apk解鎖之「異常」解鎖

加好友 · 發表於 2016-3-19 16:14

馬上加入Android 台灣中文網，立即免費下載應用遊戲。

您需要登錄才可以下載或查看，沒有帳號？註冊

x

這次拿到一個新的apk，作者在上一次解鎖之後已經重寫的代碼，解鎖的關鍵也換了位置了，這次作者主要用到了異常，當在服務器上驗證無該用戶的資料時就會返回0，然後在調用parseInt方法時就會發生NumberFormatException異常，進而調用處理異常的代碼，也就是提示「不成功」

破解工具：這個是一個IDE 集成了反編譯，回編，adb等等工具，非常不錯可以玩玩
http://apk.tw/thread-757815-1-1.html

apk描述：apk正常安裝後，需要註冊，點擊註冊軟體後，會有兩個按鈕，點擊找回註冊，正常情況下會顯示「不成功」
如圖：

登錄/註冊後可看大圖

201227szphr4oyq9oqos0h.jpg (54.84 KB, 下載次數: 0)

下載附件保存到相冊

2016-3-19 16:14 上傳

  apk破解過程:
(1)該apk的文字提示將成為我們的利用對像,註冊成功會提示"成功",當然你也可以找不成功,因為代碼就在附近

  (2)在apk改之理右上角的"替換和搜尋"視窗中輸入字符串"成功", 然後在"替換和搜尋"視窗的下拉選單中選擇"轉換為Uncode"
點擊「搜尋全部」按鈕

（3）點擊搜尋之後，在搜尋結果視窗中會出現全部出現「成功」的檔案，如圖，其中選中的檔案就是註冊模組，也就是
  BqimenDateInputActivity.smali。其中還有一個檔案是BqimenDateInputActivityW.smali，這個檔案是繁體版的註冊模組，我們無需理會（如果你問為什麼這個就是註冊的檔案，你可以觀察該檔案中的字符串，以及檔案名就可以瞭解，他就是註冊模組)

登錄/註冊後可看大圖

201226i22b18nwf4b7vgv2.jpg (124.09 KB, 下載次數: 0)

下載附件保存到相冊

2016-3-19 16:14 上傳

（4）雙擊BqimenDateInputActivity.smali將會自動開啟該檔案，並且定位到該字符出現的位置，定位到該方法的開始位置，詳細請看代碼的註釋

@可以看到註冊的方法名稱為s，參數為Lcom/forace/Bqimen/BqimenActivity/BqimenDa
@teInputActivity，背後的V為無返回值
@另外值得注意的是字段synthetic ，該字段是編譯器合成的，非作者新增的，也就是如果
@你使用java DeCompiler程序查看
@Java級別的源碼時，這些代碼是看不到的，這也就是之前我搜尋「成功」之類的字符串搜尋不到的原因
.method static synthetic s(Lcom/forace/Bqimen/BqimenActivity/BqimenDateInputActivity;)V

複製代碼

（5）既然找到了源頭，我們就順籐摸瓜往下看看作者到底做了什麼，代碼如下，詳情請看註釋
第一段代碼：

.method static synthetic s(Lcom/forace/Bqimen/BqimenActivity/BqimenDateInputActivity;)V
.locals 4
:try_start_0 @新增異常代碼
new-instance v0, Ljava/lang/StringBuilder; @新增字符串實例
const-string v1, "QM" @將QM初始化為QM
invoke-direct {v0, v1}, Ljava/lang/StringBuilder;-><init>(Ljava/lang/String;)V @用QV初始化字符串
@獲取getIMEI號
invoke-virtual {p0}, Lcom/forace/Bqimen/BqimenActivity/BqimenDateInputActivity;->getIMEI()Ljava/lang/String;
move-result-object v1
invoke-virtual {v0, v1}, Ljava/lang/StringBuilder;->append(Ljava/lang/String;)Ljava/lang/StringBuilder;
move-result-object v0
invoke-virtual {v0}, Ljava/lang/StringBuilder;->toString()Ljava/lang/String;
move-result-object v0
@得到註冊表
invoke-virtual {p0, v0}, Lcom/forace/Bqimen/BqimenActivity/BqimenDateInputActivity;->regetkey(Ljava/lang/String;)Ljava/lang/String;
move-result-object v1
@程式的關鍵
const-string v0, ""
new-instance v2, Lorg/apache/http/client/methods/HttpGet;
invoke-direct {v2, v1}, Lorg/apache/http/client/methods/HttpGet;-><init>(Ljava/lang/String;)V
new-instance v1, Lorg/apache/http/impl/client/DefaultHttpClient;
invoke-direct {v1}, Lorg/apache/http/impl/client/DefaultHttpClient;-><init>()V
invoke-virtual {v1, v2}, Lorg/apache/http/impl/client/DefaultHttpClient;->execute(Lorg/apache/http/client/methods/HttpUriRequest;)Lorg/apache/http/HttpResponse;
move-result-object v1
invoke-interface {v1}, Lorg/apache/http/HttpResponse;->getStatusLine()Lorg/apache/http/StatusLine;
move-result-object v2
invoke-interface {v2}, Lorg/apache/http/StatusLine;->getStatusCode()I
move-result v2 @將返回的結果賦給v2
@這段是初始化連結，連結作者服務器的地方，如果找到用戶的訊息則返回非0的字符串，如果找不到則返回0
const/16 v3, 0xc8
@將v2和0xc8相比，如果不相等則調轉到cond_0，如果相等，則不跳轉那麼下執行提示「網路異常」
if-ne v2, v3, :cond_0
invoke-interface {v1}, Lorg/apache/http/HttpResponse;->getEntity()Lorg/apache/http/HttpEntity;
move-result-object v0
const-string v1, "UTF-8"
invoke-static {v0, v1}, Lorg/apache/http/util/EntityUtils;->toString(Lorg/apache/http/HttpEntity;Ljava/lang/String;)Ljava/lang/String;
:try_end_0
@雙層異常，嵌套的異常，如果執行到這裡說明網路不通暢，捕獲ClientProtocolException異常，執行catch_0，提示網路異
@常錯誤403，當catch_0沒能處理異常，那麼會給catch_1處理
.catch Lorg/apache/http/client/ClientProtocolException; {:try_start_0 .. :try_end_0} :catch_0
.catch Ljava/io/IOException; {:try_start_0 .. :try_end_0} :catch_1
move-result-object v0

複製代碼

第二段代碼：當網路通暢沒什麼問題時，也就是if-ne v2, v3, :cond_0 跳轉到cond_0時會執行以下代碼:

:cond_0
invoke-virtual {p0, v0}, Lcom/forace/Bqimen/BqimenActivity/BqimenDateInputActivity;->regetkeyafter(Ljava/lang/String;)Ljava/lang/String;
move-result-object v0
@程式關鍵，開始新增異常代碼
:try_start_1
@調用了靜態方法parseInt，其參數就是上面聯網返回的參數v0，當其返回0時將會引發NumberFormatException異常
@那麼處理的代碼在哪裡呢? 翻到該代碼的結尾可以看到處理其異常的代碼就是catch_2分支（已經加紅）
invoke-static {v0}, Ljava/lang/Integer;->parseInt(Ljava/lang/String;)I
@當返回參數正常沒有發生異常時，將其轉換為整型後賦值給v0
move-result v0
const/4 v1, 0x6
@將v0與v1比較如果不相等就跳轉，從下面的代碼調用的函數以及提示的uncode代碼可以知道下面的代碼就是註冊流程
@因此聰明的是你，馬上就可以想到，只要把這段加紅的代碼刪除，那麼就會成為註冊
if-ne v0, v1, :cond_1
const/4 v0, 0x1
@寫入註冊變量
iput-boolean v0, p0, Lcom/forace/Bqimen/BqimenActivity/BqimenDateInputActivity;->al:Z
iget-object v0, p0, Lcom/forace/Bqimen/BqimenActivity/BqimenDateInputActivity;->ag:Landroid/widget/TableLayout;
const/16 v1, 0X8
invoke-virtual {v0, v1}, Landroid/widget/TableLayout;->setVisibility(I)V
const-string v0, "config1my"
new-instance v1, Ljava/lang/StringBuilder;
const-string v2, "QM"
invoke-direct {v1, v2}, Ljava/lang/StringBuilder;-><init>(Ljava/lang/String;)V
invoke-virtual {p0}, Lcom/forace/Bqimen/BqimenActivity/BqimenDateInputActivity;->getIMEI()Ljava/lang/String;
move-result-object v2
invoke-virtual {v1, v2}, Ljava/lang/StringBuilder;->append(Ljava/lang/String;)Ljava/lang/StringBuilder;
move-result-object v1
invoke-virtual {v1}, Ljava/lang/StringBuilder;->toString()Ljava/lang/String;
move-result-object v1
@寫入key
invoke-virtual {p0, v1}, Lcom/forace/Bqimen/BqimenActivity/BqimenDateInputActivity;->writekey(Ljava/lang/String;)Ljava/lang/String;
move-result-object v1
invoke-virtual {p0, v0, v1}, Lcom/forace/Bqimen/BqimenActivity/BqimenDateInputActivity;->writeFileData(Ljava/lang/String;Ljava/lang/String;)V
@取出相關廣告
iget-object v0, p0, Lcom/forace/Bqimen/BqimenActivity/BqimenDateInputActivity;->aa:Lcom/forace/ad/dd/MyValue;
iget-object v1, p0, Lcom/forace/Bqimen/BqimenActivity/BqimenDateInputActivity;->aa:Lcom/forace/ad/dd/MyValue;
iget-object v1, v1, Lcom/forace/ad/dd/MyValue;->MyDB:Landroid/database/sqlite/SQLiteDatabase;
new-instance v2, Ljava/lang/StringBuilder;
const-string v3, "insert into config values ("qm",""
invoke-direct {v2, v3}, Ljava/lang/StringBuilder;-><init>(Ljava/lang/String;)V
invoke-virtual {p0}, Lcom/forace/Bqimen/BqimenActivity/BqimenDateInputActivity;->getIMEI()Ljava/lang/String;
move-result-object v3
invoke-virtual {v2, v3}, Ljava/lang/StringBuilder;->append(Ljava/lang/String;)Ljava/lang/StringBuilder;
move-result-object v2
invoke-virtual {p0}, Lcom/forace/Bqimen/BqimenActivity/BqimenDateInputActivity;->getIMSI()Ljava/lang/String;
move-result-object v3
invoke-virtual {v2, v3}, Ljava/lang/StringBuilder;->append(Ljava/lang/String;)Ljava/lang/StringBuilder;
move-result-object v2
const-string v3, "","1",1)"
invoke-virtual {v2, v3}, Ljava/lang/StringBuilder;->append(Ljava/lang/String;)Ljava/lang/StringBuilder;
move-result-object v2
invoke-virtual {v2}, Ljava/lang/StringBuilder;->toString()Ljava/lang/String;
move-result-object v2
invoke-virtual {v0, v1, v2}, Lcom/forace/ad/dd/MyValue;->ExecuteSQL(Landroid/database/sqlite/SQLiteDatabase;Ljava/lang/String;)I
iget-object v0, p0, Lcom/forace/Bqimen/BqimenActivity/BqimenDateInputActivity;->aa:Lcom/forace/ad/dd/MyValue;
const-string v1, "u6210u529f"
const-string v2, ""
invoke-virtual {v0, p0, v1, v2}, Lcom/forace/ad/dd/MyValue;->ShowMessage(Landroid/content/Context;Ljava/lang/String;Ljava/lang/String;)V
invoke-direct {p0}, Lcom/forace/Bqimen/BqimenActivity/BqimenDateInputActivity;->m()V
:try_end_1
@處理異常的代碼
.catch Ljava/lang/Exception; {:try_start_1 .. :try_end_1} :catch_2
:cond_1
:goto_0
return-void

複製代碼

（5）將第二段代碼中加紅的代碼刪除後，在改之理中的「編譯」選單中，選擇「編譯生成apk」，改之理會自動完成回編譯，以及簽名，現在只要把該APK拷貝到手機上安裝就可以了。
或者你可以啟動安卓虛擬機，然後選擇選單"ADB"選擇安裝生成的APK，虛擬機上就可以安裝了，如圖就是註冊之後的樣子，軟體註冊已經消失

登錄/註冊後可看大圖

[教程] apk解鎖之「異常」解鎖

馬上加入Android 台灣中文網，立即免費下載應用遊戲。

評分

相關帖子

警告：您的Adblck已啟用