什么是Smali

smali语言是Davlik的寄存器语言，语法上和汇编语言相似，DalvikVM与JVM的最大的区别之一就是DalvikVM是基于寄存器的。基于寄存器的意思是，在smali里的所有操作都必须经过寄存器来进行。
因为安卓软件编译后，就得不到源代码了，我们只可以通过反编译后的Smail代码去修改来实现逆向的目的。

静态分析Android程序的两种方法

阅读反编译生成的Dalvik字节码。

  • 使用AndroidKiller_1.3.1分析dex文件
  • 使用MT管理器分析dex文件
  • 使用jadx查看

头信息------类的主体信息

在打开smali文件的时候，它的头三行描述了当前类的一些信息

.class <访问权限> [关键修饰字] <类名>;
.super <父类名>
.source <源文件名>

Java代码如下:
public class MainActivity extends AppComatActivity{
          //......
}
对应的Smali代码如下：
.class Lcom/example/myapplication/MainActivity$1;  //该表示MainActivity是该包的一个对象
.super Ljava/lang/Object;
.source "MainActivity.java"

.class 指令表示当前的类名，类的访问权限是public，类名是Lcom/example/myapplication/MainActivity$1; ，类开头的L是遵循Dalvik字节码的相关约定，表示后面跟随的字符串是一个类。
.super指定了当前类所继承的父类，后面指的就是这个父类的类名，L表示后面跟的字符串是一个类
.source指定了当前类的源文件名

数据原始类型

  • B---byte
  • C---char
  • D---double
  • F---float
  • I---int
  • L---long
  • S---short
  • V---void
  • Z---boolean
  • [XXX---array
  • Lxxx/yyy---object

Smali的数组表示

在基本类型前加上"["即表示该类型的数组；如

[I:表示整型的数组；[F:表示浮点型float的数组

  • 如果是对象类型，则以L作为开头，格式是LpackageName/objectName;如Ljava/lang/String;表示String是该包的一个对象。

  • 类对象表示为LpackageName/objectName；类对象中的内部类则使用"$"来连接。

Smali方法的定义

方法的一般定义为:
Func-Name(Para-Type1Para-Type-2Para-Type...)Return-Type
参数之间没有任何间隔；如
Hello()V:表示 void hello()
Hello(III)Z表示：Boolean hello(int,int,int)
Hello(Z[I[ILjava/lang/String;L)Ljava/lang/String; 表示：String Hello(boolean,int[],int[],String,,long)

Smali的一些关键词

  • .filed private isFlage:z 定义变量
  • .method 方法
  • .parameter 方法参数
  • .prologue 方法开始
  • .line 此方法位于第123行
  • .invoke-super 调用父函数
  • .const/high16 v0,0x7fo3 把0x7fo3赋值给v0
  • .invoke-direct 调用函数
  • .return-void 函数返回void
  • .end-method 函数结束
  • new-instance 创建实列
  • input-object 对象赋值
  • iget-object 调用对象
  • invoke-static 调用静态函数

Smali的条件跳转

  • "if-eq vA,vB:cond_" 如果vA等于vB则跳转到cond**(eq==equal）

  • "if-ne vA,vB:cond_" 如果vA不等于vB则跳转到cond**
    (nq == not equal)

  • "if-lt vA,vB:cond_" 如果vA小于vB则跳转到cond**
    (lt == less)

  • "if-ge vA,vB:cond_" 如果vA大于等于vB则跳转到cond**
    (ge==greater equal)

  • "if-gt vA,vB:cond_" 如果vA大于vB则跳转到cond**

  • "if-le vA,vB:cond_" 如果vA小于等于vB则跳转到cond**

  • "if-eqz vA :cond_" 如果vA等于0则跳转到cond**

  • "if-nez vA :cond_" 如果vA不等于0则跳转到cond**

  • "if-ltz vA :cond_" 如果vA小于0则跳转到cond**

  • "if-gez vA :cond_" 如果vA大于等于0则跳转到cond**

  • "if-gtz vA :cond_" 如果vA大于0则跳转到cond**

  • "if-lez vA :cond_" 如果vA小于于等于0则跳转到cond**

Smali中内部类声明

一般来说在Smail文件中是这个样子的：

annotations

.annotation system Ldalvik/annotation/MemberClasses;
value = {
Lcom/aaa$qqq;
Lcom/aaa$wwww;
}
.end annotation
这个声明式内部类的声明；aaa这个类它有两个内部类----qqq和www。

Smali类的信息

.class public Lcom/aaaaa;
.super Lcom/bbbbb;
.source "ccccc.java"
这是一个由ccccc.java编译得到的smail文件(第三行)
它是com.aaaaa这个package下的一个类(第一行)
继承自com.bbbbb这个类(第二行)

Smali类中成员变量表示和操作

  • 成员变量格式是：.filed public/private[static][final] varName<类型>
  • 获取的指令有：iget sget、iget-boolean、sget-boolean、iget-object 、sget-object等
  • 写入的指令有：iput、sput、iput-boolean、sput-boolean、iput-object、sput-object等。
  • 没有"-object"后缀的表示操作的成员变量对象是基本数据类型，带"-object"表示操作的成员变量是对象类型，特别地，boolean类型则使用"-boolean"的指令操作

Smail成员变量指令简析

  • sget-object v0,Lcom/aaa;->ID:Ljava/lang/String
    sget-object用来获取变量赋值并保存到紧接着的参数的寄存器中，本例中，它获取ID这个String类型的成员变量并发到v0这个寄存器中。
    注意：前面需要该变量所属的类的类型，后面需要加一个冒号和该成员变量的类型，中间"->"表示所属关系。
  • iget-object v0,p0,Lcom/aaa;->view:Lcom/aaa/view;
    可以看到iget-object指令比sget-object多了一个参数，就是该变量所在类的实例，在这里就是p0即"this"。

Smali代码函数的调用

1.invoke-static:用于调用static函数

  • const-string v0,"NDKLIB"
  • invoke-static{v0},Ljava/lang/System;->loadLibrary(Ljava/kang/String;)V
    调用static void System.loadLibrary(String)来加载NDK编译的so库用的方法；这里v0就是参数"NDKLIB"
    2.invoke-super:一般用于onCreate、onDestory等方法。调用父类方法用的指令。
    3.invoke-direct：调用private函数
    invoke-direct{p0},Landroid/app/TabActivity;->()V
    这里init()就是定义在TabActivity中的一个private函数
    4.invoke-virtual:用于调用protected或public函数。
    sget-object v0,Lcom/dddd;->bbb:Lcom/ccc
    invoke-virtual{v0,v1},Lcom/ccc;->Message(Ljava/lang/Object;)V
    V0是bbb:Lcom/ccc
    v1是爨地给Messages方法的Ljava/lang/Object参数。
    5.invoke-xxxx/range:当方法的参数多于5个时(含5个)，不能直接使用以上的指令，而是在后面加上"range",range表示范围，使用方法也有所不同：
    invoke-direct/range{v0......v5},Lcmb/pb/ui/PBContainerActivity;->h(ILjava/lang/CharSequence;Ljava/lang/String;Landroid/content/Intent;l)Z 需要传递v0到v5一共6个参数，这时候大括号的参数采用省略形式，且需要连续。

Smali返回结果的操作

  • 在java代码中调用函数和返回函数结果可以用一条语句完成，而在Smail里则需要分开来完成，在使用上述指令后，如果调用的函数返回非void,那么还需要用到move-result(返回基本数据类型)和move-result-object(返回对象)指令：
    const-string v0,"Eric"
    invoke-static{v0},Lcmb/pbi;->t(Ljava/lang/String;)Ljava/lang/String;
    move-result-object v2
    v2保存的就是调用t方法的String字符串。