Smali - 反编译/[修改]/编译

Reading time: 10 minutes

有时修改应用代码以访问隐藏信息（可能是高度混淆的密码或 flags）会很有趣。此时，反编译 apk、修改代码并重新编译可能就很有用。

Opcodes 参考: http://pallergabor.uw.hu/androidblog/dalvik_opcodes.html

快速方法

使用 Visual Studio Code 和 APKLab 扩展，你可以 自动反编译、修改、重新编译、签名并安装应用，而无需执行任何命令。

另一个大大简化该任务的 脚本 是 https://github.com/ax/apk.sh

反编译 APK

使用 APKTool 可以访问 smali 代码和资源：

apktool d APP.apk

如果 apktool 给你任何错误，试试 installing the latest version

一些你应该查看的有趣的文件：

• res/values/strings.xml (and all xmls inside res/values/*)
• AndroidManifest.xml
• Any file with extension .sqlite or .db

如果 apktool 在解码应用时有问题，请查看 https://ibotpeaches.github.io/Apktool/documentation/#framework-files 或尝试使用参数 -r（不解码资源）。这样，如果问题出在资源而不是源代码，你就不会遇到该问题（但也不会反编译资源）。

更改 smali 代码

你可以更改指令、改变某些变量的值或添加新指令。我使用 VS Code 修改 Smali 代码，安装 smalise extension 后编辑器会告诉你是否有任何指令不正确。
一些示例可以在这里找到：

• Smali changes examples
• Google CTF 2018 - Shall We Play a Game?

Or you can check below some Smali changes explained.

重新编译 APK

修改代码后，你可以使用以下命令重新编译代码：

apktool b . #In the folder generated when you decompiled the application

它会 编译 新的 APK，且在 dist 文件夹内部。

如果 apktool 抛出 错误，请尝试 installing the latest version

为新的 APK 签名

然后，你需要 生成密钥（系统会要求你输入密码以及一些可以随机填写的信息）：

keytool -genkey -v -keystore key.jks -keyalg RSA -keysize 2048 -validity 10000 -alias <your-alias>

最后，为新的 APK 签名：

jarsigner -keystore key.jks path/to/dist/* <your-alias>

优化新应用

zipalign 是一个归档对齐工具，为 Android 应用 (APK) 文件 提供重要的优化。 更多信息请见.

zipalign [-f] [-v] <alignment> infile.apk outfile.apk
zipalign -v 4 infile.apk

为新的 APK 重新签名（又一次？）

如果你 更喜欢 使用 apksigner 而不是 jarsigner，应在使用 zipaling 进行优化后对 APK 进行签名。但请注意，你只需使用 jarsigner（在 zipalign 之前）或使用 aspsigner（在 zipaling 之后）仅对应用签名一次。

apksigner sign --ks key.jks ./dist/mycompiled.apk

修改 Smali

对于下面的 Hello World Java 代码：

public static void printHelloWorld() {
System.out.println("Hello World")
}

Smali 代码将是:

.method public static printHelloWorld()V
.registers 2
sget-object v0, Ljava/lang/System;->out:Ljava/io/PrintStream;
const-string v1, "Hello World"
invoke-virtual {v0,v1}, Ljava/io/PrintStream;->println(Ljava/lang/String;)V
return-void
.end method

Smali 指令集可在 here.

轻微更改

修改函数内变量的初始值

有些变量在函数开头使用操作码 const 定义，您可以修改它们的值，或定义新的变量：

#Number
const v9, 0xf4240
const/4 v8, 0x1
#Strings
const-string v5, "wins"

基本操作

#Math
add-int/lit8 v0, v2, 0x1 #v2 + 0x1 and save it in v0
mul-int v0,v2,0x2 #v2*0x2 and save in v0

#Move the value of one object into another
move v1,v2

#Condtions
if-ge #Greater or equals
if-le #Less or equals
if-eq #Equals

#Get/Save attributes of an object
iget v0, p0, Lcom/google/ctf/shallweplayagame/GameActivity;->o:I #Save this.o inside v0
iput v0, p0, Lcom/google/ctf/shallweplayagame/GameActivity;->o:I #Save v0 inside this.o

#goto
:goto_6 #Declare this where you want to start a loop
if-ne v0, v9, :goto_6 #If not equals, go to: :goto_6
goto :goto_6 #Always go to: :goto_6

更大的改动

日志记录

#Log win: <number>
iget v5, p0, Lcom/google/ctf/shallweplayagame/GameActivity;->o:I #Get this.o inside v5
invoke-static {v5}, Ljava/lang/String;->valueOf(I)Ljava/lang/String; #Transform number to String
move-result-object v1 #Move to v1
const-string v5, "wins" #Save "win" inside v5
invoke-static {v5, v1}, Landroid/util/Log;->d(Ljava/lang/String;Ljava/lang/String;)I #Logging "Wins: <num>"

Recommendations:

• 如果你打算在函数内部使用已声明的变量（声明 v0,v1,v2...），将这些行放在 .local 和变量声明 (const v0, 0x1) 之间。
• 如果你想把日志代码插入到函数代码的中间：
• 在已声明变量的数量上加 2：例如：从 .locals 10 到 .locals 12
• 新的变量应该是已声明变量之后的下一个编号（在本例中应为 v10 和 v11，记住编号从 v0 开始）。
• 修改日志函数的代码，使用 v10 和 v11 替换 v5 和 v1。

Toast 提示

请记得在函数开头将 .locals 的数量增加 3。

该代码已准备好插入到函数的中间（必要时修改变量数量）。它会取 this.o 的值，将其转换为 String，然后用该值显示一个 toast。

const/4 v10, 0x1
const/4 v11, 0x1
const/4 v12, 0x1
iget v10, p0, Lcom/google/ctf/shallweplayagame/GameActivity;->o:I
invoke-static {v10}, Ljava/lang/String;->valueOf(I)Ljava/lang/String;
move-result-object v11
invoke-static {p0, v11, v12}, Landroid/widget/Toast;->makeText(Landroid/content/Context;Ljava/lang/CharSequence;I)Landroid/widget/Toast;
move-result-object v12
invoke-virtual {v12}, Landroid/widget/Toast;->show()V

在启动时加载本地库 (System.loadLibrary)

有时你需要预先加载本地库，以便它在其他 JNI 库之前初始化（例如，用于启用进程级的遥测/日志）。你可以在静态初始化器或在 Application.onCreate() 早期注入对 System.loadLibrary() 的调用。下面是用于静态类初始化器 () 的 smali 示例：

.class public Lcom/example/App;
.super Landroid/app/Application;

.method static constructor <clinit>()V
.registers 1
const-string v0, "sotap"         # library name without lib...so prefix
invoke-static {v0}, Ljava/lang/System;->loadLibrary(Ljava/lang/String;)V
return-void
.end method

或者，将相同的两条指令放在你的 Application.onCreate() 开始处，以确保该库尽早加载：

.method public onCreate()V
.locals 1

const-string v0, "sotap"
invoke-static {v0}, Ljava/lang/System;->loadLibrary(Ljava/lang/String;)V

invoke-super {p0}, Landroid/app/Application;->onCreate()V
return-void
.end method

注意：

• 确保库的正确 ABI 变体存在于 lib// 下（例如 arm64-v8a/armeabi-v7a），以避免 UnsatisfiedLinkError。
• 尽早加载（class static initializer）可确保 native logger 能观察到随后的 JNI 活动。

参考资料

• SoTap: 轻量级的应用内 JNI (.so) 行为记录器 – github.com/RezaArbabBot/SoTap