破解切某果游戏【附smali语言学习方法及破解游戏经验】
本帖最后由 王子晟 于 2018-6-26 10:13 编辑破解一款游戏很简单，在这里用Androidkiller分享一下工具的使用和破解游戏的方法。主要是总结一些自学smali语言的方法
##前半部分主要是学习连接以及知识总结，后半部分为破解教程##
学习链接：https://www.52pojie.cn/thread-632178-1-2.html
Androidkiller链接：https://pan.baidu.com/s/1pJ1NcIzkM1riIP-eUCxvbg 密码：iljl
（游戏原版链接：https://pan.baidu.com/s/1G5gcp3TcvSfmSwlm0klKgw 密码：yrjg）
（游戏破解后链接：https://pan.baidu.com/s/1JPWoEY-6eDiQOhyiRod69w 密码：y6aj）
自己总结的smali语言学习查词表：
Smali语法
①基本数据类型
smali类型 java类型
V void
Z boolean
B byte
S short
C char
I int
J long （64位 需要2个寄存器存储）
F float
D double （64位 需要2个寄存器存储）
②对象
smali对象 java对象
Lpackage/name/ObjectName; package.name.ObjectName
Ljava/lang/String; java.lang.String
L 表示对象类型
package/name 表示包名
; 表示结束③数组
smali数组 java数组
一维数组
[[] 二维数组
对象数组
注：每一维最多255个④类字段/变量
Lpackage/name/ObjectName;——>FieldName:Ljava/lang/String;
smali字段 java字段
public f1:Z public boolean f1;
public f2:I public int f2;
public f3:L java/lang/String; public String f3;
1.赋值
静态static
const-string v0, "Hello Smali"
sput-object v0, Lcom/MyActivity;->name:Ljava/lang/String;
相当于java代码 MyActivity.name = "Hello Smali"
非静态instance
.local v0, act:Lcom/MyActivity;
const/4 v1, 0x2
iput v1, v0, Lcom/MyActivity;->name:Ljava/lang/String;
相当于java代码 act.name = "Hello Smali"
2.取值
静态(static fields)
sget-object v0, Lcom/MyActivity;->name:Ljava/lang/String;
相当于java代码 v0 = MyActivity.name;
非静态(instance fields)
.local v0, act:Lcom/MyActivity;
iget-object v1, v0 Lcom/MyActivity;->name:Ljava/lang/String;
相当于java代码 v1 = act.name;⑤类方法/函数
smali方法 java方法
myMethod()
//Java代码
protected void onCreate(Bundle savedInstanceState) {
super.onCreate(savedInstanceState);
setContentView(R.layout.activity_main);
}
#samli代码
.method protected onCreate(Landroid/os/Bundle;)V
.locals 1
.parameter "savedInstanceState"
.prologue
.line 8
invoke-super {p0, p1}, Landroid/app/Activity;->onCreate(Landroid/os/Bundle;)V
.line 9
const/high16 v0, 0x7f03
invoke-virtual {p0, v0}, Lcom/fusijie/helloworld/MainActivity;->setContentView(I)V
.line 10
return-void
.end method
#是smali注释
.method和.end method 类似Java大括号{}
.locals 指定方法中非参寄存器总数,出现在方法第一行
.registers 指定方法中寄存器总数
.prologue 表示代码开始
.line 表示java源码行号,用于调试
invoke-static 调用static方法/函数
invoke-super 调用父类方法
invoke-direct 调用private方法
invoke-virtual 调用protected或public方法
return-void 表示方法结束返回void
p0 在静态方法中表示当前对象实例
p1 表示当前onCreate方法参数
v0 表示本地(局部)变量,存放在locals寄存器
move-result 获取方法返回基本数据类型
move-result-object 获取方法返回对象
const/4 v2, 0x0
invoke-virtual {p0, v2}, Lcom/Activity;->getPreferences(I)Landroid/content/SharedPreferences;
move-result-object v1
v1保存的就是调用getPreferences(int)方法返回的SharedPreferences实例
invoke-virtual {v2}, Ljava/lang/String;->length()I
move-result v2
v2保存的则是调用String.length()返回的整型
注: Long和Double类型是64位,需要2个寄存器存储参数
例如:
myMethod(IJ)V;
参数
P1 I(int)
P2,P3 J(long)⑥条件判断语句(if)
if-eq p1, v0, :c1
:c1
invoke-direct {p0}, Lcom/paul/test/a;->d()V
解读：如果p1和v0相等,则执行c1流程
if-ne p1, v0, :c2
:c2
invoke-direct {p0}, Lcom/paul/test/a;->c()V
解读：表示不相等,则执行c2流程
if-gt 大于
if-ge 大于等于
if-lt 小于
if-le 小于等于
"if-eq vA, vB, :cond_**" 如果vA等于vB则跳转到:cond_**
"if-ne vA, vB, :cond_**" 如果vA不等于vB则跳转到:cond_**
"if-lt vA, vB, :cond_**" 如果vA小于vB则跳转到:cond_**
"if-ge vA, vB, :cond_**" 如果vA大于等于vB则跳转到:cond_**
"if-gt vA, vB, :cond_**" 如果vA大于vB则跳转到:cond_**
"if-le vA, vB, :cond_**" 如果vA小于等于vB则跳转到:cond_**
"if-eqz vA, :cond_**" 如果vA等于0则跳转到:cond_**
"if-nez vA, :cond_**" 如果vA不等于0则跳转到:cond_**
"if-ltz vA, :cond_**" 如果vA小于0则跳转到:cond_**
"if-gez vA, :cond_**" 如果vA大于等于0则跳转到:cond_**
"if-gtz vA, :cond_**" 如果vA大于0则跳转到:cond_**
"if-lez vA, :cond_**" 如果vA小于等于0则跳转到:cond_**
下面开始对游戏进行破解：
首先是把apk在cmd命令下，adb install 到手机试玩
file:///C:/Users/25225/Documents/Tencent%20Files/2522557988/Image/C2C/8AC95D132B42A8EE0A9270580B881980.jpgfile:///C:/Users/25225/Documents/Tencent%20Files/2522557988/Image/C2C/8AC95D132B42A8EE0A9270580B881980.jpgfile:///C:/Users/25225/Documents/Tencent%20Files/2522557988/Image/C2C/8AC95D132B42A8EE0A9270580B881980.jpg
之后把apk拉进Androidkiller，根据付费时的弹框信息，尝试搜索：失败
##在这里要注意一下Androidkiller的一个bug，拉进去apk进行解析的时候会很长时间都在解析，那么，只要关闭Androidkiller再打开双击我们的apk即可##根据支付提示：失败进行着手分析
工程搜索——搜索字符
输入：失败（搜索支付失败时，搜不到数据，那么我们从关键词上就得注意既要关键又要精简）
这里要注意，要把汉字进行转换才能后进行搜索
根据字义理解选取有用的字符进行分析
这里我们要去查看“购买失败”所在的方法名，再结合上下文看一下别的方法名，这里有：payResultFalse（）、payResultSuccess（）和payResultCancel（）三个方法，也能侧面辅助我们分析
复制这个方法名：payResultFalse，点咖啡查看java源码
转换到java后Ctrl + F键 进行搜索 payResultFalse如下图：
那么我们可以这样想，如果用payResultSuccess里的代码替换到payResultCancel和payResultFalse
中去，无论它跳转到失败还是成功，都将执行支付成功的代码，那么我们就达到无限金币和道具的破解目的了。
当然，我们不能对java代码进行更改，要改只能改写smali代码，回到smali代码那里分析代码：
如下图：
按照上面的思路，我们只要把payResultSuccess(）中的内容替换到payResultFalse()和payResultCancel()中即可达到破解其无限金币与道具购买的目的。
由于方法的代码比较长，这里以payResultCancel()为例，对smali代码进行简易分析：
所以，把：payResultSuccess(）方法里的内容从：.locals一直到.end method之前全部替换到payResultFalse()和payResultCancel()中去即可
这里要注意一下，我们对smali代码进行更改后，一定要Ctrl+S键进行保存，否则的话，编译的时候仍然是原来的代码，不会改变。有好多同学会感觉是改错地方了，实际上并不是没有改好代码，而是是没保存代码带来的麻烦。
编译完成后，在下面会有提示完成并告知路径，双击即可打开apk所在位置。
这样我们再安装到手机上去试玩时就可以无限金币和道具购买了，
购买时虽然会出现弹框“购买失败”但仍会购买成功，达到目的。
由于是初学者具体怎么去弹框目前还未深入学习。
这里感谢大佬们提供的学习教程！
感谢分享破解经验楼主厉害了 刚好这几天在接触逆向思维 对于smail语法不熟悉 代码的开头结尾也不能分清这篇帖子解决了我一个大问题感谢感谢🙏 谢谢分享 很不错的教程 非常感谢楼主的热心分享！
谢谢分享 这个太强了，一定细细学习一下！ 老哥 能破解的都是大圣 看上去不错 感谢分享