Android逆向基础——APK的格式

Android 安装包常以apk（android Package）、xapk为后缀，本质是一个压缩包，包内存存放运行着应用程序安装必要的所有资源、代码。可直接修改后缀为zip解包。

解包后目录大致如下：

对于逆向我们更关心AndroidManifest、classes.dex、lib这三个。

1.AndroidManifest.xml文件描述了该app如何被安装与运行。

对于漏洞挖掘，逆向分析有着重要的引导作用，这里引入一个CTF的manifest文件。

<?xml version="1.0" encoding="utf-8"?><manifest xmlns:android="http://schemas.android.com/apk/res/android" android:versionCode="1" package="com.zhuotong.kanxuectf2" platformBuildVersionCode="23" platformBuildVersionName="6.0-2438415">    <uses-sdk android:minSdkVersion="15" android:targetSdkVersion="16"/>    <uses-permission android:name="android.permission.ACCESS_WIFI_STATE"/>    <uses-permission android:name="android.permission.READ_LOGS"/>    <uses-permission android:name="android.permission.READ_PHONE_STATE"/>    <uses-permission android:name="android.permission.GET_TASKS"/>    <uses-permission android:name="android.permission.WRITE_EXTERNAL_STORAGE"/>    <uses-permission android:name="android.permission.INTERNET"/>    <uses-permission android:name="android.permission.ACCESS_WIFI_STATE"/>    <uses-permission android:name="android.permission.SET_WALLPAPER"/>    <uses-permission android:name="com.android.launcher.permission.READ_SETTINGS"/>    <uses-permission android:name="android.permission.WAKE_LOCK"/>    <uses-permission android:name="android.permission.ACCESS_NETWORK_STATE"/>    <uses-permission android:name="android.permission.CHANGE_CONFIGURATION"/>    <uses-permission android:name="android.permission.MOUNT_UNMOUNT_FILESYSTEMS"/>    <uses-permission android:name="android.permission.READ_EXTERNAL_STORAGE"/>    <uses-permission android:name="android.permission.MODIFY_AUDIO_SETTINGS"/>    <application android:theme="@style/Theme.AppCompat.Light.NoActionBar" android:label="@string/app_name" android:icon="@drawable/icon" android:allowBackup="true" android:supportsRtl="true">        <activity android:name="android.support.p001v4.app.o000000o" android:excludeFromRecents="true" android:launchMode="singleInstance" android:windowSoftInputMode="adjustPan">            <intent-filter>                <action android:name="android.intent.action.MAIN"/>                <category android:name="android.intent.category.LAUNCHER"/>            </intent-filter>        </activity>        <activity-alias android:label="@string/second_activity_name" android:icon="@drawable/baah" android:name="android.support.v4.app.Q496512831" android:enabled="false" android:excludeFromRecents="true" android:launchMode="singleInstance" android:targetActivity="android.support.v4.app.o000000o">            <intent-filter>                <action android:name="android.intent.action.MAIN"/>                <category android:name="android.intent.category.LAUNCHER"/>            </intent-filter>        </activity-alias>        <provider android:name="android.support.p001v4.app.OO0OOOO0" android:authorities="com.zhuotong.net"/>    </application></manifest>

根节点为manifest，其中package属性描述着应用程序的包名。

uses-sdk 节点描述着所使用的sdk版本信息。

uses-permission描述应用程序申请使用的权限。当使用android中的权限时，都以android.permission开头

application 节点描述程序内部功能，如四大组件：

activity、provider、receiver、service。

他们都拥有intent-filter子节点，用于使用intent激活它们时对intent进行过滤。

其中category为android.intent.category.LAUNCHER时，表示被描述的Activity为主界面。且name为程序入口点。

此处为android.support.p001v4.app.o000000o。

2.classes.dex是一个dalvik可执行程序，内部存放着app的Java代码编译后的dalvik字节码

他被Android 虚拟机所识别、执行。是逆向中最重要的文件。

通过jadx等逆向软件查看到的代码就出自于这些classes.dex中。dex有时不止一个，当代码够多时按照classes2.dex、classes3.dex以此类推。

Android app静态分析工具都是对这些dex文件进行反编译，分析。可以理解为Android系统中的汇编。

Android 虚拟机有两种，分别是dalvik与ART。

Dalvik是Google公司自己设计用于Android平台的虚拟机。是一个翻译并执行dalvik指令的虚拟机。

在Android 4.4后新加入ART，在Dalvik基础上进行优化，将dalvik代码编译成本地机器码，执行效率大大提升。同时不需要更改dex的格式，对dalvik指令兼容。

注意：dalvik与jvm不一样且不互相兼容。

3.lib内会存放app中使用的二进制动态链接库文件。比如System.loadLibrary

它们是linux中的so库，是标准的ELF文件，不过它们对导出函数的命名规则与定义有特殊的要求。

如果想通过so库实现Java中的native函数，在c中需要将导出函数名按照类到方法的全路径写，并且用"_"替换路径中的"."

比如com.example.test.ctf03.JNI.getResult方法导出函数名需要写成Java_com_example_test_ctf03_JNI_getResult。

而且该方法会有一个固定的参数：JNIEnv *env。这个参数表示着Java的环境并且提供了许多调用Java代码与反射的方法。

比如：

jobject (JNICALL *NewObject)

(JNIEnv *env, jclass clazz, jmethodID methodID, ...);

jclass (JNICALL *GetObjectClass)

(JNIEnv *env, jobject obj);

jmethodID (JNICALL *GetMethodID)

(JNIEnv *env, jclass clazz, const char *name, const char *sig);

jobject (JNICALL *CallObjectMethod)

(JNIEnv *env, jobject obj, jmethodID methodID, ...);

jobject (JNICALL *GetObjectField)

(JNIEnv *env, jobject obj, jfieldID fieldID);

void (JNICALL *SetObjectField)

(JNIEnv *env, jobject obj, jfieldID fieldID, jobject val);

至于jfieldID、jmethodID有对应的方法可以通过名称来获得。(GetxxxID)

同时从java的类型到C里变成了

typedef unsigned char jboolean;

typedef unsigned short jchar;

typedef short jshort;

typedef float jfloat;

typedef double jdouble;

typedef jint jsize;

class _jobject {};

class _jclass : public _jobject {};

class _jthrowable : public _jobject {};

class _jstring : public _jobject {};

class _jarray : public _jobject {};

class _jbooleanArray : public _jarray {};

class _jbyteArray : public _jarray {};

class _jcharArray : public _jarray {};

class _jshortArray : public _jarray {};

class _jintArray : public _jarray {};

class _jlongArray : public _jarray {};

class _jfloatArray : public _jarray {};

class _jdoubleArray : public _jarray {};

class _jobjectArray : public _jarray {};

简单的实战：

通过JADX逆向APK：

拖入apk后的，有源代码与资源文件，源代码中的代码是通过DEX文件反编译而来，而资源文件是整个apk解压后的目录。

第一件事就是打开Manifest文件查找入口点与主界面

看到只有com.example.test.ctf02.MainActivity下有android.intent.category.LAUNCHER。

找到对应代码，其中onCreate方法是在创建时初始化的函数，没有构造函数时它将会是第一个执行的函数。

接下来就是对Java代码的审计工作了。

原文始发于微信公众号（锋刃科技）：Android逆向基础——APK的格式