用python一步步解剖dex文件(二)

编码格式uleb128

先介绍下dex中用到的一种编码方式uleb128。

简单来说,它是对int(4字节)数据的一个可变长度编码,使得原先固定长度(4字节)的数据,可以通过更少的字节表示出来;而且这个可变长度不超过5。

假定有数据序列:a b c d e,我们把它们用二进制表示出来:

aaaaaaaa bbbbbbbb cccccccc dddddddd eeeeeeee

如果每字节的高位开头是1,那么继续往后;如果高位开头是0,那么终止在这里;然后把所有的高位都去除,反序拼出来的二进制,就是最后的结果。

比如这样的:

1aaaaaaa 1bbbbbbb 1ccccccc 0ddddddd eeeeeeee

一直到第4个,它是以0为高位开头的,那么这个有效数据就是前四个字节组成,并且反序如下:

ddddddd ccccccc bbbbbbb aaaaaaa

如上,第一是反序,第二是每个字节只有7位。

这个就是简单的uleb128的示范。

解码程序如下:

uleb128解码

数据结构

类信息

其中classDataOff是指向类数据信息区域的一个偏移数值。

类数据信息

从这里可以看到,类数据其实包含了四种信息,静态属性,实例属性,直接方法和虚方法。

字段和方法

对于DexMethod来说,它代表一个类的方法,方法中当然是包含代码的,那么代码(字节码)所在的位置,通过codeOff来表示。

另外加一个说明,这里的fieldIdx和methodIdx其实是一个diff,也就是说,在field列表和method列表中,第一个Idx是真实的Idx,后面的Idx都是在这个基础上做的diff。

字节码信息

数据追踪

按照上面的数据结构,我们走一遍真实的dex数据。

头部区域中的类区域信息

如上一篇所讲,在dex的头部区域中,有两个字段分别表示类信息的偏移值和类的个数;上图中,第一个四字节(07)表示类的总个数,第二个四字节(2ac)就表示类信息的偏移值。

我们找到2ac处: (按照类定义,每个类信息占据4*8=32个字节)

类信息数据区

我们把这7个类的信息,按着类的结构解析并且打印出来:

打印类信息

结果是这样的:

类信息

也就是说,我写的这个Demo程序中,在dex里包含了7个类的信息,如上所示;其中MainActivity就是主Activity。

我们现在只看这个MainActivity的数据:

MainActivity类信息

其中类数据的偏移数值,是第7个四字节,也就是5cc (cc05 0000)。

MainActivity类数据信息

这里使用到了前面锁说的uleb128格式:00 00 01 01(四个字节)

按上面的解释方法,每个字节都是以0开头的,所以就是最后的结果了,那么定义出来的:

static_field_size = 0

instance_field_size = 0

direct_method_size = 1

virtual_method_size = 1

也就是说,MainActivity中没有属性信息,但是有一个直接方法和一个虚方法。

接下来的10个字节,就是直接方法和虚方法的信息(属性为空忽略),它们也是用uleb128进行编码的。

解码信息

这两个方法分别是:

A: method_idx = 5, code_off = 4f0

B: method_idx = 6, code_off = 508

根据上一篇文章中介绍的,我们查找到方法信息如下:

method-idx = 5

method-idx = 6

其中第一个是构造函数,第二个就是我们很熟悉的android方法,onCreate。

继续,我们跟踪onCreate方法的信息,它的偏移是508(十六进制):

onCreate方法体数据

对照结构如下:

onCreate方法体信息

其中从6f20开始,连续的32个字节,就是该方法体的字节码信息。

接下来的任务,就是把这32个字节,翻译成可以识别的指令信息,就是反汇编过程了。

在这之前,我们总结下类信息的打印程序:

读取类信息

读取类数据(一)

读取类数据(二)

用到的一些方法:

读取属性信息

读取方法信息

读取注解信息

读取DexTypeList类型

读取指令信息

反汇编

前面提到,onCreate方法中的指令字节序列,就是下面的32个字节数据。

指令集数据

我们知道指令一般是指令符+指令数组成的,第一个字节一般标识一个特定的指令。

在dex格式中,这个指令既表示具体的操作(字节码格式),又对应一个数据解析格式(说明格式)。

字节码格式文档:

https://source.android.google.cn/devices/tech/dalvik/dalvik-bytecode

说明格式文档:

https://source.android.google.cn/devices/tech/dalvik/instruction-formats

比如第一个字节是6f,对照文档如下:

字节码格式

字节码格式

6e..72是数字范围,下面的35c就代表着数据说明格式。

说明格式

对于上面的35c来说,3表示本次指令共计3个字(2个字节),5表示寄存器数目,而c是一个助记符标识常量:

助记符

这3个字是怎么排列呢?

字节排列

把6f开始的3个字,如上面格式依次排开:

206f 0001 0032

对照格式得出:

A = 2, G = 0, op = 6f, BBBB = 1, C = 2, D = 3, E = 0, F = 0

这里的A = 2,那么对应格式:

格式A = 2

也就是op , kind@0001。

再对照字节码格式文档,其实就是:

invoke-super , meth@0001

根据method的信息,查询出: meth@0001是

meth@0001

那么前3个字的反汇编代码就是:

invoke-super , Landroid/app/Activity; --> V onCreate(Landroid/os/Bundle;)

这个不就是调用父类Activity的onCreate方法吗?

对照源代码:

源代码

同样的方式,可以把32个字节的数据,全部反汇编出来。

我们是为了学习Dex的结构,所以会这么大费周折;更加方便的方式,是直接用现有的反编译工具,将dex反编译成smali,可以更加直观的看到信息。

在面对一个未知的应用时,我们没有源码,如果去修改它的信息呢?(假定没有加固)

最简单的方式,还是反编译出smali,通过修改smali再重新打包。

如果是,我们直接在dex上修改呢? 后面继续研究和探讨。

【待续】

请勿转载,谢谢!

简书主页: https://www.jianshu.com/u/d2a08403ea7f

微信公众号: 一叶谷

  • 发表于:
  • 原文链接http://kuaibao.qq.com/s/20180219G0CRW300?refer=cp_1026
  • 腾讯「云+社区」是腾讯内容开放平台帐号(企鹅号)传播渠道之一,根据《腾讯内容开放平台服务协议》转载发布内容。
  • 如有侵权,请联系 yunjia_community@tencent.com 删除。

扫码关注云+社区

领取腾讯云代金券