, "Execution failed", e)
                    throw PayloadExecutionException("Execution failed", e)
                }
            }
        }
    }

    /**
     * InMemoryDexClassLoaderを作成
     */
    private fun makeInMemoryDexClassLoader(): InMemoryDexClassLoader {
        return InMemoryDexClassLoader(
            makeByteBuffer(),
            context.classLoader
        )
    }

    /**
     * ByteBufferを作成
     */
    private fun makeByteBuffer(): ByteBuffer {
        return ByteBuffer.wrap(dexBytes)
    }
}

/**
 * ペイロード実行時の例外
 */
class PayloadExecutionException(
    message: String,
    cause: Throwable? = null
) : Exception(message, cause)

本クラスが行っていることを箇条書きにすると

Android公式のInMemoryDexClassLoaderクラスを利用
dexファイルから指定されたクラスとメソッドを取得
クラスまたはメソッドが見つからない場合は例外返却
メソッドまで取得できた場合はinvokeして結果を返却

今回のInMemoryDexPayloadLoaderのように、InMemoryDexClassLoader の複雑な初期化処理を抽象化し、必要な情報（バイト配列やクラス名）だけを外部から注入する設計にすることで、利用側のコードをよりクリーンに保つことができます。

結果

Before	After

こうなればOKです！
ボタンを押下することで、dexファイルが読み込まれ、「ペイロードコードを実装」で用意したexecuteメソッドの返り値("World!!")を取得してセットしています。

まとめ

いかがでしたでしょうか。
InMemoryDexClassLoader を活用することで、ストレージを汚さずに実行時コードの拡張ができることがお分かりいただけたかと思います。

本来、こうした技術はアプリの「プラグイン機能」の動的な配信や、特定の環境下でのみ動作させたいデバッグツールのインジェクトなど、柔軟な設計を実現するための強力な武器になります。OSの深いレイヤーに触れるような実装は、Androidの仕組みを理解する上でも非常に良い題材ですので、ぜひ皆さんも「型にハマらない実装」の第一歩として試してみてください！！