安卓相关环境配置

偶尔更新。。。

JEB（动态调试好用）

JEB动态调试Smali-真机/模拟器（详细，新手必看） 夜步城

JADX官网（静态分析）

https://github.com/skylot/jadx/releases/tag/v1.5.0

雷电模拟器自己去官网下

Magisk 面具

https://www.52pojie.cn/thread-1583586-1-1.html

LSPosed官网

https://github.com/LSPosed/LSPosed/releases/download/v1.8.6/LSPosed-v1.8.6-6712-zygisk-release.zip

MT管理器（吾爱破解论坛里搜）

adb （记得加环境变量）

https://developer.android.google.cn/tools/releases/platform-tools?hl=zh-cn#downloads

android studio（不太行，甚至打不开xml文件，环境难配）

https://developer.android.google.cn/studio?hl=zh-cn

吐槽一下插件套娃：Magisk->LSPosed->核心破解

1. 模拟器环境配置

雷电模拟器9，设置把root权限开一下，然后重启

磁盘共享(可写入)

将magisk安装目录里的app-debug.apk拖入模拟器中。

点击magisk->永久记住选择->安装->允许

点击右下角的正方形按钮，然后中间向左拖动退回关掉。

点击magisk->安装->下一步->安装至系统分区->开始

然后重启雷电模拟器，进magisk设置，把Zygisk开启

更多->共享文件->打开电脑文件夹

把下载好的LSPosed.zip文件拖进共享文件夹

magisk点击右下角模块->从本地安装->选择Picture目录下的LSPosed.zip进行安装

重启雷电模拟器，下拉状态栏，打开LSPosed管理器

在LSPosed仓库里下载核心破解（MT管理器改了xml后，apk不用验证签名就可以安装）。

若模拟器没挂代理，则把网址复制一下，在主机访问进行下载，再把安装包拖进模拟器。

模拟器安装核心破解后，需要启动核心破解模块，然后重新启动。

2. 小概念

详见正己佬的视频

apk 全称 Android Package，它相当于一个压缩文件，只要在电脑上将apk后缀改为zip即可解压。

classes.dex是APK运行的主要逻辑。

Dalvik是Google专门为Android设计的一个虚拟机，Dalvik有专属的文件执行格式dex(Dalvik executable)

Art(Android Runtime)相当于Dalvik的升级版，本质与Dalvik无异

安卓四大组件

组件	描述
Activity(活动)	在应用中的一个Activity可以用来表示一个界面，意思可以理解为“活动”，即一个活动开始，代表 Activity组件启动，活动结束，代表一个Activity的生命周期结束。一个Android应用必须通过Activity来运行和启动，Activity的生命周期交给系统统一管理。
Service(服务)	Service它可以在后台执行长时间运行操作而没有用户界面的应用组件，不依赖任何用户界面，例如后台播放音乐，后台下载文件等。
Broadcast Receiver(广播接收器)	一个用于接收广播信息，并做出对应处理的组件。比如我们常见的系统广播：通知时区改变、电量低、用户改变了语言选项等。
Content Provider(内容提供者)	作为应用程序之间唯一的共享数据的途径，Content Provider主要的功能就是存储并检索数据以及向其他应用程序提供访问数据的接口。Android内置的许多数据都是使用Content Provider形式，供开发者调用的（如视频，音频，图片，通讯录等）

3. smali语法

smali是Dalvik的寄存器语言，smali代码是dex反编译而来的。类似汇编

关键字

名称	注释
.class	类名
.super	父类名，继承的上级类名名称
.source	源名
.field	变量
.method	方法名
.local v0,"bytes":[B	定义局部变量v0为字节数组，"bytes"是局部变量的名称(调试时有用)
.register	寄存器
.end method	方法名的结束
public	公有
protected	半公开，只有同一家人才能用
private	私有，只能自己使用
.parameter	方法参数
.prologue	方法开始
.line xxx	位于第xxx行

数据类型对应

smali类型	java类型	注释
V	void	无返回值
Z	boolean	布尔值类型，返回0或1
B	byte	字节类型，返回字节
S	short	短整数类型，返回数字
C	char	字符类型，返回字符
I	int	整数类型，返回数字
J	long （64位 需要2个寄存器存储）	长整数类型，返回数字
F	float	单浮点类型，返回数字
D	double （64位 需要2个寄存器存储）	双浮点类型，返回数字
string	String	文本类型，返回字符串
Lxxx/xxx/xxx	object	对象类型，返回对象
[I	int[]	int数组
[[I	int[][]	二维整型数组
[Ljava/lang/String		String对象数组

常用指令

关键字	注释
const	重写整数属性，真假属性内容，只能是数字类型，const/4为4bit数字
const-string	重写字符串内容
const-wide	重写长整数类型，多用于修改到期时间。
return	返回指令
if-eq	全称equal(a=b)，比较寄存器ab内容，相同则跳
if-ne	全称not equal(a!=b)，ab内容不相同则跳
if-eqz	全称equal zero(a=0)，z即是0的标记，a等于0则跳
if-nez	全称not equal zero(a!=0)，a不等于0则跳
if-ge	全称greater equal(a>=b)，a大于或等于则跳
if-le	全称little equal(a<=b)，a小于或等于则跳
goto	强制跳到指定位置
switch	分支跳转，一般会有多个分支线，并根据指令跳转到适当位置
iget	获取寄存器数据

调用方法

invoke-virtual {v0, v1}, Ljava/lang/String;->length()I
//调用`v0`对象的实例方法`length()`，传参为`v1`，返回值类型为`Int`

invoke-super {v0, v1}, Ljava/lang/Object;->toString()Ljava/lang/String;
//v0重写了Object类的toString方法，这里调用了Object类原本的toString方法

invoke-direct {v0}, Lcom/example/MyClass;-><init>()V
//调用实例的私有方法、构造方法或者父类的私有方法
    
invoke-static {}, Ljava/lang/Math;->random()D
//调用静态方法，由于静态方法属于类而非类的实例，因此调用时不需要对象引用。

invoke-interface {v0}, Ljava/util/List;->size()I
//v0是实现了List接口的对象的引用，调用List接口中的方法size()

invoke-custom {v0, v1}, Ljava/lang/invoke/LambdaMetafactory;->metafactory(...)Ljava/lang/invoke/CallSite;
//用于动态绑定方法调用

结果处理

invoke-virtual {p0}, Ljava/lang/Object;->toString()Ljava/lang/String;
move-result-object v0
//将这个返回的字符串对象引用移动到寄存器v0中
    
move-result v0
//将前一个函数调用返回的基本数据类型的结果移动到指定的寄存器中。

const/4 v1, 0x5
move v0, v1  //将v1中的值0x5移动到v0中

​ 在smali里的所有操作都必须经过寄存器来进行:本地寄存器用v开头数字结尾的符号来表示，如v0、 v1、v2。 参数寄存器则使用p开头数字结尾的符号来表示，如p0、p1、p2。特别注意的是，p0不一定是函数中的第一个参数，在非static函数中，p0代指“this"，p1表示函数的第一个 参数，p2代表函数中的第二个参数。而在static函数中p0才对应第一个参数(因为Java的static方法中没有this方法）

4. 使用JEB进行动态调试

想要动态调试，首先得修改debug权限

​ 法一：在AndroidManifest.xml里添加可调试权限

​ android:debuggable="true"

​ 法二：XappDebug模块hook对应的app

​ 法三：Magisk命令(重启失效)

1.  adb shell #adb进入命令行模式
2.  su #切换至超级用户
3.  magisk resetprop ro.debuggable 1
4.  stop;start; #一定要通过该方式重启

自行下载吾爱破解第五课的课后作业

安装配置好JEB

shift+鼠标滚轮	代码横向滚动
Ctrl+B	打断点
Tab 根据java代码找到smali代码所在处

jadx全局搜索无效后，全局搜索unsuccessed，追踪onClick函数

jadx追踪checkSN

private boolean checkSN(String userName, String sn) {  
    // 如果用户名为空，直接返回false  
    if(userName == null) {  
        return false;  
    }  
  
    try {  
        // 检查用户名非空且SN非空且长度为16  
        if(userName.length() != 0 && (sn != null && sn.length() == 16)) {  
            // 获取MD5 MessageDigest实例  
            MessageDigest digest = MessageDigest.getInstance("MD5");  
            digest.reset();//注意：reset()在这里实际上是多余的，因为每次new MessageDigest实例时，它都是初始化的 
            digest.update(userName.getBytes()); // 这里使用默认字符集编码，可能在不同环境中导致不同结果  
              
            // 将字节数组转换为十六进制字符串  
            String hexstr = MainActivity.toHexString(digest.digest(), "");  
              
            // 尝试将十六进制字符串转换为字符数组
            StringBuilder sb = new StringBuilder();  
            int i;  
            for(i = 0; true; i += 2) { // 无限循环，直到i超出hexstr长度  
                if(i >= hexstr.length()) {  
                    // 这里应该是比较整个转换后的字符串与sn  
                    return sb.toString().equalsIgnoreCase(sn);  
                }  
                // 这里直接将单个十六进制字符转换为字符，而不是每两个十六进制字符转换为一个字节的字符
                sb.append(((char)hexstr.charAt(i))); //(char)会将十六进制字符转换为ASCII字符  
            }  
        }  
    }  
    catch(NoSuchAlgorithmException e) {  
        // MD5算法通常总是可用的，这里的catch块可能永远不会执行  
        e.printStackTrace();  
    }  
    // 如果没有匹配，返回false  
    return false;  
}

JEB反编译一下并找到return sb.toString().equalsIgnoreCase(sn); 的位置，按Tab键，使左侧smali代码跟踪到该函数位置，然后Ctrl+B打断点。

雷电模拟器启动apk程序，JEB附加进程调试

程序输入用户名，注册码(必须16位)，点击注册

JEB查看v5寄存器的值，实际就是注册的sn码。

a96fa7cd071995a2

参考

1. 吾爱破解安卓逆向入门教程《安卓逆向这档事》一、模拟器环境搭建

2. 《安卓逆向这档事》二、初识APK文件结构、双开、汉化、基础修 正己

3. 最新Windows安装adb方法 飞⑧风暴

4. JEB动态调试Smali-真机/模拟器（详细，新手必看） 夜步城

5. Smali基础语法总结 bmjoker

6. 安卓逆向_5 — jeb 和 AndroidStudio 动态调试 smali 擒贼先擒王