安卓逆向系列教程(二)APK 和 DEX

安卓逆向系列教程(二)APK 和 DEX

作者:飛龍

APK

APK 是 Android 軟件包的分發(fā)格式,它本身是個 Zip 壓縮包。APK 根目錄下可能出現(xiàn)的目錄和文件有:

名稱 用途
META-INF 存放元數(shù)據(jù)
AndroidManifest.xml 編譯后的全局配置文件
assets 存放資源文件,不會編譯
classes.dex 編譯并打包后的源代碼
lib 存放二進制共享庫,含有armeabi-*mipsx86等文件夾,對應(yīng)具體的平臺
res 存放資源文件
resources.arsc 編譯并打包后的res/values中的文件

res

res 中可能出現(xiàn)的目錄如下:

名稱 用途
anim 存放編譯后的動畫 XML 文件(<XXXAnimation>
color 存放編譯后的選擇器 XML 文件(<selector>
drawable-* 存放圖片,*為不同分辨率,圖片按照不同分辨率歸類。其中帶.9的圖片為可拉伸的圖片。
layout 存放編譯后的布局 XML 文件(<XXXLayout>
menu 存放編譯后的菜單 XML 文件(<menu>
mipmap-* 存放使用 mipmap 技術(shù)加速的圖片,一般用來存放應(yīng)用圖標(biāo),其它同drawable-*
raw 存放資源文件,不會編譯,比如音樂、視頻、純文本等
xml 存放編譯后的自定義 XML 文件

resources.arsc

在 APK 中是找不到res/values這個目錄的,因為它里面的文件編譯后打包成了resources.arsc。為了理解它,我們先看一看原始的res/values

res/values中保存資源 XML 文件,根節(jié)點為<resources>。一般可能會出現(xiàn)以下幾種文件:

名稱 用途
arrays.xml 存放整數(shù)數(shù)組和字符串?dāng)?shù)組,使用<integer-array><string-array>定義,元素使用<item>定義
bools.xml 存放布爾值,使用<bool>定義
colors.xml 存放顏色,使用<color>定義
dimens.xml 存放尺寸,使用<dimen>定義
drawables.xml 存放顏色,使用<drawable>定義
ids.xml 存放 ID,使用<item type="id">定義
integers.xml 存放整數(shù),使用<integers>定義
strings.xml 存放字符串,使用<strings>定義
styles.xml 存放顏色,使用<style>定義,元素使用<item>定義

res/values中的文件名稱是無所謂的,這些名稱只是約定。也就是說,任何res/values中的文件中的字符串都會出現(xiàn)在R.strings里面。

雖然我們在 APK 中無法直接看到這些文件,但是反編譯之后就可以了。反編譯之后,我們也會找到一個public.xml文件,是res里所有東西的索引:

<resources>
    <public type="drawable" name="ic_launcher" id="0x7f020000" />
    <public type="layout" name="activity_main" id="0x7f030000" />
    <public type="layout" name="activity_sub" id="0x7f030001" />
    <public type="dimen" name="activity_horizontal_margin" id="0x7f040000" />
    <public type="dimen" name="activity_vertical_margin" id="0x7f040001" />
    <public type="string" name="action_settings" id="0x7f050000" />
    <public type="string" name="app_name" id="0x7f050001" />
    <public type="string" name="hello_world" id="0x7f050002" />
    <public type="string" name="title_activity_sub" id="0x7f050003" />
    <public type="style" name="AppTheme" id="0x7f060000" />
    <public type="menu" name="main" id="0x7f070000" />
    <public type="menu" name="sub" id="0x7f070001" />
    <public type="id" name="button1" id="0x7f080000" />
    <public type="id" name="action_settings" id="0x7f080001" />
</resources>

DEX

DEX 即 Dalvik Executable,Dalvik 可執(zhí)行文件。它的結(jié)構(gòu)如下:

struct DexFile{
    DexHeader    Header;
    DexStringId  StringIds[stringIdsSize];
    DexTypeId    TypeIds[typeIdsSize];
    DexFieldId   FieldIds[fieldIdsSize];
    DexMethodId  MethodIds[methodIdsSize];
    DexProtoId   ProtoIds[protoIdsSize];
    DexClassDef  ClassDefs[classDefsSize];
    DexData      Data;
    DexLink      LinkData;
};

我們可以看到,它可以分為九個區(qū)段,如下:

Header
StringIds
TypeIds
FieldIds
MethodIds
ProtoIds
ClassDefs
Data
LinkData

大體結(jié)構(gòu)如這張圖所示:

另外,在講解各個區(qū)段之前,需要首先了解一些數(shù)據(jù)類型的定義:

類型 定義
u1 等同于uint8_t,表示 1 字節(jié)的無符號數(shù)
u2 等同于uint16_t,表示 2 字節(jié)的無符號數(shù)
u4 等同于uint32_t,表示 4 字節(jié)的無符號數(shù)
u8 等同于uint64_t,表示 8 字節(jié)的無符號數(shù)

Header 區(qū)段

Header 區(qū)段用于儲存版本標(biāo)識、校驗和、文件大小、各部分的大小及偏移。結(jié)構(gòu)以及描述如下:

struct DexHeader {
    u1  magic[8];           /* 版本標(biāo)識 */  
    u4  checksum;           /* adler32 檢驗和 */  
    u1  signature[kSHA1DigestLen]; /* SHA-1 哈希值 */
    u4  fileSize;           /* 整個文件大小 */
    u4  headerSize;         /* Header 區(qū)段大小 */
    u4  endianTag;          /* 字節(jié)序標(biāo)記 */
    u4  linkSize;           /* 鏈接區(qū)段大小 */
    u4  linkOff;            /* 鏈接區(qū)段偏移 */
    u4  mapOff;             /* MapList 的偏移 */
    u4  stringIdsSize;      /* StringId 的個數(shù) */
    u4  stringIdsOff;       /* StringIds 區(qū)段偏移 */
    u4  typeIdsSize;        /* TypeId 的個數(shù) */
    u4  typeIdsOff;         /* TypeIds 區(qū)段偏移 */
    u4  protoIdsSize;       /* ProtoId 的個數(shù) */
    u4  protoIdsOff;        /* ProtoIds 區(qū)段偏移 */
    u4  fieldIdsSize;       /* FieldId 的個數(shù) */
    u4  fieldIdsOff;        /* FieldIds 區(qū)段偏移 */
    u4  methodIdsSize;      /* MethodId 的個數(shù) */
    u4  methodIdsOff;       /* MethodIds 區(qū)段偏移 */
    u4  classDefsSize;      /* ClassDef 的個數(shù) */
    u4  classDefsOff;       /* ClassDefs 區(qū)段偏移 */
    u4  dataSize;           /* 數(shù)據(jù)區(qū)段的大小 */
    u4  dataOff;            /* 數(shù)據(jù)區(qū)段的文件偏移 */
};

有幾個條目需要特別提醒。

  • magic:必須為DEX_FILE_MAGIC

    ubyte[8] DEX_FILE_MAGIC = { 0x64 0x65 0x78 0x0a 0x30 0x33 0x35 0x00 }
                            = "dex\n035\0";
    
  • checksum:是整個文件除去它本身以及魔數(shù)的校驗和。

  • signature:是整個文件除去它本身、校驗和以及魔數(shù)的哈希值。

  • headerSize:一般為 70。

  • endianTag:有兩種順序,小端和大端,定義如下:

    uint ENDIAN_CONSTANT = 0x12345678; /* 小端序 */
    uint REVERSE_ENDIAN_CONSTANT = 0x78563412; /* 大端序 */
    

    一般為小端序,反正我還沒見過大端的。

  • stringIdsOff:由于前一個區(qū)段的偏移加上它的長度一般為后一個區(qū)段的偏移,所以這個條目一般也為 70。

  • xxxSize:要注意有幾個是個數(shù),后綴也是Size

  • xxxOff:如果對應(yīng)的xxxSize為 0,那么它也為 0(很奇怪)。

StringIds 區(qū)段

StringIds 區(qū)段包含stringIdsSizeDexStringId結(jié)構(gòu),如下:

struct DexStringId {
    u4 stringDataOff;   /* 字符串內(nèi)容,字符串?dāng)?shù)據(jù)偏移 */
};

其中數(shù)據(jù)偏移指向 Data 區(qū)段的字符串?dāng)?shù)據(jù)。

TypeIds 區(qū)段

TypeIds 包含typeIdsSizeDexTypeId結(jié)構(gòu),如下:

struct DexTypeId {
    u4 descriptorIdx;    /* 類型的完全限定符,指向 DexStringId 列表的索引 */
};

索引是一個從 0 開始的數(shù)字,表示對應(yīng)第幾個DexStringId。這些DexStringId指向的字符串都是類型名稱,比如ILjava/lang/String;之類的。DexTypeId的索引也會用于后面的結(jié)構(gòu)。

ProtoIds 區(qū)段

ProtoIds 包含ProtoIdsSizeDexProtoId結(jié)構(gòu)。這里的 Proto 指方法原型,包含返回類型和參數(shù)類型。

struct DexProtoId {
    u4 shortyIdx;       /* 原型縮寫,指向 DexStringId 列表的索引 */
    u4 returnTypeIdx;   /* 返回類型,指向 DexTypeId 列表的索引 */
    u4 parametersOff;   /* 參數(shù)類型列表,指向 DexTypeList 的偏移 */
};

struct DexTypeList {
    u4 size;             /* 接下來 DexTypeItem 的個數(shù) */
    DexTypeItem list[size]; /* DexTypeItem 結(jié)構(gòu) */
};

struct DexTypeItem {
    u2 typeIdx;    /* 參數(shù)類型,指向 DexTypeId 列表的索引 */
};

原型縮寫是把所有返回類型和參數(shù)類型的名稱拼在一起,對象的話只寫L。比如int(int,int)寫為IIIvoid()寫為Vvoid(String)寫為VL

參數(shù)類型列表一般保存在Data區(qū)段中,如果沒有,parametersOff為 0。

FieldIds 區(qū)段

TypeIds 包含fieldIdsSizeDexFieldId結(jié)構(gòu),如下:

struct DexFieldId {
    u2 classIdx;   /* 類的類型,指向 DexTypeId 列表的索引 */
    u2 typeIdx;    /* 字段類型,指向 DexTypeId 列表的索引 */
    u4 nameIdx;    /* 字段名稱,指向 DexStringId 列表的索引 */
};

MethodIds 區(qū)段

MethodIds 包含methodIdsSizeDexMethodId結(jié)構(gòu),如下:

struct DexMethodId {
    u2 classIdx;  /* 類的類型,指向 DexTypeId 列表的索引 */
    u2 protoIdx;  /* 方法原型,指向 DexProtoId 列表的索引 */
    u4 nameIdx;   /* 方法名稱,指向 DexStringId 列表的索引 */
};

ClassDefs 區(qū)段

ClassDefs 包含classDefsSizeDexClassDef結(jié)構(gòu),如下:

struct DexClassDef {
    u4 classIdx;         /* 類的類型,指向 DexTypeId 列表的索引 */
    u4 accessFlags;      /* 訪問標(biāo)志 */
    u4 superclassIdx;    /* 父類類型,指向 DexTypeId列表的索引 */
    u4 interfacesOff;    /* 接口,指向 DexTypeList 的偏移 */
    u4 sourceFileIdx;    /* 源文件名,指向 DexStringId 列表的索引 */
    u4 annotationsOff;   /* 注解,指向 DexAnnotationsDirectoryItem 結(jié)構(gòu) */
    u4 classDataOff;     /* 指向 DexClassData 結(jié)構(gòu)的偏移 */
    u4 staticValuesOff;  /* 指向 DexEncodedArray 結(jié)構(gòu)的偏移 */
};

struct DexClassData {
    DexClassDataHeader header;                    /* 各個字段與方法的個數(shù) */
    DexField staticFields[staticFieldsSize];      /* 靜態(tài)字段 */
    DexField instanceFields[instanceFieldsSize];  /* 實例字段 */
    DexMethod directMethods[directMethodsSize];   /* 直接方法 */
    DexMethod virtualMethods[virtualMethodsSize]; /* 虛方法 */
};

struct DexClassDataHeader {
    u4 staticFieldsSize;   /* 靜態(tài)字段個數(shù) */
    u4 instanceFieldsSize; /* 實例字段個數(shù) */
    u4 directMethodsSize;  /* 直接方法個數(shù) */
    u4 virtualMethodsSize; /* 虛方法個數(shù) */
};

struct DexField {
    u4 fieldIdx;    /* 指向 DexFieldId 的索引 */
    u4 accessFlags; /* 訪問標(biāo)志 */
};

struct DexMethod {
    u4 methodIdx;   /* 指向 DexMethodId 的索引 */
    u4 accessFlags; /* 訪問標(biāo)志 */
    u4 codeOff;     /* 方法指令,指向DexCode結(jié)構(gòu)的偏移 */
};

struct DexCode {
    u2 registersSize;    /* 使用的寄存器個數(shù) */
    u2 insSize;          /* 參數(shù)個數(shù) */
    u2 outsSize;         /* 調(diào)用其他方法時使用的寄存器個數(shù) */
    u2 triesSize;        /* Try/Catch個數(shù) */
    u4 debugInfoOff;     /* 指向調(diào)試信息的偏移 */
    u4 insnsSize;        /* 指令集個數(shù),以2字節(jié)為單位 */
    u2 insns[insnsSize]; /* 指令集 */
};

DexClassDataDexCode保存在 Data 區(qū)段中。

Data 區(qū)段

這個區(qū)段中除了存放二級結(jié)構(gòu)和字符串,還有個重要的結(jié)構(gòu)叫做DexMapList,它實際上 DEX 中所有東西的索引,包括各種二級結(jié)構(gòu)、字符串和它本身。DEX 中同類結(jié)構(gòu)都會保存在一起,所以一類結(jié)構(gòu)只占用一個條目。

struct DexMapList {
    u4 size;                  /* 條目個數(shù) */
    DexMapItem list[size];    /* 條目列表 */
};

struct DexMapItem {   
    u2 type;      /* 結(jié)構(gòu)類型,kDexType 開頭 */
    u2 unused;    /* 未使用,用于字節(jié)對齊 */
    u4 size;      /* 連續(xù)存放的結(jié)構(gòu)個數(shù) */
    u4 offset;    /* 結(jié)構(gòu)的偏移 */
};

/* 結(jié)構(gòu)類型代碼 */
enum {
    kDexTypeHeaderItem               = 0x0000,
    kDexTypeStringIdItem             = 0x0001,
    kDexTypeTypeIdItem               = 0x0002,
    kDexTypeProtoIdItem              = 0x0003,
    kDexTypeFieldIdItem              = 0x0004,
    kDexTypeMethodIdItem             = 0x0005,
    kDexTypeClassDefItem             = 0x0006,
    kDexTypeMapList                  = 0x1000,
    kDexTypeTypeList                 = 0x1001,
    kDexTypeAnnotationSetRefList     = 0x1002,
    kDexTypeAnnotationSetItem        = 0x1003,
    kDexTypeClassDataItem            = 0x2000,
    kDexTypeCodeItem                 = 0x2001,
    kDexTypeStringDataItem           = 0x2002,
    kDexTypeDebugInfoItem            = 0x2003,
    kDexTypeAnnotationItem           = 0x2004,
    kDexTypeEncodedArrayItem         = 0x2005,
    kDexTypeAnnotationsDirectoryItem = 0x2006,
};

參考

最后編輯于
?著作權(quán)歸作者所有,轉(zhuǎn)載或內(nèi)容合作請聯(lián)系作者
平臺聲明:文章內(nèi)容(如有圖片或視頻亦包括在內(nèi))由作者上傳并發(fā)布,文章內(nèi)容僅代表作者本人觀點,簡書系信息發(fā)布平臺,僅提供信息存儲服務(wù)。

推薦閱讀更多精彩內(nèi)容