安卓5.0oat文件原生逆向浅析视频教程

xiaoxin520

大家好，我是七少月，安卓5.0系统已成常态，而大部分朋友的思维依然在Davlik阶段，本例就是一个简单的使用oatdump工具逆向安卓5.0特征文件oat文件的一个演示。目前，对于oat文件逆向和oatdump工具大多教程为图文，此为视频，仅供参考，希望提出宝贵意见。

oatdump文件在/system/bin路径下，
该文件只能在手机连接下使用
命令：
adb shell oatdump --oat-file=/data/dalvik-cache/arm64/data@app@com.example.helloworld1-1@base.apk@classes.dex

这是我手机里的情况，如有时/dalvik-cache/arm64路径是/dalvik-cache/arm，
自己修改。另外，这个文件路径一般不要改动，虽然理论上没问题，但实际会
出现Unknown的问题，当然你可以试试在su下情况。

现象：与安卓4.4以前版本不同，原本/data/app/包名.apk，现在为/data/app/包名/base.apk，当我们对base.apk进行替换，替换为另一个修改过的base.apk，那么当打开软件是，是被替换过的APK运行情况。而当你替换=/data/dalvik-cache/arm64/data@app@com.example.helloworld1-1@base.apk@classes.dex这个文件时，则依然以原APK方式运行，此时这个dex文件实则是OAT文件。

结论：
1.在安卓5.0系统及其以上，打不打开一个APK并不重要，重要的是APK在安装时；
2.dex2oat，也就是APK的DEX文件是在安装时编译为oat文件的；
3.即使oat文件出现错误或被删除，依然可以正常运行，用的就是原davlik虚拟机模式，所以才发生上述的现象。

技巧：
简化你的APP：由于cmd窗口容量有限，如果不进行简化，根本看不到我们关心的smali及其方法。我们把R.SAMLI等全部删掉，发现APK依然可以成功运行。这样我们就只保留关键的mainactivity.smali，可以完全看到该smali的原生情况。
另外，APK能不能打开也不重要，因为即使APK不能打开，它安装时就会生成oat文件，丝毫不影响我们去分析oat文件。这与原davlik必须打开才生成相应的DEX文件有根本区别。

下载链接：http://pan.baidu.com/s/1nus8EYd

LeoSky

占坑，以后备用，多谢楼主分享。

Dicker

哇哦 ！七少月 ，看你的公开课视频 学的 Android 逆向！不知道 是不是你？ 这是你吾爱的ID？ 顶一下你拉！

xiaomi1991

谢楼主 认真学习

学姐的笑

感谢楼主分享

kali-cc

膜拜膜拜

kali-cc

谢谢分享

lawlier

感谢分享。

Leo_Y

感谢楼主分享，学习了。。。