1. 程式人生 > >SMALI語法入門教程

SMALI語法入門教程

安卓修改大師可以對任何沒有加固過的APK安裝包進行反編譯,如果要實現破解或者增加功能,需要您有一定的SMALI語法基礎。對安卓進行原始碼級別的修改必須要在反編譯生成的SMALI程式碼中進行修改。本教程是SMALI初級入門教程,請大家仔細研讀。這部分涉及的內容比較多,我會盡量從最基礎開始說起,但需要讀者一定的Android開發基礎。但注意可能講解詳細得令人作嘔,請根據個人理解程度斟酌。

APK、Dalvik位元組碼和smali檔案

APK檔案

大家都應該知道APK檔案其實就是一個MIME為ZIP的壓縮包,我們修改ZIP字尾名方式可以看到內部的檔案結構,例如修改後綴後用RAR開啟鱷魚小頑皮APK能看到的是(Google Play下載的完整版版本):

Where's My Water.zipasset\                        <資源目錄1:asset和res都是資源目錄但有所區別,見下面說明>
lib\                             <so庫存放位置,一般由NDK編譯得到,常見於使用遊戲引擎或JNI native呼叫的工程中>
|---armeabi\                |---<so庫檔案分為不同的CPU架構>
|---armeabi-v7aMETA-INF\                  <存放工程一些屬性檔案,例如Manifest.MF>
res\                           <資源目錄2:asset和res都是資源目錄但有所區別,見下面說明> 
|---drawable\               |---<圖片和對應的xml資源>
|---layout\                   |---<定義佈局的xml資源>
|---... 
AndroidManifest.xml     <Android工程的基礎配置屬性檔案>
classes.dex                 <Java程式碼編譯得到的Dalvik VM能直接執行的檔案,下面有介紹>
resources.arsc             <對res目錄下的資源的一個索引檔案,儲存了原工程中strings.xml等檔案內容>

無關緊要的備註:asset和res資源目錄的不同在於:

1. res目錄下的資原始檔在編譯時會自動生成索引檔案(R.java),在Java程式碼中用R.xxx.yyy來引用;而asset目錄下的資原始檔不需要生成索引,在Java程式碼中需要用AssetManager來訪問;

2. 一般來說,除了音訊和視訊資源(需要放在raw或asset下),使用Java開發的Android工程使用到的資原始檔都會放在res下;使用C++遊戲引擎(或使用Lua binding等)的資原始檔均需要放在asset下。

 因為Where's My Water是使用迪斯尼公司自家的DMO遊戲引擎開發,所以遊戲中用到的所有資原始檔都存放在asset下,除了應用圖示這些資源仍需要放在res下。

Dalvik位元組碼

Dalvik是google專門為Android作業系統設計的一個虛擬機器,經過深度的優化。雖然Android上的程式是使用java來開發的,但是Dalvik和標準的java虛擬機器JVM還是兩回事。Dalvik VM是基於暫存器的,而JVM是基於棧的;Dalvik有專屬的檔案執行格式dex(dalvik executable),而JVM則執行的是java位元組碼。Dalvik VM比JVM速度更快,佔用空間更少。

通過Dalvik的位元組碼我們不能直接看到原來的邏輯程式碼,這時需要藉助如Apktool或dex2jar+jd-gui工具來幫助檢視。但是,注意的是最終我們修改APK需要操作的檔案是.smali檔案,而不是匯出來的Java檔案重新編譯(況且這基本上不可能)。

smali檔案

好了,對Dalvik有一定認識後,下面介紹重點:smali,及其語法。

簡單的說,smali就是Dalvik VM內部執行的核心程式碼。它有自己的一套語法,下面即將介紹,如果有JNI開發經驗的童鞋則能夠很快明白。

一、smali的資料型別

在smali中,資料型別和Android中的一樣,只是對應的符號有變化:

B---byte
C---char
D---double
F---float
I---int
J---long
S---short
V---void
Z---boolean
[XXX---array
Lxxx/yyy---object

這裡解析下最後兩項,陣列的表示方式是:在基本型別前加上前中括號“[”,例如int陣列和float陣列分別表示為:[I、[F;物件的表示則以L作為開頭,格式是LpackageName/objectName;(注意必須有個分號跟在最後),例如String物件在smali中為:Ljava/lang/String;,其中java/lang對應java.lang包,String就是定義在該包中的一個物件。

或許有人問,既然類是用LpackageName/objectName;來表示,那類裡面的內部類又如何在smali中引用呢?答案是:LpackageName/objectName$subObjectName;。也就是在內部類前加“$”符號,關於“$”符號更多的規則將在後面談到。

二、函式的定義

函式的定義一般為:

Func-Name (Para-Type1Para-Type2Para-Type3...)Return-Type

注意引數與引數之間沒有任何分隔符,同樣舉幾個例子就容易明白了:

1. foo ()V

         沒錯,這就是void foo()。

     2. foo (III)Z

         這個則是boolean foo(int, int, int)。

     3. foo (Z[I[ILjava/lang/String;J)Ljava/lang/String;

         看出來這是String foo (boolean, int[], int[], String, long) 了嗎?

三、smali檔案內容具體介紹

下面開始進一步分析smali中的具體例子,取鱷魚小頑皮中的WMWActivity.smali來分析(怎麼獲得請參考下一節的APK反編譯之二:工具介紹,暫時先介紹smali語法),它的內容大概是這樣子的:view plain

copy

  1. .class public Lcom/disney/WMW/WMWActivity;   

  2. .super Lcom/disney/common/BaseActivity;  

  3. .source "WMWActivity.java"  

  4. # interfaces  

  5. .implements Lcom/burstly/lib/ui/IBurstlyAdListener;  

  6. # annotations  

  7. .annotation system Ldalvik/annotation/MemberClasses;  

  8.     value = {  

  9.         Lcom/disney/WMW/WMWActivity$MessageHandler;,  

  10.         Lcom/disney/WMW/WMWActivity$FinishActivityArgs;  

  11.     }  

  12. .end annotation  

  13. # static fields  

  14. .field private static final PREFS_INSTALLATION_ID:Ljava/lang/String; = "installationId"  

  15. //...  

  16. # instance fields  

  17. .field private _activityPackageName:Ljava/lang/String;  

  18. //...  

  19. # direct methods  

  20. .method static constructor <clinit>()V  

  21.     .locals 3  

  22.     .prologue  

  23.     //...  

  24.     return-void  

  25. .end method  

  26. .method public constructor <init>()V  

  27.     .locals 3  

  28.     .prologue  

  29.     //...  

  30.     return-void  

  31. .end method  

  32. .method static synthetic access$100(Lcom/disney/WMW/WMWActivity;)V  

  33.     .locals 0  

  34.     .parameter "x0"  

  35.     .prologue  

  36.     .line 37  

  37.     invoke-direct {p0}, Lcom/disney/WMW/WMWActivity;->initIap()V  

  38.     return-void  

  39. .end method  

  40. .method static synthetic access$200(Lcom/disney/WMW/WMWActivity;)Lcom/disney/common/WMWView;  

  41.     .locals 1  

  42.     .parameter "x0"  

  43.     .prologue  

  44.     .line 37  

  45.     iget-object v0, p0, Lcom/disney/WMW/WMWActivity;->_view:Lcom/disney/common/WMWView;  

  46.     return-object v0  

  47. .end method  

  48. //...  

  49. #virtual methods  

  50. .method public captureScreen()V  

  51.     .locals 4  

  52.     .prologue  

  53.     //...  

  54.     goto :goto_0  

  55. .end method  

  56. .method public didScreenCaptured()V  

  57.     .locals 6  

  58.     .prologue  

  59.     //...  

  60.     goto :goto_0  

  61. .end method  

看得一頭霧水的話那是正常的。現在我將逐一解析,理解這些符號的含義令你在後面注入程式碼的時候事半功倍

 1、smali中的繼承、介面、包資訊

      首先看看開頭的幾行:

  1. .class public Lcom/disney/WMW/WMWActivity; 

  2. .super Lcom/disney/common/BaseActivity;

  3. .source "WMWActivity.java"

  4. # interfaces

  5.  .implements Lcom/burstly/lib/ui/IBurstlyAdListener;

  6. # annotations

  7. .annotation system Ldalvik/annotation/MemberClasses;

  8.      value = {

  9.         Lcom/disney/WMW/WMWActivity$MessageHandler;,

  10.         Lcom/disney/WMW/WMWActivity$FinishActivityArgs;

  11.     }

  12.  .end annotation

1-3行定義的是基本資訊:這是一個由WMWActivity.java編譯得到的smali檔案(第3行),它是com.disney.WMW這個package下的一個類(第1行),繼承自com.disney.common.BaseActivity(第2行)。

5-6行定義的是介面資訊:這個WMWActivity實現了一個com.burstly.lib.ui這個package下(一個廣告SDK)的IBurstyAdListener介面。

8-14行定義的則是內部類:它有兩個成員內部類——MessageHandler和FinishActivityArgs,內部類將在後面小節中會有提及。 

分析完smali檔案開頭的這些資訊,我們已經能在大腦中構造出一個大概這樣的Java檔案: 

class WMWActivity extends BaseActivity implements IBurstlyAdListener{  
    //...  
    class MessageHandler {  
        //...  
    }  
    class FinishActivityArgs{  
        //...  
    }  
}

沒錯,這就是本來WMWActivity.java的大概框架了,成員變數和函式資訊?別急,下面正要分析。        

在繼續分析之前,有些東西需要先說明一下。前面說過,Dalvik VM與JVM的最大的區別之一就是Dalvik VM是基於暫存器的。基於暫存器是什麼意思呢?也就是說,在smali裡的所有操作都必須經過暫存器來進行:本地暫存器用v開頭數字結尾的符號來表示,如v0、v1、v2、...引數暫存器則使用p開頭數字結尾的符號來表示,如p0、p1、p2、...特別注意的是,p0不一定是函式中的第一個引數,在非static函式中,p0代指“this”,p1表示函式的第一個引數,p2代表函式中的第二個引數…而在static函式中p0才對應第一個引數(因為Java的static方法中沒有this方法)。本地暫存器沒有限制,理論上是可以任意使用的,下面是例子:

const/4 v0, 0x0  
iput-boolean v0, p0, Lcom/disney/WMW/WMWActivity;->isRunning:Z

      在上面的兩句中,使用了v0本地暫存器,並把值0x0存到v0中,然後第二句用iput-boolean這個指令把v0中的值存放到com.disney.WMW.WMWActivity.isRunning這個成員變數中。即相當於:this.isRunning = false;(上面說過,在非static函式中p0代表的是“this”,在這裡就是com.disney.WMW.WMWActivity例項)。關於這兩句話的具體指令和含義暫可不用理會,先把Dalvik VM的機制弄明白就可以了,其實語法上和組合語言非常相似,具體的指令會在後面逐一介紹。

2、smali中的成員變數

下面繼續介紹有關成員變數的內容:

.field private static final PREFS_INSTALLATION_ID:Ljava/lang/String; = "installationId"
//...

# instance fields
.field private _activityPackageName:Ljava/lang/String;
//...

上面定義的static fields和instance fields均為成員變數,格式是:.field public/private [static] [final] varName:<型別>。然而static fields和instance fields還是有區別的,當然區別很明顯,那就是static fields是static的,而instance則不是。根據這個區別來獲取這些不同的成員變數時也有不同的指令。一般來說,獲取的指令有:iget、sget、iget-boolean、sget-boolean、iget-object、sget-object等,操作的指令有:iput、sput、iput-boolean、sput-boolean、iput-object、sput-object等。沒有“-object”字尾的表示操作的成員變數物件是基本資料型別,帶“-object”表示操作的成員變數是物件型別,特別地,boolean型別則使用帶“-boolean”的指令操作。 

(1)、獲取static fields的指令類似是:opy

sget-object v0, Lcom/disney/WMW/WMWActivity;->PREFS_INSTALLATION_ID:Ljava/lang/String;

sget-object就是用來獲取變數值並儲存到緊接著的引數的暫存器中,在這裡,把上面出現的PREFS_INSTALLATION_ID這個String成員變數獲取並放到v0這個暫存器中,注意:前面需要該變數所屬的類的型別,後面需要加一個冒號和該成員變數的型別,中間是“->”表示所屬關係

(2)、獲取instance fields的指令與static fields的基本一樣,只是由於不是static變數,不能僅僅指出該變數所在類的型別,還需要該變數所在類的例項。看例子:copy

iget-object v0, p0, Lcom/disney/WMW/WMWActivity;->_view:Lcom/disney/common/WMWView;

可以看到iget-object指令比sget-object多了一個引數,就是該變數所在類的例項,在這裡就是p0即“this”。 

(3)、獲取array的還有aget和aget-object,指令使用和上述類似,不細述。 

(4)、put指令的使用和get指令是統一的,直接看例子不解釋:view plaincopy

const/4 v3, 0x0  
sput-object v3, Lcom/disney/WMW/WMWActivity;->globalIapHandler:Lcom/disney/config/GlobalPurchaseHandler;

相當於:this.globalIapHandler = null;(null = 0x0)copy

.local v0, wait:Landroid/os/Message;  
const/4 v1, 0x2  
iput v1, v0, Landroid/os/Message;->what:I

相當於:

wait.what = 0x2;(wait是Message的例項)

3、smali中的函式呼叫

smali中的函式和成員變數一樣也分為兩種型別,但是不同成員變數中的static和instance之分,而是direct和virtual之分。那麼direct method和virtual method有什麼區別呢?直白地講,direct method就是private函式,其餘的public和protected函式都屬於virtual method。所以在呼叫函式時,有invoke-direct,invoke-virtual,另外還有invoke-static、invoke-super以及invoke-interface等幾種不同的指令。當然其實還有invoke-XXX/range 指令的,這是引數多於4個的時候呼叫的指令,比較少見,瞭解下即可。

(1)、invoke-static:顧名思義就是呼叫static函式的,因為是static函式,所以比起其他呼叫少一個引數,例如:

invoke-static {}, Lcom/disney/WMW/UnlockHelper;->unlockCrankypack()Z

這裡注意到invoke-static後面有一對大括號“{}”,其實是呼叫該方法的例項+引數列表,由於這個方法既不需引數也是static的,所以{}內為空,再看一個例子:copy

const-string v0, "fmodex"  
invoke-static {v0}, Ljava/lang/System;->loadLibrary(Ljava/lang/String;)V

這個是呼叫static void System.loadLibrary(String)來載入NDK編譯的so庫用的方法,同樣也是這裡v0就是引數"fmodex"了。

(2)、invoke-super:呼叫父類方法用的指令,在onCreate、onDestroy等方法都能看到,略。

(3)、invoke-direct:呼叫private函式的,例如:opy

invoke-direct {p0}, Lcom/disney/WMW/WMWActivity;->getGlobalIapHandler()Lcom/disney/config/GlobalPurchaseHandler;

這裡GlobalPurchaseHandler getGlobalIapHandler()就是定義在WMWActivity中的一個private函式,如果修改smali時錯用invoke-virtual或invoke-static將在回編譯後程序執行時引發一個常見的VerifyError(更多錯誤彙總可參照APK反編譯之番外三:常見錯誤彙總)。

(4)、invoke-virtual:用於呼叫protected或public函式,同樣注意修改smali時不要錯用invoke-direct或invoke-static,例子:opy

sget-object v0, Lcom/disney/WMW/WMWActivity;->shareHandler:Landroid/os/Handler;  
invoke-virtual {v0, v3}, Landroid/os/Handler;->removeCallbacksAndMessages(Ljava/lang/Object;)V

 這裡相信大家都已經明白了,主要搞清楚v0是shareHandler:Landroid/os/Handler,v3是傳遞給removeCallbackAndMessage方法的Ljava/lang/Object引數就可以了。

(5)、invoke-xxxxx/range:當方法的引數多於5個時(含5個),不能直接使用以上的指令,而是在後面加上“/range”,使用方法也有所不同: copy

invoke-static/range {v0 .. v5}, Lcn/game189/sms/SMS;->checkFee(Ljava/lang/String;Landroid/app/Activity;
Lcn/game189/sms/SMSListener;
Ljava/lang/String;Ljava/lang/String;Ljava/lang/String;)Z

這個是電信SDK中的付費介面,需要傳遞6個引數,這時候大括號內的引數需要用省略形式,且需要連續(未求證是否需要從v0開始)。      

有人也許注意到,剛才看到的例子都是“呼叫函式”這個操作而已,貌似沒有取函式返回的結果的操作?

在Java程式碼中呼叫函式和返回函式結果是一條語句完成的,而在smali裡則需要分開來完成,在使用上述指令後,如果呼叫的函式返回非void,那麼還需要用到move-result(返回基本資料型別)和move-result-object(返回物件)指令:

const/4 v2, 0x0  
invoke-virtual {p0, v2}, Lcom/disney/WMW/WMWActivity;->getPreferences(I)Landroid/content/SharedPreferences;  
move-result-object v1

v1儲存的就是呼叫getPreferences(int)方法返回的SharedPreferences例項。view plaincopy

invoke-virtual {v2}, Ljava/lang/String;->length()I  
move-result v2

v2儲存的則是呼叫String.length()返回的整型。

4、smali中函式實體分析

下面開始介紹函式實體,其實沒有什麼特別的地方,只是在植入程式碼時有一點需要特別注意,舉例說明:

.method protected onDestroy()V  
    .locals 0  
   
    .prologue  
    .line 277  
    invoke-super {p0}, Lcom/disney/common/BaseActivity;->onDestroy()V  
   
    .line 279  
    return-void  
.end met

這是onDestroy()函式,它的作用大家都知道。首先看到函式內第一句:.local 0,這句話很重要,標明瞭你在這個函式中最少要用到的本地暫存器的個數。在這裡,由於只需要呼叫一個父類的onDestroy()處理,所以只需要用到p0,所以使用到的本地暫存器數為0。如果不清楚這個規則,很容易在植入程式碼後忘記修改.local 的值,那麼回編譯後執行時將會得到一個VerifyError錯誤,而且極難發現問題所在。我正是被這個問題困擾了很多次,最後研究發現.local的值有這個規律,於是在文件查證了一下果然是這個問題。例如我往onDestroy()增加一句:this.existed = true;那麼應該改為(注意修改.local的值為1——使用到了v0這一個本地暫存器):opy

.method protected onDestroy()V  
    .locals 1  
   
    .prologue  
    .line 277  
    const/4 v0, 0x1  
   
    iput-boolean v0, p0, Lcom/disney/WMW/WMWActivity;->exited:Z  
   
    invoke-super {p0}, Lcom/disney/common/BaseActivity;->onDestroy()V  
   
    .line 279  
    return-void  
.end method

另外注意到.line這個標識,它是標註了該程式碼在原Java檔案中的行數,它也很有用,想想使用eclipse開發時,遇到錯誤崩潰時,在catLog不是有提示哪個檔案哪一行崩潰的麼?Dalvik VM執行到.line XX時就將這個值存起來,如果在這一行執行時出錯了,就往catLog輸出這個值,這樣我們就能看到具體是哪一行的問題了。jd-gui這個工具也是通過分析這些資訊將smali程式碼還原成我們喜聞樂見的Java程式碼的。當然,它不是必須的,去掉也沒有關係,只不過為了方便除錯還是保留一下吧。