Android App 逆向入門之二：修改 smali 程式碼

admin

什麼是 Smali在我們利用 apktool d 拆開的內容中，有一個資料夾叫做 smali，裡面存放著的就是從 classes.dex 還原出來的東西，也就是程式碼。
但這些程式碼跟你想的可能不太一樣，例如說我們可以來看看 smali/com/cymetrics/demo/MainActivity.smali：
.class public Lcom/cymetrics/demo/MainActivity;
.super Landroidx/appcompat/app/AppCompatActivity;
.source "MainActivity.java"

1. # direct methods
   
2. .method public constructor <init>()V
   
3.     .locals 0
   
4. 
   
5.     .line 16
   
6.     invoke-direct {p0}, Landroidx/appcompat/app/AppCompatActivity;-><init>()V
   
7. 
   
8.     return-void
   
9. .end method
   
10. 
    
11. 
    
12. # virtual methods
    
13. .method protected onCreate(Landroid/os/Bundle;)V
    
14.     .locals 1
    
15. 
    
16.     .line 20
    
17.     invoke-super {p0, p1}, Landroidx/appcompat/app/AppCompatActivity;->onCreate(Landroid/os/Bundle;)V
    
18. 
    
19.     const p1, 0x7f0b001c
    
20. 
    
21.     .line 21
    
22.     invoke-virtual {p0, p1}, Lcom/cymetrics/demo/MainActivity;->setContentView(I)V
    
23. 
    
24.     const p1, 0x7f080122
    
25. 
    
26.     .line 22
    
27.     invoke-virtual {p0, p1}, Lcom/cymetrics/demo/MainActivity;->findViewById(I)Landroid/view/View;
    
28. 
    
29.     move-result-object p1
    
30. 
    
31.     check-cast p1, Landroidx/appcompat/widget/Toolbar;
    
32. 
    
33.     .line 23
    
34.     invoke-virtual {p0, p1}, Lcom/cymetrics/demo/MainActivity;->setSupportActionBar(Landroidx/appcompat/widget/Toolbar;)V
    
35. 
    
36.     const p1, 0x7f08007a
    
37. 
    
38.     .line 25
    
39.     invoke-virtual {p0, p1}, Lcom/cymetrics/demo/MainActivity;->findViewById(I)Landroid/view/View;
    
40. 
    
41.     move-result-object p1
    
42. 
    
43.     check-cast p1, Lcom/google/android/material/floatingactionbutton/FloatingActionButton;
    
44. 
    
45.     .line 26
    
46.     new-instance v0, Lcom/cymetrics/demo/MainActivity$1;
    
47. 
    
48.     invoke-direct {v0, p0}, Lcom/cymetrics/demo/MainActivity$1;-><init>(Lcom/cymetrics/demo/MainActivity;)V
    
49. 
    
50.     invoke-virtual {p1, v0}, Lcom/google/android/material/floatingactionbutton/FloatingActionButton;->setOnClickListener(Landroid/view/View$OnClickListener;)V
    
51. 
    
52.     return-void
    
53. .end method
    
54. 
    
55. .method public onCreateOptionsMenu(Landroid/view/Menu;)Z
    
56.     .locals 2
    
57. 
    
58.     .line 38
    
59.     invoke-virtual {p0}, Lcom/cymetrics/demo/MainActivity;->getMenuInflater()Landroid/view/MenuInflater;
    
60. 
    
61.     move-result-object v0
    
62. 
    
63.     const/high16 v1, 0x7f0c0000
    
64. 
    
65.     invoke-virtual {v0, v1, p1}, Landroid/view/MenuInflater;->inflate(ILandroid/view/Menu;)V
    
66. 
    
67.     const/4 p1, 0x1
    
68. 
    
69.     return p1
    
70. .end method
    
71. 
    
72. .method public onOptionsItemSelected(Landroid/view/MenuItem;)Z
    
73.     .locals 2
    
74. 
    
75.     .line 47
    
76.     invoke-interface {p1}, Landroid/view/MenuItem;->getItemId()I
    
77. 
    
78.     move-result v0
    
79. 
    
80.     const v1, 0x7f08003f
    
81. 
    
82.     if-ne v0, v1, :cond_0
    
83. 
    
84.     const/4 p1, 0x1
    
85. 
    
86.     return p1
    
87. 
    
88.     .line 54
    
89.     :cond_0
    
90.     invoke-super {p0, p1}, Landroidx/appcompat/app/AppCompatActivity;->onOptionsItemSelected(Landroid/view/MenuItem;)Z
    
91. 
    
92.     move-result p1
    
93. 
    
94.     return p1
    
95. .end method

複製代碼

如果你覺得看起來不是很好閱讀，那是正常的。

Smali 是跑在 Android Dalvik VM 上的 byte code，有著自己的一套語法規則，如果想要看到我們熟悉的 Java 程式碼，必須要將 smali 還原成 Java。
利用 jadx 還原出 Java 程式碼接著我們要用到另外一套工具：jadx，GitHub 上面它對自己的描述是：Dex to Java decompiler。

安裝過程我一樣省略，接著我們用 jadx 把 apk 拆開：
# -r 代表不要把 resource 拆開，因為我們只關注程式碼
# -d 代表目的地
jadx -r demoapp.apk -d jadx-demoapp

跑完以後就會看到多了一個 jadx-demoapp 的資料夾，我們點進去裡面的 sources/com/cymetrics/demo/MainActivity.java，可以看到如下內容：

1. package com.cymetrics.demo;
   
2. 
   
3. import android.os.Bundle;
   
4. import android.view.Menu;
   
5. import android.view.MenuItem;
   
6. import android.view.View;
   
7. import androidx.appcompat.app.AppCompatActivity;
   
8. import androidx.appcompat.widget.Toolbar;
   
9. import com.google.android.material.floatingactionbutton.FloatingActionButton;
   
10. import com.google.android.material.snackbar.Snackbar;
    
11. /* loaded from: classes.dex */
    
12. public class MainActivity extends AppCompatActivity {
    
13.     /* JADX INFO: Access modifiers changed from: protected */
    
14.     @Override // androidx.appcompat.app.AppCompatActivity, androidx.fragment.app.FragmentActivity, androidx.activity.ComponentActivity, androidx.core.app.ComponentActivity, android.app.Activity
    
15.     public void onCreate(Bundle bundle) {
    
16.         super.onCreate(bundle);
    
17.         setContentView(R.layout.activity_main);
    
18.         setSupportActionBar((Toolbar) findViewById(R.id.toolbar));
    
19.         ((FloatingActionButton) findViewById(R.id.fab)).setOnClickListener(new View.OnClickListener() { // from class: com.cymetrics.demo.MainActivity.1
    
20.             @Override // android.view.View.OnClickListener
    
21.             public void onClick(View view) {
    
22.                 Snackbar.make(view, "Replace with your own action", 0).setAction("Action", (View.OnClickListener) null).show();
    
23.             }
    
24.         });
    
25.     }
    
26. 
    
27.     @Override // android.app.Activity
    
28.     public boolean onCreateOptionsMenu(Menu menu) {
    
29.         getMenuInflater().inflate(R.menu.menu_main, menu);
    
30.         return true;
    
31.     }
    
32. 
    
33.     @Override // android.app.Activity
    
34.     public boolean onOptionsItemSelected(MenuItem menuItem) {
    
35.         if (menuItem.getItemId() == R.id.action_settings) {
    
36.             return true;
    
37.         }
    
38.         return super.onOptionsItemSelected(menuItem);
    
39.     }
    
40. }

複製代碼

這才是我們想看到的內容嘛！因為這個 apk 沒有經過混淆，所以幾乎可以看到完整的 java 檔案，跟原始碼差不了多少。
簡單講一下混淆（Obfuscation），混淆就是把程式碼打亂，讓人不容易看出來原本的程式碼是什麼，例如說把變數名字都換成 aa, bb, cc, dd 這種沒有意義的名稱之類的，就是最基本的混淆。在 Android 開發中通常透過 ProGuard 這個工具來做混淆。
像上面那樣的程式碼很明顯就沒有混淆過，讓人很容易就能看出原本的邏輯。

這次我們要來改動的程式碼在 com/cymetrics/demo/FirstFragment.java：

1. package com.cymetrics.demo;
   
2. 
   
3. import android.os.Bundle;
   
4. import android.view.LayoutInflater;
   
5. import android.view.View;
   
6. import android.view.ViewGroup;
   
7. import android.widget.TextView;
   
8. import androidx.fragment.app.Fragment;
   
9. import com.scottyab.rootbeer.RootBeer;
   
10. /* loaded from: classes.dex */
    
11. public class FirstFragment extends Fragment {
    
12.     @Override // androidx.fragment.app.Fragment
    
13.     public View onCreateView(LayoutInflater layoutInflater, ViewGroup viewGroup, Bundle bundle) {
    
14.         return layoutInflater.inflate(R.layout.fragment_first, viewGroup, false);
    
15.     }
    
16. 
    
17.     @Override // androidx.fragment.app.Fragment
    
18.     public void onViewCreated(View view, Bundle bundle) {
    
19.         super.onViewCreated(view, bundle);
    
20.         view.findViewById(R.id.button_first).setOnClickListener(new View.OnClickListener() { // from class: com.cymetrics.demo.FirstFragment.1
    
21.             @Override // android.view.View.OnClickListener
    
22.             public void onClick(View view2) {
    
23.                 TextView textView = (TextView) view2.getRootView().findViewById(R.id.textview_first);
    
24.                 if (new RootBeer(view2.getContext()).isRooted()) {
    
25.                     textView.setText("Rooted!");
    
26.                 } else {
    
27.                     textView.setText("Safe, not rooted");
    
28.                 }
    
29.             }
    
30.         });
    
31.     }
    
32. }

複製代碼

主要的邏輯是這一段：

1. public void onClick(View view2) {
   
2.     TextView textView = (TextView) view2.getRootView().findViewById(R.id.textview_first);
   
3.     if (new RootBeer(view2.getContext()).isRooted()) {
   
4.         textView.setText("Rooted!");
   
5.     } else {
   
6.         textView.setText("Safe, not rooted");
   
7.     }
   
8. }

複製代碼

這一段會去呼叫一個第三方的 library 檢查是否有 root，有的話就顯示 Rooted!，沒有的話就顯示 Safe, not rooted。
在研究程式碼邏輯時，我們可以看著 java 程式碼，但如果要改 code 的話，就不是改 java code 這麼簡單了，我們必須要直接去改 smali 的 code，才能把 app 重新打包回去。

修改 smali 程式碼
還記得我們用 Apktool 解開的資料夾嗎？smali 程式碼就在那裡面，路徑是：smali/com/cymetrics/demo/FirstFragment$1.smali，仔細找一下內容，就可以找到 onClick 的程式碼：

1. # virtual methods
   
2. .method public onClick(Landroid/view/View;)V
   
3.     .locals 2
   
4. 
   
5.     .line 32
   
6.     invoke-virtual {p1}, Landroid/view/View;->getRootView()Landroid/view/View;
   
7. 
   
8.     move-result-object v0
   
9. 
   
10.     const v1, 0x7f08011c
    
11. 
    
12.     invoke-virtual {v0, v1}, Landroid/view/View;->findViewById(I)Landroid/view/View;
    
13. 
    
14.     move-result-object v0
    
15. 
    
16.     check-cast v0, Landroid/widget/TextView;
    
17. 
    
18.     .line 34
    
19.     new-instance v1, Lcom/scottyab/rootbeer/RootBeer;
    
20. 
    
21.     invoke-virtual {p1}, Landroid/view/View;->getContext()Landroid/content/Context;
    
22. 
    
23.     move-result-object p1
    
24. 
    
25.     invoke-direct {v1, p1}, Lcom/scottyab/rootbeer/RootBeer;-><init>(Landroid/content/Context;)V
    
26. 
    
27.     .line 35
    
28.     invoke-virtual {v1}, Lcom/scottyab/rootbeer/RootBeer;->isRooted()Z
    
29. 
    
30.     move-result p1
    
31. 
    
32.     if-eqz p1, :cond_0
    
33. 
    
34.     const-string p1, "Rooted!"
    
35. 
    
36.     .line 36
    
37.     invoke-virtual {v0, p1}, Landroid/widget/TextView;->setText(Ljava/lang/CharSequence;)V
    
38. 
    
39.     goto :goto_0
    
40. 
    
41.     :cond_0
    
42.     const-string p1, "Safe, not rooted"
    
43. 
    
44.     .line 38
    
45.     invoke-virtual {v0, p1}, Landroid/widget/TextView;->setText(Ljava/lang/CharSequence;)V
    
46. 
    
47.     :goto_0
    
48.     return-void
    
49. .end method

複製代碼

簡單講解一下一些基礎的 smali 語法，.method public onClick(Landroid/view/View;)V 就是說有一個 public 的 method 叫做 onClick，接收一個參數類型是 android/view/View，括號最後面的 V 則代表 void，沒有回傳值。
.locals 2 指的是這個 function 會用到兩個暫存器，也就是 v0 跟 v1，如果你用到 v2 的話就會出錯，因此如果需要更多暫存器，記得要改這邊。
參數的話會用 p 來表示，通常 p0 代表 this，p1 就是第一個參數，因此 invoke-virtual {p1}, Landroid/view/View;->getRootView()Landroid/view/View; 就是把第一個參數丟進去呼叫 getRootView() 這個 method。
而這整段裡面，核心的程式碼是這一段：

1. .line 35
   
2. invoke-virtual {v1}, Lcom/scottyab/rootbeer/RootBeer;->isRooted()Z
   
3. 
   
4. move-result p1
   
5. 
   
6. if-eqz p1, :cond_0
   
7. 
   
8. const-string p1, "Rooted!"
   
9. 
   
10. .line 36
    
11. invoke-virtual {v0, p1}, Landroid/widget/TextView;->setText(Ljava/lang/CharSequence;)V
    
12. 
    
13. goto :goto_0
    
14. 
    
15. :cond_0
    
16. const-string p1, "Safe, not rooted"

複製代碼

if-eqz p1, :cond_0 指的就是如果 p1 是 0，就跳到 :cond_0 的地方，
而 p1 是 RootBeer->isRooted() 的回傳值。也就是說，p1 代表著 root 檢查的結果，只要能把 p1 改掉，就能偽造不同的結果。


這邊有很多種改法，例如說把原本的 if-eqz 改成 if-nez，就可以反轉邏輯，或我們可以直接將 p1 硬改成 0，順便加上 log 確認我們有執行到這裡：

1. .line 35
   
2. invoke-virtual {v1}, Lcom/scottyab/rootbeer/RootBeer;->isRooted()Z
   
3. 
   
4. move-result p1
   
5. 
   
6. # 加上 log，印出 "we are here"
   
7. const-string v1, "we are here"
   
8. invoke-static {v1, v1}, Landroid/util/Log;->e(Ljava/lang/String;Ljava/lang/String;)I
   
9. 
   
10. # 將 p1 直接硬改成 0
    
11. const/4 p1, 0x0
    
12. 
    
13. if-eqz p1, :cond_0
    
14. 
    
15. const-string p1, "Rooted!"
    
16. 
    
17. .line 36
    
18. invoke-virtual {v0, p1}, Landroid/widget/TextView;->setText(Ljava/lang/CharSequence;)V
    
19. 
    
20. goto :goto_0
    
21. 
    
22. :cond_0
    
23. const-string p1, "Safe, not rooted"

複製代碼

加上那三行以後存檔，接著照著上一篇講的重新打包，安裝在手機上，打開 app 以後先看 log。
要看 Android 的 log 的話，需要用 adb logcat 這個指令來看，但如果你直接輸入這個指令，會噴一堆 log 出來，在這邊教大家兩個好用的指令。
第一個是 adb logcat -c，可以清掉之前的 log，第二個是：
adb logcat --pid=`adb shell pidof -s com.cymetrics.demo`
可以看到指定 package name 的 log，排除其他雜訊，這個真的很好用。
準備就緒以後，按下 app 內的 CHECK ROOT 按鈕，就會看到一條新的 log：
01-25 09:32:06.528 27651 27651 E we are here: we are here
以及畫面上出現的 Safe, not rooted 的字樣，就大功告成了。

更改其他地方的程式碼
剛剛我們改動了 fragment 中的程式碼，也就是程式的邏輯，把 isRooted() 的回傳值取代掉，讓它永遠是 false，繞過了檢查。
但如果程式中還有其他地方也會做類似的檢查那就麻煩了，因為我們必須找出每一個做檢查的地方，然後都做類似的事情，把每一處都改掉。
因此，一個比較有效率的方法是直接去改動這個第三方 library 的程式碼，讓 isRooted 永遠都回傳 false，這樣就算 app 在多個地方都有檢查，也會一起被繞過。
呼叫 function 時的程式碼是 Lcom/scottyab/rootbeer/RootBeer;->isRooted()，因此我們可以順藤摸瓜找到這個檔案：com/scottyab/rootbeer/RootBeer.smali，搜尋 isRooted 就會找到程式碼：

1. .method public isRooted()Z
   
2.     .locals 1
   
3. 
   
4.     .line 44
   
5.     invoke-virtual {p0}, Lcom/scottyab/rootbeer/RootBeer;->detectRootManagementApps()Z
   
6. 
   
7.     move-result v0
   
8. 
   
9.     if-nez v0, :cond_1
   
10. 
    
11.     invoke-virtual {p0}, Lcom/scottyab/rootbeer/RootBeer;->detectPotentiallyDangerousApps()Z
    
12. 
    
13.     move-result v0
    
14. 
    
15.     if-nez v0, :cond_1
    
16. 
    
17.     const-string v0, "su"
    
18. 
    
19.     invoke-virtual {p0, v0}, Lcom/scottyab/rootbeer/RootBeer;->checkForBinary(Ljava/lang/String;)Z
    
20. 
    
21.     move-result v0
    
22. 
    
23.     if-nez v0, :cond_1
    
24. 
    
25.     .line 45
    
26.     invoke-virtual {p0}, Lcom/scottyab/rootbeer/RootBeer;->checkForDangerousProps()Z
    
27. 
    
28.     move-result v0
    
29. 
    
30.     if-nez v0, :cond_1
    
31. 
    
32.     invoke-virtual {p0}, Lcom/scottyab/rootbeer/RootBeer;->checkForRWPaths()Z
    
33. 
    
34.     move-result v0
    
35. 
    
36.     if-nez v0, :cond_1
    
37. 
    
38.     .line 46
    
39.     invoke-virtual {p0}, Lcom/scottyab/rootbeer/RootBeer;->detectTestKeys()Z
    
40. 
    
41.     move-result v0
    
42. 
    
43.     if-nez v0, :cond_1
    
44. 
    
45.     invoke-virtual {p0}, Lcom/scottyab/rootbeer/RootBeer;->checkSuExists()Z
    
46. 
    
47.     move-result v0
    
48. 
    
49.     if-nez v0, :cond_1
    
50. 
    
51.     invoke-virtual {p0}, Lcom/scottyab/rootbeer/RootBeer;->checkForRootNative()Z
    
52. 
    
53.     move-result v0
    
54. 
    
55.     if-nez v0, :cond_1
    
56. 
    
57.     invoke-virtual {p0}, Lcom/scottyab/rootbeer/RootBeer;->checkForMagiskBinary()Z
    
58. 
    
59.     move-result v0
    
60. 
    
61.     if-eqz v0, :cond_0
    
62. 
    
63.     goto :goto_0
    
64. 
    
65.     :cond_0
    
66.     const/4 v0, 0x0
    
67. 
    
68.     goto :goto_1
    
69. 
    
70.     :cond_1
    
71.     :goto_0
    
72.     const/4 v0, 0x1
    
73. 
    
74.     :goto_1
    
75.     return v0
    
76. .end method

複製代碼

想要 patch 這個函式非常簡單，我們讓它永遠都回傳 false 就好：

1. .method public isRooted()Z
   
2.     .locals 1
   
3.    
   
4.     # 在開頭新增底下這兩行，永遠回傳 false
   
5.     const/4 v0, 0x0
   
6.     return v0
   
7.    
   
8.     # 以下省略...
   
9. .end method

複製代碼

接著一樣重新打包之後安裝在手機上，就能看到繞過的成果。
總結
在這篇裡面我們學到了如何閱讀基本的 smali 程式碼以及修改它，也學到了該如何利用 adb logcat 來看 Android app 的 log，並且實際下去修改 smali，反轉原本的邏輯，去繞過 app 對於 root 的檢查。


加上 log 是一個我覺得雖然看起來好像很笨很沒效率，但其實很有用的方法，就跟寫程式出錯的時候我會加一大堆 console.log 一樣，透過 log 來確認程式的執行流程跟自己預期中的相符，對於還原邏輯很有幫助。


最後，這篇我只有稍微提了一下 smali，如果想更了解 smali 的語法，可以參考底下文章：

• Android逆向基础：Smali语法
• APK反编译之一：基础知识--smali文件阅读