应用于加固技术中的DEX文件格式解析
DEX文件简介
安全圈的朋友们，对于DEX文件应该是比较了解的。我们这次就简单介绍一下吧：
DEX文件（Dalvik Executable）是一种专为 Android 操作系统设计的可执行文件格式。DEX文件包含了由 Java 语言编写的程序的字节码，这些程序在运行时被 Dalvik 虚拟机（DVM）解释执行。
在 Android 应用程序开发中，Java 代码经过编译器编译生成Java字节码文件（.class文件），然后通过工具将字节码文件转换为DEX格式，最后打包成APK文件供安装和运行。由于 Android 设备的处理器架构和Java虚拟机的差异，所以需要将Java字节码转换为DEX格式，以便在Dalvik虚拟机上运行。
DEX文件的优点：
1.能够高效地使用内存和处理器资源，这是因为它采用了基于寄存器的架构，相对于传统的基于堆栈的Java虚拟机，在执行Java程序时，能够更快地加载和执行代码。
2.DEX文件支持在应用程序运行时动态加载类和方法，提供了更高的灵活性。
所以我们如果想要了解加固解决方案如何帮助Android 应用对抗逆向和破解，首先需要了解DEX文件到底是什么样的。
DEX文件格式解析
1.文件结构展示
DEX文件在010中的表现
2.文件结构详解
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 | struct Header { uint8_t magic[8]; // dex版本标识 uint32_t checksum; // adler32校验和 uint8_t signature[kShalDigestSize]; // SHA-1哈希值 uint32_t file_size; // 文件大小 uint32_t header_size; //Header结构大小 uint32_t endian_tag; //字节序标记 uint32_t link_size; // 链接段大小 uint32_t link_off; // 链接段偏移 uint32_t map_off; //映射项偏移 uint32_t string_ids_size; //字符串标识符列表个数 uint32_t string_ids_off; //字符串标识符列表偏移 uint32_t type_ids_size; //类型标识符列表个数 uint32_t type ids_off; //类型标识符列表偏移 uint32_t proto_ids_size; //方法原型标识符列表个数 uint32_t proto_ids_off; //方法原型标识符列表偏移 uint32 t field ids size; //字段标识符列表个数 uint32_t field_ids_off; //字段标识符列表偏移 uint32 t method_ids_size; //方法标识符列表个数 uint32_t method_ids_off; //方法标识符列表偏移 uint32_t class_defs_size; //类定义列表个数 uint32_t class_defs_off; //类定义列表偏移 uint32_t data_size; //数据区大小 uint32_t data_off; //数据区偏移}； |
文件头
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 | magic[8]：dex版本标识。这类字节必须出现在 .dex 文件的开头，以便系统将其原样识别。该值会特意包含一个换行符("\n" 或 0x0a)和空字节("\0" 或 0x00)，以便协助检测某些形式的损坏问题。该值还可以将格式版本号编码为 3 个十进制数字;随着格式的演变，预计该值会单调递增。checksum：可以用于文件剩余内容(除 magic 和此字段之外的所有内容)的 adler32 校验和。另外，还可以用于检测文件损坏情况。signature[kSha1DigestSize]：文件剩余内容(除 magic、checksum 和此字段之外的所有内容)的 SHA-1 签名(哈希);用于对文件进行唯一标识。file_size：整个文件(包括标头)的大小，以字节为单位。header_size：标头(整个区段)的大小，以字节为单位。这一项允许至少一定程度的向后/向前兼容性，而不必让格式失效。endian_tag：字节序标记。ENDIAN_CONSTANT ，表示小端字节序。REVERSE_ENDIAN_CONSTANT 表示大端字节序，默认值为 ENDIAN_CONSTANT 。link_size 与 link_off ：链接区段的大小与文件偏移。如果此文件未进行静态链接，则两个值都为0。map_off：从文件开头到映射项列表的文件偏移量。string_ids_size 与 string_ids_off：字符串标识符列表中的字符串数量与文件偏移。type_ids_size 与 type_ids_off：类型标识符列表中的元素数量及文件偏移。元素数量上限为65535。proto_ids_size 与 proto_ids_off：原型标识符列表中的元素数量及文件偏移。元素数量上限为65535。field_ids_size 与 field_ids_off：字段标识符列表中的元素数量及文件偏移。method_ids_size 与 method_ids_off：方法标识符列表中的元素数量及文件偏移。class_defs_size 与 class_defs_off：类定义列表中的元素数量及文件偏移。data_size 与 data_off ：data区段的大小及文件偏移。 |
字符串标识符列表( dex_string_ids )在DEX文件以 DexStringId[] 的形式存在，其结构如下。
1 2 3 | struct DexStringId { u4 stringDataOff; //字符串数据的文件偏移}; |
类型标识符列表( dex_type_ids )在DEX文件以 DexTypeId[] 的形式存在，其结构如下。
1 2 3 | struct DexType { u4 descriptorIdx; //类型描述符对应在字符串标识符列表中的索引}; |
方法原型标识符列表( dex_proto_ids )在DEX文件以 DexProtoId[] 的形式存在，其中 DexProtoId 结构如下。
1 2 3 4 5 | struct DexProtoId { u4 shortyIdx; // 方法原型的简写形式对应在字符串标识符列表中的索引 u4 returnTypeIds; // 返回值类型对应在类型标识符列表中的索引 u4 parametersOff; // 参数类型在DEX文件中的偏移，结构为DexTypeList}; |
DexTypeList 结构如下。
1 2 3 4 5 6 7 8 | struct DexTypeItem { u2 typeIdx; // 类型在类型标识符表中的索引};struct DexTypeList { u4 size; // 返回值类型对应在类型标识符列表中的索引 DexTypeItem List[1]; // DexTypeItem数组}; |
方法标识符列表( dex_method_ids ) 在DEX文件以 DexMethodId[] 的形式存在，其中 DexMethodId 结构如下
1 2 3 4 5 | struct DexMethodId { u2 classIdx; // 类定义在类型标识符列表中的索引 u2 protoIdx; // 方法原型类型在方法原型标识符列表中的索引 u2 nameIdx; // 方法名称在字符串列表中的索引}; |
类定义列列表( dex_class_defs )在DEX文件以 DexClassDef[] 的形式存在，其中 DexClassDef 结构如下
1 2 3 4 5 6 7 8 9 10 | struct DexClassId { u4 classIdx; // 类定义在类型标识符列表中的索引 u4 accessFlags; // 类访问标识 u4 superclassIdx; // 超类在类型标识符列表中的索引 u4 interfaceOff; // 接口，DexTypeList结构的文件偏移 u4 sourceFileIdx; // 源文件名在字符串表示列表中的索引 u4 annotationsOff; // 注解，DexAnnotationsDirectoryItem结构的文件偏移 u4 classDataOff; // 类数据，DexClassData结构的文件偏移 u4 staticValuesOff; // 静态值，DexEncodeArray结构的文件偏移}; |
映射项列表( dex_map_list ) 在DEX文件以 DexMapItem[] 的形式存在，其中 DexMapItem 结构如下。
1 2 3 4 5 6 | struct DexMapItem { u2 type; //类型代码 u2 unused; //未使用 u4 size; //在指定偏移量处找到的项数量 u4 offset; //相关项的文件偏移量}; |
类型代码表如图所示。
今天就先讲到这里啦，下次将在第二篇文章中继续解析DEX文件的DexAnnotationsDirectoryItem 、 DexClassData 与 DexEncodeArray 结构，请继续关注~