Smali语言

什么是Smali

smali语言是Davlik的寄存器语言，语法上和汇编语言相似，DalvikVM与JVM的最大的区别之一就是DalvikVM是基于寄存器的。基于寄存器的意思是，在smali里的所有操作都必须经过寄存器来进行。

因为安卓软件编译后，就得不到源代码了，我们只可以通过反编译后的Smail代码去修改来实现逆向的目的。

静态分析Android程序的两种方法

阅读反编译生成的Dalvik字节码。

• 使用AndroidKiller_1.3.1分析dex文件
• 使用MT管理器分析dex文件
• 使用jadx查看

头信息------类的主体信息

在打开smali文件的时候，它的头三行描述了当前类的一些信息

.class <访问权限> [关键修饰字] <类名>;
.super <父类名>
.source <源文件名>

Java代码如下:
public class MainActivity extends AppComatActivity{
          //......
}
对应的Smali代码如下：
.class Lcom/example/myapplication/MainActivity$1;  //该表示MainActivity是该包的一个对象
.super Ljava/lang/Object;
.source "MainActivity.java"

.class 指令表示当前的类名，类的访问权限是public，类名是Lcom/example/myapplication/MainActivity$1; ，类开头的L是遵循Dalvik字节码的相关约定，表示后面跟随的字符串是一个类。

.super指定了当前类所继承的父类，后面指的就是这个父类的类名，L表示后面跟的字符串是一个类

.source指定了当前类的源文件名

数据原始类型

• B---byte
• C---char
• D---double
• F---float
• I---int
• L---long
• S---short
• V---void
• Z---boolean
• [XXX---array
• Lxxx/yyy---object

Smali的数组表示

在基本类型前加上"["即表示该类型的数组；如

[I:表示整型的数组；[F:表示浮点型float的数组

• 如果是对象类型，则以L作为开头，格式是LpackageName/objectName;如Ljava/lang/String;表示String是该包的一个对象。

• 类对象表示为LpackageName/objectName；类对象中的内部类则使用"$"来连接。

Smali方法的定义

方法的一般定义为:

Func-Name(Para-Type1Para-Type-2Para-Type...)Return-Type

参数之间没有任何间隔；如

Hello()V:表示 void hello()

Hello(III)Z表示：Boolean hello(int,int,int)

Hello(Z[I[ILjava/lang/String;L)Ljava/lang/String; 表示：String Hello(boolean,int[],int[],String,,long)

Smali的一些关键词

• .filed private isFlage:z 定义变量
• .method 方法
• .parameter 方法参数
• .prologue 方法开始
• .line 此方法位于第123行
• .invoke-super 调用父函数
• .const/high16 v0,0x7fo3 把0x7fo3赋值给v0
• .invoke-direct 调用函数
• .return-void 函数返回void
• .end-method 函数结束
• new-instance 创建实列
• input-object 对象赋值
• iget-object 调用对象
• invoke-static 调用静态函数

Smali的条件跳转

• "if-eq vA,vB:cond_" 如果vA等于vB则跳转到cond**(eq==equal）

• "if-ne vA,vB:cond_" 如果vA不等于vB则跳转到cond**
  
  (nq == not equal)

• "if-lt vA,vB:cond_" 如果vA小于vB则跳转到cond**
  
  (lt == less)

• "if-ge vA,vB:cond_" 如果vA大于等于vB则跳转到cond**
  
  (ge==greater equal)

• "if-gt vA,vB:cond_" 如果vA大于vB则跳转到cond**

• "if-le vA,vB:cond_" 如果vA小于等于vB则跳转到cond**

• "if-eqz vA :cond_" 如果vA等于0则跳转到cond**

• "if-nez vA :cond_" 如果vA不等于0则跳转到cond**

• "if-ltz vA :cond_" 如果vA小于0则跳转到cond**

• "if-gez vA :cond_" 如果vA大于等于0则跳转到cond**

• "if-gtz vA :cond_" 如果vA大于0则跳转到cond**

• "if-lez vA :cond_" 如果vA小于于等于0则跳转到cond**

Smali中内部类声明

一般来说在Smail文件中是这个样子的：

annotations

.annotation system Ldalvik/annotation/MemberClasses;

value = {

Lcom/aaa$qqq;

Lcom/aaa$wwww;

}

.end annotation

这个声明式内部类的声明；aaa这个类它有两个内部类----qqq和www。

Smali类的信息

.class public Lcom/aaaaa;

.super Lcom/bbbbb;

.source "ccccc.java"

这是一个由ccccc.java编译得到的smail文件(第三行)

它是com.aaaaa这个package下的一个类(第一行)

继承自com.bbbbb这个类(第二行)

Smali类中成员变量表示和操作

• 成员变量格式是：.filed public/private[static][final] varName<类型>
• 获取的指令有：iget sget、iget-boolean、sget-boolean、iget-object 、sget-object等
• 写入的指令有：iput、sput、iput-boolean、sput-boolean、iput-object、sput-object等。
• 没有"-object"后缀的表示操作的成员变量对象是基本数据类型，带"-object"表示操作的成员变量是对象类型，特别地，boolean类型则使用"-boolean"的指令操作

Smail成员变量指令简析

• sget-object v0,Lcom/aaa;->ID:Ljava/lang/String
  
  sget-object用来获取变量赋值并保存到紧接着的参数的寄存器中，本例中，它获取ID这个String类型的成员变量并发到v0这个寄存器中。
  
  注意：前面需要该变量所属的类的类型，后面需要加一个冒号和该成员变量的类型，中间"->"表示所属关系。
• iget-object v0,p0,Lcom/aaa;->view:Lcom/aaa/view;
  
  可以看到iget-object指令比sget-object多了一个参数，就是该变量所在类的实例，在这里就是p0即"this"。

Smali代码函数的调用

1.invoke-static:用于调用static函数

• const-string v0,"NDKLIB"
• invoke-static{v0},Ljava/lang/System;->loadLibrary(Ljava/kang/String;)V
  
  调用static void System.loadLibrary(String)来加载NDK编译的so库用的方法；这里v0就是参数"NDKLIB"
  
  2.invoke-super:一般用于onCreate、onDestory等方法。调用父类方法用的指令。
  
  3.invoke-direct：调用private函数
  
  invoke-direct{p0},Landroid/app/TabActivity;->()V
  
  这里init()就是定义在TabActivity中的一个private函数
  
  4.invoke-virtual:用于调用protected或public函数。
  
  sget-object v0,Lcom/dddd;->bbb:Lcom/ccc
  
  invoke-virtual{v0,v1},Lcom/ccc;->Message(Ljava/lang/Object;)V
  
  V0是bbb:Lcom/ccc
  
  v1是爨地给Messages方法的Ljava/lang/Object参数。
  
  5.invoke-xxxx/range:当方法的参数多于5个时(含5个)，不能直接使用以上的指令，而是在后面加上"range",range表示范围，使用方法也有所不同：
  
  invoke-direct/range{v0......v5},Lcmb/pb/ui/PBContainerActivity;->h(ILjava/lang/CharSequence;Ljava/lang/String;Landroid/content/Intent;l)Z 需要传递v0到v5一共6个参数，这时候大括号的参数采用省略形式，且需要连续。

Smali返回结果的操作

• 在java代码中调用函数和返回函数结果可以用一条语句完成，而在Smail里则需要分开来完成，在使用上述指令后，如果调用的函数返回非void,那么还需要用到move-result(返回基本数据类型)和move-result-object(返回对象)指令：
  
  const-string v0,"Eric"
  
  invoke-static{v0},Lcmb/pbi;->t(Ljava/lang/String;)Ljava/lang/String;
  
  move-result-object v2
  
  v2保存的就是调用t方法的String字符串。