开发文章

Android逆向工程 初篇

Android逆向工程 初篇

本篇文章建立于有开发环境(jdk,android sdk)基础之上,没有环境的朋友自己去配。

什么是APK?


什么是Dalvik?
什么是Smali?

什么是APK

APK的本质是一个zip的压缩包,用压缩软件打开后就可以看到里面的文件以及结构。

APK的本质.png

assets/res:都是资源目录,但是二者有区别。

1: Assets

不会再R.java文件里面生成相应的引索,Assets文件夹可以自己随意创建文件夹,用AssetsManager类访问,存放再此目录下的文件都会被打包到Apk里面。

2: lib

so库存放位置,一般由NDK编译得到.

META-INF

存放工程的一下属性文件,例如Manifest.MFMETA-INF

3: res

会在R.java文件生成相应的引索,软件里面使用到的资源文件会在这里生成相对应的引索。res/raw和assets文件夹存不需要编译的二进制文件,比如字体,声音.在res文件夹里面可以定义一下目录:

 

res/anim:存放动画资源.
res/xml :存放xml文件,利用getResource().getXML()得到资源.
res/raw :该目录下的文件可以直接复制到设备上,不能有子文件夹,编译软件时,这里的数据不需要编译,直接加入到程序安装包中,使用方法是getResource().OpenRawResources(ID),其中参数ID的形式是R.raw.XXX.

4: AndroidManifest.xml

Android工程的基础配置属性文件.

5: Classes.dex

Java代码编译得到的Dalvik VM能执行的文件

6: resources.arsc

里面就是一些资源文件的引索

资源文件的引索.png

什么是Dalvik(逆向的基础)

Dalvik是Google专门为Android操作系统设计的一个虚拟机,经过深度优化. Dalvik有专属的文件执行格式dex,而Jvm则执行的是Java字节码. DalvikVM比JVM速度更快,占用控件少.通过Dalvik的字节码我们不能直接看到原来的逻辑代码,这时需要借助ApkTool或者dex2jar jd-gui工具来看java代码.由于Apk在打包之前都会有混淆,所以,基本上很难看出来逻辑处理,除非很简单的逻辑.

什么是Smali(主角,一般人是很难看懂它的语法的,很少人能坚持研究.

先给大家露给脸

Smali(.png

上面是一个监听点击事件,点击后关闭窗口并且调用一些方法做某些事情.
从上面可以看到函数声明使用.method开始 .end method结束,
方法定义:
Func-Name(Para-TypePara-Type2Para-Type3...)return-Type
例子:
public final onClick(DialogInterface, I)V 对应 public final void onClick(DialogInterface,int);
hello()V 对应 void hello();
hello(III)Z 对应 boolean hello(int,int,int);
hello(Z[I[ILjava/lan/String;J)Ljava/String; 对应 hello(boolean,int[],int[],String,long)

是不是很简单???

Smali语法

 

.method   方法
.parameter   方法参数
.prologue   方法开始
.line 12   此方法位于第12行
invoke-super   调用父函数
const/high16 v0, 0x7fo3  把0x7fo3赋值给v0
invoke-direct   调用函数
return-void   函数返回void
.end method   函数结束
new-instance   创建实例
iput-object   对象赋值
iget-object   调用对象
invoke-static   调用静态函数

if-eq vA, vB, :cond_ 如果vA等于vB则跳转到:cond_
if-ne vA, vB, :cond_ 如果vA不等于vB则跳转到:cond_
if-lt vA, vB, :cond_ 如果vA小于vB则跳转到:cond_
if-ge vA, vB, :cond_ 如果vA大于等于vB则跳转到:cond_
if-gt vA, vB, :cond_ 如果vA大于vB则跳转到:cond_
if-le vA, vB, :cond_ 如果vA小于等于vB则跳转到:cond_
if-eqz vA, :cond_ 如果vA等于0则跳转到:cond_
if-nez vA, :cond_ 如果vA不等于0则跳转到:cond_
if-ltz vA, :cond_ 如果vA小于0则跳转到:cond_
if-gez vA, :cond_ 如果vA大于等于0则跳转到:cond_
if-gtz vA, :cond_ 如果vA大于0则跳转到:cond_
if-lez vA, :cond_ 如果vA小于等于0则跳转到:cond_
#

继续来点理论,后面会有实例

数据操作指令 [->寄存器赋值]
数据操作指令为move, move指令的原先为"move destination source",move指令更具字节码大小与类型不同,后面会跟上不同的后缀.
1: "move vA,vB" vB->vA,源寄存器与目的寄存器都是4位.
2: "move/from16 vAA,vBBBB" vBBBB->vAA,源寄存器16位,目的寄存器8位.
3: "move/16 vAAAA,vBBBB" vBBBB->vAAAA,源寄存器和目的寄存器都是16位.
4: "move-wide vA,vB" 为4位的寄存器对赋值.源寄存器与目的寄存器都为4位.
5: "move-wide/from16 vAA,vBBBB" 等于 "move-wide/16vAAAA,vBBBB" 实现与move-wide相同.
6: "move-object vA,vB" 为对象赋值.源寄存器和目标寄存器都为4为.
7: "move-object/from16 vAA,vBBBB" 为对象赋值,源寄存器16位,目标寄存器8位.
8: "move-result vAA" 将上一个invoke类型指令操作的单字非对象结果赋值给vAA寄存器.
9: "move-result-wide vAA" 将上一个invoke类型指令操作的双字非对象结果赋值给vAA寄存器.
10: "move-result-object vAA" 将上一个invoke类型指令操作的对象结果赋值给vAA寄存器.
11: "move-exception vAA" 保存一个运行时发生异常到vAA寄存器,这条指令必须是异常发生时的异常处理器的一条指令,否则指令无效.
#
返回指令
返回指令指的是函数结尾时运行的最后一条指令。它的基础字节码为teturn,共有以下四条返回指令:

"return-void":表示函数从一个void方法返回。
“return vAA”:表示函数返回一个32位非对象类型的值,返回值寄存器为8位的寄存器vAA。
“return-wide vAA”:表示函数返回一个64位非对象类型的值,返回值为8位的寄存器对vAA。
“return-object vAA”:表示函数返回一个对象类型的值。返回值为8位的寄存器vAA。
.field private isFlag:z  定义变量
#
普通字段操作指令有:iget,iget-wide,iget-object,iget-boolean,iget-byte,iget-char,iget-short,iput,iput-wide,iput-object,iput-boolean,iput-byte,iput-char,iput-short。

静态字段操作指令有:sget,sget-wide,sget-object,sget-boolean,sget-byte,sget-char,sget-short,sput,sput-wide,sput-object,sput-boolean,sput-byte,sput-char,sput-short。
#

实例

Demo

实例.png

下面的代码有注释, 应该是有地方注释错了.知道的朋友麻烦指点一下.谢谢/

代码有注释,.png

代码有注释,.png

代码有注释,.png

代码有注释,.png

用的软件是JEB2

感谢 Ojie 支持 磐实编程网 原文地址:
www.jianshu.com/p/b475a621abae

上一篇:实践Android逆向工程

下一篇:返回列表

文章信息

发布时间:2017-02-01

作者: Ojie

发布者:aquwcw

浏览次数: