【原】掌阅IREADER Android APK脱壳

原版APK内的classes.dex 只负责加载libDexHelper.so，在这个so的JNI_OnLoad() 函数中，通过跟踪代码，发现在第一运行时向

/data/data/com.chaozh.iReaderFree/.cache

这个目录下面写了3个文件:

这个是在调试过程中截的图，因此 dex 文件还大小是0。

DVE文件不知道是干什么的，JAR文件就是 apk 里的 asset/class0.jar ，但用ZIP无法解压，说明也是经过处理的。

跟踪了一下，处理的方法如下：

1. 初始化一个长度为256的byte（unsigned char）数组，每个元素的值与其索引相等，即：

for (i = 0; i < 0x100; i++)
    a[i] = i;

2. 用到另外一个数组

unsigned char b[16] = {
    0x66, 0x97, 0x6C, 0xE8, 0x6D, 0x46, 0x38, 0xB0, 
    0x09, 0x5A, 0xA5, 0xD7, 0x0F, 0xCB, 0x9A, 0xA0,
};

3. 累加数组a中的元素和b中的元素，因为b只有16个元素，如果到末尾，就从头再开始，将“和”表示的索引的值与当前元素的值互换

int sum = 0, temp;

for (i = 0, j = 0; i < 0x100; i++, j++)
{
    if (j > 15)
            j = 0;
    sum = (sum + a[i] + b[j]) & 0XFF;
    temp = a[sum];
    a[sum] = a[i];
    a[i] = temp;
}

4. 文件的前0x20000个字节，使用下面的算法解密：

unsigned int R1, R6, R7;
size_t i, j;

R1 = 0;

for (i = 0, j = 0; i < len; i++)
{
        j = (j+1) & 0xFF;
        R7 = a[j];
        R1 += R7;
        R1 = R1 & 0xFF; 

        R6 = a[R1];
        a[j] = R6;
        a[R1] = R7;
        //R6 = (R6 + R7) & 0xFF; 
        R6 = (a[j] + a[R1]) & 0xFF;

        R7 = src[i] ^ a[R6];
        dest[i] = R7;
}

5. 从0x20000以后的字节，简单的与0xAC异或。

 

这样处理之后，class0.jar 就变成了一个zip文件：

并且里面只有一个 classes.dex，用ZIP解压出来就是原始的dex了。但在手机上，.cache 文件夹下面的 classes.dex 并不是直接解压出来的，而是在解压出来后对文件进行了处理，过程与上面处理 class0.jar 的完全一样。

 

IREADER APK同时做了加壳、DEX混淆、资源混淆，但脱壳之后，其他的就无关紧要了。用未加固的classes.dex，可以删除lib/armeabi下面的libDexHelper.so了。

但是这样打包后，运行APK会发生错误：

05-12 09:34:48.064 W/dalvikvm(30980): JNI_OnLoad returned bad version (2147483647) in /data/app-lib/com.chaozh.iReaderFree1-1/libUiControl.so 0x41150990

05-12 09:34:48.064 W/dalvikvm(30980): Exception Ljava/lang/UnsatisfiedLinkError; thrown while initializing Lcom/zhangyue/iReader/JNI/Common;

05-12 09:34:48.064 D/dalvikvm(30980): threadid=13: exiting

 

在APP运行时，会对签名进行验证，很多APP会验证签名，但验证的方式不尽相同，大部分是在JAVA里做的，干掉比较简单，但IREADER的验证是在libUiControl.so里面做的，而且这个SO使用的是THUMB指令集，分析起来稍微有点难度。验证是在 sub_5F038FAE 函数中做的，我们改过签名，肯定不能通过，函数返回 0x7FFFFFFF，然后把这个值放到了R6寄存器里。

 

JNI_OnLoad() 会返回JAVA版本，这个SO里的做法有点奇怪，大致是这样的：

double d1 = (double) 0x7FFFFFFF; // R6 
double d2 = 10000, d3 = 65542, d4 = 2;
double d_result;
int result;

d_result = pow(d2, d1) * d3 - d4;
result = (int) d_result;

也就是将签名验证的结果放到 R6 中，计算 10000 的 R6 次方，然后乘以 65545，再减去2. 如果签名验证通过，R6里为0，那么结果是 0x10004，也就是 JNI_VERSION_1_4。

看到最后的签名结果是从R6中取的，那么我们只需将R6的值清0:。在调用sub_5F038FAE函数之后，会把返回值R0保存到R6中：

OPCODE是0x1C06，在这里清R6，改为 EOR R6, R6. OPCODE为0x4076：

写回到文件中

IREADER就可以运行起来了。修改 AndroidMenifest.xml ，把 LAUNCH Activity 改成 com.zhangyue.iReader.bookshelf.ui.ActivityBookShelf，删除 WelcomeActivity，这样就可以跳过欢迎界面直接进书架。

 

但是还遇到一个问题，在书架界面第一次按返回键，进入到“书城”界面，返回后再按返回键才能退出。看来 ActivityBookShelf 对返回键也做了处理，打开 smali 文件，找到 onKeyDown() 函数，观察到应该调用 this.s() 函数（这里面有调用了this.j()）是退出，前面有一些判断，不必管它是干什么，直接干掉：

.line 1135
:cond_8

invoke-direct {p0}, Lcom/zhangyue/iReader/bookshelf/ui/ActivityBookShelf;->s()V

goto/16 :goto_0

.line 1159

在 this.j() 里面也有this.h的判断，同样干掉即可。用apktool重新打包，就搞定了。

 

重新生成APK放到了百度网盘，链接: http://pan.baidu.com/s/1i5wFTgp 密码: vxxt