Android逆向工程 初篇
什么是APK？
什么是Dalvik？
什么是Smali？
什么是APK
APK的本质是一个zip的压缩包，用压缩软件打开后就可以看到里面的文件以及结构。
assets/res：都是资源目录，但是二者有区别。
1: Assets
不会再R.Java文件里面生成相应的引索，Assets文件夹可以自己随意创建文件夹，用AssetsManager类访问，存放再此目录下的文件都会被打包到Apk里面。
2: lib
so库存放位置,一般由NDK编译得到.
META-INF
存放工程的一下属性文件,例如Manifest.MFMETA-INF
3: res
会在R.java文件生成相应的引索，软件里面使用到的资源文件会在这里生成相对应的引索。res/raw和assets文件夹存不需要编译的二进制文件,比如字体,声音.在res文件夹里面可以定义一下目录:
res/anim:存放动画资源.
res/xml :存放xml文件,利用getResource().getXML()得到资源.
res/raw :该目录下的文件可以直接复制到设备上，不能有子文件夹，编译软件时，这里的数据不需要编译，直接加入到程序安装包中，使用方法是getResource().OpenRawResources(ID),其中参数ID的形式是R.raw.XXX.
4: AndroidManifest.xml
Android工程的基础配置属性文件.
5: Classes.dex
Java代码编译得到的Dalvik VM能执行的文件
6: resources.arsc
里面就是一些资源文件的引索
什么是Dalvik(逆向的基础)
Dalvik是Google专门为Android操作系统设计的一个虚拟机,经过深度优化. Dalvik有专属的文件执行格式dex,而Jvm则执行的是Java字节码. DalvikVM比JVM速度更快,占用控件少.通过Dalvik的字节码我们不能直接看到原来的逻辑代码,这时需要借助ApkTool或者dex2jar jd-gui工具来看java代码.由于Apk在打包之前都会有混淆,所以,基本上很难看出来逻辑处理,除非很简单的逻辑.
什么是Smali(主角,一般人是很难看懂它的语法的,很少人能坚持研究.
先给大家露给脸
上面是一个监听点击事件,点击后关闭窗口并且调用一些方法做某些事情.
从上面可以看到函数声明使用.method开始 .end method结束，
方法定义:
Func-Name(Para-TypePara-Type2Para-Type3…)return-Type
例子:
public final onClick(DialogInterface, I)V 对应 public final void onClick(DialogInterface,int);
hello()V 对应 void hello();
hello(III)Z 对应 boolean hello(int,int,int);
hello(Z[I[ILjava/lan/String;J)Ljava/String; 对应 hello(boolean,int[],int[],String,long)
是不是很简单???
Smali语法
.method 方法
.parameter 方法参数
.prologue 方法开始
.line 12 此方法位于第12行
invoke-super 调用父函数
const/high16 v0, 0x7fo3 把0x7fo3赋值给v0
invoke-direct 调用函数
return-void 函数返回void
.end method 函数结束
new-instance 创建实例
iput-object 对象赋值
iget-object 调用对象
invoke-static 调用静态函数if-eq vA, vB, :cond_** 如果vA等于vB则跳转到:cond_**
if-ne vA, vB, :cond_** 如果vA不等于vB则跳转到:cond_**
if-lt vA, vB, :cond_** 如果vA小于vB则跳转到:cond_**
if-ge vA, vB, :cond_** 如果vA大于等于vB则跳转到:cond_**
if-gt vA, vB, :cond_** 如果vA大于vB则跳转到:cond_**
if-le vA, vB, :cond_** 如果vA小于等于vB则跳转到:cond_**
if-eqz vA, :cond_** 如果vA等于0则跳转到:cond_**
if-nez vA, :cond_** 如果vA不等于0则跳转到:cond_**
if-ltz vA, :cond_** 如果vA小于0则跳转到:cond_**
if-gez vA, :cond_** 如果vA大于等于0则跳转到:cond_**
if-gtz vA, :cond_** 如果vA大于0则跳转到:cond_**
if-lez vA, :cond_** 如果vA小于等于0则跳转到:cond_**
继续来点理论,后面会有实例
数据操作指令 [->寄存器赋值]
数据操作指令为move, move指令的原先为”move destination source”,move指令更具字节码大小与类型不同,后面会跟上不同的后缀.
1: “move vA,vB” vB->vA,源寄存器与目的寄存器都是4位.
2: “move/from16 vAA,vBBBB” vBBBB->vAA,源寄存器16位,目的寄存器8位.
3: “move/16 vAAAA,vBBBB” vBBBB->vAAAA,源寄存器和目的寄存器都是16位.
4: “move-wide vA,vB” 为4位的寄存器对赋值.源寄存器与目的寄存器都为4位.
5: “move-wide/from16 vAA,vBBBB” 等于 “move-wide/16vAAAA,vBBBB” 实现与move-wide相同.
6: “move-object vA,vB” 为对象赋值.源寄存器和目标寄存器都为4为.
7: “move-object/from16 vAA,vBBBB” 为对象赋值,源寄存器16位,目标寄存器8位.
8: “move-result vAA” 将上一个invoke类型指令操作的单字非对象结果赋值给vAA寄存器.
9: “move-result-wide vAA” 将上一个invoke类型指令操作的双字非对象结果赋值给vAA寄存器.
10: “move-result-object vAA” 将上一个invoke类型指令操作的对象结果赋值给vAA寄存器.
11: “move-exception vAA” 保存一个运行时发生异常到vAA寄存器,这条指令必须是异常发生时的异常处理器的一条指令,否则指令无效.
返回指令
返回指令指的是函数结尾时运行的最后一条指令。它的基础字节码为teturn，共有以下四条返回指令：
“return-void”：表示函数从一个void方法返回。
“return vAA”：表示函数返回一个32位非对象类型的值，返回值寄存器为8位的寄存器vAA。
“return-wide vAA”：表示函数返回一个64位非对象类型的值，返回值为8位的寄存器对vAA。
“return-object vAA”：表示函数返回一个对象类型的值。返回值为8位的寄存器vAA。
.field private isFlag:z 定义变量普通字段操作指令有：iget，iget-wide，iget-object，iget-boolean，iget-byte，iget-char，iget-short，iput，iput-wide，iput-object，iput-boolean，iput-byte，iput-char，iput-short。
静态字段操作指令有：sget，sget-wide，sget-object，sget-boolean，sget-byte，sget-char，sget-short，sput，sput-wide，sput-object，sput-boolean，sput-byte，sput-char，sput-short。
实例
Demo
.class public MainActivity
.super c
.field private static final m:String # 声明一个私有的静态变量类型是String
.method static constructor <clinit>()V # 返回一个void类型
.registers 1
00000000 const-class v0, MainActivity # const 表示定义常量 v0 = MainActivity
00000004 invoke-virtual Class->getSimpleName()String, v0 # invoke 表示调用/引用
0000000A move-result-object v0 # 结果赋值
0000000C sput-object v0, MainActivity->m:String # 静态变量调用赋值m是MainActivity里面的一个静态变量.
00000010 return-void # 返回void, 因为这个方法是static void类型的
.end method
.method public constructor <init>()V # 构造方法
.registers 1
00000000 invoke-direct c-><init>()V, p0
00000006 return-void
.end method
.method private a(I, I)String # 方法开始,传入2个参数(int,int)返回String
.registers 5
00000000 new-instancev0, StringBuilder # 从前面语法可以知道,这里new了一个String实例v0
00000004 invoke-direct StringBuilder-><init>()V, v0 # invoke-direct:调用直接方法StringBuilder 初始化 v0
0000000A add-int v1, p1, p2 # 从前面的语法可以看出这里是做相加得到int类型的数据v1
0000000E invoke-virtual StringBuilder->append(I)StringBuilder, v0, v1 # 调用虚拟方法 append方法把v1放入v0
00000014 move-result-object v0 # 赋值
00000016 const-stringv1, "" # 定义v1=""
0000001A invoke-virtual StringBuilder->append(String)StringBuilder, v0, v1
00000020 move-result-object v0
00000022 invoke-virtual StringBuilder->toString()String, v0
00000028 move-result-object v0
0000002A return-object v0 # 返回v0
.end method
.method private a(String, String)String # 方法开始(String,String)返回String
.registers 4
00000000 new-instancev0, StringBuilder
00000004 invoke-direct StringBuilder-><init>()V, v0
0000000A invoke-virtual StringBuilder->append(String)StringBuilder, v0, p1
00000010 move-result-object v0
00000012 invoke-virtual StringBuilder->append(String)StringBuilder, v0, p2
00000018 move-result-object v0
0000001A invoke-virtual StringBuilder->toString()String, v0
00000020 move-result-object v0
00000022 return-object v0 # 同样的返回v0 ,细心的同学会发现传入的参数不同.
.end method
.method protected onCreate(Bundle)V # MainActivity方法的入口
.registers 7
00000000 const/4 v4, 1 # v4=1 整形.
00000002 invoke-superc->onCreate(Bundle)V, p0, p1 # 调用父类方法.
00000008 const v0, 0x7F04001B # 这里应该是定义了一个xml布局文件地址
0000000E invoke-virtual MainActivity->setContentView(I)V, p0, v0 # 赋值,并且MainActivity调用方法把xml布局写入的Activity里面.
00000014 sget-object v0, MainActivity->m:String # m是一个静态的变量,这里引用了m
00000018 new-instancev1, StringBuilder # new一个对象为StringBuilder
0000001C invoke-direct StringBuilder-><init>()V, v1 # 初始化
00000022 const-stringv2, "onCreate: " # 赋值
00000026 invoke-virtual StringBuilder->append(String)StringBuilder, v1, v2 # 赋值
0000002C move-result-object v1 # 结果赋值, 将上一个invoke类型指令操作的对象结果, 赋值给v1寄存器
0000002E const/4 v2, 2 # v2=2 整形
00000030 invoke-direct MainActivity->a(I, I)String, p0, v4, v2 # 调用a方法传入2给int类型v4,v2 就是传入的数据. 此方法返回String类型的数据.
00000036 move-result-object v2
00000038 invoke-virtual StringBuilder->append(String)StringBuilder, v1, v2
0000003E move-result-object v1
00000040 invoke-virtual StringBuilder->toString()String, v1
00000046 move-result-object v1
00000048 invoke-static Log->e(String, String)I, v0, v1 # 打印log, 传入2给String类型的数据,v0 是TAG,v1是上面方法返回的数据.
0000004E sget-object v0, MainActivity->m:String # 下面的代码和上面的差不多,就是调用的函数不同传入的数据不同.
00000052 new-instancev1, StringBuilder
00000056 invoke-direct StringBuilder-><init>()V, v1
0000005C const-stringv2, "onCreate: "
00000060 invoke-virtual StringBuilder->append(String)StringBuilder, v1, v2
00000066 move-result-object v1
00000068 const-stringv2, "---"
0000006C const-stringv3, "123"
00000070 invoke-direct MainActivity->a(String, String)String, p0, v2, v3
00000076 move-result-object v2
00000078 invoke-virtual StringBuilder->append(String)StringBuilder, v1, v2
0000007E move-result-object v1
00000080 invoke-virtual StringBuilder->toString()String, v1
00000086 move-result-object v1
00000088 invoke-static Log->e(String, String)I, v0, v1
0000008E const/16v0, 0x04BC
00000092 const/4 v1, 3
00000094 invoke-direct MainActivity->a(I, I)String, p0, v0, v1
0000009A move-result-object v0
0000009C invoke-static Toast->makeText(Context, CharSequence, I)Toast, p0, v0, v4
000000A2 move-result-object v0
000000A4 invoke-virtual Toast->show()V, v0
000000AA const-stringv0, "---"
000000AE const-stringv1, "123"
000000B2 invoke-direct MainActivity->a(String, String)String, p0, v0, v1
000000B8 move-result-object v0
000000BA invoke-static Toast->makeText(Context, CharSequence, I)Toast, p0, v0, v4
000000C0 move-result-object v0
000000C2 invoke-virtual Toast->show()V, v0
000000C8 return-void
.end method
复制代码
用的软件是JEB2