[原创]JEB脚本(一)(指令解析反编译抽象语法树)-Android安全-看雪安全社区

# 代码地址:
<a href="elink@c42K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6S2j5$3u0G2j5$3q4A6i4K6u0r3K9X3g2T1i4K6g2X3M7$3y4J5K9i4m8@1">c93K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6S2j5$3u0G2j5$3q4A6i4K6u0r3K9X3g2T1i4K6g2X3M7$3y4J5K9i4m8@1</a>

# 目录
> .
> ###### DEX字节码层面(IDexUnit部件)
> (1)访问DEX与Class
> (2)遍历Field / Method
> (3)访问某个Method
> (4)访问指令
> (5)访问基本块
> (6)访问控制流数据流
> ###### DEX反编译层面(IDexDecompilerUnit部件)
> 反编译一个Class
> ###### JAVA语法树层面(IJavaSourceUnit部件)
> (1)遍历某Method所有AST元素
> (2)解析if...else元素
> (3)解析call元素
> (4)解析try元素
> (5)解析for元素
> ###### Native反汇编层面(INativeCodeUnit部件)
> (1)遍历函数
> (2)访问指令
> (3)访问基本块
> (4)访问控制流
> ###### Native AST层面(INativeSourceUnit部件)
> (1)遍历某函数所有AST元素
> (2)解析if...else元素
> .

.
# DEX字节码层面(IDexUnit部件)
- #### 常见操作
DEX字节码层面操作,关注**IDexUnit**部件,常见操作如:
(1)访问DEX与Class
(2)遍历Field / Method
(3)访问某个Method
(4)访问指令
(5)访问基本块
(6)访问控制流数据流

.
- (1)访问DEX与Class
![](upload/attach/202010/760871_QZQAT5EDFQP798R.png)
.
- (2)遍历Field / Method
![](upload/attach/202010/760871_AKBQK9A2W2VFVTB.jpg)
.
- (3)访问某个Method
![](upload/attach/202010/760871_9K8XN6XUHK9RJSQ.jpg)
.
- (4)访问指令
![](upload/attach/202010/760871_HJAS6UQ95S7AEWP.jpg)
.
- (5)访问基本块
![](upload/attach/202010/760871_P3QHW5H4WCRTCNW.jpg)
.
- (6)访问控制流数据流
![](upload/attach/202010/760871_EBNQ9275VW6UJ42.jpg)
![~](upload/attach/202010/760871_4N8PFWK6VAPCURT.jpg)

.
- #### JEB对DEX的抽象
如果了解DEX结构,应该不会对class_def_item / code_item等感到陌生,
JEB对这些结构进行了抽象,每个结构都可以在定义中找到对应的类.
具体看一下**com.pnfsoftware.jeb.core.units.code.android.dex**包的文档,它们都在这里.
.
其中有一部分实现了IDexItem ICodeItem接口,
如IDexClass和IDexMethod,
这个接口的含义后面再说.
.
需要特别关注的是**IDexCodeItem**,
指令相关内容(CFG/BLOCK等),
都在IDexCodeItem这个类中.
![~](upload/attach/202010/760871_3QJYSSUV5FTYY9N.jpg)

.
- #### JEB对编程概念的抽象(ICodeItem)
常见编程语言中必不可少的概念,
如class method field package call等概念.
JEB中通过**ICodeItem**这个顶层接口来概括他们(DEX层面为**IDexItem**),
像类对应的IDexClass,方法对应的IDexMethod,
都直接或间接implements了ICodeItem和IDexItem接口
![ICodeItem](upload/attach/202010/760871_YCUVEFJK276VQ7R.jpg)

.
- #### 几个常用的类
DEX类--------------**IDexClass**
DEX方法-----------**IDexMethod**
方法指令序列-----**IDexCodeItem**
指令-----------------**IDalvikInstruction**
基本块--------------**BasicBlock**
控制流--------------**CFG**

.
.
# DEX反编译层面(IDexDecompilerUnit部件)
- #### 反编译一个Class
![反编译Class](upload/attach/202010/760871_Y7ZRKQ3W8CM97NG.jpg)
.
![输出](upload/attach/202010/760871_JHTH6GHDBPVKNV4.jpg)

.
- #### 如何获取IDexDecompilerUnit?
若要获取Class反编译后内容(像IDA的F5),
仅使用IDexUnit不够啦,
还需要获取**IDexDecompilerUnit**部件
.
如何获取IDexDecompilerUnit?
一般通过**DecompilerHelper**类,
给它传入一个IDexUnit作为输入,
得到对应的IDexDecompilerUnit实例.

.
- #### 对类/方法/属性执行反编译
IDecompilerUnit的API很容易理解,
执行反编译的目标可以是整个文件,
也可以是某个class method等,如:
decompile()
decompileAllClasses()
decompileAllMethods()
decompileClass()
decompileMethod()
decompileField()
参考:
593K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2H3L8X3k6K6L8$3k6@1N6$3q4J5k6g2)9J5k6h3y4G2L8g2)9J5c8X3A6W2j5W2)9J5c8X3q4H3K9h3c8G2j5#2)9J5c8Y4u0W2k6X3g2J5k6h3&6U0k6g2)9J5c8X3y4G2L8g2)9J5c8Y4m8F1k6Y4y4G2k6Y4c8%4j5i4u0W2i4K6u0r3K9X3g2T1i4K6u0r3j5$3!0J5k6g2)9J5c8Y4g2F1K9i4c8K6i4K6u0r3j5$3!0V1k6g2)9J5c8V1W2p5k6h3y4G2L8i4m8A6L8r3g2J5g2h3&6A6N6q4)9J5k6h3S2@1L8h3H3`.
.
之后通过getDecompiled***Text(),
获取到反编译后的源代码(String文本).

.
- #### 个性化配置
在反编译前,还可以通过
**DecompilationOptions**和**DecompilationContext**等,
进行一些配置.

.
.
# JAVA语法树层面(IJavaSourceUnit部件)
- #### 常见操作
(1)遍历某Method所有AST元素
(2)解析if...else元素
(3)解析call元素
(4)解析try元素
(5)解析for元素
.
- (1)遍历某Method所有AST元素
![](upload/attach/202010/760871_2SDRKQZF3DRCN9M.jpg)

.
- (2)解析if...else元素
![](upload/attach/202010/760871_STQ3VH6FMR9H4AJ.jpg)

.
- (3)解析call元素
![](upload/attach/202010/760871_AF6JNAYSYCPT62B.jpg)
.
- (4)解析try元素
![](upload/attach/202010/760871_FZPHJ78T7BGGFT7.jpg)

.
- (5)解析for元素
![](upload/attach/202010/760871_R2JSNFTQNCE2XAE.jpg)

.
- #### 访问JAVA语法树
如果打算访问DEX中方法对应的AST内容,
需要关注**IJavaSourceUnit**部件.
通过它可以拿到某个CLASS的AST(**IJavaClass**),
接着访问Class内的其他内容.

.
- #### 访问JAVA语法树元素
如果访问某个具体的AST元素,
要进一步关注**IJavaElement**,
IJavaElement是对AST元素的顶层抽象,
每个AST元素都是一个IJavaElement.
比如IJavaClass/IJavaIf/IJavaFor/IJavaNew,
这些元素都实现了IJavaElement接口.

.
- #### 获得IJavaSourceUnit或者IJavaElement
需要先执行反编译的步骤,参考这几个API
ISourceUnit IDecompilerUnit.decompile(...)
IJavaClass IDexDecompilerUnit.getClass(sign)
IJavaClass IJavaSourceUnit.getClassElement()

.
- #### IJavaElement的层次关系
元素细分成表达式/语句等,
语句又分复合语句/终结语句,
比如for和if是复合语句,return和throw是终结语句,
具体关注**com.pnfsoftware.jeb.core.units.code.java**包的文档.
参考:
6fbK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2H3L8X3k6K6L8$3k6@1N6$3q4J5k6g2)9J5k6h3y4G2L8g2)9J5c8X3A6W2j5W2)9J5c8X3q4H3K9h3c8G2j5#2)9J5c8Y4u0W2k6X3g2J5k6h3&6U0k6g2)9J5c8X3y4G2L8g2)9J5c8Y4m8F1k6Y4y4G2k6Y4c8%4j5i4u0W2i4K6u0r3K9X3g2T1i4K6u0r3j5$3!0J5k6g2)9J5c8Y4g2F1K9i4c8K6i4K6u0r3j5$3!0V1k6g2)9J5c8X3A6S2N6X3q4Q4x3V1k6H3j5h3y4C8j5h3N6W2i4K6u0V1M7%4g2E0L8h3q4J5P5g2)9J5k6h3S2@1L8h3H3`.
用一张图表达它们的层次关系:
![IJavaElement](upload/attach/202010/760871_9BYRQGMM8F8KP54.jpg)

.
- #### 总结这几个Unit的层次关系
- DEX方面
字节码层面 IDexUnit
反编译层面 IDexDecompilerUnit
语法树层面 IJavaSourceUnit
.
- Native方面类似,可参考DEX,层次和过程是类似的.
字节码层面 INativeCodeUnit
反编译层面 INativeDecompilerUnit
语法树层面 INativeSourceUnit
.
- 参考:
234K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2H3L8X3k6K6L8$3k6@1N6$3q4J5k6g2)9J5k6h3y4G2L8g2)9J5c8X3A6W2j5W2)9J5c8X3q4H3K9h3c8G2j5#2)9J5c8Y4u0W2k6X3g2J5k6h3&6U0k6g2)9J5c8X3y4G2L8g2)9J5c8Y4m8F1k6Y4y4G2k6Y4c8%4j5i4u0W2i4K6u0r3K9X3g2T1i4K6u0r3j5$3!0J5k6g2)9J5c8Y4g2F1K9i4c8K6i4K6u0r3M7r3q4U0K9$3q4Y4k6g2)9J5k6s2y4#2L8h3#2S2M7Y4W2Q4x3X3g2Z5N6r3#2D9
![Unit](upload/attach/202010/760871_7VR3JD6DWUDRZVD.jpg)

.
# Native反汇编层面(INativeCodeUnit部件)
- #### 常见操作
原生库反汇编层面操作,关注**INativeCodeUnit**部件,常见操作如:
(1)遍历函数
(2)访问指令
(3)访问基本块
(4)访问控制流

.
- (1)遍历函数
![](upload/attach/202010/760871_V42RF4Z4QMRKBP2.jpg)

.
- (2)访问指令
![](upload/attach/202010/760871_FXYNAB8WX6NNASV.jpg)

.
- (3)访问基本块
![](upload/attach/202010/760871_DAA7GB942HPUFKT.jpg)

.
- (4)访问控制流
![](upload/attach/202010/760871_BHC528HAUSKN4PS.jpg)

.
# Native AST层面(INativeSourceUnit部件)
- #### 常见操作
(1)遍历某函数所有AST元素
(2)解析if...else元素
(过程和DEX类似,
IJavaSourceUnit换成了**INativeSourceUnit**.
IJavaElement换成了**ICElement**.)
.
- (1)遍历某函数所有AST元素
![](upload/attach/202010/760871_MWPTAVZE8M2DK9A.jpg)

.
- (2)解析if...else元素
![](upload/attach/202010/760871_F8SQKPBTBGDBBJB.jpg)

.
- #### ICElement的层次关系
具体关注**com.pnfsoftware.jeb.core.units.code.asm.decompiler.ast**包的文档.
参考:
5b7K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2H3L8X3k6K6L8$3k6@1N6$3q4J5k6g2)9J5k6h3y4G2L8g2)9J5c8X3A6W2j5W2)9J5c8X3q4H3K9h3c8G2j5#2)9J5c8Y4u0W2k6X3g2J5k6h3&6U0k6g2)9J5c8X3y4G2L8g2)9J5c8Y4m8F1k6Y4y4G2k6Y4c8%4j5i4u0W2i4K6u0r3K9X3g2T1i4K6u0r3j5$3!0J5k6g2)9J5c8Y4g2F1K9i4c8K6i4K6u0r3j5$3!0V1k6g2)9J5c8X3q4K6L8g2)9J5c8X3c8W2j5$3!0E0M7r3W2D9k6i4u0Q4x3V1k6S2M7%4c8Q4x3V1k6H3j5h3y4C8j5h3N6W2i4K6u0V1M7%4g2E0L8h3q4J5P5g2)9J5k6h3S2@1L8h3H3`.
![](upload/attach/202010/760871_RNYPH4TDS5PFS7Z.jpg)

.
# 参考文档:
**Scripting for Android Reversing**
7a9K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2H3L8X3k6K6L8$3k6@1N6$3q4J5k6g2)9J5k6h3y4G2L8g2)9J5c8X3A6W2j5W2)9J5c8X3#2S2L8Y4g2S2L8q4)9J5c8X3c8W2N6W2)9J5c8X3q4F1k6s2u0G2K9h3c8Q4x3X3c8K6j5%4u0A6M7s2c8A6L8X3N6Q4x3V1j5`.

**pnfsoftware/jeb2-samplecode/scripts/**
458K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6H3L8X3k6K6L8$3k6@1N6$3q4J5k6g2)9J5c8X3A6W2j5U0u0Q4x3X3c8K6j5h3#2H3L8r3g2U0L8$3c8W2i4K6u0r3N6s2u0W2k6g2)9J5c8X3#2S2M7%4c8W2M7W2)9J5c8Y4y4U0M7X3W2H3N6s2x3`.

**JEB API Documentation**
bf1K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2H3L8X3k6K6L8$3k6@1N6$3q4J5k6g2)9J5k6h3y4G2L8g2)9J5c8X3A6W2j5W2)9J5c8X3q4H3K9h3c8G2j5#2)9J5c8Y4u0W2k6X3g2J5k6h3&6U0k6g2)9J5c8Y4m8S2j5$3E0S2k6$3g2K6i4K6u0W2K9s2c8E0L8l9`.`.

登录后可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

最后于 2021-2-6 16:01 被kanxue编辑，原因：

最新回复 (8)
Umiade 雪币： 4475 活跃值： (3465) 能力值： ( LV4，RANK：50 ) 在线值：发帖 3 回帖 55 粉丝 16 关注私信	Umiade 2 楼先膜后看 2020-10-27 15:39 0
huluxia 雪币： 1965 活跃值： (3046) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 237 粉丝 3 关注私信	huluxia 3 楼顶楼主 2020-10-27 19:25 0
huangyalei 雪币： 32659 活跃值： (11838) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 397 粉丝 10 关注私信	huangyalei 4 楼图片都看不到 2020-10-27 20:26 0
caolinkai 雪币： 3851 活跃值： (4324) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 826 粉丝 1 关注私信	caolinkai 5 楼牛逼 2020-11-5 17:09 0
lqfcugo 雪币： 244 活跃值： (3805) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 53 粉丝 1 关注私信	lqfcugo 6 楼好文。 2023-9-13 10:16 0
linna_bare 雪币： 202 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	linna_bare 7 楼感谢大佬的博客！ 2023-11-28 22:57 0
mJqalJqN 雪币： 16 能力值： ( LV1，RANK：0 ) 在线值：发帖 4 回帖 124 粉丝 4 关注私信	mJqalJqN 8 楼你那JEB脚本提示怎么搞的 2024-11-20 14:15 0
koflfy 雪币： 102 活跃值： (4136) 能力值： ( LV4，RANK：50 ) 在线值：发帖 8 回帖 483 粉丝 5 关注私信	koflfy 1 9 楼 mark 2026-1-6 21:53 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

[原创]JEB脚本(一)(指令解析 反编译 抽象语法树)

[原创]JEB脚本(一)(指令解析反编译抽象语法树)