前言
这是一个意外，故事发生在4年前，也就是公元2015年，我无意中发现了一款美女游戏APP，想想就装上看看吧，结果发现一些功能需要充钱才能用，所以就萌生了破解它的想法，破解进行的很顺利。另外需要说明一下，本文只是探讨技术，但是文末有超级彩蛋
破解准备工作
由于我当时在linux下工作，所以本文介绍的破解工具以及命令都是linux下的，但是windows以及mac上的工具、命令是和linux类似的，大家可以自己了解下。
准备破解所需工具
-
源码反编译工具：jadx
-
apk反编译为smali、打包、签名工具：apktool、signapk.jar以及签名所需的key文件
jadx可以把apk反编译成源码文件，但是源码往往是混淆过的，看起来很像乱码。apktool完成apk的解包、打包，signapk.jar采用key文件对打包后的apk进行签名，ok，签名后就可以直接安装了，到此为止，一个山寨应用就诞生了。需要注意的是，apk打包以后必须要进行签名，否则apk是无法安装的，不信大家可以试试，但是由于是采用你的key文件进行签名的，所以签名后的apk和官方版的签名是不一样的，也就是说，我们生成的apk是山寨版，不过山寨版也是可以用的。
解包、打包/签名命令
第一步 ./apktool d -f com.qxshikong.mm.lolita.apk com.lolita
第二步 修改smali
第三步 apk打包 ./apktool b com.lolita com.lolita.apk
第四步 apk签名 java -jar signapk.jar testkey.x509.pem testkey.pk8 com.lolita.apk com.lolita.signed.apk
ok，com.lolita.signed.apk就是我们最终的apk，安装试试吧。
说明：上述第一步中的com.qxshikong.mm.lolita.apk 、com.lolita分别为原始apk的文件名和解包后的目录名，第三步是将解压后的目录重新打包成apk。
破解流程
上面已经介绍了破解所需的工具以及命令，但是还差最后一步，就是修改smali这一步，这一步是破解的关键所在，对任何apk的破解，其核心工作均在这一步。首先描述下哈皮妹-萝莉的玩法，然后再描述破解思想，最后给出破解后的smali代码。
这款游戏怎么玩？就是一个漂亮妹子，可以和你互动，其实就是播放不同的mp4而已。普通的互动可以随便玩，但是深层次的互动，比如跳舞、换装等，需要你有一定数量的金币和钻石，金币可以通过游戏赚取，钻石必须充值，但是想看妹子跳舞啥的，不充值只靠游戏赚是很难的，几乎不可能啊。
如果能修改游戏中的金币数和钻石数，问题不就搞定了么？是的，事实证明，的确是这样。也许有人会说，直接找内存修改工具（比如八门神器）把钱给改了不就行了么，注意，内存修改工具改钱需要其有root权限，没有root权限的手机是搞不定的，另外，修改内存不属于逆向工程，它属于外挂。按照我们这种思想，程序中应该会有一个地方专门存储当前的金币和钻石的数量，很可能是一个对象，因为，整个游戏都会直接对金钱进行存取，所以，我觉得开发者应该会设置一个类，并全局持有这个类的对象。我也试图通过log来得到有用信息，但是没发现啥有价值的log。
破解方法
我打开jadx，查看反编译的代码，代码被混淆了，虽然很难，但是还是被我找到了关键的地方，我发现了如下的一个类，通过对混淆代码逻辑的分析，我大致觉得这个类就是代表金币和钻石的类，事实证明我是对的：
package com.qxshikong.mm.lolita.c;
public final class c
{
private int a;
private int b;
public final int a()
{
return this.a; //我们在这里返回 999999999
}
public final void a(int paramInt)
{
this.a = paramInt;
}
public final int b()
{
return this.b; //我们在这里返回 999999999
}
public final void b(int paramInt)
{
this.b = paramInt;
}
}
有了这个类，就很简单了，修改方法看上面代码的注释，直接在两个get方法中强制返回999999999，这下金币和钻石都够花了吧。下面对其smali进行修改，我们是无法直接修改其反编译后的源码的，只能修改smali，关于smali的详细语法，以后我会写文章专门介绍，这里就先有个大致感觉就行了。
修改前的smali：
.class public final Lcom/qxshikong/mm/lolita/c/c;
.super Ljava/lang/Object;
# instance fields
.field private a:I
.field private b:I
# direct methods
.method public constructor <init>()V
.locals 0
invoke-direct {p0}, Ljava/lang/Object;-><init>()V
return-void
.end method
# virtual methods
.method public final a()I
.locals 1
iget v0, p0, Lcom/qxshikong/mm/lolita/c/c;->a:I
return v0 #修改这里的返回值为999999999
.end method
.method public final a(I)V
.locals 0
iput p1, p0, Lcom/qxshikong/mm/lolita/c/c;->a:I
return-void
.end method
.method public final b()I
.locals 1
iget v0, p0, Lcom/qxshikong/mm/lolita/c/c;->b:I
return v0 #修改这里的返回值为999999999
.end method
.method public final b(I)V
.locals 0
iput p1, p0, Lcom/qxshikong/mm/lolita/c/c;->b:I
return-void
.end method
修改后的smali：
.class public final Lcom/qxshikong/mm/lolita/c/c;
.super Ljava/lang/Object;
# instance fields
.field private a:I
.field private b:I
# direct methods
.method public constructor <init>()V
.locals 0
invoke-direct {p0}, Ljava/lang/Object;-><init>()V
return-void
.end method
# virtual methods
.method public final a()I
.locals 1
const v0, 0x3b9ac9ff #这里定义一个常量 v0 = 999999999
return v0 #返回v0
.end method
.method public final a(I)V
.locals 0
iput p1, p0, Lcom/qxshikong/mm/lolita/c/c;->a:I
return-void
.end method
.method public final b()I
.locals 1
const v0, 0x3b9ac9ff #这里定义一个常量 v0 = 999999999
return v0 #返回v0
.end method
.method public final b(I)V
.locals 0
iput p1, p0, Lcom/qxshikong/mm/lolita/c/c;->b:I
return-void
.end method
破解效果
装上破解后的apk后，金币和钻石的数量都变成了999999999，而且无论怎么花钱都不会少，下面贴上一张原本需要花钱才能看到的视频图片，妹子会跳舞给你看。到此，整个破解过程就完成了，可以发现，破解的难点在于：如何找到关键的修改点以及如何修改smali。
超级彩蛋
看完以后是否蠢蠢欲动，其实这些技术在Android安全领域只是小儿科。今天我就好人做到底，除了分享技术以外，再分享一套《Android高级架构视频》适合2-6年有技术基础，需要系统深入提升的Android开发朋友。
移动架构师
加群免费领取安卓进阶学习视频，源码，面试资料，群内有大牛一起交流讨论技术；【964557053】。 （包括java基础与原理，自定义控件、NDK、架构设计、混合式开发(Flutter，Weex)、性能优化、完整商业项目开发等）
阿里P7系列视频教程
网友评论