DEX檔案解析--7、類及其類資料解析(完結篇)
阿新 • • 發佈：2020-07-16
# 一、前言
** 前置技能連結：**
** [DEX檔案解析---1、dex檔案頭解析](https://www.cnblogs.com/aWxvdmVseXc0/p/11879093.html)**
** [DEX檔案解析---2、Dex檔案checksum(校驗和)解析](https://www.cnblogs.com/aWxvdmVseXc0/p/12008146.html)**
** [DEX檔案解析--3、dex檔案字串解析](https://www.cnblogs.com/aWxvdmVseXc0/p/12632624.html)**
** [DEX檔案解析--4、dex類的型別解析](https://www.cnblogs.com/aWxvdmVseXc0/p/12661142.html)**
** [DEX檔案解析--5、dex方法原型解析](https://www.cnblogs.com/aWxvdmVseXc0/p/12713171.html)**
** [DEX檔案解析--6、dex檔案欄位和方法定義解析](https://www.cnblogs.com/aWxvdmVseXc0/p/12727731.html)**
** PS：Dex檔案解析到現在，終於到了最重要也是結構最複雜的部分了，不瞭解前面的一些必要知識的，可以看我前面幾篇文章；這篇文章分析的dex樣本來自一個複雜apk的dex檔案，但是程式碼執行時使用的樣本是一個在網上找的很簡單的dex樣本，原因很簡單，分析使用的dex涉及的smali指令太多了，大概有200多個，挨個解析起來工作量太大了，有時間我會寫一個通用的python解析模組，完成了我會上傳到github倉庫，有興趣的完成後可以看一下，用簡單的dex只涉及到5個指令，程式碼寫起來就沒那麼麻煩了！！！(tips:Dex類資料這裡解析起來有種俄羅斯套娃的感覺，多看幾篇就很容易理解了。)**
** PS:這篇文章及其之前同系列的整合版(只是所有文章彙總在一起的整合版)都發在某公眾號上面了，名字就不說了，怕被認為打廣告，所以這不是抄襲哦！！！**
---
# 二、uleb128編碼
** PS:本來關於uleb128編碼網上一大堆，沒必要寫這個，但是網上的你抄我的我抄你的，能找的的相關資料基本都一樣。。。。或者乾脆貼個官方程式碼，官方程式碼的位運算寫的很巧妙，但是直接去看的化，反正我是沒看懂到底是怎麼解碼出來的。**
** uleb128編碼，是一種可變長度的編碼，長度大小為`1-5位元組`，uleb128通過位元組的最高位來決定是否用到下一個位元組，如果最高位為1，則用到下一個位元組，直到某個位元組最高位為0或已經讀取了5個位元組為止，接下來通過一個例項來理解uleb128編碼。**
** 假設有以下經過uleb128編碼的資料(都為16進位制)--`81 80 04`，首先來看第一個位元組`81`，他的二進位制為`10000001`，他的最高位為`1`，則說明還要用到下一個位元組，它存放的資料則為`0000001`；再來看第二個位元組`80`，它的二進位制為`10000000`，它的最高位為`1`，則說明還需要用到第三個位元組，存放的資料為`0000000`；再來看第三個位元組`04`，它的二進位制為`00000100`，最高位為`0`,說明一共使用了三個位元組，它存放的資料為`0000100`；通過上面的資料我們已經獲取了存放的資料，接下來就是把這些bit組合起來獲取解碼後的資料，dex檔案裡面的資料都是採用的小端序的方式，uleb128也不例外，在這三個位元組，也不例外，第三個位元組`04`存放的資料`0000100`作為解碼後的資料的`高7位`，第二個位元組`80`存放的資料`0000000`作為解碼後的資料的`中7位`，第一個位元組`81`存放的資料`0000001`作為解碼後的資料的`低7位`；那麼解碼後的資料二進位制則為`0000100 0000000 0000001`，轉換為16進位制則為`0x10001`。其他使用5個位元組、4個位元組照此類推即可，下面是python讀取uleb128的程式碼(ps:該程式碼是最終類資料解析程式碼的一共函式，無法單獨執行，僅供參考，採用的是官方提供的位運算演算法)：**
def readuleb128(f,addr):
result = [-1,-1]
n = 0
f.seek(addr)
data = oneByte2Int(f.read(1))
if data > 0x7f:
f.seek(addr + 1)
n = 1
tmp = oneByte2Int(f.read(1))
data = (data & 0x7f) | ((tmp & 0x7f) << 7)
if tmp > 0x7f:
f.seek(addr + 2)
n = 2
tmp = oneByte2Int(f.read(1))
data |= (tmp & 0x7f) << 14
if tmp > 0x7f:
f.seek(addr + 3)
n = 3
tmp = oneByte2Int(f.read(1))
data |= (tmp & 0x7f) << 21
if tmp > 0x7f:
f.seek(addr + 4)
n = 4
tmp = oneByte2Int(f.read(1))
data |= tmp << 28
result[0] = data
result[1] = addr + n + 1
return result
---
# 三、類解析第一層結構：class_def_item
** 1、在dex檔案頭`0x60-0x63`這四個位元組，指明瞭`class`的數量，在`0x64-0x67`這四個位元組，指明的`class_def_item`的偏移地址。如下所示：**
** 2、通過上面的偏移地址，我們可以找到class_def_item的起始地址，class_def_item包含了一個類的類名、介面、父類、所屬java檔名等資訊。一個class_def_item結構大小為32位元組，分別包含8個資訊，每個資訊大小為4位元組(小端序儲存)：**
* `第1-4位元組--class_idx`(該值為前面解析出來的類的型別列表的索引，也就是這個類的類名)；
* `第5-8位元組--access_flags`（類的訪問標誌，也就是這個類是public還是private等，這個通過官方的文件查表得知，具體演算法在最後面說明）；
* `第9-12位元組--superclass_idx`（該值也為前面解析出來的類的型別列表的索引，指明瞭父類的類名）
* `第13-16位元組--interfaces_off`（該值指明瞭介面資訊的偏移地址，所指向的地址結構為typelist，前面的文章有說過，這裡不再多說，如果該類沒有介面，該值則為0）
* `第17-20位元組--source_file_idx`(該值為dex字串列表的的索引，指明瞭該類所在的java檔名)
* `第21-24位元組--annotations_off`（該值為註釋資訊的偏移地址，由於註釋資訊不是我要解析的重點，要檢視註釋資訊具體結構的可以參考官方文件，官方文件地址貼上在文末）
* `第25-28位元組--class_data_off`（該值是這個類資料第二層結構的偏移地址，在該結構中指明瞭該類的欄位和方法）
* `第29-32位元組--static_value_off`（該值也是一個偏移地址，指向了一個結構，不是重點，感興趣的參考官方文件，如果沒相關資訊，則該值為0）
** 具體分析過程，如下圖所示：**
---
# 四、類解析第二層結構：class_data_item
** 1、通過上面class_def_item的分析，我們知道了類的基本資訊，例如類名、父類等啊，接下來就是要找到類裡面的欄位和方法這些資訊，而這些資訊，在class_def_item裡面的class_data_off欄位給我們指明`class_data_item`就包含這些資訊並給出了偏移地址，即現在需要解析`class_data_iem`結構獲取欄位和方法資訊。（ps:以下的資料結構不做特別說明都為uleb128編碼格式）**
** 2、`class_data_item`結構包含以下資訊：**
* `第一個uleb128編碼--static_field_size`，指明瞭該類的靜態欄位的數量
* `第二個uleb128編碼--instance_field_size`，指明瞭該類的例項欄位的數量（例項欄位不知道是啥的建議百度）
* `第三個uleb128編碼--direct_method_size`，指明瞭該類的直接方法的個數
* `第四個uleb128編碼--virtual_method_size`，指明瞭該類的虛方法的個數（虛方法理解不清楚的建議百度一下）
* `encoded_field--static_fields`，該結構指明瞭具體的靜態欄位資訊，該結構的存在前提是`static_field_size >