[Android]?[SMALI]smali文件內容具體介紹

大家都應該知道APK文件其實就是一個MIME為ZIP的壓縮包，我們修改ZIP后綴名方式可以看到內部的文件結構，例如修改后綴后用RAR打開鱷魚小頑皮APK能看到的是（Google Play下載的完整版版本）：
Where's My Water.zip\

• 
  
  
  
• asset\? ?? ?? ?? ?? ?? ?? ?? ?<資源目錄1：asset和res都是資源目錄但有所區別，見下面說明>
• lib\? ?? ?? ?? ?? ?? ?? ?? ?? ???<so庫存放位置，一般由NDK編譯得到，常見于使用游戲引擎或JNI native調用的工程中>
• |---armeabi\? ?? ?? ?? ?? ? |---<so庫文件分為不同的CPU架構>
• |---armeabi-v7a\
• META-INF\? ?? ?? ?? ?? ?? ?<存放工程一些屬性文件，例如Manifest.MF>
• res\? ?? ?? ?? ?? ?? ?? ?? ?? ?<資源目錄2：asset和res都是資源目錄但有所區別，見下面說明>
• |---drawable\? ?? ?? ?? ?? ?|---<圖片和對應的xml資源>
• |---layout\? ?? ?? ?? ?? ?? ? |---<定義布局的xml資源>
• |---...
• AndroidManifest.xml? ???<Android工程的基礎配置屬性文件>
• classes.dex? ?? ?? ?? ?? ???<Java代碼編譯得到的Dalvik VM能直接執行的文件，下面有介紹>
• resources.arsc? ?? ?? ?? ? <對res目錄下的資源的一個索引文件，保存了原工程中strings.xml等文件內容>
  

asset和res資源目錄的不同在于：
1. res目錄下的資源文件在編譯時會自動生成索引文件（R.java），在Java代碼中用R.xxx.yyy來引用；而asset目錄下的資源文件不需要生成索引，在Java代碼中需要用AssetManager來訪問； 2. 一般來說，除了音頻和視頻資源（需要放在raw或asset下），使用Java開發的Android工程使用到的資源文件都會放在res下；使用C++游戲引擎（或使用Lua binding等）的資源文件均需要放在asset下。 因為Where's My Water是使用迪斯尼公司自家的DMO游戲引擎開發，所以游戲中用到的所有資源文件都存放在asset下，除了應用圖標這些資源仍需要放在res下。 Dalvik字節碼Dalvik是google專門為Android操作系統設計的一個虛擬機，經過深度的優化。雖然Android上的程序是使用java來開發的，但是Dalvik和標準的java虛擬機JVM還是兩回事。Dalvik VM是基于寄存器的，而JVM是基于棧的；Dalvik有專屬的文件執行格式dex（dalvik executable），而JVM則執行的是java字節碼。Dalvik VM比JVM速度更快，占用空間更少。 通過Dalvik的字節碼我們不能直接看到原來的邏輯代碼，這時需要借助如Apktool或dex2jar+jd-gui工具來幫助查看。但是，注意的是最終我們修改APK需要操作的文件是.smali文件，而不是導出來的Java文件重新編譯（況且這基本上不可能）。 smali文件 好了，對Dalvik有一定認識后，下面介紹重點：smali，及其語法。 簡單的說，smali就是Dalvik VM內部執行的核心代碼。它有自己的一套語法，下面即將介紹，如果有JNI開發經驗的童鞋則能夠很快明白。 一、smali的數據類型 在smali中，數據類型和Android中的一樣，只是對應的符號有變化： B---byteC---charD---doubleF---floatI---intJ---longS---shortV---voidZ---boolean[XXX---arrayLxxx/yyy---object?
? ?這里解析下最后兩項，數組的表示方式是：在基本類型前加上前中括號“[”，例如int數組和float數組分別表示為：[I、[F；對象的表示則以L作為開頭，格式是LpackageName/objectName;（注意必須有個分號跟在最后），例如String對象在smali中為：Ljava/lang/String;，其中java/lang對應java.lang包，String就是定義在該包中的一個對象。
或許有人問，既然類是用LpackageName/objectName;來表示，那類里面的內部類又如何在smali中引用呢？答案是：LpackageName/objectName$subObjectName;。也就是在內部類前加“$”符號，關于“$”符號更多的規則將在后面談到。 二、函數的定義 函數的定義一般為： Func-Name (Para-Type1Para-Type2Para-Type3...)Return-Type 注意參數與參數之間沒有任何分隔符，同樣舉幾個例子就容易明白了： 1. foo ()V 沒錯，這就是void foo()。 2. foo (III)Z 這個則是boolean foo(int, int, int)。 3. foo (Z[I[ILjava/lang/String;J)Ljava/lang/String; 看出來這是String foo (boolean, int[], int[], String, long) 了嗎？
三、smali文件內容具體介紹 ? ?? ?下面開始進一步分析smali中的具體例子，取鱷魚小頑皮中的WMWActivity.smali來分析（怎么獲得請參考下一節的APK反編譯之二：工具介紹，暫時先介紹smali語法），它的內容大概是這樣子的：
[AppleScript]?純文本查看?復制代碼 ?

01 02 03 04 05 06 07 08 09 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89

[font=verdana,geneva,sans-serif][font=verdana,geneva,sans-serif][color=rgb(102,102,102)][list=1] [*].classpublic Lcom/disney/WMW/WMWActivity; [*].super Lcom/disney/common/BaseActivity; [*].source"WMWActivity.java" [*] [*]# interfaces [*].implements Lcom/burstly/lib/ui/IBurstlyAdListener; [*] [*]# annotations [*].annotation system Ldalvik/annotation/MemberClasses; [*]???value= { [*]??????? Lcom/disney/WMW/WMWActivity$MessageHandler;, [*]??????? Lcom/disney/WMW/WMWActivity$FinishActivityArgs; [*]???} [*].endannotation [*] [*] [*]# static fields [*].field private static final PREFS_INSTALLATION_ID:Ljava/lang/String;="installationId" [*]//... [*] [*] [*]# instance fields [*].field private _activityPackageName:Ljava/lang/String; [*]//... [*] [*] [*]# direct methods [*].method static constructor <clinit>()V [*]??? .locals 3 [*] [*]??? .prologue [*]???//... [*] [*]???return-void [*].endmethod [*] [*].method public constructor <init>()V [*]??? .locals 3 [*] [*]??? .prologue [*]???//... [*] [*]???return-void [*].endmethod [*] [*].method static synthetic access$100(Lcom/disney/WMW/WMWActivity;)V [*]??? .locals 0 [*]??? .parameter "x0" [*] [*]??? .prologue [*]??? .line 37 [*]??? invoke-direct{p0},Lcom/disney/WMW/WMWActivity;->initIap()V [*] [*]???return-void [*].endmethod [*] [*].method static synthetic access$200(Lcom/disney/WMW/WMWActivity;)Lcom/disney/common/WMWView; [*]??? .locals 1 [*]??? .parameter "x0" [*] [*]??? .prologue [*]??? .line 37 [*]??? iget-object v0,p0,Lcom/disney/WMW/WMWActivity;->_view:Lcom/disney/common/WMWView; [*] [*]???return-object v0 [*].endmethod [*] [*]//... [*] [*]#virtual methods [*].method public captureScreen()V [*]??? .locals 4 [*] [*]??? .prologue [*]???//... [*] [*]??? goto :goto_0 [*].endmethod [*] [*].method public didScreenCaptured()V [*]??? .locals 6 [*] [*]??? .prologue [*]???//... [*] [*]??? goto :goto_0 [*].endmethod [/list][/color][/font][/font]

看得一頭霧水的話那是正常的。現在我將逐一解析，理解這些符號的含義令你在后面注入代碼的時候事半功倍。 ? ?? ? 1、smali中的繼承、接口、包信息首先看看開頭的幾行：
[AppleScript]?純文本查看?復制代碼 ?

01 02 03 04 05 06 07 08 09 10 11 12 13 14 15 16 17

[font=verdana,geneva,sans-serif][font=verdana,geneva,sans-serif] 1] .classpublic Lcom/disney/WMW/WMWActivity; ??2] .super Lcom/disney/common/BaseActivity; ??3] .source "WMWActivity.java" ??4] ??5]# interfaces ??6] .implements Lcom/burstly/lib/ui/IBurstlyAdListener; ??7] ??8]# annotations ??9] .annotation system Ldalvik/annotation/MemberClasses; 10]????value= { 11]??????? Lcom/disney/WMW/WMWActivity$MessageHandler;, 12]??????? Lcom/disney/WMW/WMWActivity$FinishActivityArgs; 13]???} 14] .endannotation [/font][/font]

1-3行定義的是基本信息：這是一個由WMWActivity.java編譯得到的smali文件（第3行），它是com.disney.WMW這個package下的一個類（第1行），繼承自com.disney.common.BaseActivity（第2行）。? ?? ?5-6行定義的是接口信息：這個WMWActivity實現了一個com.burstly.lib.ui這個package下（一個廣告SDK）的IBurstyAdListener接口。
? ?? ?8-14行定義的則是內部類：它有兩個成員內部類——MessageHandler和FinishActivityArgs，內部類將在后面小節中會有提及。

? ?? ?分析完smali文件開頭的這些信息，我們已經能在大腦中構造出一個大概這樣的Java文件：
[AppleScript]?純文本查看?復制代碼 ?

01 02 03 04 05 06 07 08 09 10 11 12

[font=verdana,geneva,sans-serif][font=verdana,geneva,sans-serif] [color=rgb(102,102,102)][list=1] [*]classWMWActivity extends BaseActivity implements IBurstlyAdListener{ [*]???//... [*]???classMessageHandler { [*]???????//... [*]???} [*]???classFinishActivityArgs{ [*]???????//... [*]???} [*]} [/list][/color][/font][/font]

沒錯，這就是本來WMWActivity.java的大概框架了，成員變量和函數信息？別急，下面正要分析。? ?? ???
? ?? ?在繼續分析之前，有些東西需要先說明一下。前面說過，Dalvik VM與JVM的最大的區別之一就是Dalvik VM是基于寄存器的。基于寄存器是什么意思呢？也就是說，在smali里的所有操作都必須經過寄存器來進行：本地寄存器用v開頭數字結尾的符號來表示，如v0、v1、v2、...參數寄存器則使用p開頭數字結尾的符號來表示，如p0、p1、p2、...特別注意的是，p0不一定是函數中的第一個參數，在非static函數中，p0代指“this”，p1表示函數的第一個參數，p2代表函數中的第二個參數…而在static函數中p0才對應第一個參數（因為Java的static方法中沒有this方法）。本地寄存器沒有限制，理論上是可以任意使用的，下面是例子：? ?? ?
[AppleScript]?純文本查看?復制代碼 ?

1 2 3 4 5

[font=verdana,geneva,sans-serif][font=verdana,geneva,sans-serif] [color=#484848][font=Verdana, sans-serif][color=rgb(102, 102, 102)][list=1] [*]const/4v0,0x0 [*]iput-booleanv0,p0,Lcom/disney/WMW/WMWActivity;->isRunning:Z [/list][/color][/font][/color][/font][/font]

在上面的兩句中，使用了v0本地寄存器，并把值0x0存到v0中，然后第二句用iput-boolean這個指令把v0中的值存放到com.disney.WMW.WMWActivity.isRunning這個成員變量中。即相當于：this.isRunning = false;（上面說過，在非static函數中p0代表的是“this”，在這里就是com.disney.WMW.WMWActivity實例）。關于這兩句話的具體指令和含義暫可不用理會，先把Dalvik VM的機制弄明白就可以了，其實語法上和匯編語言非常相似，具體的指令會在后面逐一介紹。
? ?? ???2、smali中的成員變量
下面繼續介紹有關成員變量的內容：
[AppleScript]?純文本查看?復制代碼 ?

01 02 03 04 05 06 07 08 09 10

[font=verdana,geneva,sans-serif][font=verdana,geneva,sans-serif][color=#484848][font=Verdana, sans-serif] [font=Verdana,sans-serif]1] # static fields[/font] [font=Verdana,sans-serif]2] .field private static final PREFS_INSTALLATION_ID:rggrgjava/lang/String;="installationId"[/font] [font=Verdana,sans-serif]3] //...[/font] [font=Verdana,sans-serif]4] [/font] [font=Verdana,sans-serif]6] # instance fields[/font] [font=Verdana,sans-serif]7] .field private _activityPackageName:rggrgjava/lang/String;[/font] [font=Verdana,sans-serif]8] //...[/font] [/font][/color][/font][/font]

上面定義的static fields和instance fields均為成員變量，格式是：.field public/private [static] [final] varName:<類型>。然而static fields和instance fields還是有區別的，當然區別很明顯，那就是static fields是static的，而instance則不是。根據這個區別來獲取這些不同的成員變量時也有不同的指令。一般來說，獲取的指令有：iget、sget、iget-boolean、sget-boolean、iget-object、sget-object等，操作的指令有：iput、sput、iput-boolean、sput-boolean、iput-object、sput-object等。沒有“-object”后綴的表示操作的成員變量對象是基本數據類型，帶“-object”表示操作的成員變量是對象類型，特別地，boolean類型則使用帶“-boolean”的指令操作。
? ?? ?（1）、獲取static fields的指令類似是：
[AppleScript]?純文本查看?復制代碼 ?

1 2 3 4 5

[font=verdana,geneva,sans-serif][font=verdana,geneva,sans-serif][color=#484848][font=Verdana, sans-serif] [font=Verdana,sans-serif][color=rgb(102,102,102)][list=1] [*]???? sget-object v0,Lcom/disney/WMW/WMWActivity;->PREFS_INSTALLATION_ID:Ljava/lang/String; [/list] [/color][/font][/font][/color][/font][/font][size=14px]

sget-object就是用來獲取變量值并保存到緊接著的參數的寄存器中，在這里，把上面出現的PREFS_INSTALLATION_ID這個String成員變量獲取并放到v0這個寄存器中，注意：前面需要該變量所屬的類的類型，后面需要加一個冒號和該成員變量的類型，中間是“->”表示所屬關系。
? ?? ?（2）、獲取instance fields的指令與static fields的基本一樣，只是由于不是static變量，不能僅僅指出該變量所在類的類型，還需要該變量所在類的實例。看例子：
[AppleScript]?純文本查看?復制代碼 ?

1 2 3 4

[font=verdana,geneva,sans-serif][font=verdana,geneva,sans-serif][color=#484848][font=Verdana, sans-serif][font=Verdana, sans-serif] [font=Verdana,sans-serif][color=rgb(102,102,102)][list=1] [*]????? iget-object v0,p0,Lcom/disney/WMW/WMWActivity;->_view:Lcom/disney/common/WMWView; [/list][/color][/font][/font][/font][/color][/font][/font]

可以看到iget-object指令比sget-object多了一個參數，就是該變量所在類的實例，在這里就是p0即“this”。
? ?? ?（3）、獲取array的還有aget和aget-object，指令使用和上述類似，不細述。

? ?? ?（4）、put指令的使用和get指令是統一的，直接看例子不解釋：
[AppleScript]?純文本查看?復制代碼 ?

1 2 3 4 5

[font=verdana,geneva,sans-serif][font=verdana,geneva,sans-serif][color=#484848][font=Verdana, sans-serif][font=Verdana, sans-serif][font=Verdana, sans-serif] [color=rgb(102,102,102)][list=1] [*][color=rgb(72,72,72)][font=Verdana,sans-serif]????? const/4v3,0x0[/font][/color] [*][color=rgb(72,72,72)][font=Verdana,sans-serif]????? sput-object v3,Lcom/disney/WMW/WMWActivity;->globalIapHandler:Lcom/disney/config/GlobalPurchaseHandler;[/font][/color] [/list][/color][/font][/font][/font][/color][/font][/font]

相當于：this.globalIapHandler = null;（null = 0x0）

• 
  

相當于：wait.what = 0x2;（wait是Message的實例）
? ?? ???3、smali中的函數調用 smali中的函數和成員變量一樣也分為兩種類型，但是不同成員變量中的static和instance之分，而是direct和virtual之分。那么direct method和virtual method有什么區別呢？直白地講，direct method就是private函數，其余的public和protected函數都屬于virtual method。所以在調用函數時，有invoke-direct，invoke-virtual，另外還有invoke-static、invoke-super以及invoke-interface等幾種不同的指令。當然其實還有invoke-XXX/range 指令的，這是參數多于4個的時候調用的指令，比較少見，了解下即可。

? ? （1）、invoke-static：顧名思義就是調用static函數的，因為是static函數，所以比起其他調用少一個參數，例如：

[plain]?view plaincopy

invoke-static?{},?Lcom/disney/WMW/UnlockHelper;->unlockCrankypack()Z??

? ? ? 這里注意到invoke-static后面有一對大括號“{}”，其實是調用該方法的實例+參數列表，由于這個方法既不需參數也是static的，所以{}內為空，再看一個例子：

[plain]?view plaincopy

const-string?v0,?"fmodex"??

invoke-static?{v0},?Ljava/lang/System;->loadLibrary(Ljava/lang/String;)V<span?style="font-family:?Verdana,?sans-serif;?">?</span>??

這個是調用static void System.loadLibrary(String)來加載NDK編譯的so庫用的方法，同樣也是這里v0就是參數"fmodex"了。
（2）、invoke-super：調用父類方法用的指令，在onCreate、onDestroy等方法都能看到，略。

?? ? （3）、invoke-direct：調用private函數的，例如：

[plain]?view plaincopy

invoke-direct?{p0},?Lcom/disney/WMW/WMWActivity;->getGlobalIapHandler()Lcom/disney/config/GlobalPurchaseHandler;??

? ? ? 這里GlobalPurchaseHandler getGlobalIapHandler()就是定義在WMWActivity中的一個private函數，如果修改smali時錯用invoke-virtual或invoke-static將在回編譯后程序運行時引發一個常見的VerifyError（更多錯誤匯總可參照APK反編譯之番外三：常見錯誤匯總）。

? ? ? （4）、invoke-virtual：用于調用protected或public函數，同樣注意修改smali時不要錯用invoke-direct或invoke-static，例子：

[plain]?view plaincopy

sget-object?v0,?Lcom/disney/WMW/WMWActivity;->shareHandler:Landroid/os/Handler;??

invoke-virtual?{v0,?v3},?Landroid/os/Handler;->removeCallbacksAndMessages(Ljava/lang/Object;)V??

這里相信大家都已經明白了，主要搞清楚v0是shareHandler:Landroid/os/Handler，v3是傳遞給removeCallbackAndMessage方法的Ljava/lang/Object參數就可以了。
? ?? ? （5）、invoke-xxxxx/range：當方法的參數多于5個時（含5個），不能直接使用以上的指令，而是在后面加上“/range”，使用方法也有所不同：? [plain]?view plaincopy

invoke-static/range?{v0?..?v5},?Lcn/game189/sms/SMS;->checkFee(Ljava/lang/String;Landroid/app/Activity;Lcn/game189/sms/SMSListener;Ljava/lang/String;Ljava/lang/String;Ljava/lang/String;)Z??

這個是電信SDK中的付費接口，需要傳遞6個參數，這時候大括號內的參數需要用省略形式，且需要連續（未求證是否需要從v0開始）。
有人也許注意到，剛才看到的例子都是“調用函數”這個操作而已，貌似沒有取函數返回的結果的操作？ 在Java代碼中調用函數和返回函數結果是一條語句完成的，而在smali里則需要分開來完成，在使用上述指令后，如果調用的函數返回非void，那么還需要用到move-result（返回基本數據類型）和move-result-object（返回對象）

指令：

[plain]?view plaincopy

const/4?v2,?0x0??

invoke-virtual?{p0,?v2},?Lcom/disney/WMW/WMWActivity;->getPreferences(I)Landroid/content/SharedPreferences;??

move-result-object?v1??

v1保存的就是調用getPreferences(int)方法返回的SharedPreferences實例。
[plain]?view plaincopy

invoke-virtual?{v2},?Ljava/lang/String;->length()I??

move-result?v2??

? ? ? v2保存的則是調用String.length()返回的整型。

? ?? ? 4、smali中函數實體分析

?下面開始介紹函數實體，其實沒有什么特別的地方，只是在植入代碼時有一點需要特別注意，舉例說明：

[plain]?view plaincopy

.method?protected?onDestroy()V??

????.locals?0??

???

????.prologue??

????.line?277??

????invoke-super?{p0},?Lcom/disney/common/BaseActivity;->onDestroy()V??

???

????.line?279??

????return-void??

.end?method??

這是onDestroy()函數，它的作用大家都知道。首先看到函數內第一句：.local 0，這句話很重要，標明了你在這個函數中最少要用到的本地寄存器的個數。在這里，由于只需要調用一個父類的onDestroy()處理，所以只需要用到p0，所以使用到的本地寄存器數為0。如果不清楚這個規則，很容易在植入代碼后忘記修改.local 的值，那么回編譯后運行時將會得到一個VerifyError錯誤，而且極難發現問題所在。我正是被這個問題困擾了很多次，最后研究發現.local的值有這個規律，于是在文檔查證了一下果然是這個問題。例如我往onDestroy()增加一句：this.existed = true;那么應該改為（注意修改.local的值為1——使用到了v0這一個本地寄存器）：
[plain]?view plaincopy

.method?protected?onDestroy()V??

????.locals?1??

???

????.prologue??

????.line?277??

????const/4?v0,?0x1??

???

????iput-boolean?v0,?p0,?Lcom/disney/WMW/WMWActivity;->exited:Z??

???

????invoke-super?{p0},?Lcom/disney/common/BaseActivity;->onDestroy()V??

???

????.line?279??

????return-void??

.end?method ?

另外注意到.line這個標識，它是標注了該代碼在原Java文件中的行數，它也很有用，想想使用eclipse開發時，遇到錯誤崩潰時，在catLog不是有提示哪個文件哪一行崩潰的么？Dalvik VM運行到.line XX時就將這個值存起來，如果在這一行運行時出錯了，就往catLog輸出這個值，這樣我們就能看到具體是哪一行的問題了。jd-gui這個工具也是通過分析這些信息將smali代碼還原成我們喜聞樂見的Java代碼的。當然，它不是必須的，去掉也沒有關系，只不過為了方便調試還是保留一下吧。 以上一些smali語法規則可以 點擊參照http://code.google.com/p/smali/wiki/TypesMethodsAndFields

總結

以上是生活随笔為你收集整理的rom diy进阶教程之apk反编译基础（插桩解析）的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。