[原创]关于某宝手表版本 apk 逆向分析过程-Android安全-看雪安全社区

## 一、需要准备的工具和环境

1、apktool_2.4.1.jar--用于反编和打包apk

```java
反编指令
java -jar apktool_2.4.1.jar d .\test.apk -o test

打包指令
java -jar apktool_2.4.1.jar b test -o testPack.apk
```

2、jadx-gui-1.4.5--用于查看 apk 反编译源码，方便快速导出查找

3、Linux环境安装 zipalign 、apksigner--用于对齐和重新签名

## 二、坑位记录

1、反编后，啥也不改，直接再打包回 apk，z4 对齐并签名后安装失败，错误原因为

```java
D NativeLibraryHelper: Library 'libsgmain.so' is not page-aligned - will not be able to open it directly from apk.
W NativeHelper: Failure copying native libraries [errorCode=-2]
```

提示 so 未对齐，试了很多方法一直不都行，后来验证了下发现这货根本不是so，而是 jar 文件，这一招正是为了防止反编的手段。

file libsgmain.so: Java archive data (JAR)

### 解决办法
将重打包后的 apk 再解压开，强制 so 不压缩，然后再进行对齐和签名即可，完整指令步骤如下

```java
java -jar apktool_2.4.1.jar b .\test -o unsigned.apk

然后再到 linux 环境下处理

unzip unsigned.apk -d apk_unpacked/

cd apk_unpacked/

zip -r -0 ../repack-unsigned.apk *

zipalign -f -v -p 4 repack-unsigned.apk aligned.apk

apksigner  sign --ks test.jks --ks-key-alias xxxx  -ks-pass pass:xxxx  ./aligned.apk

```
最终得到的 aligned.apk 就可以成功安装

## 三、开始分析
	
先将 apk 通过 apktool 反编出来备用，一会方便修改 smali 代码
然后在 jadx-gui 中打开 apk，打开工程后，点击文件保存将所有代码保存出来，然后 cp 到 linux 下，这样方便快速查找关键词
比如界面显示未授权的设备，可以通过 grep 未授权 ./ -nir  快速搜索到具体位置，然后在 jadx-gui 中快速定位代码位置。

### 1、未授权设备弹框检查流程如下
1、com.a.a.a.a.a.booleanValue() 为 false 则直接忽略检查，可能是为了测试模式留的
2、为 true，则检查指定包名的apk对应的 SHA-256 签名值是否和固定值相等，一致则认为设备已授权

```java
    private void c() {
        if (com.xpay.watch.utils.a.a(this)) {
            getWindow().addFlags(128);
            setContentView(com.xpay.watch.utils.g.a(this, R.layout.activity_watch_main));
            com.xpay.android.watchsdk.g.a().g();
            if (!com.xpay.android.watchsdk.l.a().e()) {
                com.xpay.android.watchsdk.g.a().a(com.xpay.watch.utils.h.a(), com.xpay.watch.utils.h.b(), null);
                try {
                    com.xpay.android.watchsdk.ble.d.a().f();
                } catch (Throwable th) {
                    com.xpay.android.phone.inside.log.api.b.a(th);
                }
                this.a.postDelayed(this.h, 200L);
                com.xpay.android.watchsdk.l.a().l();
            } else {
                d();
                this.a.postDelayed(this.i, 200L);
            }
        } else {
            DialogUtil.a aVar = new DialogUtil.a(this);
            aVar.a(DialogUtil.DialogType.SINGLE_BUTTON);
            aVar.a(getString(R.string.dlg_authorization_check_failed_title));
            aVar.b(getString(R.string.dlg_authorization_check_failed_tips));
            aVar.c("c-" + com.xpay.watch.utils.h.a() + " m-" + Build.MODEL);
            aVar.a(new h(this));
            DialogUtil.a(aVar);
        }
		
	public static boolean a(Context context) {
        if (com.a.a.a.a.a.booleanValue()) {
            String[] split = h.f().split(",");
            String[] split2 = h.e().split(",");
            if (split2 == null || split2.length <= 0) {
                return false;
            }
            for (int i = 0; i < split2.length; i++) {
                Log.w("xpay_watch", "packageName |" + split2[i]);
                if (a(context, split2[i], split)) {
                    return true;
                }
            }
            return false;
        }
        return true;
    }

private static boolean a(Context context, String str, String[] strArr) {
        List<String> a2 = a(context, str);
        if (a2 == null || a2.size() <= 0) {
            return false;
        }
        for (String str2 : strArr) {
            String trim = str2.trim();
            Log.w("xpay_watch", str + " " + a2.get(0).toUpperCase() + trim.toUpperCase());
            if (TextUtils.equals(a2.get(0).toUpperCase(), trim.toUpperCase())) {
                return true;
            }
        }
        return false;
    }

private static List<String> a(Context context, String str) {
        try {
            PackageInfo packageInfo = context.getPackageManager().getPackageInfo(str, 64);
            if (packageInfo != null) {
                Signature[] signatureArr = packageInfo.signatures;
                MessageDigest messageDigest = MessageDigest.getInstance("SHA-256");
                ArrayList arrayList = new ArrayList();
                for (Signature signature : signatureArr) {
                    byte[] digest = messageDigest.digest(signature.toByteArray());
                    StringBuilder sb = new StringBuilder((digest.length * 3) - 1);
                    int length = digest.length - 1;
                    for (int i = 0; i <= length; i++) {
                        byte b = digest[i];
                        sb.append(a[(b & 240) >> 4]);
                        sb.append(a[b & 15]);
                        if (i < length) {
                            sb.append(':');
                        }
                    }
                    String sb2 = sb.toString();
                    arrayList.add(sb2);
                    com.xpay.android.phone.inside.log.api.b.a("package |" + str + "| fingerprint: " + sb2);
                    Log.w("xpay_watch", "package |" + str + "| fingerprint: " + sb2);
                }
                return arrayList;
            }
            return null;
        } catch (Throwable th) {
            th.printStackTrace();
            return null;
        }
    }
	
```
### 2、	获取设备蓝牙mac流程如下
	
看到蓝牙绑定时报错 log 如下

```java
14:05:57.870 9853  BluetoothGattServer      D  onServiceAdded() - handle=40 uuid=00003802-0000-1000-8000-00805f9b34fb status=0
14:05:57.874 9853  BluetoothGattServer      W  Unhandled exception in callback
                                               java.lang.NullPointerException: Attempt to invoke virtual method 'java.lang.String java.lang.String.toUpperCase()' on a null object reference
                                               	at com.xpay.android.watchsdk.ble.d.b(SourceFile:542)
                                               	at com.xpay.android.watchsdk.ble.d.a(SourceFile:44)
                                               	at com.xpay.android.watchsdk.ble.d$a.onServiceAdded(SourceFile:441)
                                               	at android.bluetooth.BluetoothGattServer$1.onServiceAdded(BluetoothGattServer.java:136)
                                               	at android.bluetooth.IBluetoothGattServerCallback$Stub.onTransact(IBluetoothGattServerCallback.java:85)
                                               	at android.os.Binder.execTransact(Binder.java:723)
14:06:13.725 9853  zygote                   I  Debugger is no longer active
```
	
对应代码为先获取 BluetoothManager getAdapter 通过 getAddress 方法获取 mac，

取不到则再进行反射调用,调用时抛出权限异常

Caused by: java.lang.SecurityException: Need LOCAL_MAC_ADDRESS permission: Neither user 10032 nor current process has android.permission.LOCAL_MAC_ADDRESS.

高版本安卓此权限必须是系统 app 才能拥有，可以修改 smali 代码直接走下面的 Secure 查询 bluetooth_address 即可

```java
public String b() {
        if (this.k == null) {
            if (this.h == null) {
                this.h = (BluetoothManager) this.c.getSystemService("bluetooth");
                if (this.h == null) {
                    com.xpay.android.phone.inside.log.api.b.b("Unable to initialize BluetoothManager.");
                    return null;
                }
            }
            this.i = this.h.getAdapter();
            if (this.i == null) {
                com.xpay.android.phone.inside.log.api.b.b("Unable to obtain a BluetoothAdapter.");
                return null;
            }
            this.k = this.i.getAddress();
            if (TextUtils.isEmpty(this.k) || this.k.endsWith("00:00:00:00:00")) {
                try {
                    this.k = a(this.i);
                } catch (Throwable th) {
                    com.xpay.android.phone.inside.log.api.b.a(th);
                }
            }
            if (TextUtils.isEmpty(this.k) || this.k.endsWith("00:00:00:00:00")) {
                try {
                    this.k = Settings.Secure.getString(this.c.getContentResolver(), "bluetooth_address");
                } catch (Throwable th2) {
                    com.xpay.android.phone.inside.log.api.b.a(th2);
                }
            }
            com.xpay.android.phone.inside.log.api.b.a("ServerAddress:" + this.k);
        }
        return this.k;
    }
	
	private static String a(BluetoothAdapter bluetoothAdapter) {
        Object obj;
        try {
            Field declaredField = BluetoothAdapter.class.getDeclaredField("mService");
            declaredField.setAccessible(true);
            obj = declaredField.get(bluetoothAdapter);
        } catch (Throwable th) {
            com.xpay.android.phone.inside.log.api.b.a(th);
        }
        if (obj == null) {
            return null;
        }
        Method declaredMethod = obj.getClass().getDeclaredMethod("getAddress", new Class[0]);
        declaredMethod.setAccessible(true);
        Object invoke = declaredMethod.invoke(obj, new Object[0]);
        if (invoke != null && (invoke instanceof String)) {
            return (String) invoke;
        }
        return null;
    }
```
	
扫码绑定后本地开始生成付款条码

```java
											
	public void onResume() {
        super.onResume();
        b(this.h);
        com.xpay.android.watchsdk.l.a().l();//解绑
        if (com.xpay.android.watchsdk.l.a().e()) {
            this.i.postDelayed(new q(this), 50L);
        }
    }
	
	public boolean e() {
        try {
            BarcodePay.a();
            if (com.xpay.security.wear.barcode.b.a() != null) {//本地xpayUserInfo.json是否存在
                if (!TextUtils.isEmpty(BarcodePay.b())) {//so computeBarcodeString 请求
                    return true;
                }
            }
        } catch (Throwable th) {
            com.xpay.android.phone.inside.log.api.b.a("isBounded", th);
        }
        try {
            return !TextUtils.isEmpty(a((String) null, true));//网络激活
        } catch (Throwable th2) {
            com.xpay.android.phone.inside.log.api.b.a("isBounded", th2);
            return false;
        }
    }
	
	
	private String a(String str, boolean z) throws SecException {
        try {
            if (com.xpay.security.wear.barcode.b.b() != null) {
                String b = BarcodePay.b();
                if (!TextUtils.isEmpty(b)) {
                    return b;
                }
            }
        } catch (Throwable th) {
            com.xpay.android.phone.inside.log.api.b.a(th);
        }
        IDynamicDataStoreComponent dynamicDataStoreComp = SecurityGuardManager.getInstance(this.a).getDynamicDataStoreComp();
        if (dynamicDataStoreComp.getBoolean("success")) {
            long j = 0;
            try {
                j = Long.valueOf(dynamicDataStoreComp.getString("time_diff")).longValue();
            } catch (Throwable th2) {
                com.xpay.android.phone.inside.log.api.b.a(th2);
            }
            String valueOf = String.valueOf(j + (System.currentTimeMillis() / 1000));
            String str2 = new String(SecurityGuardManager.getInstance(this.a).getSafeTokenComp().getOtp("otp_token", 0, TextUtils.isEmpty(str) ? new String[]{valueOf, "0"} : new String[]{valueOf, "0", str}, null));
            if (!z) {
                this.b = str2;
                return str2;
            }
            return str2;
        }
        return null;
    }
	
	
```

调用对应 so 生成条码

```java
public class BarcodePay {
    public static native String computeBarcodeString(String str, long j, String str2);

public static native long computeMovingFactor(long j, int i, long j2);

public static native String getSeedString(String str);

public static native int store(byte[] bArr, int i, byte[] bArr2, int i2, String str);

public static void a() {
    }

static {
        System.loadLibrary("xpaywear");
    }

public static String b() {
        String str = null;
        try {
            JSONObject jSONObject = new JSONObject(getSeedString(WatchApplication.a().getFilesDir() + File.separator));
            int i = jSONObject.getInt("interval");
            str = computeBarcodeString(jSONObject.getString("otp"), computeMovingFactor(b.b().d(), i, System.currentTimeMillis() / 1000), jSONObject.getString("index"));
            Log.v("WatchBarcode", "barcodeString:" + str);
        } catch (NullPointerException e) {
            Log.e("WatchBarcode", "NullPointerException");
        } catch (JSONException e2) {
            Log.e("WatchBarcode", "JsonException");
        }
        if (TextUtils.isEmpty(str)) {
            try {
                b.c();
            } catch (Throwable th) {
                com.xpay.android.phone.inside.log.api.b.a(th);
            }
        }
        return str;
    }
}
```

## 四、免责声明

本文内容仅用于技术研究与学习交流目的，不涉及任何商业用途。
文中所提及的技术手段、工具使用及分析过程均基于开源或公开信息进行探讨，不代表鼓励或支持任何非法行为。
若您使用相关技术从事违法行为，后果自负，与本文作者无关。
如有侵权，联系删文。

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

#逆向分析

最新回复 (94) 1 2 3 4 ▶
bluegatar 雪币： 6 活跃值： (5949) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 241 粉丝 6 关注私信	bluegatar 2 楼不错哟，分析的手表软件 2025-5-29 17:39 0
guijingwen 雪币： 7377 活跃值： (7605) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 312 粉丝 0 关注私信	guijingwen 3 楼 66 2025-5-29 20:25 0
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 707 粉丝 7 关注私信	mb_ldbucrik 4 楼感谢分享 2025-5-30 00:45 0
kingking888 雪币： 3235 活跃值： (6337) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 302 粉丝 6 关注私信	kingking888 5 楼 666 2025-5-30 22:19 0
mb_iqkkgktq 雪币： 210 活跃值： (1075) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	mb_iqkkgktq 6 楼学习一下 2025-5-31 13:28 0
Gryffindoss 雪币： 635 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 126 粉丝 0 关注私信	Gryffindoss 7 楼 666 2025-5-31 16:50 0
川美雪币： 1221 活跃值： (1338) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 314 粉丝 0 关注私信	川美 8 楼学习一下 2025-5-31 20:09 0
edisonhu 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 42 粉丝 0 关注私信	edisonhu 9 楼 66 2025-5-31 20:42 0
adnin 雪币： 3275 活跃值： (3665) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 88 粉丝 0 关注私信	adnin 10 楼回复学学 2025-6-1 03:38 0
Freax 雪币： 5152 活跃值： (2545) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 73 粉丝 1 关注私信	Freax 11 楼 1 2025-6-1 15:18 0
答案在风中飘雪币： 125 能力值： ( LV1，RANK：0 ) 在线值：发帖 6 回帖 14 粉丝 9 关注私信	答案在风中飘 12 楼 qweeeeeeeeeeeeeeeeeee 2025-6-2 10:24 0
mb_fidppcok 雪币： 3805 活跃值： (4140) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 95 粉丝 1 关注私信	mb_fidppcok 13 楼好像很牛逼的样子 2025-6-2 10:39 0
mb_fidppcok 雪币： 3805 活跃值： (4140) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 95 粉丝 1 关注私信	mb_fidppcok 14 楼这手表的APP 怎么弄出来？ 2025-6-2 10:42 0
ONewTach 雪币： 242 活跃值： (5670) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 80 粉丝 0 关注私信	ONewTach 15 楼 666 2025-6-3 08:35 0
肖安111 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 36 粉丝 0 关注私信	肖安111 16 楼 6 2025-6-3 09:43 0
mb_vanjeoof 雪币： 238 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 34 粉丝 0 关注私信	mb_vanjeoof 17 楼 6 2025-6-3 14:41 0
CCTV果冻爽雪币： 4547 活跃值： (2543) 能力值： ( LV12，RANK：220 ) 在线值：发帖 14 回帖 47 粉丝 425 关注私信	CCTV果冻爽 4 18 楼 6 2025-6-3 14:46 0
带带弟弟吧雪币： 2 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 93 粉丝 5 关注私信	带带弟弟吧 19 楼 1 2025-6-3 14:50 0
wx_小豆豆雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	wx_小豆豆 20 楼 1 2025-6-3 16:50 0
Ms135 雪币： 9 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 89 粉丝 0 关注私信	Ms135 21 楼 66 2025-6-4 09:41 0
nothing233 雪币： 2314 活跃值： (1966) 能力值： ( LV6，RANK：90 ) 在线值：发帖 17 回帖 18 粉丝 87 关注私信	nothing233 1 22 楼感谢分享 2025-6-4 09:42 0
lookaside 雪币： 84 活跃值： (4108) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 85 粉丝 0 关注私信	lookaside 23 楼 1 2025-6-4 14:45 0
slion 雪币： 3725 活跃值： (3655) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	slion 24 楼 1 2025-6-4 14:46 0
櫬木汐雪币： 360 活跃值： (967) 能力值： ( LV3，RANK：20 ) 在线值：发帖 2 回帖 36 粉丝 18 关注私信	櫬木汐 25 楼 666 2025-6-4 16:51 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复