Android 逆向分析大全

转载：Android 逆向分析大全：https://www.jianshu.com/p/a12d04fc748f

1. 概述

1.1 分析步骤

通用逆向分析步骤

• 1. 了解该模块正向编程相关方法
• 2. 使用apktool解密apk，得到资源、jni模块等文件
• 3. 从apk提取出dex文件，使用dex2jar转换成jar文件，再用java逆向工具得到java源码 dex->jar->java
• 4. 根据特征(字符串、常量、包名类名方法名、manifest文件、布局文件等方式)或调试手段定位到关键代码
• 5. 分析变量含义类型、函数逻辑、模块流程
• 6. 对变量、函数、类进行标注、恢复成高级语言 ->c

Android程序的特点相比在于使用混淆方式打包，将包名、类名、函数名改成不易看懂的字母，从而使生成的apk小很多(android studio提供了release编译方式，使用proguard混淆)，因此反编译apk最多的工作在于重构这些名称，这一点和pc上一致，对于android native程序(jni)则和pc上基本一致，不同之处在于常见的是arm汇编。

安卓上APK调试步骤：

• 1.Apk(debuggable)或系统(ro.debuggable=1)设置为可调试
• 2.在虚拟机中启动服务端(adbd/android_server)
• 3.在主机端连接客户端调试器(IDA/jdb/adt)，设置断点

安卓上linux程序调试步骤：

• 1.在虚拟机中启动服务端(gdb_server/linux_server)
• 2.在主机端连接客户端调试器(IDA/gdb_for_windows)，设置断点

对于apk的反编译，由于资源和xml都进行了编码，因此反编译时必然要解析相应的resource.arsc/AndroidManifest.xml等文件，对于做过保护处理的apk通常会在这里做手脚干扰Apktool、dex2jar等反编译工具因此很有必要掌握编译、调试这些工具源码的方法(见“如何编译、调试apktool和dex2jar”)

1.2 分析工具

• 集成IDE：APK改之理、JD-GUI、JEB(1.4破解 2.0)、jadx
• 解压(apk, jar)：WinRar
• 解析资源：apktool
• 反编译引擎(jar, class)：dex2jar工具集、jd-core(JD-GUI,JD-Eclipse反编译核心)、fernflower(Android Studio反编 、procyon
• 回编译：aapt、dex2jar工具集
• 调试器：IDA、jdb、adt等
• 辅助工具：DDMS 如果是虚拟机可以看到所有进程

APK 改之理

• 整合&提供了全套解压、反编译代码和资源、回编译、签名功能，强大的正则搜索，修改smali字节码等功能
• 集成ApkTool、Dex2jar、JD-GUI工具
• 可视化操作，全自动的反编译、回编译、签名Apk
• 正则表达式搜索资源及源码

JD-GUI

轻量级反编译，反编译jar/class等java字节码文件(能力一般)，提供简单的搜索能力

JEB

• 反编译apk/jar工具(能力较强)
• 强大的正向、反向索引，一定程度重命名能力，一定搜索能力
• 支持注释、插件
• 交互式可视化操作，全自动的反编译
• 支持重命名

Dex2jar 工具集

dex2jar是一个工具包，反编译dex和jar，还提供了一些其它的功能，每个功能使用一个bat批处理或 sh 脚本来包装，只需在Windows 系统中调用 bat文件、在Linux 系统中调用 sh 脚本即可。在bat中调用相应的jar主类完成特定功能，例如d2j-dex2jar.bat中的内容是：@"%~dp0d2j_invoke.bat" com.googlecode.dex2jar.tools.Dex2jarCmd %*。常用的有dex2jar jar2dex dex2smali smali2dex

• d2j-apk-sign用来为apk 文件签名。命令格式：d2j-apk-sign xxx.apk 。
• d2j-asm-verify 用来验证jar 文件。命令格式：d2j-asm-verify -d xxx.jar。
• d2j-dex2jar 用来将dex 文件转换成jar 文件。命令格式：d2j-dex2jar xxx.apk
• d2j-dex-asmifier 用来验证dex 文件。命令格式：d2j-dex-asmifier xxx.dex。
• d2j-dex-dump 用来转存dex 文件的信息。命令格式：d2j-dex-dump xxx.apk out.jar 。
• d2j-init-deobf 用来生成反混淆jar 文件时的初始化配置文件。
• d2j-jar2dex 用来将jar 文件转换成 dex 文件。命令格式：d2j-jar2dex xxx.apk。
• d2j-jar2jasmin 用来将jar 文件转换成jasmin 格式的文件。命令格式：d2j-jar2jasmin xxx.jar
• d2j-jar-access 用来修改jar 文件中的类、方法以及字段的访问权限。
• d2j-jar-remap 用来重命名jar 文件中的包、类、方法以及字段的名称。
• d2j-jasmin2jar 用来将jasmin 格式的文件转换成 jar 文件。命令格式：d2j-jasmin2jar dir dex2jar为d2j-dex2jar 的副本。
• dex-dump为d2j-dex-dump 的副本

Apktool反编译&打包工具

• 反编译apk：apktool d file.apk –o path
• 回编译apk：apktool b path –o file.apk

1.3 常见文件格式

Apk

Android package，android安装程序文件，本质上是压缩包，解压得到classes.dex、resources.arsc、AndroidManifest.xml、so文件以及资源文件

• Resources.arsc资源描述文件
• Classes.dex所有代码编译过得darvik字节码文件，可能会有多个
• AndroidManifest.xml 编译过的AndroidManifest.xml文件

使用 aapt 解析 xml

aapt d xmltree 1.apk AndroidManifest.xml
N: android=http://schemas.android.com/apk/res/android
  E: manifest (line=2)
    A: android:versionCode(0x0101021b)=(type 0x10)0x1
    A: android:versionName(0x0101021c)="1.0" (Raw: "1.0")
    A: package="com.ibotpeaches.issue767" (Raw: "com.ibotpeaches.issue767")
    A: platformBuildVersionCode=(type 0x10)0x17 (Raw: "23")
    A: platformBuildVersionName="6.0-2438415" (Raw: "6.0-2438415")
    E: uses-sdk (line=0)
      A: android:minSdkVersion(0x0101020c)=(type 0x10)0x16
      A: android:targetSdkVersion(0x01010270)=(type 0x10)0x17
    E: application (line=3)
      A: android:theme(0x01010000)=@0x7f090083
      A: android:label(0x01010001)=@0x7f060015
      A: android:icon(0x01010002)=@0x7f030000
      A: android:debuggable(0x0101000f)=(type 0x12)0xffffffff
      A: android:allowBackup(0x01010280)=(type 0x12)0xffffffff
      A: android:supportsRtl(0x010103af)=(type 0x12)0xffffffff
      E: activity (line=4)
        A: android:theme(0x01010000)=@0x7f090030
        A: android:label(0x01010001)=@0x7f060015
        A: android:name(0x01010003)="com.ibotpeaches.issue767.MainActivity" (Raw
: "com.ibotpeaches.issue767.MainActivity")
        E: intent-filter (line=5)
          E: action (line=6)
            A: android:name(0x01010003)="android.intent.action.MAIN" (Raw: "andr
oid.intent.action.MAIN")
          E: category (line=7)
            A: android:name(0x01010003)="android.intent.category.LAUNCHER" (Raw:
 "android.intent.category.LAUNCHER")
      E: meta-data (line=10)
        A: android:name(0x01010003)="large.int.value" (Raw: "large.int.value")
        A: android:value(0x01010024)="9999999999999999999999" (Raw: "99999999999
99999999999")

查看xml => aapt d xmltree 1.apk AndroidManifest.xml
查看resource => aapt d resources 1.apk (resource.arsc)

Dex

Dalvik Executable，Dalvik可执行文件，从java class文件转换而来的字节码，Classes.Dex通过dex2jar转换成java字节码(有损)，或者dex2smali转换成darvik汇编(无损)——smali字节码，其形式如下

Jar

Java Archive，java归档文件，可以直接解压得到class文件

Odex

dex 转 odex：/system/bin/dexopt
dexopt-wrapper 1.apk 1.odex

Aar

Android 归档文件，压缩包格式，包含

• /AndroidManifest.xml (强制) 未编译的

• /classes.jar (强制)

• /res/ (强制)

• /R.txt (强制)

• /assets/ (可选)

• /libs/*.jar (可选)

• /jni/

  <abi>/*.so (可选)</abi>

• /proguard.txt (可选)

• /lint.jar (可选)

So

Linux 动态链接库文件，包含arm64 arm mips mips64 x86 x86-64几个平台

工具转换图

Android 设备上重要目录

• /system/app/1.apk 系统应用
• /data/app/1.apk 用户应用
• /data/data/[pkgname] 应用数据(so,database,…)
• /data/dalvik-cache 存放dex

2. Java 层 

2.1 常用工具

adb

设备通信、调试工具，常用法：

adb devices 列出当前设备
adb –s d24eb3ab [命令]      指定设备执行命令
adb push 源 目标            非root机器可以设置路径为/data/local/tmp
adb pull 源 目标
adb shell                   执行终端
adb logcat                  查看日志(/system/logcat为服务器)
adb jdwp                    查看远程jdwp进程
adb forward tcp:主机端口     tcp:远程端口       把主机端口消息转发手机端口(端口对应进程)   用于ida调试
adb forward tcp:主机端口     jdwp:远程进程ID    把主机端口消息转发手机jdwp进程   用于jdb调试 
adb install [apkpath]       安装apk
adb uninstall [packagename] 卸载apk 注意会彻底清理，删除/data/app下的备份apk
adb remount                 将/system重新映射为读写，以便进行系统区文件操作
adb root                    使adb以root方式启动，便于push/pull/remount

aapt

APK资源管理工具，用于增删查改APK中的文件、资源等，对于分析编译后的Resource.arsc, AndroidManifest.xml格式较有价值，通常也可以用winrar对apk/jar进行解压

打印xml树 aapt d xmltree 1.apk AndroidManifest.xml
打印资源    aapt d resources 1.apk
添加文件    aapt a 1.apk AndroidManifest.xml
删除文件    aapt r 1.apk AndroidManifest.xml

am & pm

Android 远程命令，am 执行调试、运行功能，pm 执行安装、卸载功能

• 启动应用：am start -D -n "b.myapp/b.myapp.MainActivity" -a android.intent.action.MAIN -c android.intent.category.LAUNCHER
• 启动服务：am startservice -n com.android.music/com.android.music.MediaPlaybackService
• 强制停止包：am force-stop com.example.administrator.myapplication
• 强制结束包进程：am kill com.example.administrator.myapplication am kill all
• 发送广播：adb shell