安卓反编译apk工具有哪些（可以和游戏同时运行的翻译器）

程序员文章站 2023-11-20 22:23:16

本篇文章是android逆向系列的第三篇，开始介绍dalvik虚拟机的相关知识，认识dex和smali文件格式和熟悉dalvik字节码及指令集，对dalvik指令集有个大概的了解就可以开始简单的反编译...

本篇文章是android逆向系列的第三篇，开始介绍dalvik虚拟机的相关知识，认识dex和smali文件格式和熟悉dalvik字节码及指令集，对dalvik指令集有个大概的了解就可以开始简单的反编译静态分析了，后面提及了安卓开发四大组件和使用eclipse开发一个简单的apk例子，最后以一个破解实例加深全文的知识概念，进一步熟悉工具的使用及dalvik指令集。

一、dalvik

1、dalvik介绍

dalvik是google专门为android操作系统设计的一个虚拟机，dalvik vm是基于寄存器的，而jvm是基于栈的；dalvik有专属的文件执行格式dex（dalvik executable），而jvm则执行的是java字节码。dalvik vm比jvm速度更快，占用空间更少。

在java代码中我们无法修改某个逻辑，所以需要将java代码翻译成smali代码，也就是将dex文件转换为smali文件。可以这样理解，dalvik里面的smali是可以修改的，而java代码是修改不了的，那么我们想要去破解也就是把java代码改成smali代码，修改smali代码之后再回编译回去同时java逻辑也发生了改变，这是一种破解的思路。

smali格式是dex格式的一种直观可读形式

smali文件可以认为是davilk的字节码文件

详见后续的smali介绍

2、dalvik寄存器命名法

dalvik虚拟机参数传递方式中的规定：假设一个函数使用到m个寄存器，其中函数的参数是n个，那么参数使用最后的n个寄存器，局部变量使用从头开始的前m-n个寄存器

dalvik寄存器有两种命名法

v命名法

v命名法采用以小写字母“v”开头的方式表示函数中用到的局部变量与参数，所有的寄存器命名从v0开始，依次递增。

参数寄存器 v(m-n)~vm
局部变量寄存器 v0~vn

p命名法

基本上类似，主要是参数寄存器是使用p命名寄存器，而局部变量寄存器还是使用v命名寄存器

参数寄存器 p0~pn
变量寄存器 v0~vn

3、v命名法smali代码分析

smali代码如下图，首先看第一行

static public decryptdemo->gethelloworld(ljava/lang/string;i)ljava/lang/string;

第一行中调用了一个gethelloworld()方法，括号内的表示有两个参数ljava/lang/string和i，用分号;隔开，返回值的类型为ljava/lang/string

中间部分的.regsize:[5]表示有5个寄存器

第一个红框中调用了方法将v2、v3寄存器值存入，返回了一个v2。第二个红框中调用了方法将v0、v4寄存器值存入，返回一个v0。

invoke-virtual虚方法调用，调用的方法运行时确认实际调用，和实例引用的实际对象有关，动态确认的

4、p命名法smali代码分析

同样第一行可以看出调用了一个gethelloworld()方法，两个参数ljava/lang/string和i，用分号;隔开，返回值的类型为ljava/lang/string

invoke-virtual {v1, p0}, ljava/lang/stringbuilder;->append (ljava/lang/string;)ljava/lang/stringbuilder;move-result-object v1

第一个红框在ljava/lang/stringbuilder类中调用了一个append的方法拼接传来的string，返回一个ljava/lang/stringbuilder类型，传入参数位于p0处，传出参数位于v1处，返回的是一个move-result-object

第二个红框类似，调用了一个append的方法拼接传来的string返回一个ljava/lang/stringbuilder类型，传入参数位于p1处，传出参数位于v0处

5、dex文件反编译工具

dalvik 虚拟机并不支持直接执行 java 字节码，所以会对编译生成的 .class 文件进行翻译、重构、解释、压缩等处理，这个处理过程是由 dx 进行处理，处理完成后生成的产物会以 .dex 结尾，称为 dex 文件。

整个编译/反编译涉及到的工具及流程如下：

1）编译出smali文件流程

.java ==> .class ==> .dex ==> .smali

2）dx.jar脚本将class文件打包成dex文件

dx --dex --output=test.dex com/xxx/ooo/test.class

3）baksmali.jar脚本将dex文件反编译成smali文件

java -jar baksmali.jar -o smali_out/ source.dex

4）smali.jar脚本将smali文件打包成dex文件

java -jar smali.jar smali_out/ -o source.dex

6、dalvik字节码类型

davilk字节码只有两种类型：基本类型和引用类型，对象和数组都是引用类型。

基本类型和无返回值的void类型都是用一个大写字母表示
对象类型用字母l加对象的全限定名来表示
数组类型用[来表示

全限定名是什么？

以string为例，其完整名称是java.lang.string，那么其全限定名就是java/lang/string;。即java.lang.string的”.”用”/”代替,并在末尾添加分号”;”做结束符

具体规则如下所示:

类型描述符   java类型v           voidz           booleanb           bytes           stringc           chari           intj           longf           floatd           doublel           java对象类型[           数组类型

解释下java对象类型：l可以表示java类型中的任何类，比如在java代码中的java.lang.string对应在davlik中描述是ljava/lang/string

二、dalvik指令集

上面只是简单了解了dalvik字节码，具体每个方法涉及到的逻辑还需要dalvik指令集来解释，下面介绍dalvik指令集，由于dalvik虚拟机是基于寄存器架构的，其指令集的风格更偏向于x86中的汇编指令

数据定义指令

const指令定义代码中变量、常量、类等数据

<table><thead><tr><th>指令</th><th>描述</th></tr></thead><tbody><tr><td>const/4 va,#+b</td><td>将数值符号扩展为32后赋值给寄存器va</td></tr><tr><td>const-wide/16 vaa,#+bbbb</td><td>将数值符号扩展为64位后赋值个寄存器对vaa</td></tr><tr><td>const/high16 vaa, #+bbbb0000</td><td>将数值右边零扩展为32位后赋给寄存器vaa</td></tr><tr><td>const-string vaa,string[@bbbb](https://github.com/bbbb “@bbbb”)</td><td>通过字符串索引高走字符串赋值给寄存器vaa</td></tr><tr><td>const-class vaa,type[@bbbb](https://github.com/bbbb “@bbbb”)</td><td>通过类型索引获取一个类的引用赋值给寄存器vaa</td></tr></tbody></table>

数据操作指令

move指令用于操作代码中的数据

<table><thead><tr><th>指令</th><th>描述</th></tr></thead><tbody><tr><td>move va,vb</td><td>将vb寄存器的值赋值给va寄存器,va和vb寄存器都是4位</td></tr><tr><td>move/from16 vaa,vbbbb</td><td>将vbbbb寄存器(16位)的值赋值给vaa寄存器(7位),from16表示源寄存器vbbbb是16位的</td></tr><tr><td>move/16 vaaaa,vbbbb</td><td>将寄存器vbbbb的值赋值给vaaaa寄存器,16表示源寄存器vbbbb和目标寄存器vaaaa都是16位</td></tr><tr><td>move-object va,vb</td><td>将vb寄存器中的对象引用赋值给va寄存器,va寄存器和vb寄存器都是4位</td></tr><tr><td>move-result vaa</td><td>将上一个invoke指令(方法调用)操作的单字(32位)非对象结果赋值给vaa寄存器</td></tr><tr><td>move-result-wide vaa</td><td>将上一个invoke指令操作的双字(64位)非对象结果赋值给vaa寄存器</td></tr><tr><td>mvoe-result-object vaa</td><td>将上一个invoke指令操作的对象结果赋值给vaa寄存器</td></tr><tr><td>move-exception vaa</td><td>保存上一个运行时发生的异常到vaa寄存器</td></tr></tbody></table>

比较指令

cmp/cmpl用于比较两个寄存器值，cmp大于结果表示1，cmpl大于结果表示-1。

<table><thead><tr><th>指令</th><th>说明</th></tr></thead><tbody><tr><td>cmpl-float vaa,vbb,vcc</td><td>比较两个单精度的浮点数.如果vbb寄存器中的值大于vcc寄存器的值,则返回-1到vaa中,相等则返回0,小于返回1</td></tr><tr><td>cmpg-float vaa,vbb,vcc</td><td>比较两个单精度的浮点数,如果vbb寄存器中的值大于vcc的值,则返回1,相等返回0,小于返回-1</td></tr><tr><td>cmpl-double vaa,vbb,vcc</td><td>比较两个双精度浮点数,如果vbb寄存器中的值大于vcc的值,则返回-1,相等返回0,小于则返回1</td></tr><tr><td>cmpg-double vaa,vbb,vcc</td><td>比较双精度浮点数,和cmpl-float的语意一致</td></tr><tr><td>cmp-double vaa,vbb,vcc</td><td>等价与cmpg-double vaa,vbb,vcc指令</td></tr></tbody></table>

跳转指令

用于跳转至不同的地址处，davlik提供了三种跳转指令，goto、swicth和if跳转

<table><thead><tr><th>指令</th><th>操作</th></tr></thead><tbody><tr><td>goto +aa</td><td>无条件跳转到指定偏移处(aa即偏移量)</td></tr><tr><td>packed-switch vaa,+bbbbbbbb</td><td>有规律分支跳转指令.vaa寄存器中的值是switch分支中需要判断的,bbbbbbbb则是偏移表(packed-switch-payload)中的索引值,</td></tr><tr><td>spare-switch vaa,+bbbbbbbb</td><td>无规律分支跳转指令,和packed-switch类似,只不过bbbbbbbb偏移表(spare-switch-payload)中的索引值</td></tr><tr><td>if-eq va,vb,target</td><td>va,vb寄存器中的相等,等价于java中的if(a==b),比如if-eq v3,v10,002c表示如果条件成立,则跳转到current position+002c处.其余的类似</td></tr><tr><td>if-ne va,vb,target</td><td>等价与java中的if(a!=b)</td></tr><tr><td>if-lt va,vb,target</td><td>va寄存器中的值小于vb,等价于java中的if(a`<`b)</td></tr><tr><td>if-gt va,vb,target</td><td>等价于java中的if(a`>`b)</td></tr><tr><td>if-ge va,vb,target</td><td>等价于java中的if(a`>=`b)</td></tr><tr><td>if-le va,vb,target</td><td>等价于java中的if(a`<=`b)</td></tr></tbody></table>

返回指令

return指令用于返回方法的执行结果

<table><thead><tr><th>指令</th><th>说明</th></tr></thead><tbody><tr><td>return-void</td><td>什么也不返回</td></tr><tr><td>return vaa</td><td>返回一个32位非对象类型的值</td></tr><tr><td>return-wide vaa</td><td>返回一个64位非对象类型的值</td></tr><tr><td>return-object vaa</td><td>反会一个对象类型的引用</td></tr></tbody></table>

方法调用指令

invoke-virtual:     调用实例的虚方法(普通方法)invoke-super:       调用实例的父类/基类方法invoke-direct:      调用实例的直接方法invoke-static:      调用实例的静态方法invoke-interface:   调用实例的接口方法

实例操作指令

操作对象实例相关

<table><thead><tr><th>指令</th><th>描述</th></tr></thead><tbody><tr><td>new-instance vaa,type[@bbbb](https://github.com/bbbb “@bbbb”)</td><td>构造一个指定类型的对象将器引用赋值给vaa寄存器.此处不包含数组对象</td></tr><tr><td>instance-of va,vb,type[@cccc](https://github.com/cccc “@cccc”)</td><td>判断vb寄存器中对象的引用是否是指定类型,如果是,将v1赋值为1,否则赋值为0</td></tr><tr><td>check-cast vaa,type[@bbbb](https://github.com/bbbb “@bbbb”)</td><td>将vaa寄存器中对象的引用转成指定类型,成功则将结果赋值给vaa,否则抛出classcastexception异常.</td></tr></tbody></table>

空操作指令

nop指令无实际意义，一般用于代码对齐

还有些指令未介绍到，稍微了解下就可以了，在实际试验中遇到再进行解释学习

三、安卓开发四大组件

提到安卓开发，必然会提及其四大组件activity、service、broadcastreceiver、contentprovider，其功能分别为

activity: 控制程序界面的呈现service: 提供后台运行服务broadcastreceiver: 提供接收广播功能contentprovider: 支持多个应用存储和读取数据

1、activity活动

activity提供了一个用户完成相关操作的界面，一个apk中通常含有多个activity活动，需要在android manifest.xml中进行声明才可以调用。

activity生命周期

acticity流程开始，先调用oncreate()方法创建acticity，再调用onstart()方法使该acticity由不可见转为可见，接着调用onresume()方法，使得用户可以操作界面获得焦点，acticity开始运行。之后暂停调用onpause()方法，使得页面失去焦点无法操作（可重新调用onresume()获得焦点继续操作），再调用onstop()方法使得界面不可见（若是对话框可见），此时可以调用onrestart()方法重新恢复到onstart()状态前，或者调用ondestroy()方法后，acticity界面全部消失，acticity流程结束。

2、service服务

service服务，不能与用户交互的，不能自己启动的，运行在后台的程序如果我们退出应用时, service进程并没有结束，它仍然在后台运行，那我们什么时候会用到service呢？比如我们播放音乐的时候，有可能想边听音乐边干些其他事情，当我们退出播放音乐的应用，如果不用service，我们就听不到歌了，所以这时便就得用到service了，又比如当我们一个应用的数据是通过网络获取的，不同时间(一段时间)的数据是不同的这时候我们可以用service在后台定时更新，而不用每打开应用的时候在去获取。

service生命周期

service的生命周期并不像activity那么复杂，它只继承了oncreate(), onstart(), ondestroy()三个方法，当我们第一次启动service时，先后调用oncreate()和onstart()这两个方法，当停止service时，则执行ondestroy()方法，这里需要注意的是，如果service已经启动了，当我们再次启动service时,不会在执行oncreate()方法，而是直接执行onstart()方法。