Android软件逆向分析基础 2-1Dalvik虚拟机基本原理

一、DVM简介 1、DVM运行Dalvik字节码 2、Dalvik的的可执行文件是.dex，体积小于JVM的可执行文件.class 3、DVM基于寄存器，JVM基于栈 二、Dalvik汇编语言介绍 1、命名法，如果有3个局部变量和4个参数（包括一个this） v0，v1，v2（局部变量v打头），p0（this），p1，p2，p3（参数p打头） 2、类型描述符 V(void),Z(boolean),B(byte),S(short),C(char),I(int),J(long),F(float),D(double),L(java类),[(数组); DVM寄存器都是32bit，J,D类型需要两个寄存器; 对象类型：Ljava/lang/String;相当于java.lang.String; 一维数组[I=int[],二维数组[[I=int[][]; 对对象里面方法的调用为 Lpackage/name/ObjectName;->MethodName(III)Z,第一个L是指package/name/ObjectName这是一个java类的类型 后面跟的是对象的名称->后面跟的MethodName是方法名，(III)指的是方法有三个参数，都是int类型的，Z指的是方法函数的返回值是boolean 类型的; method(I[[Ljava/lang/String;[Ljava/lang/Object;)Ljava/lang/String等价于String method(int,int[],int,String,Object[]) 对对象里面变量的调用为 Lpackage/name/ObjectName;->FieldName: Ljava/lang/String;冒号后面的Ljava/lang/String;指的是变量类型 三、程序编译与反编译 apk包由资源文件，dex文件AndroidManifest.xml布局文件三个打包构成，反编译dex文件生成smali文件，可以直接阅读。一般用baksmali

2-2Dalvik汇编语言

.class 后面是类名 .super 后面跟的是基类名 .method 后面跟的是方法 .registers 后面的数字指的是程序使用了几个寄存器 具体的Dalvik指令可以看《Addroid软件安全与逆向分解》第三章

Android控制台可以直接执行的文件格式就是dex。我的实验方法是

先写一个java文件，编译之后得到class文件，再用dx工具得到dex文件

我的java代码是 public class helloworld{ public static void main(String[] args){ System.out.println(“Helloworld!”); } }

得到的dex文件经过baksmali反编译后得到smali代码 .class public Lhelloworld; .super Ljava/lang/Object; .source “helloworld.java”

direct methods

.method public constructor ()V .registers 1

.prologue .line 1 invoke-direct {p0}, Ljava/lang/Object;-><init>()V return-void

.end method

.method public static main([Ljava/lang/String;)V .registers 3

.prologue .line 3 sget-object v0, Ljava/lang/System;->out: Ljava/io/PrintStream; const-string v1, "Helloworld!" invoke-virtual {v0, v1}, Ljava/io/PrintStream;->println(Ljava/lang/String;)V .line 4 return-void

.end method

2-3Dalvik版的helloworld

编译smali文件，可以用ApkToolBox，同时这里面也有smali.jar文件通过指令编译为 java -jar smali.jar -o classes.dex(输出的可执行文件) Helloworld.smali(源文件)使用ApktoolBox的回编译dex功能也可以，但这时smali文件必须在一个同名的文件夹中，把文件夹拖入

ApkToolBox文件路径中，得到dex文件。

3-1静态分析的概念与定位关键代码

静态分析 1、定义：不运行代码的情况下，阅读反汇编代码来掌握程序功能的一种技术 2、两种方法：阅读Dalvik字节码（反编译dex文件生成的smali文件） 阅读java代码（通过dex2jar生成jar文件，再用jd-gui阅读jar），不过准确性不高

关键代码定位 常用步骤： 1、反编译apk，通常是反编译成smali文件 2、通过AndroidManifest.xml查找主类Activity 3、查看程序的入口函数：主Activity的OnCreat() 4、查看Application类（全局，早于其他类启动）的OnCreate()函数，该函数通常用作授权检测 常用方法： 信息反馈法：运行时信息 特征函数法：运行时行为 顺序查看法：执行流程 代码注入法：添加Log

.class public Lcom/example/administrator/helloworld/MainActivity; //类名 .super Landroid/support/v7/app/AppCompatActivity; //基类名，说明MainActivity是继承的AppCompatActivity .source “MainActivity.java” //源代码文件

instance fields //实例的成员变量，此处为空

direct methods //直接方法

.method public constructor ()V //构造函数(constructor),返回值为void .locals 0 //局部变量0个

.prologue .line 6 invoke-direct {p0}, Landroid/support/v7/app/AppCompatActivity;-><init>()V //直接调用方法，p0存放this，当前对象 return-void

.end method

virtual methods

.method protected onCreate(Landroid/os/Bundle;)V .locals 1 .param p1, “savedInstanceState” # Landroid/os/Bundle;

.prologue .line 10 invoke-super {p0, p1}, Landroid/support/v7/app/AppCompatActivity;->onCreate(Landroid/os/Bundle;)V .line 11 const v0, 0x7f040019 invoke-virtual {p0, v0}, Lcom/example/administrator/helloworld/MainActivity;->setContentView(I)V .line 12 return-void

.end method

smali文件 MainActivity[Math Processing Error]SNChecker.smali:成员内部类，SNChecker为类名 MainActivity.smali：外部类

3-2Smali文件格式与分析

内部类的表示 this[Math Processing Error]0不是父类的引用，是表示对内部类所在的外部类的引用。此处外部类和父类的概念是不同的) this$X型字段都被指定了synthetic(合成的)属性，表明他们是被编译器合成的，虚构的，非java代码指定的字段 构造函数执行步骤（后两步是任何一个类初始化都有的步骤，第一步只有内部类初始化才需要） 1、保存外部类的引用到本类的一个synthetic字段中 2、调用内部类的父类的构造函数 3、内部类自身初始化

从屏幕截图中可看到，在.class那行，类名是MainActivity$SNChecker,其中MainActivity是主类名，SNChecker是

内部类名，中间用[Math Processing Error]0,他是被编译器合成的虚构 的，不是我们自己写的，内部类SNChecker所在的外部类是MainActivity，所以this$0指向了MainActivity，存在寄存器 p0中。 smali语言中，类直接方法都是在#direct methods中，截图里面13-31行都是这个类的构造函数constructor, constructor是smali构造函数的标准函数名，后面一堆是参数类型和返回值类型。 .local指的是非参数寄存器个数，.param指的是参数寄存器，.param p2,”sn”意思就是变量sn是存在p2寄存器中的。 代码第20行对应上述步骤1，将对外部类的引用保存到本类的p1寄存器中（此处视频中说的是保存到寄存器p1中，但我还是有些疑问，如果是保存在p1中，p1就是非参寄存器，.local后面就不应该是0。还有个问题，就是这样操作之后p1和p0的值是不是就一样了，都指向对外部类的引用），23行对应步骤2，27行对应步骤3，是对内部类成员变量sn的初始化(此处视频课件有错误，严格意义上第27行的代码只是对内部类成员变量sn的初始化，并不算是 调用SNChecker自身的构造函数） Smali语法简单介绍如下： Davlik字节码中，寄存器都是32位的，能够支持任何类型，64位类型（Long/Double）用2个寄存器表示； Dalvik字节码有两种类型：原始类型；引用类型（包括对象和数组） 原始类型：v void 只能用于返回值类型 Z boolean B byte S short C char I int J long（64位） F float D double（64位） 对象类型：Lpackage/name/ObjectName; 相当于java中的package.name.ObjectName;解释如下： L：表示这是一个对象类型 package/name:该对象所在的包 ；：表示对象名称的结束 数组的表示形式： [I :表示一个整形的一维数组，相当于java的int[]; 对于多维数组，只要增加[ 就行了，[[I = int[][];注：每一维最多255个； 对象数组的表示形式： [Ljava/lang/String 表示一个String的对象数组；

方法的表示形式： Lpackage/name/ObjectName;——>methodName(III)Z 详解如下： Lpackage/name/ObjectName 表示类型 methodName 表示方法名 III 表示参数（这里表示为3个整型参数） 说明：方法的参数是一个接一个的，中间没有隔开； 字段的表示形式： Lpackage/name/ObjectName;——>FieldName: Ljava/lang/String; 即表示： 包名，字段名和各字段类型 有两种方式指定一个方法中有多少寄存器是可用的： .registers 指令指定了方法中寄存器的总数 .locals 指令表明了方法中非参寄存器的总数，出现在方法中的第一行 方法的传参： 当一个方法被调用的时候，方法的参数被置于最后N个寄存器中； 例如，一个方法有2个参数，5个寄存器（v0~v4） 那么，参数将置于最后2个寄存器（v3和v4） 非静态方法中的第一个参数总是调用该方法的对象； 说明：对于静态方法除了没有隐含的this参数外，其他都一样 寄存器的命名方式： V命名 P命名 第一个寄存器就是方法中的第一个参数寄存器 比较：使用P命名是为了防止以后如果在方法中增加寄存器，需要对参数寄存器重新进行编号的缺点 特别说明一下：Long和Double类型是64位的，需要2个寄存器 例如：对于非静态方法 LMyObject——>myMethod(IJZ)V; 有4个参数：LMyObject,int,long,bool; 需要5个寄存器来存储参数； P0 this P1 I (int) P2，P3 J (long) P4 Z(bool)

相关链接：http://bbs.ichunqiu.com/thread-9017-1-1.html?from=csdnJG