搜索

[19246] 2018-03-13_从py分析程序渐入dex文件格式

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-03-13_从py分析程序渐入dex文件格式 从 p y 分 析 程 序 渐 入 d e x 文 件 格 式 i 春 秋   2 0 1 8 - 0 3 - 1 3 作 者 ： H A I _ i 春 秋 社 区 0 x 0 0   前 言 前 言 这 里 是 无 价 之 宝   。 资 料 在 附 件 中 。 地 址 将 在 文 章 最 后 给 出 。 （ 花 时 间 整 理 ， 不 容 易 ， 手 动 斜 眼 笑 ） 说 明 说 明 相 对 于 e l f 文 件 格 式 来 说 ， d e x 文 件 就 简 单 多 了 。 映 射 什 么 的 都 会 简 单 很 多 。 而 且 d e x 文 件 格 式 是 基 于 索 引 的 一 种 格 式 。 别 人 都 是 拿 着 文 件 格 式 去 写 分 析 程 序 的 ， 我 就 不 一 样 了 ， 我 不 想 写 程 序 ， 我 拿 着 人 家 写 好 的 分 析 程 序 去 分 析 文 件 格 式 ， 顺 便 学 学 人 家 是 怎 么 写 代 码 的 。 改 改 我 不 堪 的 代 码 。 为 什 么 要 分 析 这 个 ？ 为 什 么 要 分 析 这 个 ？ 不 分 析 这 个 不 行 ， 之 后 的 各 种 加 固 d u m p 技 术 都 要 基 于 这 个 进 行 实 现 。 所 以 必 须 要 分 析 。 你 说 有 人 分 析 过 了 ？ 不 好 意 思 ， 那 是 别 人 的 。 看 别 人 分 析 是 一 个 学 习 的 过 程 ， 自 己 分 析 又 是 另 外 一 个 学 习 过 程 。 我 告 诉 你 说 这 个 d e x 文 件 格 式 和 e l f 文 件 格 式 不 一 样 ， 是 索 引 形 式 的 ， 不 进 行 分 析 ， 你 知 道 为 什 么 是 索 引 分 析 吗 ？ 乖 乖 学 习 吧 。 内 容 内 容 1 . 简 单 介 绍 简 单 介 绍 简 单 了 解 d e x 。 2 . h e a d e r 分 析 分 析 通 过 p y t h o n 程 序 进 行 h e a d e r 头 部 分 析 。 3 . 索 引 区 分 析 索 引 区 分 析 由 于 索 引 区 对 于 动 态 方 面 不 是 很 相 关 ， 所 以 只 是 做 一 个 简 单 的 介 绍 ， 并 没 有 进 行 深 入 分 析 。 4 . c l a s s _ d e f s （ 难 点 ） （ 难 点 ） 这 个 是 我 们 分 析 的 重 点 ， 同 时 也 是 我 们 分 析 的 难 点 。 分 析 方 式 ： 0 1 0   e d i t o r   模 板 分 析 G D A   分 析 0 x 0 1   简 单 介 绍 简 单 介 绍 先 借 用 大 佬 们 的 图 片 。
这 个 是 d e x 文 件 层 次 是 不 是 比 上 一 个 图 片 好 一 点 。 这 个 看 看 就 好 ， 反 正 现 在 也 看 不 懂 。 我 们 还 是 来 着 手 于 分 析 吧 。 0 x 0 2   h e a d e r 分 析 分 析 因 为 拿 到 的 程 序 有 两 个 部 分 ， 一 个 是 整 体 的 ， 还 有 一 个 是 h e a d e r 部 分 的 ， 我 们 就 先 拿 h e a d e r 部 分 进 行 分 析 吧 。 当 然 还 是 要 结 合 0 1 0   e d i t o r 这 个 神 器 来 进 行 分 析 ， 当 然 还 有 其 他 的 一 些 分 析 工 具 来 进 行 分 析 。 我 们 的 最 终 目 的 就 是 为 了 学 好 d e x 文 件 格 式 。
1 . 程 序 演 示 程 序 演 示 既 然 拿 到 了 程 序 ， 那 肯 定 要 运 行 一 下 呀 。 具 体 的 程 序 在 附 件 中 可 能 会 有 ， 或 者 在 辅 助 文 档 中 进 行 查 找 。 看 了 程 序 的 输 出 ， 其 实 字 段 都 已 经 出 来 了 。 2 . 其 他 其 他 h e a d e r 解 析 解 析 使 用 0 1 0   e d i t o r 进 行 文 件 分 析 使 用 d e x d u m p 进 行 d e x 文 件 分 析 d e x d u m p   c l a s s e s . d e x   > d e m o . t x t
3 . 程 序 分 析 程 序 分 析   s t a r t 3 . 1   主 要 函 数 主 要 函 数 i f   _ _ n a m e _ _   = =   " _ _ m a i n _ _ " :         d f   =   D e x F i l e ( " c l a s s e s . d e x " )           d f . R e a d D e x H e a d e r ( )         d f . C a l S i g n a t u r e ( )         d f . C a l C h e c k s u m ( )         d f . C l o s e D e x F i l e ( ) 这 里 是 程 序 入 口 ， 这 里 调 用 了 五 个 函 数 。 我 们 将 挨 个 对 其 进 行 分 析 。 首 先 d f 是 一 个 实 例 化 后 的 类 。 3 . 2   D e x F i l e ( " c l a s s e s . d e x " ) d e f   _ _ i n i t _ _ ( s e l f , f i l e p a t h ) :                 s e l f . d e x   =   o p e n ( f i l e p a t h , " r " )                 s e l f . s t r i n g s   =   [ ]                 s e l f . t y p e s   =   [ ]                 s e l f . p r o t o s   =   [ ]                 s e l f . f i e l d s   =   [ ]                 s e l f . m e t h o d   =   [ ]               s e l f . m a p _ t y p e   =   { 0 x 0 : " h e a d e r _ i t e m " ,                                           0 x 1 : " s t r i n g _ i d _ i t e m " ,                                           0 x 2 : " t y p e _ i d _ i t e m " ,                                           0 x 3 : " p r o t o _ i d _ i t e m " ,                                         0 x 4 : " f i e l d _ i d _ i t e m " ,                                           0 x 5 : " m e t h o d _ i d _ i t e m " ,                                           0 x 6 : " c l a s s _ d e f _ i t e m " ,                                           0 x 1 0 0 0 : " m a p _ l i s t " ,                                           0 x 1 0 0 1 : " t y p e _ l i s t " ,                                         0 x 1 0 0 2 : " a n n o t a t i o n _ s e t _ r e f _ l i s t " ,                                           0 x 1 0 0 3 : " a n n o t a t i o n _ s e t _ i t e m " ,                                           0 x 2 0 0 0 : " c l a s s _ d a t a _ i t e m " ,                                           0 x 2 0 0 1 : " c o d e _ i t e m " ,                                         0 x 2 0 0 2 : " s t r i n g _ d a t a _ i t e m " ,                                           0 x 2 0 0 3 : " d e b u g _ i n f o _ i t e m " ,                                           0 x 2 0 0 4 : " a n n o t a t i o n _ i t e m " ,                                           0 x 2 0 0 5 : " e n c o d e d _ a r r a y _ i t e m " ,                                         0 x 2 0 0 6 : " a n n o t a t i o n s _ d i r e c t o r y _ i t e m " } 我 们 还 是 一 点 点 的 来 。 这 里 的 _ _ i n i t _ _ 是 构 造 方 法 ， s e l f 是 对 自 身 的 一 个 引 用 。 剩 下 的 是 对 其 他 的 一 个 定 义 ， 我 们 这 里 研 究 的 是 h e a d e r ， 所 以 不 进 行 过 多 分 析 ， 如 果 有 兴 趣 可 以 自 行 研 究 。 3 . 3 R e a d D e x H e a d e r ( ) 这 个 函 数 就 是 对 h e a d e r 进 行 分 析 的 主 体 部 分 ， 为 了 方 便 有 一 个 对 照 。 我 去 盗 一 张 图 回 来 。
来 一 点 一 点 看 程 序 吧 。 3 . 3 . 1   m a g i c ： ： m a g i c 就 是 用 来 标 志 这 个 文 件 是 什 么 文 件 的 一 个 字 段 。 固 定 的 信 息 ： d e x n 0 3 5 p r i n t   " - - - - - - - - - - - - - - - - ½ â Î ö   D e x H e a d e r - - - - - - - - - - - - - - - - - - - - - - - - - - - - - "                 s e l f . m a g i c   =   s t r u c t . u n p a c k ( " 4 s " , s e l f . d e x . r e a d ( 4 ) ) [ 0 ]                 p r i n t   " m a g i c   c o d e : " , s e l f . m a g i c ,                 i f s e l f . m a g i c   ! =   " d e x n " :                         p r i n t   " t h e   f i l e   i s   n o t   a   d e x   f i l e "                         s e l f . C l o s e D e x F i l e ( )                         e x i t ( - 1 )                         r e t u r n s t r u c t . u n p a c k 用 于 将 字 节 流 转 换 成 p y t h o n 数 据 类 型 。 它 的 函 数 原 型 为 ： s t r u c t . u n p a c k ( f m t ,   s t r i n g ) ， 该 函 数 返 回 一 个 元 组 。 “ 4 s ” 表 示 c h a r [ 4 ] s e l f . d e x . r e a d ( 4 ) , 读 取 4 个 字 节 然 后 输 出 。 来 看 看 v e r s i o n 字 段 , 默 认 是 0 3 5 s e l f . v e r s i o n   =   s t r u c t . u n p a c k ( " 4 s " , s e l f . d e x . r e a d ( 4 ) ) [ 0 ]                 p r i n t   " v e r s i o n : " , s e l f . v e r s i o n 看 到 这 里 ， 其 实 他 的 代 码 使 用 的 技 术 已 经 很 明 了 了 。 就 是 使 用 s t r u c t . u n p a c k 来 进 行 读 取 ， 我 之 前 写 的 使 用 的 也 是 这 个 方 法 ， 不 过 我 一 个 字 节 一 个 字 节 去 读 了 。 这 个 方 法 可 能 会 简 单 一 点 。 3 . 3 . 2   c h e c k s u m 字 段 字 段 用 a d l e r 3 2 算 法 对 这 个 字 段 之 后 的 所 有 数 据 做 的 检 验 码 ， 来 验 证 这 个 d e x 文 件 是 否 损 坏 s e l f . c h e c k s u m   =   s t r u c t . u n p a c k ( " i " , s e l f . d e x . r e a d ( 4 ) ) [ 0 ]                               p r i n t   " c h e c k s u m : " , s e l f . c h e c k s u m 0 1 0   e d i t o r
c h e c k s u m 字 段 占 四 个 字 节 。 怎 么 说 呢 ， 接 下 来 就 枯 燥 没 有 意 思 了 。 3 . 3 . 3   s i g d e x 文 件 的 签 名 值 （ 是 对 这 个 字 段 之 后 的 所 有 数 据 做 的 签 名 ， 用 来 唯 一 的 标 识 这 个 d e x 文 件 ） 。 这 里 需 要 读 取 2 0 个 字 节 。 代 码 就 不 贴 了 。 和 上 面 相 似 ， 只 是 读 取 的 大 小 不 一 样 。
3 . 3 . 4   f i l e s i z e 整 个 文 件 大 小 。 3 . 3 . 5   h e a d e r s i z e 文 件 头 的 大 小 。 一 般 头 部 的 大 小 是 固 定 的 ， 0 x 7 0 。 都 是 这 个 。
3 . 3 . 6   e n d i a n t a g 高 位 在 前 ， 或 者 低 位 在 前 。 涉 及 到 汇 编 的 知 识 。 接 下 来 就 是 索 引 个 数 ， 以 及 偏 移 。 3 . 3 . 7   l i n k _ s i z e 链 接 段 的 大 小 ， 如 果 是 0 的 话 为 静 态 连 接 。 3 . 3 . 8   l i n k _ o f f 链 接 段 的 偏 移 ， 一 般 _ o f f 都 是 x x x 的 偏 移 。 3 . 3 . 9   m a p _ o f f m a p 的 偏 移 。 3 . 3 . 1 0   s t r i n g _ n u m n u m 就 是 数 字 的 意 思 ， 也 就 是 说 这 个 就 是 字 符 串 的 个 数 。 3 . 3 . 1 1   s t r i n g _ t a b l e _ o f f s t r i n g _ t a b l e 的 偏 移 ， s t r i n g _ t a b l e 就 是   s t r i n g ， 字 符 串 ， t a b l e ， 表 。 合 起 来 就 是 字 符 串 表 的 偏 移 。 3 . 3 . 1 2   t y p e _ n u m t y p e 的 个 数 。 就 是 类 型 的 个 数 。 3 . 3 . 1 3   t y p e _ t a b l e _ o f f t y p e _ t a b l e 的 偏 移
3 . 3 . 1 4   p r o t o _ n u m p r o t o 的 个 数 。   p r o t o 是 个 什 么 东 西 ？ 这 个 就 是 方 法 声 明 。 3 . 3 . 1 5     p r o t o _ o f f p r o t o 的 偏 移 3 . 3 . 1 6   f i e l d _ n u m f i e l d 的 个 数 ， 字 段 列 表 的 个 数 3 . 3 . 1 7   f i e l d _ o f f 字 段 列 表 的 偏 移 3 . 3 . 1 8   m e t h o d _ n u m 方 法 列 表 的 个 数 , ( 说 来 惭 愧 ， 今 天 刚 好 背 了 这 个 单 词 。 。 。 你 们 有 谁 教 教 我 英 语 ？ 我 半 个 小 时 才 背 了 1 0 个 单 词 ) 3 . 3 . 1 9   m e t h o d _ o f f 方 法 列 表 的 偏 移 3 . 3 . 2 0   c l a s s _ d e f _ s i z e 类 定 义 列 表 的 个 数 3 . 3 . 2 1   c l a s s _ d e f _ o f f 类 定 义 列 表 的 偏 移 3 . 3 . 2 2   d a t a _ s i z e 数 据 段 的 大 小 3 . 3 . 2 3   d a t a _ o f f 数 据 段 的 偏 移 总 结 总 结 d e x 为 什 么 说 是 索 引 呢 ， 因 为 在 头 部 表 记 录 了 很 多 的 o f f ， 也 就 是 偏 移 量 ， 由 此 来 进 行 文 件 格 式 的 布 局 的 。 这 里 是 程 序 源 码 。 0 x 0 3   索 引 区 索 引 区 说 白 了 ， 这 里 就 是 存 数 据 的 地 方 。 但 是 我 们 的 数 据 又 不 存 在 这 个 地 方 。 这 个 区 域 只 是 做 一 个 对 应 的 索 引 ， 并 没 有 真 正 的 存 取 数 据 。 是 从 d a t a 中 通 过 偏 移 来 进 行 存 取 的 。 先 来 看 下 d a t a 域 ：
然 后 来 看 下 分 析 结 构 怎 么 说 ？ 0 1 0   e d i t o r d e x d u m p 一 共 存 在 五 个 表 ， 五 个 表 分 别 存 了 五 个 内 容 。 从 字 符 串 到 类 名 等 。 这 里 需 要 注 意 的 有 一 个 数 据 类 型 就 是 ， u l e b 1 2 8 。 u l e b 1 2 8 就 是 一 个 1 ~ 5 个 字 节 来 回 浮 动 的 数 据 类 型 ， 出 现 的 作 用 就 是 为 了 避 免 内 存 浪 费 。 这 里 用 p y t h o n 进 行 实 现 。 d e f   g e t _ u l e b 1 2 8 ( c o n t e n t ) :                 v a l u e   =   0                 f o r   i   i n   x r a n g e ( 0 , 5 ) :                                 t m p   =   o r d ( c o n t e n t [ i ] )   &   0 x 7 f                                 v a l u e   =   t m p   < <   ( i   *   7 )   |   v a l u e   / / 前 n 个 字 节 组 合 ， 如 i = 1 , 为 前 2 个 字 节 的 组 合 ； 当 i = 4 时 ， 共 5 个 字 节 组 合                                 i f   ( o r d ( c o n t e n t [ i ] )   &   0 x 8 0 )   ! =   0 x 8 0 :                                                 b r e a k                 i f   i   = =   4   a n d   ( t m p   &   0 x f 0 )   ! =   0 :                                 p r i n t " p a r s e   a   e r r o r   u l e b 1 2 8   n u m b e r "                                 r e t u r n   - 1                 r e t u r n   i + 1 ,   v a l u e 总 结 总 结
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理