ART模式下基于dex2oat脱壳的原理分析

本文博客地址：http://blog.csdn.net/qq1084283172/article/details/78513483

一般情况下，Android Dex文件在加载到内存之前需要先对dex文件进行优化处理（如果Android Dex文件已经优化过，则不需要进行优化处理操作，后面进行加载到内存即可）,在Dalvik虚拟机模式下，Android dex文件经过dex2oat进程优化为odex文件，在ART虚拟机模式下，Android dex文件经过dex2oat进程优化为oat文件-OAT文件为一种私有的ELF格式文件，和一般的ELF文件稍有一些不同。Dalvik虚拟机模式下，Android Dex文件优化为odex文件的处理比较简单，即使Android Dex文件被Android加固所加固处理，只要Android应用运行时能保证dex文件的类方法的数据是完整的就没有问题，Dalvik虚拟机模式下Android dex文件的优化对Android加固的处理影响不是很大；ART虚拟机模式下，Android dex文件的优化处理比价复杂，在Android dex文件优化处理时要保证dex文件类方法的数据完整，因此ART虚拟机模式下的dex文件优化对Android加固还是有比较大的影响，ART虚拟机模式下dex文件的加载也比较复杂，也致使一些Android加固厂商对ART虚拟机模式下dex文件优化的疏忽，最终导致ART虚拟机模式下可以在dex文件优化时进行dex文件的内存dump操作。

ART模式下基于dex2oat脱壳的文章整理：

Dex2oatHunter  github：https://github.com/spriteviki/Dex2oatHunter

《360加固成功脱壳》

《分享一个360加固脱壳模拟器（2017/07/17更新）》

《记一次APP脱壳重打包过程》主要讲360加固dex2oat脱壳后的重打包修复，对于360加固的重打包修复有必要学习研究和实践一下。

ART虚拟机模式下，Android dex文件的加载 openDexFileNative函数 对应的Native实现函数为Jni函数动态注册的 DexFile_openDexFileNative函数 ，也就是说ART虚拟机模式下Android dex文件的加载最终调用的是DexFile_openDexFileNative函数来实现的。

static jint DexFile_openDexFileNative(JNIEnv* env, jclass, jstring javaSourceName, jstring javaOutputName, jint) {

  // 得到需要加载的dex文件的文件路径
  ScopedUtfChars sourceName(env, javaSourceName);
  if (sourceName.c_str() == NULL) {
    return 0;
  }

  // 构建dex文件加载的路径字符串
  std::string dex_location(sourceName.c_str());
  // dex文件优化后的存放路径字符串
  NullableScopedUtfChars outputName(env, javaOutputName);
  if (env->ExceptionCheck()) {
    return 0;
  }
  ScopedObjectAccess soa(env);

  // 保存dex文件的Checksum
  uint32_t dex_location_checksum;
  // 获取dex文件的Checksum进行校验检查
  if (!DexFile::GetChecksum(dex_location, &dex_location_checksum)) {
    LOG(WARNING) << "Failed to compute checksum: " << dex_location;
    ThrowLocation throw_location = soa.Self()->GetCurrentLocationForThrow();
    soa.Self()->ThrowNewExceptionF(throw_location, "Ljava/io/IOException;",
                                   "Unable to get checksum of dex file: %s", dex_location.c_str());
    return 0;
  }

  // 获取当前进程的运行时的ClassLinker实例对象
  ClassLinker* linker = Runtime::Current()->GetClassLinker();

  // dex文件格式的简单结构体描述?
  const DexFile* dex_file;
  // 判断存放优化后dex文件的文件路径是否为NULL
  if (outputName.c_str() == NULL) {
     // 获取优化后的oat文件并加载到内存，返回dex文件加载到内存后的描述结构体dex_file
    dex_file = linker->FindDexFileInOatFileFromDexLocation(dex_location, dex_location_checksum);
  } else {

    // 构建存放优化后的dex文件oat的路径字符串
    std::string oat_location(outputName.c_str());
    // 获取优化后的oat文件并加载到内存，返回dex文件加载到内存后的描述结构体dex_file
    dex_file = linker->FindOrCreateOatFileForDexLocation(dex_location, dex_location_checksum, oat_location);
  }
  if (dex_file == NULL) {
    LOG(WARNING) << "Failed to open dex file: " << dex_location;
    ThrowLocation throw_location = soa.Self()->GetCurrentLocationForThrow();
    soa.Self()->ThrowNewExceptionF(throw_location, "Ljava/io/IOException;",
                                   "Unable to open dex file: %s", dex_location.c_str());
    return 0;
  }
  // 设置函数返回值，返回dex文件加载到内存后的描述结构体DexFile*指针
  return static_cast<jint>(reinterpret_cast<uintptr_t>(dex_file));
}

ART虚拟机模式下，Android dex文件的加载有DexFile_openDexFileNative函数来实现，在dex文件被 加载之前，先进行dex文件的校验处理，dex文件的校验通过之后，当没有指定dex文件优化后的文件路径，调用 FindDexFileInOatFileFromDexLocation函数 进行dex文件的优化和加载处理；当指定了dex文件优化后的文件路径则调用 函数FindOrCreateOatFileForDexLocation 进行dex文件的优化和加载处理。FindDexFileInOatFileFromDexLocation函数 和 FindOrCreateOatFileForDexLocation函数 在被加载的dex文件没被优化时，最终都会调用 GenerateOatFile函数创建dex2oat进程执行dex文件的优化处理，将原始的dex文件优化处理为私有ELF文件格式的oat文件。

FindOrCreateOatFileForDexLocationLocked函数 的实现代码如下，首先创建的新文件用于存放优化的oat文件并保持该文件锁定，然后进行优化的oat文件的查找，如果没有找到dex文件优化后的oat文件，则进行dex文件的优化处理得到oat文件，后面进行oat文件加载到内存的处理，其他的操作暂时不关注。

const DexFile* ClassLinker::FindOrCreateOatFileForDexLocationLocked(const std::string& dex_location,
                                                                    uint32_t dex_location_checksum,
                                                                    const std::string& oat_location) {
  // We play a locking game here so that if two different processes
  // race to generate (or worse, one tries to open a partial generated
  // file) we will be okay. This is actually common with apps that use
  // DexClassLoader to work around the dex method reference limit and
  // that have a background service running in a separate process.
  ScopedFlock scoped_flock;
  // 打开或者创建优化后oat文件并保持oat文件锁定
  if (!scoped_flock.Init(oat_location)) {
    LOG(ERROR) << "Failed to open locked oat file: " << oat_location;
    return NULL;
  }

  // Check if we already have an up-to-date output file
  // 判断优化后的oat文件是否存在
  const DexFile* dex_file = FindDexFileInOatLocation(dex_location,
                                                     dex_location_checksum,
                                                     oat_location);
  if (dex_file != NULL) {
    // 存在，直接返回优化后的oat文件的描述结构体信息
    return dex_file;
  }

  // Generate the output oat file for the dex file
  VLOG(class_linker) << "Generating oat file " << oat_location << " for " << dex_location;
  // 创建dex2oat进程优化dex文件为oat文件
  if (!GenerateOatFile(dex_location, scoped_flock.GetFile().Fd(), oat_location)) {
    LOG(ERROR) << "Failed to generate oat file: " << oat_location;
    return NULL;
  }
  // 加载oat文件到内存中
  const OatFile* oat_file = OatFile::Open(oat_location, oat_location, NULL,
                                          !Runtime::Current()->IsCompiler());
  if (oat_file == NULL) {
    LOG(ERROR) << "Failed to open generated oat file: " << oat_location;
    return NULL;
  }
  RegisterOatFileLocked(*oat_file);
  const OatFile::OatDexFile* oat_dex_file = oat_file->GetOatDexFile(dex_location, &dex_location_checksum);
  if (oat_dex_file == NULL) {
    LOG(ERROR) << "Failed to find dex file " << dex_location
               << " (checksum " << dex_location_checksum
               << ") in generated oat file: " << oat_location;
    return NULL;
  }
  const DexFile* result = oat_dex_file->OpenDexFile();
  CHECK_EQ(dex_location_checksum, result->GetLocationChecksum())
          << "dex_location=" << dex_location << " oat_location=" << oat_location << std::hex
          << " dex_location_checksum=" << dex_location_checksum
          << " DexFile::GetLocationChecksum()=" << result->GetLocationChecksum();
  return result;
}

有关ART虚拟机模式下，OAT文件加载到Android进程内存中的详细分析，可以参考老罗的博客《Android运行时ART加载OAT文件的过程分析》。GenerateOatFile函数 的代码实现分析如下。

// dex_filename为被加载的dex文件的路径字符串
// oat_fd为dex文件优化的oat文件的文件指针
// oat_cache_filename为存放优化后dex文件oat的文件路径
bool ClassLinker::GenerateOatFile(const std::string& dex_filename,
                                  int oat_fd,
                                  const std::string& oat_cache_filename) {
  // 获取Android系统的根路径"/system"
  std::string dex2oat_string(GetAndroidRoot());
  // 拼接字符串得到优化dex文件的程序dex2oat文件的路径字符串
  dex2oat_string += (kIsDebugBuild ? "/bin/dex2oatd" : "/bin/dex2oat");
  // 获取到优化dex文件的程序dex2oat文件的路径字符串
  const char* dex2oat = dex2oat_string.c_str();

  // 获取到当前进程的ClassPath的路径字符串
  const char* class_path = Runtime::Current()->GetClassPathString().c_str();

  // 获取到当前进程的堆Heap指针
  gc::Heap* heap = Runtime::Current()->GetHeap();
  // 得到boot_image的优化字符串参数选项"--boot-image="
  std::string boot_image_option_string("--boot-image=");
  // 设置imageSpace文件的路径字符串
  boot_image_option_string += heap->GetImageSpace()->GetImageFilename();
  const char* boot_image_option = boot_image_option_string.c_str();

  std::string dex_file_option_string("--dex-file=");
  // 设置需要优化的dex文件的路径字符串
  dex_file_option_string += dex_filename;
  const char* dex_file_option = dex_file_option_string.c_str();

  std::string oat_fd_option_string("--oat-fd=");
  // 设置被优化的oat文件的文件指针
  StringAppendF(&oat_fd_option_string, "%d", oat_fd);
  const char* oat_fd_option = oat_fd_option_string.c_str();

  std::string oat_location_option_string("--oat-location=");
  // 设置被优化后的dex文件oat的存放路径
  oat_location_option_string += oat_cache_filename;
  const char* oat_location_option = oat_location_option_string.c_str();

  std::string oat_compiler_filter_string("-compiler-filter:");
  // 设置编译选项参数
  switch (Runtime::Current()->GetCompilerFilter()) {
    case Runtime::kInterpretOnly:
      oat_compiler_filter_string += "interpret-only";
      break;
    case Runtime::kSpace:
      oat_compiler_filter_string += "space";
      break;
    case Runtime::kBalanced:
      oat_compiler_filter_string += "balanced";
      break;
    case Runtime::kSpeed:
      oat_compiler_filter_string += "speed";
      break;
    case Runtime::kEverything:
      oat_compiler_filter_string += "everything";
      break;
    default:
      LOG(FATAL) << "Unexpected case.";
  }
  const char* oat_compiler_filter_option = oat_compiler_filter_string.c_str();

  // fork and exec dex2oat
  // fork新进程对dex文件进行优化处理
  pid_t pid = fork();
  if (pid == 0) {
    // no allocation allowed between fork and exec

    // change process groups, so we don't get reaped by ProcessManager
    setpgid(0, 0);

    // gLogVerbosity.class_linker = true;
    VLOG(class_linker) << dex2oat
                       << " --runtime-arg -Xms64m"
                       << " --runtime-arg -Xmx64m"
                       << " --runtime-arg -classpath"
                       << " --runtime-arg " << class_path
                       << " --runtime-arg " << oat_compiler_filter_option
#if !defined(ART_TARGET)
                       << " --host"
#endif
                       << " " << boot_image_option
                       << " " << dex_file_option
                       << " " << oat_fd_option
                       << " " << oat_location_option;

    // 创建dex2oat进程对dex文件进行优化为oat文件
    execl(dex2oat, dex2oat,
          "--runtime-arg", "-Xms64m",
          "--runtime-arg", "-Xmx64m",
          "--runtime-arg", "-classpath",
          "--runtime-arg", class_path,
          "--runtime-arg", oat_compiler_filter_option,
#if !defined(ART_TARGET)
          "--host",
#endif
          boot_image_option, // imageSpace文件的路径
          dex_file_option, // 被优化的dex文件的路径
          oat_fd_option, // 优化后oat文件的文件指针
          oat_location_option, // 优化后dex文件oat的存放文件路径
          NULL);

    PLOG(FATAL) << "execl(" << dex2oat << ") failed";
    return false;
  } else {
    // wait for dex2oat to finish
    // 等待dex文件被优化为oat成功完成
    int status;
    pid_t got_pid = TEMP_FAILURE_RETRY(waitpid(pid, &status, 0));
    if (got_pid != pid) {
      PLOG(ERROR) << "waitpid failed: wanted " << pid << ", got " << got_pid;
      return false;
    }
    if (!WIFEXITED(status) || WEXITSTATUS(status) != 0) {
      LOG(ERROR) << dex2oat << " failed with dex-file=" << dex_filename;
      return false;
    }
  }
  return true;
}

ART模式下基于dex2oat脱壳就是在创建dex2oat进程进行dex文件优化具体处理之前进行dex文件的内存dump处理，实现Android加固的dex文件脱壳。以Android 4.4.4 r1的源码为例，ART虚拟机模式下，dex文件的优化处理进程dex2oat的源码实现在文件 /art/dex2oat/dex2oat.cc  中，在调用 dex2oat函数 进行dex的优化之前会先判断dex文件是否可写。因此，选择在这个代码点进行原始dex文件的内存dump处理。

http://androidxref.com/4.4.4_r1/xref/art/dex2oat/dex2oat.cc

Dex2oatHunter脱壳工具添加的dump dex文件的代码如下所示，主要是针对早些时候的360加固和腾讯乐加固的脱壳处理。Dex2oatHunter脱壳工具作者提供的脱壳代码是应用在Android 4.4系统的ART虚拟机模式下的，因此在编译后修改后的dex2aot程序后，在进行360加固和腾讯乐加固的脱壳时，需要将Android系统切换到ART虚拟机模式下才能生效。

https://github.com/spriteviki/Dex2oatHunter/blob/master/art/dex2oat/dex2oat.cc

    for (const auto& dex_file : dex_files) {
      if (!dex_file->EnableWrite()) {
        PLOG(ERROR) << "Failed to make .dex file writeable '" << dex_file->GetLocation() << "'\n";
      }
	  ///
      std::string dex_name = dex_file->GetLocation();
      LOG(INFO) << "Finding:dex file name-->" << dex_name;
	  // dump 360加固宝的dex文件
      if (dex_name.find("jiagu") != std::string::npos)
      {
       LOG(INFO) << "Finding:dex file from qihoo-->" << dex_name;
          int len = dex_file->Size();
          char filename[256] = {0};
          sprintf(filename, "%s_%d.dex", dex_name.c_str(), len);
          int fd = open(filename , O_WRONLY | O_CREAT | O_TRUNC , S_IRWXU);
          if (fd > 0)
          {
              if (write(fd, (char*)dex_file->Begin(), len) <= 0)
              {
                 LOG(INFO) << "Finding:write target dex file failed-->" << filename;
              }
                 LOG(INFO) << "Finding:write target dex file successfully-->" << filename;
             close(fd);
          }else
          {
             LOG(INFO) << "Finding:open target dex file failed-->" << filename;
          }
      }
	  // dump 腾讯乐固的dex文件
      if (tx_oat_filename.find("libshellc") != std::string::npos)
      {
       LOG(INFO) << "Finding:dex file from legu-->" << dex_name;
          int len = dex_file->Size();
          char filename[256] = {0};
          sprintf(filename, "%s_%d.dex", tx_oat_filename.c_str(), len);
          int fd = open(filename , O_WRONLY | O_CREAT | O_TRUNC , S_IRWXU);
          if (fd > 0)
          {
              if (write(fd, (char*)dex_file->Begin(), len) <= 0)
              {
                 LOG(INFO) << "Finding:write target dex file failed-->" << filename;
              }
                 LOG(INFO) << "Finding:write target dex file successfully-->" << filename;
             close(fd);
          }else
          {
             LOG(INFO) << "Finding:open target dex file failed-->" << filename;
          }
		  ///
      }
    }

经过测试，上面添加的脱壳代码在Android 5.1系统的源码上也适用，并且修改的代码点位置也是这个地方。尽管上面添加的脱壳代码能对360加固和腾讯乐固进行dump脱壳，但是感觉灵活性不够，只能对360加固和腾讯加固进行处理，过滤的字符串是固定的，一旦修改后的dex2oat程序编译好，过滤字符串一改变又得重新编译dex2oat程序，重新打包Android的镜像文件。基于这些麻烦和通用性不够的问题，对上面的代码进行了修改，增加了脱壳的通用性，动态的配置脱壳的过滤字符串，代码实现如下。在没有设置脱壳过滤字符串的情况下，默认只支持对360加固进行脱壳；如果需要配置脱壳过滤字符串，可以构建和编辑  /data/dex_dump_filter 配置文件 在Android 5.1 的系统源码上测试通过。

    /******Android加固dex文件的dump*******/
    // 获取被优化的Android dex文件的文件路径
    std::string dex_file_name = dex_file->GetLocation();
    LOG(INFO) << "Fly---get Dex File Name: " << dex_file_name;

    // dex dump的过滤词
    std::string str_dex_dump_filter;
    FILE *fp = NULL;

    std::string filter_path_name = "/data/dex_dump_filter";
    if (access(filter_path_name.c_str(), F_OK) == 0) {
      // 打开配置文件/data/dex_dump_filter
      fp = fopen("/data/dex_dump_filter", "r");
      if (fp == NULL) {
        LOG(INFO) << "Fly---get /data/dex_dump_filter ";

        // 默认dump 360加固dex的oat文件
        str_dex_dump_filter = ".jiagu";

       } else {
         char szFilterBuffer[128] = {0};

         // 读取文件中的第1行字符串---dex dump的过滤词
         fgets(szFilterBuffer, strlen(szFilterBuffer), fp);
         szFilterBuffer[strlen(szFilterBuffer) - 1]=0;

         // 进行字符串的拷贝
         str_dex_dump_filter.copy(szFilterBuffer, 0, strlen(szFilterBuffer) - 1);
         fclose(fp);
         fp = NULL;
       }
    } else {
      // 默认dump 360加固dex的oat文件
      str_dex_dump_filter = ".jiagu";
    }
    // 进行dex dump的过滤
    if (dex_file_name.find(str_dex_dump_filter.c_str()) != std::string::npos) {
       // 获取优化后的oat文件的大小
       int nLenth = dex_file->Size();

       char szBuffer[256] = {0};
       // 格式化字符串得到dump的dex文件（OAT）的名称
       sprintf(szBuffer, "%s_%d.dex", dex_file_name.c_str(), nLenth);

       // 打开或者创建文件
       int fopen = open(szBuffer, O_WRONLY | O_CREAT | O_TRUNC , S_IRWXU);
       // 判断文件是否打开成功
       if (fopen > 0) {
         // 将优化后dex的oat文件保存到指定名称文件中。
         if (write(fopen, (char*)(dex_file->Begin()), nLenth) <= 0) {
           LOG(INFO) << "Fly---write target dex file failed: " << szBuffer;
         } else {
           // 将优化后dex的oat文件保存到dex文件优化目录下成功
           LOG(INFO) << "Fly---write target dex file OK: " << szBuffer;
         }
         // 关闭文件
         close(fopen);
        } else {
         LOG(INFO) << "Fly---open target dex file failed: " << szBuffer;
        }
    }
    /******Android加固dex文件的dump*******/

ART虚拟机模式下基于dex2oat脱壳是有必要条件的：1. 需要脱壳的Android加固应用必须运行ART虚拟机模式下；2.需要脱壳的Android加固应用通过DexClassLoader加载的dex文件必须是没有经过优化处理的，比如 梆梆加固加载的dex文件是已经经过优化处理的oat文件，因此针对这类情况的Android加固应用使用ART虚拟机模式下基于dex2oat脱壳是无效的。

在Android 5.1系统的源码情况下，按照上面我提供的脱壳代码修改Android 5.1系统的 dex2oat的源码，然后编译生成Android 5.1模拟器的系统镜像文件，进行360加固Android应用的脱壳测试，结果如下图所示：

Android系统的 /data/data/com.emate.shop/.jiagu 目录下360加固 dump出来的dex文件截图如下：

经过验证dex文件发现 classes.dex_7766528.dex 文件 就是原始的dex文件，如下图：

后记：尽管这种脱壳的方法不是很通用也不能脱最新版的360加固和腾讯乐固了，但是提供了一种ART虚拟机模式下基于dex2oat脱壳的思路。知识很多，整理真的很需要时间~