Android逆向从入门到入土(smali修改，so修改)

闲来无事，学习了下安卓的逆向工程，有助于观摩学习他人的优秀代码，查询了解后发现大致包括两部分：
1.dex反编译，即smali语法学习；
2.Native层，arm汇编学习。

反编译dex，Smali语法

工具

java环境很少说
1.apktool.jar；
2.jd-gui.jar；
3.dex2jar.zip；
这里就不提供了，毕竟本身动手，丰衣足食，建议百度下载最新的版本，旧版本可能会有bug。

查看java源码

假设如今有一个test.apk，若是咱们想要查看一个apk里的java源码，就能够经过解压apk文件获得dex文件，而后使用dex2jar.zip工具包中的d2j-dex2jar.bat将dex转为jar文件：

将classes.dex拖动到d2j-dex2jar.bat上，获得classes-dex2jar.jar，使用jd-gui.jar打开就能够查看源码了：

反编译

可是jar文件只能辅助咱们查看java代码，没法修改。想要修改的话，仍是要反编译出smali文件，而后对smali文件进行修改操做，使用下边的命令反编译apk：

apktool.jar d test.apk

而后会在当前目录生成test目录，目录内容大致以下：

assets资源目录，包含了图片和字体等资源；
build和dist为从新编译生成的，新apk在dist目录；
lib为so文件目录；
original保存了原签名和反编译前的清单文件；
res主要为layout,strings等xml文件；
unknown不用管；
下边是AndroidManifest.xml，清单文件，已经能够打开查看了；
而后最重要的来了smali和smali_classes2，apk中的每一个dex文件会反编译出一个smali文件夹，classes.dex对应smali，classes2.dex对应smali_classes2，以此类推。

修改smali

知道了这些后，就能够查看修改咱们想要的内容了。AndroidManifest.xml很少说，作过安卓开发均可以改，重点是smali的阅读修改。首先打开smali文件夹内容以下：

因为如今apk编译时广泛会进行混肴，以防他人修改二次发布，因此目录结构有些乱，但并没有大碍。
随手打开一个smali文件(sublime,已安装smali插件)：

嗯，看不懂，没事如今学还来得及，你须要了解下smali语法，传送门：APK反编译之一：基础知识--smali文件阅读。

smali修改简单示例：

上图为原java代码，下图是反编译出的smali代码，此方法用来判断外置储存是否可读。
如今不管外置存储是否可读，咱们都想让此方法返回true，则能够在smali代码中的return v1前加上一行const/4 v1, 0x1，以下图：

是否是很是简单？固然，这只是最简单的修改，一切都创建在深刻地学习和了解过smali语法的基础上。

Native层，arm汇编

安卓native层，通俗来讲就是对lib目录下的so文件学习和了解，so文件是Android NDK动态连接库，是二进制文件，做用至关于windows下的.dll文件。想要深刻了解相关知识，能够百度关键字：‘安卓 native’，‘安卓 JNI’，‘安卓 ELF’，‘安卓 NDK’。

不一样的cpu构架

so一般是针对不一样的cpu构建编译而成的，以下图：

arm64-v8a：arm最新的64cpu构架，如骁龙810，820，835等都是基于此构架的，同时兼容A32,T32指令集；
armeabi-v7a：32位cpu构架，如骁龙800，801等，兼容armv5,armv6；
armeabi：armv5,armv6构架，基本已经淘汰了；
x86：intel的32位cpu构架，即windows平台的32位cpu构架；
x86_64：实际上是amd出的兼容64位的32位cpu构架；
arm构架都是向下兼容的，例如若是CPU是armv8，没有对应arm64-v8a文件夹，则会执行armeabi-v7a中的so文件。
话很少说，开始研究修改so文件吧，首先使用010 editor或ida打开armeabi下的so(elf)文件(这里使用ida)，弹出界面直接点击ok，进入以下页面：

要了解elf文件的详细信息能够查看：ARM平台下elf文件超详细的分析与解读，elf文件的解析这里不作更多说明。若是你跟我同样，别的什么也不想看，就想知道怎么修改so，那么下面咱们就来看看怎么修改arm汇编的机器码，来达到修改so文件的目的。

修改前的准备工做

1.了解二进制文件的大小端模式，传送门：详解大端模式和小端模式；
2.了解寄存器相关知识，了解arm32位和64位寄存器的区别，特别是lr,sp,pc等关键寄存器的做用；
3.arm指令集学习，包括32位指令（A32,T32）和64位指令(A64)，这里不上连接了，由于太多了，具体建议百度自查；
4.下载arm官网cpu构架手册，修改时须要对应查看，连接：A-Profile Architecture，咱们主要查看a系列的构架手册，主要下载的文件：

Arm® Architecture Reference Manual Armv8, for Armv8-A architecture profile
Arm® Architecture Reference Manual Armv7-A and Armv7-R edition
The A64 instruction set

第一本是关于A64指令集的手册，其实也包含了A32和T32指令集，第二本是armv7构架，包含了ARM指令和Thumb指令，第三本介绍了A64指令。
5.熟练进行进制转换，可使用win10自带的计算器的程序员模式。

修改so文件

- 32位

如下内容创建在以上知识的基础上，开始修改，接着咱们打开的so页面（armeabi-v7a），滚动到汇编代码区域，以下图：

例如想要修改Ox00005EE8处的关键跳转BEQ loc_5EFA为BNE loc_5EFA，经过汇编代码知道，此处用R0寄存器中的值和2比较大小，若是R0中的值等于2，跳转到下边的loc_5EFA处：

双击此行，而后点击Hex View-1标签能够看到对应的机器码：

因为elf的存储模式是小端模式（Little-endian），故实际的机器码是D0 07，转换为二进制：‭1101 0000 0000 0111‬，能够看出是16位的Thumb指令，打开armv7构架手册（armv8也能够），找到指令集部分：

如上图，此机器码对应红框中的编码方式，要修改BEQ为BNE，则须要修改8-11位的条件位，当即数保持不变：

上图能够查出EQ的机器码为0000，NE机器码则是0001，所以修改后的机器码为‭1101 0001 0000 0111,再转换回16进制为‭D1 07‬，小端存储07 D1，按以下步骤，右键点击修改：

修改完后右键点击应用修改：

而后返回IDA View-A视图，能够看到BEQ loc_5EFA已经改成了BNE loc_5EFA：

- 64位
下边尝试下修改64位构架下的so文件，64位的so必须用64位的ida打开：

如上图，咱们修改红框中的代码，改成：

CMP      W1, #1
B.LT     loc_1B5C

CMP W0, #0的机器码为‭0111 0001 0000 0000 0000 0000 0001 1111‬，查看armv8a手册：

寄存器w0改为w1，只需将5-9位改成00001。当即数#0改成#1，须要将10-21位改成00 0000 0000 01，改完后机器码变为‭0111 0001 0000 0000 0000 0100 0011 1111‬，转换为16进制后：‭71 00 04 3F，小端模式3F 04 00 71‬；

B.GT loc_1B10的机器码‭0101 0100 1111 1111 1111 1110 0000 1100‬，编码方式以下：

B.GT改成B.LT，即修改0-3位为1011。

原当即数1111 1111 1111 1110 000，补码转为原码为1001 0000，即-16。

偏移量计算方法为：offset = SignExtend(imm19:'00', 64)，也就是19位的当即数后边拼接00（左移2位），变为1111 1111 1111 1110 000 00，而后有符号扩展为64位（对于负数，前边补1，补足64位），变为‭1111 1111 1111 1111 1111 1111 1111 1111 1111 1111 1111 1111 1111 1111 1100 0000‬，此为补码，转为原码1100 0000，即-64。正如红框中的所述，是当即数的4倍。

此处要改成loc_1B5C，即偏移量为+12，则当即数为+12/4 = +3，5-23位的当即数变为0000 0000 0000 0000 011。

最终机器码为‭0101 0100 0000 0000 0000 0000 0110 1011，转换16进制‭54 00 00 6B‬，小端模式6B 00 00 54。

而后，修改应用后查看结果：