第4章静态分析基础

课程目录第4章静态分析基础

第4章：静态分析基础——JADX、Smali与APKTool实战

各位同学，欢迎来到逆向工程的实操环节。静态分析，说白了就是不动手运行，直接拆开APK看源码。这就像拆解一台机器，不急着通电，先看图纸和零件。今天我们就来把这套流程走一遍。

4.1 使用JADX反编译APK

JADX是我最常用的反编译工具，没有之一。它能把APK里的DEX字节码直接还原成可读的Java代码。你想想看，这省了多少事。

基本操作流程：

把APK拖进JADX-GUI窗口
等待解析完成，左侧出现包结构树
双击任意类，右侧显示反编译后的Java代码

核心要点：JADX展示的代码是“近似还原”，不是100%原始代码。比如泛型信息、匿名内部类的命名，都可能和源码有出入。但逻辑是完整的，足够我们分析。

我在项目中遇到过一个问题：某个APK用了混淆，类名全是a、b、c。这时候JADX的搜索功能就特别重要。你可以搜字符串常量，比如"vip"、"ad"、"premium"，快速定位关键代码。

小技巧：JADX支持导出Gradle项目。点击File → Save as Gradle project，就能把整个反编译结果导出，方便用IDE继续分析。

4.2 阅读Smali语法基础

JADX虽然方便，但有些场景必须看Smali。比如你要修改代码逻辑，或者遇到JADX解析失败的情况。Smali是DEX字节码的文本表示，相当于汇编语言的“人类可读版”。

4.2.1 寄存器

Smali里没有变量名，只有寄存器。寄存器分两种：

类型	命名方式	说明
局部寄存器	v0, v1, v2 ...	方法内部使用，方法结束后释放
参数寄存器	p0, p1, p2 ...	p0是this，p1开始是方法参数

举个例子，一个Java方法：

public int add(int a, int b) {
    return a + b;
}

对应的Smali大概是：

.method public add(II)I
    .registers 3
    .param p1, "a"
    .param p2, "b"
    
    add-int v0, p1, p2
    return v0
.end method

注意看，.registers 3表示这个方法用了3个寄存器：p0(this)、p1(a)、p2(b)。v0是临时寄存器，用来存计算结果。

4.2.2 指令集

Smali指令集和Dalvik虚拟机指令一一对应。常用的就几个：

指令	作用	示例
move	寄存器间传值	move v0, v1
const	加载常量	const v0, 0x1
invoke-virtual	调用虚方法	invoke-virtual {v0}, Ljava/lang/String;->length()I
if-eq	相等跳转	if-eq v0, v1, :cond_0
return	返回值	return v0

注意：invoke指令后面要跟方法签名。格式是：包名/类名;->方法名(参数类型)返回值类型。写错一个字符，回编译就会失败。我曾经因为这个排查了整整两个小时。

4.2.3 数据类型

Smali的数据类型用单个字母表示：

字母	类型	示例
V	void	V
Z	boolean	Z
B	byte	B
S	short	S
C	char	C
I	int	I
J	long	J
F	float	F
D	double	D
L	对象类型	Ljava/lang/String;
[	数组	[I 表示int[]

4.3 Smali文件结构分析

一个完整的Smali文件长什么样？我们拆开看看：

.class public Lcom/example/app/MainActivity;
.super Landroid/app/Activity;
.source "MainActivity.java"

# interfaces
.implements Landroid/view/View$OnClickListener;

# annotations
.annotation system Ldalvik/annotation/MemberClasses;
    value = {
        Lcom/example/app/MainActivity$MyInnerClass;
    }
.end annotation

# static fields
.field private static final TAG:Ljava/lang/String; = "MainActivity"

# instance fields
.field private mButton:Landroid/widget/Button;

# direct methods
.method static constructor <clinit>()V
    .locals 0
    return-void
.end method

.method public constructor <init>()V
    .locals 0
    invoke-direct {p0}, Landroid/app/Activity;-><init>()V
    return-void
.end method

# virtual methods
.method public onClick(Landroid/view/View;)V
    .locals 1
    .param p1, "v"
    
    const-string v0, "Clicked"
    invoke-static {v0}, Lcom/example/app/Utils;->log(Ljava/lang/String;)V
    return-void
.end method

结构很清晰：

.class：声明类名和访问权限
.super：父类
.source：源文件名（混淆后可能被抹掉）
# interfaces：实现的接口
# annotations：注解信息
# static fields / # instance fields：静态字段和实例字段
# direct methods：静态方法和构造方法
# virtual methods：虚方法（非静态、非构造的方法）

重点：修改代码时，你只需要关注# virtual methods和# direct methods这两个区域。字段声明一般不动，除非你要改常量值。

4.4 使用APKTool解包与回编译

APKTool是逆向工程的瑞士军刀。它能解包APK，也能把修改后的文件重新打包。

解包命令：

apktool d target.apk -o output_dir

解包后你会看到：

smali/：所有Smali文件，按包名目录存放
res/：资源文件，包括布局、图片、字符串
AndroidManifest.xml：已经反编译成可读的XML
apktool.yml：解包时的配置信息

回编译命令：

apktool b output_dir -o modified.apk

常见坑：回编译失败通常是因为：1) Smali语法写错了；2) 资源文件有损坏；3) 框架文件版本不匹配。我建议你每次修改前先备份原始Smali文件，改一行就回编一次，别攒一堆再试。

4.5 修改Smali代码实现简单破解

理论讲完了，我们来点实战。下面演示两个最常见的修改场景。

4.5.1 去除广告

广告通常是通过某个方法显示的。比如有个方法叫showAd()，我们直接让它空转。

原始Smali：

.method public showAd()V
    .locals 2
    invoke-static {}, Lcom/example/AdManager;->getInstance()Lcom/example/AdManager;
    move-result-object v0
    invoke-virtual {v0}, Lcom/example/AdManager;->display()V
    return-void
.end method

修改后：

.method public showAd()V
    .locals 0
    return-void
.end method

看到了吗？我把所有指令删掉，只留一个return-void。方法体空了，广告自然就不显示了。注意.locals要改成0，因为不再需要局部变量。

4.5.2 修改VIP状态

VIP状态通常是一个boolean字段或者一个getter方法。比如：

原始Smali：

.method public isVip()Z
    .locals 1
    const/4 v0, 0x0
    return v0
.end method

修改后：

.method public isVip()Z
    .locals 1
    const/4 v0, 0x1
    return v0
.end method

把const/4 v0, 0x0改成const/4 v0, 0x1，返回值就从false变成true了。就这么简单。

进阶技巧：有时候VIP状态不是通过方法，而是通过SharedPreferences读取的。这时候你要找到读取的代码，把判断逻辑直接改成const/4 v0, 0x1。或者更彻底一点，找到写入的地方，把false改成true。

4.6 本章知识体系

下面这张图总结了静态分析的核心流程和工具链：

这张图展示了三条路径：用JADX看Java代码、用APKTool解包看Smali和资源、或者直接读Smali。最终都汇聚到修改Smali这一步。我个人习惯先用JADX快速定位目标方法，再用APKTool解包找到对应的Smali文件进行修改。

核心原则：静态分析不是目的，目的是理解逻辑、找到关键点、然后修改。工具只是手段，思路才是核心。你想想看，如果连目标方法都找不到，工具再强也没用。

好了，这一章的内容就到这里。记住，动手实践是最好的学习方式。找个简单的APK练练手，把广告去掉，把VIP改出来。遇到问题别慌，回头看看这一章的表格和代码示例。

📚 课程目录