博客园  :: 首页  :: 新随笔  :: 联系 :: 订阅 订阅  :: 管理

Android逆向工程

Posted on 2018-02-11 14:24  红与黑hyh  阅读(229)  评论(0)  编辑  收藏  举报

前言

新的一年新的开始，除了继续我的原有课题之外，我还打算研究下Android逆向工程的一些东西，主要包括反编译、Smali、APK打包、签名、反逆向和移动安全等。这篇就是新课题的第一篇文章，不过要牺牲下哈皮妹-萝莉这款应用了。通过对哈皮妹-萝莉的破解，让我更加深刻直观地认识到，Android的安全性是一个多么大的问题，如果我们的应用没有采用特殊手段去阻止破解，那么一个个的山寨版就会出来，一个个原本收费的应用被修改成不用钱也能玩，做为开发者，辛苦的劳动成果得不到应有的回报，是不是觉得特别受打击呢？所以，反逆向是广大开发者所需要关注的。在Android逆向工程中的一系列文章中，我将会介绍Android逆向和反逆向，请大家期待。

为什么选择破解哈皮妹-萝莉

这是一个意外，是前几天无意中发现了这款应用，想想就装上看看吧，结果发现一些功能需要充钱才能用，所以，就萌生了破解它的想法，破解进行的很顺利。另外，我需要说明的是，我反对通过非法手段破解他人应用，因为这是不道德且有违行业规则的，那么为什么我还要写文章来介绍破解的方法呢？因为，尽管破解他人应用是不好的，但是破解这种行为已经广泛地流传开了，即使我不破解，也有其他人破解。所以，我要做的是，介绍破解的流程和危害从而引起广大开发者的注意，如果大家在开发应用的时候都能注意到防破解的问题，那么破解就不会那么猖狂了。其实破解是很难防的，但是通过一些特定方法可以阻止一些简单常规的破解手段，这样就能减小应用被破解的概率。本着遵守行业规范，我只会给出破解思想，但是不会给出破解后的apk，希望大家理解。

破解准备工作

由于我在linux下工作，所以本文介绍的破解工具以及命令都是linux下的，但是windows以及mac上的工具、命令是和linux类似的，大家可以自己了解下。

准备破解所需工具

源码反编译工具：dex2jar、jd-gui

apk反编译为smali、打包、签名工具：apktool、signapk.jar以及签名所需的key文件

其中dex2jar将dex文件转成jar包，jd-gui完成jar包到java文件的转换，这样就可以看到源码了，但是源码往往是混淆过的，看起来很像乱码；apktool完成apk的解包、打包，signapk.jar采用key文件对打包后的apk进行签名，ok，签名后就可以直接安装了，到此为止，一个山寨应用就诞生了。需要注意的是，apk打包以后必须要进行签名，否则apk是无法安装的，不信大家可以试试，但是由于是采用你的key文件进行签名的，所以签名后的apk和官方版的签名是不一样的，也就是说，我们生成的apk是山寨版，不过山寨版也是可以用的。

破解命令

反编译命令：

第一步 ./dex2jar.sh classes.dex

第二步 采用jd-gui打开jar包查看源码

说明：上面第一步中的classes.dex来自原始apk中，将原始apk解压，copy出里面的classes.dex即可

解包、打包/签名命令：

第一步 ./apktool d -f com.qxshikong.mm.lolita.apk com.lolita

第二步 修改smali

第三步 apk打包 ./apktool b com.lolita com.lolita.apk

第四步 apk签名 java -jar signapk.jar testkey.x509.pem testkey.pk8 com.lolita.apk com.lolita.signed.apk

ok，com.lolita.signed.apk就是我们最终的apk，安装试试吧。

说明：上述第一步中的com.qxshikong.mm.lolita.apk 、com.lolita分别为原始apk的文件名和解包后的目录名；第三步是将解压后的目录重新打包成apk。

破解流程

上面已经介绍了破解所需的工具以及命令，但是还差最后一步，就是修改smali这一步，这一步是破解的关键所在，对任何apk的破解，其核心工作均在这一步。首先描述下哈皮妹-萝莉的玩法，然后再描述破解思想，最后给出破解后的smali代码。

哈皮妹-萝莉玩法

就是一个漂亮妹子，可以和你互动，其实就是播放不同的mp4而已。普通的互动可以随便玩，但是深层次的互动，比如跳舞、换装等，需要你有一定数量的金币和钻石，金币可以通过游戏赚取，钻石必须充值，但是想看妹子跳舞啥的，不充值只靠游戏赚是很难的，几乎不可能啊。

破解思想

如果能修改游戏中的金币数和钻石数，问题不就搞定了么？是的，事实证明，的确是这样。也许有人会说，直接找内存修改工具（比如八门神器）把钱给改了不就行了么，注意，内存修改工具改钱需要其有root权限，没有root权限的手机是搞不定的，另外，修改内存不属于逆向工程，它属于外挂。按照我们这种思想，程序中应该会有一个地方专门存储当前的金币和钻石的数量，很可能是一个对象，因为，整个游戏都会直接对金钱进行存取，所以，我觉得开发者应该会设置一个类，并全局持有这个类的对象。我也试图通过log来得到有用信息，但是没发现啥有价值的log。

破解方法

我打开jd-gui，查看反编译的代码，代码被混淆了，虽然很难，但是还是被我找到了关键的地方，我发现了如下的一个类，通过对混淆代码逻辑的分析，我大致觉得这个类就是代表金币和钻石的类，事实证明我是对的。

 

[java] view plain copy
 
  1. package com.qxshikong.mm.lolita.c;  
  2.   
  3. public final class c  
  4. {  
  5.   private int a;  
  6.   private int b;  
  7.   
  8.   public final int a()  
  9.   {  
  10.     return this.a;    //我们在这里返回 999999999  
  11.   }  
  12.   
  13.   public final void a(int paramInt)  
  14.   {  
  15.     this.a = paramInt;  
  16.   }  
  17.   
  18.   public final int b()  
  19.   {  
  20.     return this.b;    //我们在这里返回 999999999  
  21.   }  
  22.   
  23.   public final void b(int paramInt)  
  24.   {  
  25.     this.b = paramInt;  
  26.   }  
  27. }  

有了这个类，就很简单了，修改方法看上面代码的注释，直接在两个get方法中强制返回999999999，这下金币和钻石都够花了吧。下面对其smali进行修改，我们是无法直接修改其反编译后的源码的，只能修改smali，关于smali的详细语法，以后我会写文章专门介绍，这里就先有个大致感觉就行了。

 

修改前的smali：

 

[java] view plain copy
 
  1. .class public final Lcom/qxshikong/mm/lolita/c/c;  
  2. .super Ljava/lang/Object;  
  3.   
  4.   
  5. # instance fields  
  6. .field private a:I  
  7.   
  8. .field private b:I  
  9.   
  10.   
  11. # direct methods  
  12. .method public constructor <init>()V  
  13.     .locals 0  
  14.   
  15.     invoke-direct {p0}, Ljava/lang/Object;-><init>()V  
  16.   
  17.     return-void  
  18. .end method  
  19.   
  20.   
  21. # virtual methods  
  22. .method public final a()I  
  23.     .locals 1  
  24.   
  25.     iget v0, p0, Lcom/qxshikong/mm/lolita/c/c;->a:I  
  26.   
  27.     return v0  #修改这里的返回值为999999999  
  28. .end method  
  29.   
  30. .method public final a(I)V  
  31.     .locals 0  
  32.   
  33.     iput p1, p0, Lcom/qxshikong/mm/lolita/c/c;->a:I  
  34.   
  35.     return-void  
  36. .end method  
  37.   
  38. .method public final b()I  
  39.     .locals 1  
  40.   
  41.     iget v0, p0, Lcom/qxshikong/mm/lolita/c/c;->b:I  
  42.   
  43.     return v0  #修改这里的返回值为999999999  
  44. .end method  
  45.   
  46. .method public final b(I)V  
  47.     .locals 0  
  48.   
  49.     iput p1, p0, Lcom/qxshikong/mm/lolita/c/c;->b:I  
  50.   
  51.     return-void  
  52. .end method  

修改后的smali：

 

[java] view plain copy
 
  1. .class public final Lcom/qxshikong/mm/lolita/c/c;  
  2. .super Ljava/lang/Object;  
  3.   
  4.   
  5. # instance fields  
  6. .field private a:I  
  7.   
  8. .field private b:I  
  9.   
  10.   
  11. # direct methods  
  12. .method public constructor <init>()V  
  13.     .locals 0  
  14.   
  15.     invoke-direct {p0}, Ljava/lang/Object;-><init>()V  
  16.   
  17.     return-void  
  18. .end method  
  19.   
  20.   
  21. # virtual methods  
  22. .method public final a()I  
  23.     .locals 1  
  24.   
  25.     const v0, 0x3b9ac9ff  #这里定义一个常量 v0 = 999999999  
  26.   
  27.     return v0  #返回v0  
  28. .end method  
  29.   
  30. .method public final a(I)V  
  31.     .locals 0  
  32.   
  33.     iput p1, p0, Lcom/qxshikong/mm/lolita/c/c;->a:I  
  34.   
  35.     return-void  
  36. .end method  
  37.   
  38. .method public final b()I  
  39.     .locals 1  
  40.   
  41.     const v0, 0x3b9ac9ff  #这里定义一个常量 v0 = 999999999  
  42.   
  43.     return v0  #返回v0  
  44. .end method  
  45.   
  46. .method public final b(I)V  
  47.     .locals 0  
  48.   
  49.     iput p1, p0, Lcom/qxshikong/mm/lolita/c/c;->b:I  
  50.   
  51.     return-void  
  52. .end method  

破解后的效果

装上破解后的apk后，金币和钻石的数量都变成了999999999，而且无论怎么花钱都不会少，下面贴上一张原本需要花钱才能看到的视频图片，到此，整个破解过程就完成了，可以发现，破解的难点在于：如何找到关键的修改点以及如何修改smali。至于要不要采用一些集成反编译工具，我觉得没必要，自己敲几条命令感觉挺好的，干吗要去用集成工具呢，而且集成工具又不能帮你完成破解，它仅仅是让你少敲几条命令而已。Android逆向工程作为我博客的一个系列，我会持续更新，同时原有的Android高手进阶和疑难解答系列我也会持续更新，希望大家多多关注、多多交流。