Smali 简介与JVM指令

.method private test(I)V
    .registers 4  # 声明总共需要使用4个寄存器

    const-string v0, "LOG"  # 将v0寄存器赋值为字符串常量"LOG"

    move v1, p1  # 将int型参数的值赋给v1寄存器

    return-void
.end method

结合Dalvik常用的指令进行操作，即可实现一些需要的功能

那么，如何确定需要使用的寄存器的个数？

由于非static方法，需要占用一个寄存器以保存this指针，那么这类方法的寄存器个数，最低就为1，如果还需要处理传入的参数，则需要再次叠加，此时还需要考虑Double和Float这种需要占用两个寄存器的参数类型，举例来看：

如果一个Java方法声明如下： myMethod(int p1, float p2, boolean p3)

那么对应的Smali则为： method LMyObject;->myMethod(IJZ)V 此时，寄存器的对应情况如下：

寄存器名称	对应的引用
p0	this
p1	int型的p1参数
p2, p3	float型的p2参数
p4	boolean型的p3参数

那么最少需要的寄存器个数则为：5

如果方法体内含有常量、变量等定义，则需要根据情况增加寄存器个数，数量只要满足需求，保证需要获取的值不被后面的赋值冲掉即可，方法有：存入类中的字段中（存入后，寄存器可被重新赋值），或者长期占用一个寄存器

Dalvik指令集

如果需要使用Smali编写程序，还需要掌握常用的Dalvik虚拟机指令，其合集称为Dalvik指令集。这些指令有点类似x86汇编的指令，但指令更多，使用也非常简单方便。

一般的指令格式为：[op]-[type](可选)/[位宽，默认4位] [目标寄存器],[源寄存器](可选)，比如：move v1,v2，move-wide/from16 v1,v2

这里也列举一些常用的指令，并结合Smali进行说明：

移位操作：此类操作常用于赋值

指令	说明
move v1,v2	将v2中的值移入到v1寄存器中（4位，支持int型）
move/from16 v1,v2	将16位的v2寄存器中的值移入到8位的v1寄存器中
move/16 v1,v2	将16位的v2寄存器中的值移入到16位的v1寄存器中
move-wide v1,v2	将寄存器对（一组，用于支持双字型）v2中的值移入到v1寄存器对中（4位，猜测支持float、double型）
move-wide/from16 v1,v2	将16位的v2寄存器对（一组）中的值移入到8位的v1寄存器中
move-wide/16 v1,v2	将16位的v2寄存器对（一组）中的值移入到16位的v1寄存器中
move-object v1,v2	将v2中的对象指针移入到v1寄存器中
move-object/from16 v1,v2	将16位的v2寄存器中的对象指针移入到v1（8位）寄存器中
move-object/16 v1,v2	将16位的v2寄存器中的对象指针移入到v1（16位）寄存器中
move-result v1	将这个指令的上一条指令计算结果，移入到v1寄存器中（需要配合invoke-static、invoke-virtual等指令使用）
move-result-object v1	将上条计算结果的对象指针移入v1寄存器
move-result-wide v1	将上条计算结果（双字）的对象指针移入v1寄存器
move-exception v1	将异常移入v1寄存器，用于捕获try-catch语句中的异常

返回操作：

用于返回值，对应Java中的return语句

指令	说明
return-void	返回void，即直接返回
return v1	返回v1寄存器中的值
return-object v1	返回v1寄存器中的对象指针
return-wide v1	返回双字型结果给v1寄存器

常量操作：

用于声明常量，比如字符串常量（仅声明，String a = "abc"这种语句包含声明和赋值）

指令	说明
const(/4、/16、/hight16) v1 xxx	将常量xxx赋值给v1寄存器，/后的类型，需要根据xxx的长度选择
const-wide(/16、/32、/hight16) v1 xxx	将双字型常量xxx赋值给v1寄存器，/后的类型，需要根据xxx的长度选择
const-string(/jumbo) v1 “aaa”	将字符串常量”aaa”赋给v1寄存器，过长时需要加上jumbo
const-class v1 La/b/TargetClass	将Class常量a.b.TargetClass赋值给v1，等价于a.b.TargetClass.class

调用操作：

用于调用方法，基本格式：invoke-kind {vC, vD, vE, vF, vG}, meth@BBBB，其中，BBBB代表方法引用（参见上面介绍的方法定义及调用），vC~G为需要的参数，根据顺序一一对应

指令	说明
invoke-virtual	用于调用一般的，非private、非static、非final、非构造函数的方法，它的第一个参数往往会传p0，也就是this指针
invoke-super	用于调用父类中的方法，其他和invoke-virtual保持一致
invoke-direct	用于调用private修饰的方法，或者构造方法
invoke-static	用于调用静态方法，比如一些工具类
invoke-interface	用于调用interface中的方法

判断操作：

判断操作用来比较一个寄存器中的值，是否与目标寄存器中的值相等或不等，对应Java中的if语句，格式为：if-[test] v1,v2, [condition]，其衍生操作还有专门与0进行比较的if-[test]z v1, [condition]，其中[condition]为符合判断结果后的跳转条件，需要提前定义好。判断操作也通常和goto配合使用，用来实现循环或者if-else语句

指令	说明
if-eq v1,v2	判断两个寄存器中的值是否相等
if-ne v1,v2	判断两个寄存器中的值是否不相等
if-lt v1,v2	判断v1寄存器中的值是否小于v2寄存器中的值（lt == less than）
if-ge v1,v2	判断v1寄存器中的值是否大于或等于v2寄存器中的值（ge == great than or equals）
if-gt v1,v2	判断v1寄存器中的值是否大于v2寄存器中的值（gt == great than）
if-le v1,v2	判断v1寄存器中的值是否小于或等于v2寄存器中的值（le == less than or equals）

需要注意的是，在Java中编写的if语句，往往在对应的Smali中，会变成相反的判断逻辑，如下面所示：

    private void test() {
        int a = 0;
        int b = 1;
        String result;
        if (a > b) {
            result = "a great than b";
        } else {
            result = "a less than or equals b";
        }
    }

上面的Java代码逻辑很简单——一个很简单的if语句，为了在Smali中看的更清楚，我只做了字符串赋值操作。下面是对应的Smali代码：

.method private test()V
    .registers 4

    .line 24
    const/4 v0, 0x0

    .line 25
    .local v0, "a":I
    const/4 v1, 0x1

    .line 27
    .local v1, "b":I
    if-le v0, v1, :cond_7

    .line 28
    const-string v2, "a great than b"

    .line 28
    .local v2, "result":Ljava/lang/String;
    goto :goto_9

    .line 30
    .end local v2    # "result":Ljava/lang/String;
    :cond_7
    const-string v2, "a less than or equals b"

    .line 32
    .restart local v2    # "result":Ljava/lang/String;
    :goto_9
    return-void
.end method

属性操作：

属性操作的分为：取值（get）和赋值（put）

目标类型分为：数组（array）、实例（instance）和静态（static）三种，对应的缩写前缀就是a、i、s

长度类型分为：默认（什么都不写）、wide（宽，64位）、object（对象）、boolean、byte、char、short（后面几种就不解释了，和Java一致）

指令格式：[指令名] [源寄存器], [目标字段所在对象寄存器], [字段指针]，示例代码如下，操作是为int型的类成员变量mIntA赋值为100：

const/16 v0, 0x64
iput v0, p0, Lcom/coderyuan/smali/MainActivity;->mIntA:I

下面列出用于实例字段的指令，其中i都可以换成a或者s，分别用于操作数组字段或者静态字段

指令	说明
iget	取值，用于操作int这种的值类型
iget-wide	取值，用于操作wide型字段
iget-object	取值，用于操作对象引用
iget-boolean	取值，用于操作布尔类型
iget-byte	取值，用于操作字节类型
iget-char	取值，用于操作字符类型
iget-short	取值，用于操作short类型
iput	赋值，用于操作int这种的值类型
iput-wide	赋值，用于操作wide型字段
iput-object	赋值，用于操作对象引用
iput-boolean	赋值，用于操作布尔类型
iput-byte	赋值，用于操作字节类型
iput-char	赋值，用于操作字符类型
iput-short	赋值，用于操作short类型

举例：

以下Java代码是进行的是最基本的类成员变量的赋值、取值操作

    private String mStringA;
    private int mIntA;
    private Activity mActivityA;

    public void fieldTest() {
        mStringA = "Put String to mStringA";
        mIntA = 100;
        mActivityA = this;

        int len = mStringA.length();
    }

对应的Smali代码如下：

# instance fields
.field private mActivityA:Landroid/app/Activity;

.field private mIntA:I

.field private mStringA:Ljava/lang/String;

# virtual methods
.method public fieldTest()V
    .registers 2

    .line 55
    const-string v0, "Put String to mStringA"

    iput-object v0, p0, Lcom/coderyuan/smali/MainActivity;->mStringA:Ljava/lang/String;

    .line 56
    const/16 v0, 0x64

    iput v0, p0, Lcom/coderyuan/smali/MainActivity;->mIntA:I

    .line 57
    iput-object p0, p0, Lcom/coderyuan/smali/MainActivity;->mActivityA:Landroid/app/Activity;

    .line 59
    iget-object v0, p0, Lcom/coderyuan/smali/MainActivity;->mStringA:Ljava/lang/String;

    invoke-virtual {v0}, Ljava/lang/String;->length()I

    move-result v0

    .line 60
    .local v0, "len":I
    return-void
.end method

根据Java和Smali代码的对比，值得注意的是，Smali获取类成员变量的方法，比较接近函数调用，只不过没有函数调用时的参数

其他指令：

除以上介绍的几种基本的Dalvik指令外，Dalvik还支持值类型转换（如：int转float，double转float等）、基本运算（数学运算、逻辑运算、自增）两种指令集

指令	说明
add-int/lit8 v1, v2, 0x1	给v2寄存器+1，并存入v1寄存器（注意：lit8是对要加的常量的长度限制，如果不写，则为4位，还可选择lit16，即16位）
add-int/2addr v1, v2	将v1、v2寄存器中的值相加，并赋值给v1寄存器
float-to-int v1, v2	将v2寄存器中的float类型值转换为int类型，并赋值给v1寄存器

JVM

将常量压入栈的指令

aconst_null 将null对象引用压入栈

iconst_m1 将int类型常量-1压入栈

iconst_0 将int类型常量0压入栈

iconst_1 将int类型常量1压入操作数栈

iconst_2 将int类型常量2压入栈

iconst_3 将int类型常量3压入栈

iconst_4 将int类型常量4压入栈

iconst_5 将int类型常量5压入栈

lconst_0 将long类型常量0压入栈

lconst_1 将long类型常量1压入栈

fconst_0 将float类型常量0压入栈

fconst_1 将float类型常量1压入栈

dconst_0 将double类型常量0压入栈

dconst_1 将double类型常量1压入栈

bipush 将一个8位带符号整数压入栈

sipush 将16位带符号整数压入栈

ldc 把常量池中的项压入栈

ldc_w 把常量池中的项压入栈（使用宽索引）

ldc2_w 把常量池中long类型或者double类型的项压入栈（使用宽索引）

从栈中的局部变量中装载值的指令

iload 从局部变量中装载int类型值

lload 从局部变量中装载long类型值

fload 从局部变量中装载float类型值

dload 从局部变量中装载double类型值

aload 从局部变量中装载引用类型值（refernce）

iload_0 从局部变量0中装载int类型值

iload_1 从局部变量1中装载int类型值

iload_2 从局部变量2中装载int类型值

iload_3 从局部变量3中装载int类型值

lload_0 从局部变量0中装载long类型值

lload_1 从局部变量1中装载long类型值

lload_2 从局部变量2中装载long类型值

lload_3 从局部变量3中装载long类型值

fload_0 从局部变量0中装载float类型值

fload_1 从局部变量1中装载float类型值

fload_2 从局部变量2中装载float类型值

fload_3 从局部变量3中装载float类型值

dload_0 从局部变量0中装载double类型值

dload_1 从局部变量1中装载double类型值

dload_2 从局部变量2中装载double类型值

dload_3 从局部变量3中装载double类型值

aload_0 从局部变量0中装载引用类型值

aload_1 从局部变量1中装载引用类型值

aload_2 从局部变量2中装载引用类型值

aload_3 从局部变量3中装载引用类型值

iaload 从数组中装载int类型值

laload 从数组中装载long类型值

faload 从数组中装载float类型值

daload 从数组中装载double类型值

aaload 从数组中装载引用类型值

baload 从数组中装载byte类型或boolean类型值

caload 从数组中装载char类型值

saload 从数组中装载short类型值

将栈中的值存入局部变量的指令

istore 将int类型值存入局部变量

lstore 将long类型值存入局部变量

fstore 将float类型值存入局部变量

dstore 将double类型值存入局部变量

astore 将将引用类型或returnAddress类型值存入局部变量

istore_0 将int类型值存入局部变量0

istore_1 将int类型值存入局部变量1

istore_2 将int类型值存入局部变量2

istore_3 将int类型值存入局部变量3

lstore_0 将long类型值存入局部变量0

lstore_1 将long类型值存入局部变量1

lstore_2 将long类型值存入局部变量2

lstore_3 将long类型值存入局部变量3

fstore_0 将float类型值存入局部变量0

fstore_1 将float类型值存入局部变量1

fstore_2 将float类型值存入局部变量2

fstore_3 将float类型值存入局部变量3

dstore_0 将double类型值存入局部变量0

dstore_1 将double类型值存入局部变量1

dstore_2 将double类型值存入局部变量2

dstore_3 将double类型值存入局部变量3

astore_0 将引用类型或returnAddress类型值存入局部变量0

astore_1 将引用类型或returnAddress类型值存入局部变量1

astore_2 将引用类型或returnAddress类型值存入局部变量2

astore_3 将引用类型或returnAddress类型值存入局部变量3

iastore 将int类型值存入数组中

lastore 将long类型值存入数组中

fastore 将float类型值存入数组中

dastore 将double类型值存入数组中

aastore 将引用类型值存入数组中

bastore 将byte类型或者boolean类型值存入数组中

castore 将char类型值存入数组中

sastore 将short类型值存入数组中

wide指令

wide 使用附加字节扩展局部变量索引

通用(无类型）栈操作

nop 不做任何操作

pop 弹出栈顶端一个字长的内容

pop2 弹出栈顶端两个字长的内容

dup 复制栈顶部一个字长内容

dup_x1 复制栈顶部一个字长的内容，然后将复制内容及原来弹出的两个字长的内容压入栈

dup_x2 复制栈顶部一个字长的内容，然后将复制内容及原来弹出的三个字长的内容压入栈

dup2 复制栈顶部两个字长内容

dup2_x1 复制栈顶部两个字长的内容，然后将复制内容及原来弹出的三个字长的内容压入栈

dup2_x2 复制栈顶部两个字长的内容，然后将复制内容及原来弹出的四个字长的内容压入栈

swap 交换栈顶部两个字长内容

类型转换

i2l 把int类型的数据转化为long类型

i2f 把int类型的数据转化为float类型

i2d 把int类型的数据转化为double类型

l2i 把long类型的数据转化为int类型

l2f 把long类型的数据转化为float类型

l2d 把long类型的数据转化为double类型

f2i 把float类型的数据转化为int类型

f2l 把float类型的数据转化为long类型

f2d 把float类型的数据转化为double类型

d2i 把double类型的数据转化为int类型

d2l 把double类型的数据转化为long类型

d2f 把double类型的数据转化为float类型

i2b 把int类型的数据转化为byte类型

i2c 把int类型的数据转化为char类型

i2s 把int类型的数据转化为short类型

整数运算

iadd 执行int类型的加法

ladd 执行long类型的加法

isub 执行int类型的减法

lsub 执行long类型的减法

imul 执行int类型的乘法

lmul 执行long类型的乘法

idiv 执行int类型的除法

ldiv 执行long类型的除法

irem 计算int类型除法的余数

lrem 计算long类型除法的余数

ineg 对一个int类型值进行取反操作

lneg 对一个long类型值进行取反操作

iinc 把一个常量值加到一个int类型的局部变量上

逻辑运算

移位操作

ishl 执行int类型的向左移位操作

lshl 执行long类型的向左移位操作

ishr 执行int类型的向右移位操作

lshr 执行long类型的向右移位操作

iushr 执行int类型的向右逻辑移位操作

lushr 执行long类型的向右逻辑移位操作

按位布尔运算

iand 对int类型值进行“逻辑与”操作

land 对long类型值进行“逻辑与”操作

ior 对int类型值进行“逻辑或”操作

lor 对long类型值进行“逻辑或”操作

ixor 对int类型值进行“逻辑异或”操作

lxor 对long类型值进行“逻辑异或”操作

浮点运算

fadd 执行float类型的加法

dadd 执行double类型的加法

fsub 执行float类型的减法

dsub 执行double类型的减法

fmul 执行float类型的乘法

dmul 执行double类型的乘法

fdiv 执行float类型的除法

ddiv 执行double类型的除法

frem 计算float类型除法的余数

drem 计算double类型除法的余数

fneg 将一个float类型的数值取反

dneg 将一个double类型的数值取反

对象和数组

对象操作指令

new 创建一个新对象

checkcast 确定对象为所给定的类型

getfield 从对象中获取字段

putfield 设置对象中字段的值

getstatic 从类中获取静态字段

putstatic 设置类中静态字段的值

instanceof 判断对象是否为给定的类型

数组操作指令

newarray 分配数据成员类型为基本上数据类型的新数组

anewarray 分配数据成员类型为引用类型的新数组

arraylength 获取数组长度

multianewarray 分配新的多维数组

控制流

条件分支指令

ifeq 如果等于0，则跳转

ifne 如果不等于0，则跳转

iflt 如果小于0，则跳转

ifge 如果大于等于0，则跳转

ifgt 如果大于0，则跳转

ifle 如果小于等于0，则跳转

if_icmpcq 如果两个int值相等，则跳转

if_icmpne 如果两个int类型值不相等，则跳转

if_icmplt 如果一个int类型值小于另外一个int类型值，则跳转

if_icmpge 如果一个int类型值大于或者等于另外一个int类型值，则跳转

if_icmpgt 如果一个int类型值大于另外一个int类型值，则跳转

if_icmple 如果一个int类型值小于或者等于另外一个int类型值，则跳转

ifnull 如果等于null，则跳转

ifnonnull 如果不等于null，则跳转

if_acmpeq 如果两个对象引用相等，则跳转

if_acmpnc 如果两个对象引用不相等，则跳转

比较指令

lcmp 比较long类型值

fcmpl 比较float类型值（当遇到NaN时，返回-1）

fcmpg 比较float类型值（当遇到NaN时，返回1）

dcmpl 比较double类型值（当遇到NaN时，返回-1）

dcmpg 比较double类型值（当遇到NaN时，返回1）

无条件转移指令

goto 无条件跳转

goto_w 无条件跳转（宽索引）

表跳转指令

tableswitch 通过索引访问跳转表，并跳转

lookupswitch 通过键值匹配访问跳转表，并执行跳转操作

异常

athrow 抛出异常或错误

finally子句

jsr 跳转到子例程

jsr_w 跳转到子例程（宽索引）

rct 从子例程返回

方法调用与返回

方法调用指令

invokcvirtual 运行时按照对象的类来调用实例方法

invokespecial 根据编译时类型来调用实例方法

invokestatic 调用类（静态）方法

invokcinterface 调用接口方法

方法返回指令

ireturn 从方法中返回int类型的数据

lreturn 从方法中返回long类型的数据

freturn 从方法中返回float类型的数据

dreturn 从方法中返回double类型的数据

areturn 从方法中返回引用类型的数据

return 从方法中返回，返回值为void

线程同步

montiorenter 进入并获取对象监视器

monitorexit 释放并退出对象监视器

总结

JVM指令助记符

变量到操作数栈：iload,iload_,lload,lload_,fload,fload_,dload,dload_,aload,aload_

操作数栈到变量：

istore,istore_,lstore,lstore_,fstore,fstore_,dstore,dstor_,astore,astore_

常数到操作数栈：

bipush,sipush,ldc,ldc_w,ldc2_w,aconst_null,iconst_ml,iconst_,lconst_,fconst_,dconst_

加：iadd,ladd,fadd,dadd

减：isub,lsub,fsub,dsub

乘：imul,lmul,fmul,dmul

除：idiv,ldiv,fdiv,ddiv

余数：irem,lrem,frem,drem

取负：ineg,lneg,fneg,dneg

移位：ishl,lshr,iushr,lshl,lshr,lushr

按位或：ior,lor

按位与：iand,land

按位异或：ixor,lxor

类型转换：i2l,i2f,i2d,l2f,l2d,f2d(放宽数值转换)

i2b,i2c,i2s,l2i,f2i,f2l,d2i,d2l,d2f(缩窄数值转换)

创建类实便：new

创建新数组：newarray,anewarray,multianwarray

访问类的域和类实例域：getfield,putfield,getstatic,putstatic

把数据装载到操作数栈：baload,caload,saload,iaload,laload,faload,daload,aaload

从操作数栈存存储到数组：

bastore,castore,sastore,iastore,lastore,fastore,dastore,aastore

获取数组长度：arraylength

检相类实例或数组属性：instanceof,checkcast

操作数栈管理：pop,pop2,dup,dup2,dup_xl,dup2_xl,dup_x2,dup2_x2,swap

有条件转移：ifeq,iflt,ifle,ifne,ifgt,ifge,ifnull,ifnonnull,if_icmpeq,if_icmpene,

if_icmplt,if_icmpgt,if_icmple,if_icmpge,if_acmpeq,if_acmpne,lcmp,fcmpl

fcmpg,dcmpl,dcmpg

复合条件转移：tableswitch,lookupswitch

无条件转移：goto,goto_w,jsr,jsr_w,ret

调度对象的实便方法：invokevirtual

调用由接口实现的方法：invokeinterface

调用需要特殊处理的实例方法：invokespecial

调用命名类中的静态方法：invokestatic

方法返回：ireturn,lreturn,freturn,dreturn,areturn,return

异常：athrow

finally关键字的实现使用：jsr,jsr_w,ret