|
|
|---|---|
|
|
|
|
|
楼主请教几个问题：
问题(1)
比如这个
class Encodedfield:
def __init__(self):
self.len = 0
self.field_idx_diff = 0
self.access_flags = 0
self.field_idx = 0 # need to set later
def dump(self, addr):
self.[COLOR="Blue"]field_idx_diff, length = readunsignedleb128(addr) [COLOR="Blue"]//读取到的是相对偏移
self.len += length
self.access_flags, length = readunsignedleb128(addr + self.len)
self.len += length
而android源码中函数dexReadClassDataField的实现都用到一个lastIndex，这是绝对偏移
DEX_INLINE void dexReadClassDataField(const u1** pData, DexField* pField,
u4* lastIndex) {
u4 index =[COLOR="Blue"] *lastIndex + readUnsignedLeb128(pData);
pField->accessFlags = readUnsignedLeb128(pData);
[COLOR="Blue"]pField->fieldIdx = index;
*lastIndex = index;
}
2015-10-27 16:35:54 更新 已经理解： 磁盘上的dex文件中的DexField.fieldIdx 和 DexMethod.methodIdx是相对偏移 而android源码在 loadClassFromDex0 函数中会调用 dexReadClassDataField 将磁盘上dex结构中的这个相对偏移转换成绝对偏移，仅仅是为了取得当前结点的类对应的成员名字、类型名字等信息，以便填充 pDvmDex-->newClass （ClassObject : Object）的成员 InstField* ifields; StaticField sfields[0]; Method* directMethods; Method* virtualMethods; 所以无论在磁盘上，还是在内存中，这个地方都是相对偏移，直接读取内存按格式解析后组装成DexClassData*结构体再按照leb编码写入到"classdef"文件块即可。 自己犯二了，一直纠结这个相对&绝对偏移的问题，实则是被系统源码误导了，问题1结贴！ 问题(2)
这种方法没法对抗函数运行时解密吧？我搜索了一下去年阿里比赛，有个XX大学的团队基于dalvik的源码做了一个动态监控的东西，可以对这种运行时解密进行监控，能否提点一二。 android刚入门没几天，望指点 
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
多谢，刚学安卓安全没几天，看了看dex加固什么的，有很多问题可能比较肤浅
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
