Android修改Smali重打包初探

由于某些需求，我们需要对特定Apk进行修改。下面我们尝试向某Apk的主Activity注入发送http请求的操作。郑重申明：学会以后不可以做坏事哦~

• 需要的工具

1. 反编译/重打包/签名 工具: 我使用的是mac下的Android Crack Tool集成工具， 包含了这三个功能。Windows下有类似的工具，读者自行搜索下载即可。
2. Android Studio: 由于直接编写smali代码难度很大！(牛批的大神可以略过～)我们这里使用IDEA的Java2Smali插件，可以直接将java文件转换为smali文件。所以，Android Studio不是必须的，只要你能把java转成smali就行。我这里徒省事，就直接用AS啦。
3. Jeb: 追踪Apk代码的强大工具！可以直接查看smali或decompile后的java代码并自由切换。当然，其他类似工具也可以～

• 反编译Apk

Android Crack Tool

可以看到，使用类似的集成化工具进行反编译或其他操作是很简单的。好吧好吧，我承认这不是简单，简直就是傻瓜式・(PД`q｡)・゜ 不懂Android，不会写程序的也可以反编译了好吗！为了展现出我们Android逆向研究人员的专业性，为了b格，下面我们使用命令进行反编译！(自己学吧～我才不教，费劲！ˋˊ )
回归正题，执行后，目录下会生成test-O文件夹，里面包含了反编译后的文件。

• 重建Apk

选中我们刚才反编译好的文件夹test-O再重建即可。目录下会出现test-O-R.apk。

• 签名Apk

重建好的apk是没有签名的，无法安装到手机。所以我们用工具给apk签个名就ok啦～

• 寻找Apk内的主Activity

这里先说明为什么我们要先走一遍 反编译-重建-签名 的流程，因为某种神秘的因素，就算你没有做任何修改，二次打包后的apk都无法安装使用(´°̥̥̥̥̥̥̥̥ω°̥̥̥̥̥̥̥̥｀) (其实这是别人告诉我的，如不正确请指正。为了不走弯路，我就信了，反正事先试一下也不费事~)。下面开始正题。
在test-O文件夹里有AndroidManifest.xml，在里面看一下就知道。我这里的主Activity为DeamonActivity,所在包为com.xxx.game.ui。对，包也要记住，后面用得上！

• 编写Java并转Smali

还记得刚才找到的包名不？我的是com.xxx.game.ui。现在我们新建一个Android工程，并且新建com.xxx.game.ui包。我们的Activity和需要添加的类均在此包内创建(具体为什么我后面再解释)。这里看一下我写好的几个类:

很简单，就这三个

LinkwebActivity内onCreate代码：

@Override
    protected void onCreate(@Nullable Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        HttpRequester.sendGetHttp();
    }

调用的方法必须静态！静态！静态！重要的事情说3遍！(原因我后面再解释，我就不现在说～～不服你打我呀(‿)ﾉ)
使用Java2Smali转换java文件:

生成的smali

可以看到HttpRequester的smali有两个，HttpReponser和LinkwebActivity的smali只有一个。这并不是转换错误，而是因为HttpRequester的java文件中有对HttpResponser类的引用：

public HttpResponser sendPost(String urlString, Map<String, String> params)
            throws IOException {
        return this.send(urlString, "POST", params, null);
    }

****$1.smali的代码结构是比较复杂的，我们可以看一下：

.class final Lcom/xxx/game/ui/HttpRequester$1;
.super Ljava/lang/Object;
.source "HttpRequester.java"
# interfaces
.implements Ljava/lang/Runnable;
# annotations
.annotation system Ldalvik/annotation/EnclosingMethod;
    value = Lcom/xxx/game/ui/HttpRequester;->sendGetHttp()V
.end annotation
.annotation system Ldalvik/annotation/InnerClass;
    accessFlags = 0x8
    name = null
.end annotation
# direct methods
.method constructor <init>()V
    .registers 1
    .prologue
    .line 32
    invoke-direct {p0}, Ljava/lang/Object;-><init>()V
    return-void
.end method

为了更容易修改apk内smali的代码，我们应该避免LinkwebActivity的$1.smali文件的生成，否则就需要修改Apk内DeamonActivity的$1.smali文件(代码少还好改，稍微多一点改起来就很恐怖了！)。这里就解释了我为什么要把三个方法都放在com.xxx.game.ui包下,并且使用了静态方法来调用。

• 修改Apk内的smali文件

这里我们用Jeb打开apk，定位DeamonActivity的oncreate的smali具体在哪一行，好做修改。

//java代码
 protected void onCreate(Bundle arg5) {
        BroadcastReceiver v1 = null;
        super.onCreate(arg5);
        if(GameAssist.getInstance() == null) {
            n.c("[onCreate] >>> instance==null");
            this.c = v1;
            this.a();
        }
        else if(GameAssist.getReady()) {
            n.c("[onCreate] >>> instance get ready");
            this.c = v1;
            this.a();
        }
}
//smali代码
.method protected onCreate(Bundle)V
          .registers 6
const/4                 v1, 0x0
invoke-super            Activity->onCreate(Bundle)V, p0, p1
invoke-static           GameAssist->getInstance()GameAssist
move-result-object      v0
if-nez                  v0, :2A
:14
const-string            v0, "[onCreate] >>> instance==null"
invoke-static           n->c(String)V, v0
iput-object             v1, p0, DeamonActivity->c:BroadcastReceiver
invoke-direct           DeamonActivity->a()V, p0

定位到需要修改的代码位置后,我们在test-O/smali/com/xxx/game/ui/下打开DeamonActivity.smali文件添加代码：

//LinkwebActivity中oncreate的smali代码:
# virtual methods
.method protected onCreate(Landroid/os/Bundle;)V
    .registers 2
    .param p1, "savedInstanceState"    # Landroid/os/Bundle;
        .annotation build Landroid/support/annotation/Nullable;
        .end annotation
    .end param
    .prologue
    .line 16
    invoke-super {p0, p1}, Landroid/app/Activity;->onCreate(Landroid/os/Bundle;)V
    .line 17
    invoke-static {}, Lcom/xxx/game/ui/HttpRequester;->sendGetHttp()V
    .line 18
    return-void
.end method
//DeamonActivity修改后的smali代码
.method protected onCreate(Bundle)V
          .registers 6
const/4                 v1, 0x0
invoke-super            Activity->onCreate(Bundle)V, p0, p1
 invoke-static {}, Lcom/xxx/game/ui/HttpRequester;->sendGetHttp()V
invoke-static           GameAssist->getInstance()GameAssist
move-result-object      v0
if-nez                  v0, :2A
:14
const-string            v0, "[onCreate] >>> instance==null"
invoke-static           n->c(String)V, v0
iput-object             v1, p0, DeamonActivity->c:BroadcastReceiver invoke-direct           DeamonActivity->a()V, p0

只需要在Activity->onCreate后添加 invoke-static {}, Lcom/xxx/game/ui/HttpRequester;->sendGetHttp()V，然后直接保存。接着把HttpRequest.smali，HttpRequester$1.smali 和HttpResponser.smali都拷贝到目录下即可。

• finally

利用修改后的文件夹重建Apk-签名-安装到手机运行，抓包抓到我们写入的httppost请求，大功告成～～