以往安全爱好者研究的往往是关注app的本地安全，比如远控、应用破解、信息窃取等等，大多人还没有关注到app服务端的安全问题，于是在这块的安全漏洞非常多。
移动app大多通过web api服务的方式跟服务端交互，这种模式把移动安全跟web安全绑在一起。移动app以web服务的方式跟服务端交互，服务器端也是一个展示信息的网站，常见的web漏洞在这也存在,比如说SQL注入、文件上传、中间件/server漏洞等，但是由于部分app不是直接嵌入网页在app中，而是使用的api接口返回josn数据，导致扫描器爬虫无法爬取链接。
ios的话无法做到反编译，因此一般会借助反汇编工具，比如IDA，越狱后的环境的话，会借助ida、classdump等辅助工具，方便利用应用的逻辑进行分析。
android更多的是先进行反编译，apktool、dex2jar和jd-gui的组合。在android apk安全检测的时候我一般是这个思路：先看一下是不是加壳的，如果是的话会对apk尝试脱壳，然后通过反汇编、反编译工具得到汇编代码或反编译代码，然后根据特征定位代码位置，然后结合上下文分析，有时候可能要动态调试。
以下是个人总结的app反编译思路以及工具的使用：
脱壳的话可以使用dexhunter，Android通用脱壳工具DexHunter是2015年下半年，大牛 zyqqyz最先在看雪论坛放出来的，见《Android dex文件通用自动脱壳器》这篇文章的说明。
反编译流程：
一，apk反编译得到程序的源代码、图片、XML配置、语言资源等文件
下载apktool，解压得到3个文件：aapt.exe，apktool.bat，apktool.jar ，将需要反编译的APK文件放到该目录下，
打开命令行界面（运行-CMD） ，定位到apktool文件夹，输入以下命令：apktool.bat d -f test.apk test
（命令中test.apk指的是要反编译的APK文件全名，test为反编译后资源文件存放的目录名称，即为：apktool.bat d -f [apk文件 ] [输出文件夹]）
说明获取成功，之后发现在文件夹下多了个test文件，点击便可以查看该应用的所有资源文件了。
如果你想将反编译完的文件重新打包成apk，那你可以：输入apktool.bat b test（你编译出来文件夹）便可，效果如下：
之后在之前的test文件下便可以发现多了2个文件夹:
build
dist(里面存放着打包出来的APK文件)
Apk反编译得到Java源代码
下载dex2jar和jd-gui ，解压
将要反编译的APK后缀名改为.rar或则 .zip，并解压，得到其中的额classes.dex文件（它就是java文件编译再通过dx工具打包而成的），将获取到的classes.dex放到之前解压出来的工具dex2jar-0.0.9.15 文件夹内，
在命令行下定位到dex2jar.bat所在目录，输入dex2jar.bat classes.dex，效果如下：
在改目录下会生成一个classes_dex2jar.jar的文件，然后打开工具jd-gui文件夹里的jd-gui.exe，之后用该工具打开之前生成的classes_dex2jar.jar文件，便可以看到源码了，效果如下：
被混淆过的效果图（类文件名称以及里面的方法名称都会以a,b,c....之类的样式命名）：
三、 图形化反编译apk
上述步骤一、二讲述了命令行反编译apk，现在提供两种图形化反编译工具：Androidfby
首先，下载上述反编译工具包，打开Androidfby目录，双击Android反编译工具.exe，就可以浏览打开要反编译的apk
APK包的一些修改心得
一、单纯修改apk中未加密资源
什么资源没有加密？非res文件夹下的资源，以及res中的图片。
1、直接用WinRAR/7-Zip解压缩apk包。
需要了解：META-INF就是签名；res就是文件类资源（图片及xml），classes.dex就是代码部分，resources.arsc就是字符串之类的资源。
2、修改/assets/operate_type.xml 文件。
3、删除META-INF 签名文件夹。
4、打包apk。
5、进行签名：
目前网络上提供的工具签名方法都是这个：
java -jar SignApk.jar platform.x509.pem platform.pk8 aa.apk aa_signed.apk
其中：
┌─ SignApk.jar 是签名工具
├─ platform.pk8 是私钥
├─ platform.x509.pem 是相对应的证书/公钥
└─ 使用SignApk.jar进行签名，其会自动删除META-INF 签名文件夹，并生成新签名。
6、签名后的apk即可进行安装使用。
一如既往的学习，一如既往的整理，一如即往的分享。感谢支持
扫描关注LemonSec
本文始发于微信公众号（LemonSec）：app安全之反编译（一）
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论