IDA动态调试Android的DEX文件

Android程序的dex文件的动态调试确实是个大问题，网上也有一些教程但是不是特别的详细，今天用到了IDA动态调试Android的DEX文件，特此记录一下。

 

IDA 6.6新添加了对dex文件的调试支持，但是功能还是很弱的说，因为IDA动态调试Android程序的DEX文件时，查看变量很不方便，可以说然并卵。

 

@根据android的官方文档，如果要调试一个App里面的dex代码，必须满足以下两个条件中的任何一个：
1.App的AndroidManifest.xm中Application标签必选包含属性android:debuggable="true"；
2./default.prop中ro.debuggable的值为1；

由于正常的软件发布时都不会把android:debuggable设置为true，所以要达成条件1，需要对app进行重新打包，这不仅每次分析一个App都重复操作，而且很多软件会对自身进行校验，重打包后执行会被检测到，所以想办法满足第2个条件是个一劳永逸的办法，我实际使用的方法就是满足第二个条件。

由于default.prop是保存在boot.img的ramdisk中，这部分每次重新启动都会重新从rom中加载，所以要到目的必须修改boot.img中的ramdisk并重新刷到设备中。

测试使用的设备为Nexus 7，修改步骤如下：
a)  从Google官方网站下载到boot.img,
b)  使用工具（abootimg，gunzip, cpio）把boot.img完全解开，获取到default.prop
c)  修改default.prop
d)  把修改后的文件重新打包成boot_new.img

e)  使用fastboot工具把boot_new.img刷入设备（fastboot flash boot boot_new.img）

图1 修改后的default.prop内容

说明：上面这段话引用自http://bbs.pediy.com/showthread.php?p=1291716大神的。

 

其实，对于第2个条件有一个简单的方法，在网上找个靠谱的刷机助手软件，然后下载刷机助手中提供的供开发者使用的ROM版本，刷到Android的测试手机上就可以了。博主就是这么做的，之前费了好大的劲从网上找教程，但是由于Linux系统不熟悉，尝试几次都失败了，后来就是用这个办法解决问题的。因此，博主的Nexus 4手机的/default.prop中ro.debuggable的值为1，符合Android程序的DEX文件的被动态调试的条件。

工具：

谷歌Nexus 4

IDA Pro 6.6

Eclipse

 

0x1，将Nexus 4手机开启开发者USB调试模式连接到电脑上。连接成功以后，打开Eclipse程序，查看Nexus 4手机的设备序号，如图：

从图中，可以得知Nexus 4手机的设备序号为03aae257437d8244，将这个设备序号记下来，后面调试Android程序的DEX文件时要用到，然后关闭Eclipse程序。

 

0x2，Cmd命令行情况下，安装要调试的apk程序到手机上。

0x3，IDA 6.6的设置。

1.用IDA 6.6打开apk文件，选择dex文件进行加载；

2.设置debugger选项，Debugger->Debugger options->Set specific options按如下图所示进行设置，然后确定返回；

Debugger->Process Options其他默认不变，端口这里改为8700；

3.找到在感兴趣的函数要下断点的位置，光标移到要下断点的那一行，按F2下断点；

4.选中IDA Pro 6.6窗口，按F9运行，如果出现下图的画面并且手机屏幕出现"Waiting For Debugger"界面就说明设置成功，可以进行动态调试了。

注意：如果运行过程中一直显示下图所示窗口，就需要关注一下手机上的屏幕界面，看是否是需要与用户进行交互了。

5.当IDA中断在了我们设置断点的地方，这时选中ida->debugger->use source level debugging（源码水平调试），然后点击ida->debugger->debugger windows->locals打开局部变量窗口，就可以产看变量的值了。尽管如此，IDA动态调试Android程序的Dex文件时，变量的查看不是很方便。

说了那多，IDA调试Android程序的DEX文件就是这么简单。

 

参考博文的网址：

http://bbs.pediy.com/showthread.php?p=1291716

http://www.cnblogs.com/goodhacker/p/4257433.html

http://drops.wooyun.org/?p=5942&preview=true

文档的下载的地址：http://download.csdn.net/detail/qq1084283172/9201921