因一纸设计稿，我把竞品APP扒得裤衩不剩(下)

严正声明：

1、相关破解技术仅限于技术研究使用，不得用于非法目的，否则后果自负！

2、笔者仅出于对逆向技术的好奇，无恶意破坏APP，尊重原开发者的劳动成果，未用于商业用途。

0x5、狩猎的时候到了 => 调试定位

经过上一章的「淬炼」，相信大部分「简单APP的源码」你都信手拈来了;
但古语有云“弱水三千，只取一瓢”，在品尝别人代码时，可能会遇到很多美味的“奇淫巧技”；
但有限精力和时间，使得我们无法一一品尝，抓住需要的一样就够了；
美人乡英雄冢，时刻保持清醒「知道自己要的是什么」，以免自己深陷其中（钻牛角尖）；
快速定位到目标代码，弄清逻辑，完成核心代码的抽取。

接着说下笔者常用的一些「调试定位技法」，没有优劣之分，混合使用快速找到 G点(关键代码) 即可~

① 资源定位法

最简单，却最高效的方法，可以通过「一行文字」「一张图片」「一个音视频」完成定位，「无脑全局搜索！」

记得先把apktool反编译后的res和asserts文件夹和jadx反编译后的代码丢到一起！ (也可以使用我的批处理反编译脚本自动搞定)

举个例子：突然觉得竞品的对话框有点好看，但是好懒，不想自己写：

Ctrl+Shift+F 全局搜「快去登录吧」或「登录后会解锁更精彩的内容哦」

打开DialogUtils类，6个参数，不难定位到第三个a方法：

跟下CommonDialog类：

直接定位到了布局文件：

复制粘贴，改点东西，精美对话框get√

② 获取到当前Activity

Activity 和 Fragment 也是非常好的切入点，通过简单的adb命令即可获得栈顶(当前) Activity的相关信息：

# 获取当前栈顶Activity的名称
adb shell dumpsys activity | grep "mFocusedActivity"

# 你可以通过alias为上述命名设置一个别名：
alias ada="adb shell dumpsys activity | grep 'mFocusedActivity'"

效果如下图所示：

你可以可以用：adb shell dumpsys activity top > info.txt 把Activity详细信息打印到文件中。
也可以安装「开发者助手」直接获取到(还可以看到可能涉及的Fragment)：

还可以通过「反射大师」获取到：

③ Android Device Monitor 跟踪方法调用

旧版的as是有这个东西，新版把入口给隐藏了，直接来到「android-sdk/tools」目录下，找到monitor，运行即可：

左侧选择待调试进程：

觉得跟踪得差不多了，就点击②那个按钮停止，右侧会出现如下所述的方法调用流程：

然后你就可以一步步跟了~

④ Smali动态调试

Apktool反编译apk后，生成的是「Smali」文件，而非「Java」文件，Smali 是一种虚拟机指令语言。
Jadx反编译dex后虽然生成了Java代码，看看可以，是不支持调试的，而Smali是可调试的，在AS中想调试Smali的话，还需要安装「smalidea」插件，插件的下载，可移步至：bitbucket.org/JesusFreke/…，下载后，AS安装一波插件，安装完毕重启即可。

注意：现在是你想调试别人的APP，那首先，要先把别人的APP变成「可调教状态(debugable)」

一个看似简单但却很繁琐的方法：

把目标APP的 AndroidManifest.xml 中的 debuggable属性设置为true，签名重打包。

如果逆向的APP有多个，这应该显得好繁冗，不如直接把「手机上所有应用都变成可调试状态」，方法如下：

Android 7.0以下安装了Xposed的：
下载安装「BDOpener模块」：github.com/riusksk/BDO…，启用插件重启即可。

Android 7.0及以上安装了Magisk的：
Magisk里下载安装：「MagiskHide Props Config」和「Busybox for Android NDK」然后重启。
接着终端 adb shell，输入 props 进行设置，找到：Edit MagiskHide props的选项，比如这里是4：

回车，会提示是否设置为0，输入y，接着设置完，提示是否重启，输入y重启，接着打开AS 的 Logcat 就可以看到所有的进程了：

设置完可调教，就可以把smail导入AS中，导入过程需要注意下哦，不是直接open！打开AS在导入脚本反编译后的apktool文件夹：

导入后，点击顶部菜单栏的这个位置，「Edit Configurations」，点「+」选择「Remote」

随便填个名字，然后设置一个端口号 (自己定，auto.sh脚本那里要配合着改哦！)

「命令行启动进程调试等待模式」比较繁琐且重复，我直接写到一个auto.sh文件中：

#!/bin/sh
if [[ $# == 0 ]]; then
    echo "./debugTool [package] [activity] "
    exit 1
fi
package=$1
activity=$2
adb shell am start -D -n ${package}/${activity}
varId=`adb shell ps | grep package| awk '{print $2}'`
adb forward tcp:4567 jdwp:$varId

接着命令行键入：./auto.sh 包名入口Activity，示例如下：

./auto.sh com.xxx.xxx .MainActivity

APP进入待调试等待模式后，点击顶部「Attach Debugger To Android Process」，下好断点，选择调试进程：

接着等待程序运行至断点，Debugger就可以看到相关的变量了：

⑤ Smali语法的学习姿势分享

Smali的语法比较繁杂(感觉比我以前学汇编还麻烦)，网上的教程不是一般的凌乱，有机会我整理一份吧…

你真的想学Smali得话，建议边「实操边学，即用即插(查)」，idea有个插件「intellij-java2smali」
Github地址：github.com/ollide/inte…，支持把「正确项目中的Java」转换为smali文件。
注意：正确！和项目！项目有错的话，转换直接报错，单个独立的java文件也是不能转换的！用法很简单：

打开需要转换的java文件，依次点击顶部菜单栏的 run -> Compile to smali

说个bug：

官方说是支持kotlin转的，但是新版的AS会报错：Error:Kotlin: Unsupported plugin option: org.jetbrains.kotlin.android:enabled=true，估计是插件的用到的kotlin相关依赖没升级，目前无解(等官方维护，或者自己改插件源码)；

你可以选择创建一个纯Java的项目，程序没报错，可以跑，但是转换的时候，又会出现一个bug：

java: 程序包R不存在，R文件找不到，尽管你可以在build目录下找到它，猜测是没有适配新版本AS的R文件路径，一个治标不治本的方法，把setContentView()一行的代码注释掉。

另外，个人感觉AS上看 smali并不是很爽 ！既然觉得不爽，那就换个体位，是吧？举几个例子：

男的觉得不够刺激，就用「推磨式」；

女的觉得不够刺激，就用「猫式」；

男的想快感加倍，就用「后入式」；

女的想自由把控，就用「传统女上位式」；

想丰富彼此情感交流，就用「传教士体位」；

想延长时间，就用「面对面侧卧」；

em…体位有很多，就不一一列举了，只是想告诉大家：哪种方式适合自己就用哪种~

如果你用「VS Code」的话，可以安装一个「Smalise」插件：Smali语法高亮 支持变量或者方法名的定位：

除此之外，还可以直接看「Unicode转换后的中文」、「变量信息」、「定位到定义处」

⑤ 动态调试so

目前不会，以后有兴趣或者需要学再去学吧，学完了再来补全~

0x6、是时候表演真正的技术了 => 破解

学完调试定位技巧，我们已经能快速找到G点(核心代码)，再来玩点「刺激」的吧：

看到，有人在上一篇《因一纸设计稿，我把竞品APP扒得裤衩不剩(中)》有人在评论区留言对「邻居的故事」感兴趣，我用简单的几句诗来概括下后续剧情吧：

男子加班回家晚，草草了事交公粮。
妹子觉得略失望，欲求不满暗自叹。
邻居首捷心暗爽，唯美画面反思量。
妹子软萌待开发，制服跳蛋震动棒。

觉得妹子过于乖巧，邻居想二次开发妹子(APK)，于是用上了三个道具，这些道具怎么用等等再说。说回这一节，在使用别人APP的时候，你可能会想：如果是我的做的APP，我要…！建议别想，直接动手吧！加点什么(自定义UI) 或者 改点什么(付费变免费，开隐藏关卡)，当然自己暗爽就好了，可别到处传播，「破坏计算机信息系统罪警告」。以竞品APP关卡付费为例，讲解一波：

问题描述如下：

1、首页课程有锁，点击：弹出需要开通完整课程的对话框；

2、点击下一关，无法切换到下一关，提示：敬请期待；

3、50-100节的课程带锁，点击提示：努力建造中…；

4、课程等级除了L1外，其他级别带锁，点击提示：敬请期待；

① 制服——调试下断点直接改标志位

怎么动态调试Smali上面已经介绍过了，具体调试技巧可见《逮虾户！Android程序调试竟简单如斯》，来到APP中的如下页面：

点击50-100 会出现「努力建造中」的提示语，打开开发者助手：

直接定位到 CourseChangeFragment：

看下this.n是啥，以及里面的d是什么：

行吧，这个d就是图片是否高亮，1为高亮，接着看下this.n在哪里完成赋值：

而关卡选择，直接全局搜「选择等级对应的课程地图」定位到ChangeLevelDialog，全局搜，定位回CourseChangeFragment：

同样，看下this.k是啥，在哪里完成了赋值：

跟到ChangeLevelDialog，可以看到，提取的是里面的CourseLevelInfo

跟过去看看：

行吧，这个c就是关卡的状态，1为可用状态，行吧，找下断点的时机，搜下控件：

控件id为0x7f0f0363，回到CourseChangeFragment.smali搜：

直接定位到sswitch_2：

这里圈住的地方，其实是中文的Unicode码，不信，转换下你就知道了：

定位到下面这段代码：

接着讲解一波这段代码：

iget-object v0, p0, .../CourseChangeFragment;->n:.../$CourseLevelMapInfo;
# 引用对象，p0为该变量所在类的实例，即this，把n的值放到v0寄存器中

if-eqz v0, :cond_1
# 判断v0是否为0(null)，是的话跳到cond_1

iget-object v0, p0, .../CourseChangeFragment;->n:.../$CourseLevelMapInfo
# 同上上一行代码把n的值放到v0寄存器中

iget v0, v0, ...$CourseLevelMapInfo;->d:I
# 引用v0寄存器中保存的n对象，把n.d的值放到v0寄存器中

if-ne v0, v1, :cond_1
# 判断v0寄存器和v1寄存器中的值是否相等，不等跳到cond_1

如图下完断点，开始调试smail，来到关切页面，点击后进入调试模式：

右键d，选择Set Value，把值设置为1，接着往下执行断点，可以看到「隐藏关卡」开启成功：

啧啧，有点意思，其他几个破解也是「如法炮制」，不过每次都要这样调试显得太麻烦了，有没有一劳永逸的方法？当然有，写个Xposed插件耍耍吧~

② 跳蛋——编写Xposed插件

关于Xposed，之前写过一个系列，就不再详细介绍了：

抱歉，Xposed真的可以为所欲为——1.基础知识储备

抱歉，Xposed真的可以为所欲为——2.改为OV机型流畅玩耍高帧率王者农药

抱歉，Xposed真的可以为所欲为——3.微信运动占领封面出售广告位

抱歉，Xposed真的可以为所欲为——4.猜拳投骰子你能赢算我输

抱歉，Xposed真的可以为所欲为——5.我自己刷的Xposed凭什么不给我用

抱歉，Xposed真的可以为所欲为——6.你的表白撤不回了

简单说通过它，你可以：

修改变量的值，Hook方法(执行前后做一些修改)，显式去执行一些方法等。

我们需要先定位到「标志位的源头处」(一般是方法)，在方法执行前或后，进行一些修改，过程比较琐碎，直接给出插件代码吧！先是3、破解课程选择的锁：

接着是：4、破解关卡选择对话框

再接着是：2、破解首页下一关切换

最后是：1、破解首页所有关卡

把写好的Xposed插件安装到手机上，Xposed Installer勾选，重启，接着打开APP，看下效果：

行吧，插件编写完毕，但是毕竟不是每个人的手机都会Root装Xposed，索性破解后二次打包吧。

③ 振动棒——apktool二次打包

使用apktool二次打包的流程很简单，难的是改Samli代码：

改smali => apktool b 重打包 => jarsigner/apksigner 二次签名

行吧，动手撸smali，定位到 CourseChangeFragment.smali 的 onClick函数 的判断处代码：

前面这个数字是「十六进制的资源id」，可以直接把jadx反编译出来的id转换下：

分别对应：7f0f0360 和 7f0f0363，对应跳=> sswitch_3 和 sswitch_2，先去sswitch_2处，可以看到源码中做了判断，如果不满足return，满足的话继续走，这里可以钻个空子，「直接把判断相关的代码删掉」，只保留下图圈着的代码：

接着拖过如下命令把项目二次打包回apk：

apktool b xxx -o xxx.apk

接着用「jadx-gui」打开apk看看代码：

啧啧，可以，接着需要对APK进行二次签名才能安装到手机上，可以通过「jarsigner」或「apksigner」完成签名。玩法如下：

# 如果你没有签名，可通过下述命令创建，回车后会让你输入密码，输完无脑回车即可
keytool -genkey -v -keystore 文件名.jks -keyalg RSA -keysize 2048 -validity 10000 -alias 签名别名

# ====== jarsigner签名 ======

#  1、输入下述指令，回车后输入密码
jarsigner -verbose -keystore 证书 -signedjar 签名后.apk 签名前.apk 证书别名

# 2、报错的话可能需要最在-keystore前添加下述参数：
-digestalg SHA1 -sigalg MD5withRSA

# 3、Tips：可以使用下述命令查看APK是否已签名
jarsigner -verify xxx.apk

# ====== 使用谷歌提供的签名及验证的专用工具：apksigner ======
# 位于：Android SDK/build-tools/SDK版本/apksigner.bat

# 1、对齐
zipalign -v -p 4 xxx.apk xxx_aligned.apk    

# 2、签名
sign --ks 证书 --out release.apk origin_aligned.apk

# 3、验证是否签名成功
apksigner verify release.apk

把签名后的APK安装到手机上，打开看下效果：

虽然还有锁的那个图标，但是却可以点击切换关卡了，可以，继续折腾，选择关卡部分：

点击时判断 courseLevelInfo.c == 1，那么我们找到初始化courseLevelInfo对象的地方，在这里直接把c设置为1即可，不难定位到：

在箭头所指的代码后，添加一句：courseLevelInfo.c = 1;，就好了，但是你需要把这个java语句转换成smali！这个转换可没你想象中那么简单哦！打开ChangeLevelDialog.smali，定位a方法：

不难定位到如下位置，我们需要在.line 添加赋值代码：

赋值操作需要用一个寄存器保存1(0x1)，然后用iput进行赋值：

接着apktool b打包，用jadx-gui打开看看：

行吧，转换后除了行号，没问题，直接jarsigner二次签名，adb安装到手机上验证下：

可以，nice，把剩下的首页下一关和所有关卡也折腾下吧：

删除赋值语句，对应Smali中：

重打包，jadx-gui打开查看：

每个关卡锁定位到：MainHomeworkAdapter$CommonViewHolder类 (美元符号代表内部类)

在如图所示的地方插入赋值语句，

重打包，jadx-gui打开查看：

运行下看下效果，结果和xposed大同小异，但是没装Xposed的手机也能直接使用~

然后说一点：

不是所有的APK都能直接二次打包签名！有些会做签名校验，打开签名不对，直接闪退，Java层可以Hook掉检验的方法，Native层的只能去改So；还有些加固的APK，尽管可以导出dex，但是二次打包的话还需要修复onCreate函数(如360加固宝)。所以大部分时候，我们都只是能看看代码而已~所以Xposed还是香，Smali写起来是真的繁琐，复杂逻辑的代码会写到想哭，每次看效果都要重打包…

④ 移动端逆向利器——MT管理器2

PC端逆向，需要下载一堆反编译工具(apktool, jadx等)，一些更好用的工具(AndroidKiller，smali2java)等还不支持mac，
所以它来了—— MT管理器2：移动端「双窗口文件管理」和「强大的APK编辑功能」，可在手机上高效地修改安卓软件，界面如下：

官方文档中已有详细的讲解，就不哔哔了，读者自行查看文档把：MT管理器，另外还有个相关的逆向论坛：MT论坛

「Tips：基本上可以说是付费的，部分功能需要会员才能使用~」

笔者有「记账」的习惯，用的是「X记账」，界面粉粉的，挺Gay的，就是每次打开弹出的「广告闪屏页」令我很是反感。行吧，就拿它来开刀吧，顺带给大家演示下「MT管理器2」怎么耍。

点击左侧菜单栏的「跟踪Activity」，开始跟踪，接着打开软件，然后回到MT管理器，可以看到Activity的启动记录：

先进LogoActivity，再进MainActivity，点击左侧菜单「安装包提取」：

提取后定位到/MT2/apks目录下，点apk，「查看」，打开AndroidManifest.xml也看到：

行吧，入口是就是LogoActivity，点击classex.dex打开，两个dex都选择：

接着按照包名，打开LogoActivity，点击右上角，「转成Java」

转换后的Java代码和Jadx的一样：

见名知意，圈着的就是显示广告的View(@BindView祖传黄油刀)，想把广告禁掉，把相关加载的代码都删掉就好啦：

和PC一样改smali，不过比起PC，改完，直接就可以转Java，方便好多，修改完后保存，返回会弹出如下对话框：

但是，打开二次打包后的APP：「广告内容没了，但是却卡在了图标页，要点击右上角才能关闭」
我擦，估计是AdsView里还有什么逻辑(比如广告加载完才跳转)，一不做二不休，直接把这个AdsView给去掉吧，
删布局文件里的，再删LogoActivity相关的代码，正当我准备开始这样做的时候，我看到了这些：