8、Smali语法入门：Smali基本数据类型、寄存器与指令、条件跳转、方法调用

好，咱们今天聊聊Smali。说实话，很多新手一看到.smali文件就头大，觉得这玩意儿跟天书似的。我当年刚接触逆向的时候也是这样，打开一个APK反编译出来的smali文件夹，密密麻麻全是文件，随便点开一个，满屏的.locals、move、if-eq……嗯，当时确实有点懵。

但后来我发现，Smali其实就是Dalvik虚拟机的一套可读性稍好一点的汇编语言。说白了，它就是Java字节码的另一种写法。你只要搞懂了它的数据类型、寄存器怎么用、指令怎么跳转，剩下的就是多练。

我个人习惯把Smali比作「中间人」——它站在Java源码和机器码之间。你看不懂它，就没办法真正理解APK在运行时干了什么。今天这一讲，咱们就把Smali的底裤扒干净。

8.1 Smali的基本数据类型

Smali里的数据类型，跟Java基本一一对应，但写法上有点小区别。我整理了一张表，你一看就明白。

Smali类型 Java类型 说明
V void 无返回值
Z boolean 布尔型
B byte 字节型
S short 短整型
C char 字符型
I int 整型
J long 长整型（64位）
F float 单精度浮点
D double 双精度浮点
Lpackage/name/Obj; Object 引用类型（对象）
[I int[] 数组类型

注意看，引用类型是用L开头，后面跟包路径，最后以分号结尾。比如Ljava/lang/String;就是Java里的String。数组类型用[开头，[I就是int[]，[[Ljava/lang/String;就是二维字符串数组。

小技巧： 我在逆向一个混淆过的APK时，经常看到大量L开头的类型。如果你看到La/a/a;这种，基本就是混淆后的类名。别慌，顺着方法调用链去追，总能找到真实逻辑。

8.2 寄存器：Smali的「临时工」

Smali里没有变量名，只有寄存器。寄存器就是CPU里临时存数据的小盒子。Dalvik虚拟机用的是基于寄存器的架构，跟JVM的栈式架构不一样。这一点你心里要有数。

Smali里寄存器分两种：

  • 局部寄存器（local registers）：用.locals指令声明，数量固定。比如.locals 3表示有3个局部寄存器，编号从v0到v2。
  • 参数寄存器（parameter registers）：方法传参用的。如果是非静态方法，p0是this，p1开始才是真正的参数。静态方法则p0就是第一个参数。

举个例子，一个Java方法：

public int add(int a, int b) {
    return a + b;
}

转成Smali大概长这样：

.method public add(II)I
    .locals 2
    .param p1, "a"    # I
    .param p2, "b"    # I

    move v0, p1       ; v0 = a
    move v1, p2       ; v1 = b
    add-int v0, v0, v1 ; v0 = v0 + v1
    return v0
.end method

看到了吗？p1和p2是传进来的参数，v0和v1是局部寄存器。我习惯把p开头的寄存器叫「入口参数」，v开头的叫「临时工」。临时工干完活就释放了，入口参数是外面传进来的。

注意： 我曾经在分析一个加固壳时，发现它把.locals的值改得特别大，然后在后面用大量v寄存器做混淆运算。如果你看到.locals 100这种，基本可以断定是保护代码。别被吓到，顺着数据流分析就行。

8.3 常用指令：搬砖、运算、赋值

Smali指令大概有200多条，但你常用的也就二三十条。我挑几个最核心的讲。

8.3.1 数据搬运指令

  • move vA, vB：把vB的值复制到vA。注意是复制，不是移动。
  • move-object vA, vB：对象引用复制。
  • move-result vA：把上一个方法调用的返回值存到vA。
  • const vA, lit：把常量值赋给vA。比如const v0, 0x1。
  • const-string vA, "hello"：把字符串常量赋给vA。

8.3.2 算术运算指令

  • add-int vA, vB, vC：vA = vB + vC
  • sub-int vA, vB, vC：vA = vB - vC
  • mul-int vA, vB, vC：vA = vB * vC
  • div-int vA, vB, vC：vA = vB / vC
  • rem-int vA, vB, vC：vA = vB % vC

这些指令的格式基本都是操作码 目标寄存器, 源寄存器1, 源寄存器2。你想想看，跟汇编里的add eax, ebx是不是一个套路？

8.3.3 对象操作指令

  • new-instance vA, type：创建一个新对象。
  • iput vA, vB, field：把vA的值写入vB对象的field字段。
  • iget vA, vB, field：从vB对象读取field字段到vA。
  • sput vA, field：写入静态字段。
  • sget vA, field：读取静态字段。
重点： 你在逆向时，iget和iput出现的频率极高。每次看到它们，你就要问自己：这个对象是什么？这个字段存了什么值？这是理解对象状态变化的关键。

8.4 条件跳转：程序的分岔路口

没有跳转，程序就是一条直线走到黑。Smali里的条件跳转指令，说白了就是if-else和循环的底层实现。

常用的条件跳转指令：

指令 含义 Java等价
if-eq vA, vB, :label 如果vA == vB，跳转 if (a == b)
if-ne vA, vB, :label 如果vA != vB，跳转 if (a != b)
if-lt vA, vB, :label 如果vA < vB，跳转 if (a < b)
if-ge vA, vB, :label 如果vA >= vB，跳转 if (a >= b)
if-gt vA, vB, :label 如果vA > vB，跳转 if (a > b)
if-le vA, vB, :label 如果vA <= vB，跳转 if (a <= b)
if-eqz vA, :label 如果vA == 0，跳转 if (a == 0)
if-nez vA, :label 如果vA != 0，跳转 if (a != 0)

举个例子，Java代码：

if (score >= 60) {
    Log.d("TAG", "pass");
} else {
    Log.d("TAG", "fail");
}

转成Smali：

    if-lt v0, v1, :fail   ; 如果 score < 60，跳转到fail
    const-string v2, "pass"
    invoke-static {v2}, Landroid/util/Log;->d(Ljava/lang/String;)I
    goto :end
  :fail
    const-string v2, "fail"
    invoke-static {v2}, Landroid/util/Log;->d(Ljava/lang/String;)I
  :end
    return-void

你看，if-lt判断条件为真就跳转，否则顺序执行。这里有个小细节：Smali里的条件跳转，判断的是「真则跳」，跟Java里的if逻辑正好相反。Java里if (score >= 60)是条件为真走if块，但Smali里if-lt是条件为真跳转到else块。这一点刚接触时容易搞反，我刚开始也栽过跟头。

避坑指南： 我曾经在分析一个登录逻辑时，看到if-eqz v0, :success，以为v0为0就是成功。结果调试了半天才发现，v0存的是错误码，为0表示无错误，所以跳转到成功分支。嗯，逻辑没毛病，但读代码时一定要搞清楚寄存器的语义。

8.5 方法调用：让代码跑起来

方法调用是Smali里最核心的操作之一。没有方法调用，程序就是一坨死数据。Dalvik里方法调用分几种：

  • invoke-virtual：调用虚方法（普通实例方法）。
  • invoke-static：调用静态方法。
  • invoke-direct：调用直接方法（构造函数、私有方法）。
  • invoke-super：调用父类方法。
  • invoke-interface：调用接口方法。

调用格式：

invoke-类型 {寄存器列表}, 类路径->方法名(参数类型)返回值类型

举个例子，调用String.length()：

    invoke-virtual {v0}, Ljava/lang/String;->length()I
    move-result v1

这里v0是String对象，length()返回int，结果通过move-result存到v1。注意，move-result必须紧跟在invoke指令后面，中间不能插别的指令。

再比如调用静态方法：

    const-string v0, "hello"
    invoke-static {v0}, Landroid/util/Log;->d(Ljava/lang/String;)I

这个你应该很熟悉了，就是打印日志。

关键点： 方法调用时，参数寄存器的顺序跟声明顺序一致。非静态方法第一个参数（p0）是this，后面才是真正的参数。静态方法没有this，p0就是第一个参数。这一点在分析构造函数时尤其重要，因为invoke-direct {p0, ...}里的p0就是刚创建的对象。

8.6 知识体系总览

为了让你对Smali的整体结构有个直观印象，我画了一张图。这张图把今天讲的内容串在了一起。

Smali语法知识体系 Smali 语法 基本数据类型 寄存器体系 指令集 方法调用 V Z B S C I J F D Lpackage/Obj; [类型 局部寄存器 v0, v1, v2... 参数寄存器 p0, p1, p2... move / const / add-int if-eq / if-lt / goto new-instance / iget invoke-virtual/static/direct

这张图把Smali的四个核心模块串起来了。数据类型是基础，寄存器是载体，指令是操作，方法调用是目的。你逆向一个APK时，本质上就是在这些元素之间来回穿梭。

8.7 实战小贴士

最后，分享几个我实际逆向中总结的经验：

  1. 先看.locals和.param：打开一个smali文件，先扫一眼头部，知道这个方法用了几个寄存器、参数是什么类型。这能帮你快速建立上下文。
  2. 关注move-result：这个指令是方法调用的「出口」。你看到invoke后面紧跟着move-result，就知道上一个方法返回了什么值。
  3. 条件跳转看标签：Smali里的标签（比如:cond_0、:try_start_0）是编译器自动生成的。你顺着标签跳转的方向，就能还原出if-else或循环的结构。
  4. 别怕长方法：有些方法可能有几百行Smali。别慌，先找到关键的invoke和if指令，把主干逻辑抽出来，细节可以慢慢啃。
再次提醒： 我曾经在分析一个金融类APK时，发现它把关键判断逻辑藏在了一个300多行的Smali方法里，里面全是if-eqz和goto的嵌套。当时我硬着头皮画了流程图，才发现它其实就是一个简单的签名校验。所以，耐心是逆向工程师最好的朋友。

好了，Smali的基础语法就讲到这里。你把这些东西吃透了，后面分析真正的APK就会顺手很多。记住，Smali只是工具，不是目的。我们的目标是看懂程序在干什么，而不是背指令表。

公众号:蓝海资料掘金营，微信deep3321
← 上一章 📖 返回目录 下一章 →