前言
前年的时候搞过一点Android逆向，好久没搞了，最近有个哥们让我帮他做个Android逆向的小题目，于是拾起来Android逆向的知识重新来搞搞吧，这个apk十分简单，属于入门级的Android逆向分析程序，所以本文面向的对象主要是想涉足Android逆向的读者，让读者能够了解一下Android逆向是怎么回事。我这里附上apk文件，感兴趣的最好下载下来实操一下:
https://pan.baidu.com/s/17d7zKMjh8rKjj9mUl3J_0Q
提取码：htrx
引言
Android程序一般是使用Java语言开发，通过生成一个apk文件安装到Android手机上来运行，apk我们很容易获得，我们通过使用一些反汇编工具可以得知apk文件内部的逻辑，甚至得到他最初的Java源代码（不完全等同于开发时的源代码，但是大体上相同）。同时，也可以通过反汇编工具得到类似于smali代码，smali代码是一种类似于汇编语言的代码，适合机器执行，但对于程序员来说就相对晦涩难懂了。
首先，使用apktools和jad-gui工具或者Androidkiller得到反汇编后的smali代码和java代码，这两款工具可以很容易在网上搜到，使用方法也很简单，这里就不赘述了。下面开始进入代码分析阶段，java代码比较容易看懂，所以这里就先上java代码吧：
通过java得到flag
通过上述两款工具得到的MainActivity的java源码如下所示：
1package com.a.sample.androidtest; 2 3import android.content.Context; 4import android.os.Bundle; 5import android.support.v7.app.AppCompatActivity; 6import android.view.View; 7import android.view.View.OnClickListener; 8import android.widget.EditText; 9import android.widget.Toast; 10 11public class MainActivity extends AppCompatActivity { 12 private EditText editText; 13 private byte[] s = new byte[]{(byte) 113, (byte) 123, (byte) 118, (byte) 112, (byte) 108, (byte) 94, (byte) 99, (byte) 72, (byte) 38, (byte) 68, (byte) 72, (byte) 87, (byte) 89, (byte) 72, (byte) 36, (byte) 118, (byte) 100, (byte) 78, (byte) 72, (byte) 87, (byte) 121, (byte) 83, (byte) 101, (byte) 39, (byte) 62, (byte) 94, (byte) 62, (byte) 38, (byte) 107, (byte) 115, (byte) 106}; 14 15 public boolean check() { 16 byte[] chars = this.editText.getText().toString().getBytes(); 17 if (chars.length != this.s.length) { 18 return false; 19 } 20 int i = 0; 21 while (i < this.s.length && i < chars.length) { 22 if (this.s[i] != (chars[i] ^ 23)) { 23 return false; 24 } 25 i++; 26 } 27 return true; 28 } 29 30 protected void onCreate(Bundle savedInstanceState) { 31 super.onCreate(savedInstanceState); 32 setContentView((int) R.layout.activity_main); 33 final Context context = this; 34 this.editText = (EditText) findViewById(R.id.edit_text); 35 findViewById(R.id.button).setOnClickListener(new OnClickListener() { 36 public void onClick(View v) { 37 if (MainActivity.this.check()) { 38 Toast.makeText(context, "You got the flag!", 1).show(); 39 } else { 40 Toast.makeText(context, "Sorry your flag is wrong", 1).show(); 41 } 42 } 43 }); 44 } 45}
猛一看这一段代码可能有点懵，没那个耐心去看这段代码在干嘛，这里可以先尝试使用安卓模拟器运行后观察一下程序的运行逻辑，打开后发现是一个输入框，然后一个check按钮。如图所示：
再结合代码进行分析可知，当点击check按钮时，会触发onClick函数，即如下代码段：
1if (MainActivity.this.check()) { 2 Toast.makeText(context, "You got the flag!", 1).show(); 3 } else { 4 Toast.makeText(context, "Sorry your flag is wrong", 1).show();
由此可知如果check函数返回true，会提示You got the flag! 否则，提示Sorry your flag is wrong。下面对check函数进行分析：
1public boolean check() { 2 byte[] chars = this.editText.getText().toString().getBytes(); 3 if (chars.length != this.s.length) { 4 return false; 5 } 6 int i = 0; 7 while (i < this.s.length && i < chars.length) { 8 if (this.s[i] != (chars[i] ^ 23)) { 9 return false; 10 } 11 i++; 12 } 13 return true; 14 }
其中，this.s是一个byte型的数组：
private byte[] s = new byte[]{(byte) 113, (byte) 123, (byte) 118, (byte) 112, (byte) 108, (byte) 94, (byte) 99, (byte) 72, (byte) 38, (byte) 68, (byte) 72, (byte) 87, (byte) 89, (byte) 72, (byte) 36, (byte) 118, (byte) 100, (byte) 78, (byte) 72, (byte) 87, (byte) 121, (byte) 83, (byte) 101, (byte) 39, (byte) 62, (byte) 94, (byte) 62, (byte) 38, (byte) 107, (byte) 115, (byte) 106};
首先看到check函数先是检查输入的flag和s数组的长度是否相等，之后进行while循环，其中if中的判断条件为：
this.s[i] != (chars[i] ^ 23)
这里^指的是二进制按位异或。这样整个逻辑就分析清楚了，那么如何得到正确的flag呢？
有一个需要记住的实用技巧，就是两次按位异或运算会得到自身，所以我们对s数组再进行一次异或即可得到真实的flag；python脚本如下：
1# -*- coding: utf-8 -*- 2def ascii2str(): 3 asciis=[113,123,118,112,108,94,99,72,38,68,72,87,89,72,36,118,100,78,72,87,121,83,101,39,62,94,62,38,107,115,106] 4 strs=[] 5 for ascii in asciis: 6 str=chr(ascii^23) 7 strs.append(str) 8 print(''.join(strs)) 9 10if __name__ == '__main__': 11 print("begin!") 12 ascii2str() 13 print("finished!")
运行后输出结果为：flag{It_1S@N_3asY@nDr0)I)1|d}，
输入后可知显示You got the flag!如图所示：
通过smali修改跳转进行破解
前面提到除了Java源码，还有smali代码，那既然对Java源码都已经分析清楚了，为啥还要看smali代码？smali的好处在于能回编译，实现破解效果，即不需要对他的算法进行分析，无需知道真实的flag即可让他显示You got the flag！那么我们就用smali来搞一下；
MainActivity的smali源码check函数如下所示：
1.method public check()Z 2 .locals 5 3 4 .prologue 5 const/4 v2, 0x0 6 7 .line 15 8 iget-object v3, p0, Lcom/a/sample/androidtest/MainActivity;->editText:Landroid/widget/EditText; 9 10 invoke-virtual {v3}, Landroid/widget/EditText;->getText()Landroid/text/Editable; 11 12 move-result-object v3 13 14 invoke-virtual {v3}, Ljava/lang/Object;->toString()Ljava/lang/String; 15 16 move-result-object v3 17 18 invoke-virtual {v3}, Ljava/lang/String;->getBytes()[B 19 20 move-result-object v0 21 22 .line 16 23 .local v0, "chars":[B 24 array-length v3, v0 25 26 iget-object v4, p0, Lcom/a/sample/androidtest/MainActivity;->s:[B 27 28 array-length v4, v4 29 30 if-eq v3, v4, :cond_1 31 32 .line 22 33 :cond_0 34 :goto_0 35 return v2 36 37 .line 18 38 :cond_1 39 const/4 v1, 0x0 40 41 .local v1, "i":I 42 :goto_1 43 iget-object v3, p0, Lcom/a/sample/androidtest/MainActivity;->s:[B 44 45 array-length v3, v3 46 47 if-ge v1, v3, :cond_2 48 49 array-length v3, v0 50 51 if-ge v1, v3, :cond_2 52 53 .line 19 54 iget-object v3, p0, Lcom/a/sample/androidtest/MainActivity;->s:[B 55 56 aget-byte v3, v3, v1 57 58 aget-byte v4, v0, v1 59 60 xor-int/lit8 v4, v4, 0x17 61 62 if-ne v3, v4, :cond_0 63 64 .line 18 65 add-int/lit8 v1, v1, 0x1 66 67 goto :goto_1 68 69 .line 22 70 :cond_2 71 const/4 v2, 0x1 72 73 goto :goto_0 74.end method
看起来比Java源码难懂了很多，其实我们目前只需要知道一些关键语句的含义就够了，当然后面如果想深入学习肯，smali代码越熟悉越好，这里对这里的部分smali进行解释一下，.method public check()Z 中的Z表示这是bool类型的函数；.locals 5 表明了在这个函数中最少要用到的本地寄存器的个数。.line 15 表明了该代码在原Java文件中的行数。其余的命令我也忘记了不少，为了避免误人子弟，我就大概解释一下主要的内容吧？
invoke-virtual {v3}, Landroid/widget/EditText;->getText()Landroid/text/Editable;
invoke-virtual是调用函数，invoke-static后面有一对大括号“{}”，其实是调用该方法的实例+参数列表。对v3进行分析就会发现它就是我们输入框输入的flag，v4就是上述数组里的s；看到这里：
if-eq v3, v4, :cond_1
其实我们已经找到了跳转点，if-eq 也就是v3 v4相等时跳转到某处，那么如果我们把它直接改成不相等时跳转，岂不是输入除真实的flag外的任何值都会提示You got the flag! 那我们就来试试直接将if-eq改成if-ne，然后使用Androidkiller中的回编译功能，对他进行签名，重新安装运行，发现随便输入都提示You got the flag!
