app研究

石器时代 (2007-2011)

关键词:反编绎,人工审计
2007年11年,Google正式发布了Android操作系统,2011年12月,Google发布了Android 2.3版本,Android 应用市场App数量突破10万个,随着Android系统的完善及Android设备数量的增加,Android超过塞班成为主流智能手机操作系统。与此同时,一些安全研究人员已经敏感的嗅到了Android客户端安全可能会成为未来的安全热点之一,不少传统的二进制安全研究人员开始转战移动安全。这个时间段国内对Android安全问题的关注主要集中在恶意App分析与检测,App逆向与破解以及Android系统Root。对于Android客户端安全问题刚主要集中在信息泄露,敏感权限使用的方面,通常使用反编绎工具分析APK源码,然后进行人工审计。

测试环境:

win 10

使用工具:

CSDN上下载地址:
  apktool https://ibotpeaches.github.io/Apktool/install/(官网)
  dex2jar http://download.csdn.net/download/vipzjyno1/7025127
  jd-gui  http://download.csdn.net/download/vipzjyno1/7025145

要下载的工具可以在上面的链接自行下载,也可以到我分享的百度网盘中

工具介绍:

apktool
作用:资源文件获取,可以提取出图片文件和布局文件进行使用查看
dex2jar
作用:将apk反编译成java源码(classes.dex转化成jar文件)
jd-gui
作用:查看APK中classes.dex转化成出的jar文件,即源码文件

反编译流程:

apk反编译得到程序的源代码、图片、XML配置、语言资源等文件

下载上述工具中的apktool,解压得到2个文件:apktool.bat,apktool.jar ,将需要反编译的APK文件放到该目录下,
打开命令行界面(运行-CMD) ,定位到apktool文件夹,输入以下命令:apktool.bat d -f test.apk -o test

(命令中test.apk指的是要反编译的APK文件全名,test为反编译后资源文件存放的目录名称,即为:apktool.bat d -f [apk文件 ] -o [输出文件夹])
这里写图片描述
这里写图片描述
说明获取成功,之后发现在文件夹下多了个test文件,点击便可以查看该应用的所有资源文件了。

如果你想将反编译完的文件重新打包成apk,那你可以:输入apktool.bat b test(你编译出来文件夹)便可,效果如下:

这里写图片描述

这里写图片描述
之后在之前的test文件下便可以发现多了2个文件夹:build dist(里面存放着打包出来的APK文件)

Apk反编译得到Java源代码

下载上述工具中的dex2jar和jd-gui ,解压
将要反编译的APK后缀名改为.rar或则 .zip,并解压,得到其中的额classes.dex文件(它就是java文件编译再通过dx工具打包而成的),将获取到的classes.dex放到之前解压出来的工具dex2jar-0.0.9.15 文件夹内,
在命令行下定位到dex2jar.bat所在目录,输入dex2jar.bat classes.dex,效果如下:
这里写图片描述
在改目录下会生成一个classes_dex2jar.jar的文件,然后打开工具jd-gui文件夹里的jd-gui.exe,之后用该工具打开之前生成的classes_dex2jar.jar文件,便可以看到源码了,效果如下:
这里写图片描述
被混淆过的效果图(类文件名称以及里面的方法名称都会以a,b,c….之类的样式命名):

安装过程中可能会出现以下几个错误:自行百度解决
Input file was not found or was not readable.
The system cannot write to the specified device
could not decode arsc file

网站法律声明:本文部分内容摘自
https://security.tencent.com/index.php/blog/msg/109
http://blog.csdn.net/vipzjyno1/article/details/21039349/
本站系博主转载,转载目的在于传递更多信息,并不代表本网赞同其观点和对其真实性负责。如涉及作品内容、版权和其它问题,请在30日内与本网联系,我们将在第一时间删除内容![声明]本站文章版权归原作者所有 内容为作者个人观点 本站只提供参考并不构成任何投资及应用建议。本站拥有对此声明的最终解释权

AnonymousBu wechat
bujun1018
-------------endingThanks for you reading-------------
显示 Gitment 评论
0%