Android smali逆向还原练习之switch case

一、背景
熟悉VC编译器的朋友，对switch case汇编代码不会感到陌生。
switch case 代码基本分位3类：
1、case分支小于等于3,数值连续。编译器生成的汇编代码，直接用 cmp [ebp+var_4], 0 jz short loc_401042之类指令代替
2、case分支大于3小于等于256。编译器会生成一张或者两张table表，case分支通过查表找到代码地址
2、case分支大于3，数值很离散。编译器会用平衡树的结构，即生成的代码逻辑上构成一颗平衡树。

二、研究目的
Android apk软件的逆向，一般的主战场仍然在java层，有反调试和加固的apk除外。在jeb、jadx、jd-gui工具横行的今天，很多时候我们不需要熟悉smali源码，直接使用工具反中间码为java源码就OK了。那还分析smali干嘛呢？

熟悉smali中间代码主要意义如下：
1、在动态调试smali代码时会比较有帮助
2、工具不管用情况下，需要静态分析手工还原smali代码为java代码，会大大提高还原效率。
3、给了我们一个窥探java 语法设计原理的方法

三、这里只分析编译器会生成table的情形

含有table表的switch case中间码分两种类型：
sparse-switch 和 packed-switch
它们两的区别：
A packed-switch uses a simple jump table, indexed by the form low + n, where low is the lowest test value among the case labels, and n is the input to the switch. The values at each index represent the bytecode offsets for each case. Finding the correct jump address is a constant-time operation.
packed-switch 简单实用跳表，实际上就是一个数组，数值元素是地址值。跳表索引值 = base值(low) + n

A sparse-switch uses a sorted list of key-value pairs, where each key is a test value from a caselabel, and the values are jump offsets. Finding the correct jump target for a lookupswitch requires a binary search on the key, so it is a logarithmic-time operation.
sparse-switch 实用键值对实现，一个key对应一个地址值

3.1 sparse-switch 基本语法格式举例：
sparse-switch v1, :sswitch_data_0
default: code
....
:sswitch_data_0
.sparse-switch
0x5ec5cc94 -> :sswitch_0
0x5ec5cc96 -> :sswitch_1
0x5ec5cc98 -> :sswitch_2
0x5ec5cc99 -> :sswitch_3
0x5ec5ccb0 -> :sswitch_4
.end sparse-switch

说明：上述代码使用sparse 解析v1,如果查表成功则走入相应的分支，如果查表不成功，则顺序执行（实际上走的是default分支）
第一case值是：0x5ec5cc94 ，第二个case值是0x5ec5cc96 ...

3.2 packed-switch 基本语法格式举例：
packed-switch v0, :pswitch_data_0

default: code

:pswitch_data_0
.packed-switch 0x0
    :pswitch_0
    :pswitch_1
    :pswitch_2
    :pswitch_3
    :pswitch_4
.end packed-switch

说明：上述代码 使用pswitch解析v0,如果查表成功则走入相应的分支，如果查表不成功，则顺序执行（实际上走的是default分支）
第一个case值是 0，第二个case值是 1 ...

举一个实战荔枝：

举例smali源代码：
.class public Lme/veryyoung/wechat/luckymoney/VersionParam;
.super Ljava/lang/Object;

static fields

.field public static getMessageClass:Ljava/lang/String;
.field public static getNetworkByModelMethod:Ljava/lang/String;
.field public static receiveUIFunctionName:Ljava/lang/String;
.field public static receiveUIParamName:Ljava/lang/String;

direct methods

.method static constructor <clinit>()V
.locals 1
const-string v0, "c"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->receiveUIFunctionName:Ljava/lang/String;
const-string v0, "vS"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->getNetworkByModelMethod:Ljava/lang/String;
const-string v0, "com.tencent.mm.v.k"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->receiveUIParamName:Ljava/lang/String;
const-string v0, "com.tencent.mm.e.b.bv"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->getMessageClass:Ljava/lang/String;
return-void
.end method
.method public constructor <init>()V
.locals 0
invoke-direct {p0}, Ljava/lang/Object;-><init>()V
return-void
.end method
.method public static init(Ljava/lang/String;)V
.locals 2
const/4 v0, -0x1
invoke-virtual {p0}, Ljava/lang/String;->hashCode()I
move-result v1
sparse-switch v1, :sswitch_data_0
:cond_0
:goto_0
packed-switch v0, :pswitch_data_0
const-string v0, "c"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->receiveUIFunctionName:Ljava/lang/String;
const-string v0, "vS"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->getNetworkByModelMethod:Ljava/lang/String;
const-string v0, "com.tencent.mm.v.k"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->receiveUIParamName:Ljava/lang/String;
const-string v0, "com.tencent.mm.e.b.bv"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->getMessageClass:Ljava/lang/String;
:goto_1
return-void
:sswitch_0
const-string v1, "6.3.23"
invoke-virtual {p0, v1}, Ljava/lang/String;->equals(Ljava/lang/Object;)Z
move-result v1
if-eqz v1, :cond_0
const/4 v0, 0x0
goto :goto_0
:sswitch_1
const-string v1, "6.3.25"
invoke-virtual {p0, v1}, Ljava/lang/String;->equals(Ljava/lang/Object;)Z
move-result v1
if-eqz v1, :cond_0
const/4 v0, 0x1
goto :goto_0
:sswitch_2
const-string v1, "6.3.27"
invoke-virtual {p0, v1}, Ljava/lang/String;->equals(Ljava/lang/Object;)Z
move-result v1
if-eqz v1, :cond_0
const/4 v0, 0x2
goto :goto_0
:sswitch_3
const-string v1, "6.3.28"
invoke-virtual {p0, v1}, Ljava/lang/String;->equals(Ljava/lang/Object;)Z
move-result v1
if-eqz v1, :cond_0
const/4 v0, 0x3
goto :goto_0
:sswitch_4
const-string v1, "6.3.30"
invoke-virtual {p0, v1}, Ljava/lang/String;->equals(Ljava/lang/Object;)Z
move-result v1
if-eqz v1, :cond_0
const/4 v0, 0x4
goto :goto_0
:pswitch_0
const-string v0, "d"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->receiveUIFunctionName:Ljava/lang/String;
const-string v0, "vE"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->getNetworkByModelMethod:Ljava/lang/String;
const-string v0, "com.tencent.mm.t.j"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->receiveUIParamName:Ljava/lang/String;
const-string v0, "com.tencent.mm.e.b.bl"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->getMessageClass:Ljava/lang/String;
goto :goto_1
:pswitch_1
const-string v0, "d"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->receiveUIFunctionName:Ljava/lang/String;
const-string v0, "vF"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->getNetworkByModelMethod:Ljava/lang/String;
const-string v0, "com.tencent.mm.t.j"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->receiveUIParamName:Ljava/lang/String;
const-string v0, "com.tencent.mm.e.b.bl"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->getMessageClass:Ljava/lang/String;
goto :goto_1
:pswitch_2
const-string v0, "e"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->receiveUIFunctionName:Ljava/lang/String;
const-string v0, "yj"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->getNetworkByModelMethod:Ljava/lang/String;
const-string v0, "com.tencent.mm.u.k"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->receiveUIParamName:Ljava/lang/String;
const-string v0, "com.tencent.mm.e.b.br"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->getMessageClass:Ljava/lang/String;
goto :goto_1
:pswitch_3
const-string v0, "c"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->receiveUIFunctionName:Ljava/lang/String;
const-string v0, "vP"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->getNetworkByModelMethod:Ljava/lang/String;
const-string v0, "com.tencent.mm.v.k"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->receiveUIParamName:Ljava/lang/String;
const-string v0, "com.tencent.mm.e.b.bu"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->getMessageClass:Ljava/lang/String;
goto :goto_1
:pswitch_4
const-string v0, "c"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->receiveUIFunctionName:Ljava/lang/String;
const-string v0, "vS"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->getNetworkByModelMethod:Ljava/lang/String;
const-string v0, "com.tencent.mm.v.k"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->receiveUIParamName:Ljava/lang/String;
const-string v0, "com.tencent.mm.e.b.bv"
sput-object v0, Lme/veryyoung/wechat/luckymoney/VersionParam;->getMessageClass:Ljava/lang/String;
goto/16 :goto_1
:sswitch_data_0
.sparse-switch
0x5ec5cc94 -> :sswitch_0
0x5ec5cc96 -> :sswitch_1
0x5ec5cc98 -> :sswitch_2
0x5ec5cc99 -> :sswitch_3
0x5ec5ccb0 -> :sswitch_4
.end sparse-switch
:pswitch_data_0
.packed-switch 0x0
:pswitch_0
:pswitch_1
:pswitch_2
:pswitch_3
:pswitch_4
.end packed-switch
.end method

手工还原成java源代码：
pakage me.veryyoung.wechat.luckymoney
public class VersionParam{
public static String getMessageClass;
public static String getNetworkByModelMethod;
public static String receiveUIFunctionName;
public static String receiveUIParamName;
static{//clinit
receiveUIFunctionName = "c";
getNetworkByModelMethod = "vS";
receiveUIParamName = "com.tencent.mm.v.k";
getMessageClass = "com.tencent.mm.e.b.bv";
}
public VersionParam(){
super();
}
public static init(String str){
int hashCode = str.hashCode();
int index = -1;
switch(hashCode){//sparse-switch
case 0x5ec5cc94:
if(str.equals("6.3.23")){
index = 0;
}
break;
case 0x5ec5cc96:
if(str.equals("6.3.25")){
index = 1;
}
break;
case 0x5ec5cc98:
if(str.equals("6.3.27")){
index = 2;
}
break;
case 0x5ec5cc99:
if(str.equals("6.3.28")){
index = 3;
}
break;
case 0x5ec5ccb0:
if(str.equals("6.3.30")){
index = 4;
}
default:
break;
}
switch(index){
case 0:
receiveUIFunctionName = "d";
getNetworkByModelMethod = "vE";
receiveUIParamName = "com.tencent.mm.t.j";
getMessageClass = "com.tencent.mm.e.b.bl";
break;
case 1:
receiveUIFunctionName = "d";
getNetworkByModelMethod = "vF";
receiveUIParamName = "com.tencent.mm.t.j";
getMessageClass = "com.tencent.mm.e.b.bl";

            break;
        case 2:
            receiveUIFunctionName = "e";
            getNetworkByModelMethod = "yj";
            receiveUIParamName = "com.tencent.mm.u.k";
            getMessageClass = "com.tencent.mm.e.b.br";
            break;
        case 3:
            receiveUIFunctionName = "c";
            getNetworkByModelMethod = "vP";
            receiveUIParamName = "com.tencent.mm.v.k";
            getMessageClass = "com.tencent.mm.e.b.bu";
            break;
        case 4:
            receiveUIFunctionName = "c";
            getNetworkByModelMethod = "vS";
            receiveUIParamName = "com.tencent.mm.v.k";
            getMessageClass = "com.tencent.mm.e.b.bv";
            break;
        default:
            receiveUIFunctionName = "c";
            getNetworkByModelMethod = "vS";
            receiveUIParamName = "com.tencent.mm.v.k";
            getMessageClass = "com.tencent.mm.e.b.bv";
            break;
    }
}

}

比较作者源代码：
package me.veryyoung.wechat.luckymoney;
public class VersionParam {
public static String receiveUIFunctionName = "c";
public static String getNetworkByModelMethod = "vS";
public static String receiveUIParamName = "com.tencent.mm.v.k";
public static String getMessageClass = "com.tencent.mm.e.b.bv";
public static void init(String version) {
switch (version) {
case "6.3.23":
receiveUIFunctionName = "d";
getNetworkByModelMethod = "vE";
receiveUIParamName = "com.tencent.mm.t.j";
getMessageClass = "com.tencent.mm.e.b.bl";
break;
case "6.3.25":
receiveUIFunctionName = "d";
getNetworkByModelMethod = "vF";
receiveUIParamName = "com.tencent.mm.t.j";
getMessageClass = "com.tencent.mm.e.b.bl";
break;
case "6.3.27":
receiveUIFunctionName = "e";
getNetworkByModelMethod = "yj";
receiveUIParamName = "com.tencent.mm.u.k";
getMessageClass = "com.tencent.mm.e.b.br";
break;
case "6.3.28":
receiveUIFunctionName = "c";
getNetworkByModelMethod = "vP";
receiveUIParamName = "com.tencent.mm.v.k";
getMessageClass = "com.tencent.mm.e.b.bu";
break;
case "6.3.30":
receiveUIFunctionName = "c";
getNetworkByModelMethod = "vS";
receiveUIParamName = "com.tencent.mm.v.k";
getMessageClass = "com.tencent.mm.e.b.bv";
break;
default:
receiveUIFunctionName = "c";
getNetworkByModelMethod = "vS";
receiveUIParamName = "com.tencent.mm.v.k";
getMessageClass = "com.tencent.mm.e.b.bv";
}
}
}

最后编辑于 ：
©著作权归作者所有,转载或内容合作请联系作者
  • 人面猴
    序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
    沈念sama阅读 157,298评论 4赞 360
  • 死咒
    序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
    沈念sama阅读 66,701评论 1赞 290
  • 救了他两次的神仙让他今天三更去死
    文/潘晓璐 我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
    开封第一讲书人阅读 107,078评论 0赞 237
  • 道士缉凶录：失踪的卖姜人
    文/不坏的土叔 我叫张陵，是天一观的道长。 经常有香客问我，道长，这世上最难降的妖魔是什么？ 我笑而不...
    开封第一讲书人阅读 43,687评论 0赞 202
  • 港岛之恋（遗憾婚礼）
    正文 为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
    茶点故事阅读 52,018评论 3赞 286
  • 恶毒庶女顶嫁案：这布局不是一般人想出来的
    文/花漫 我一把揭开白布。 她就那样静静地躺着，像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上，一...
    开封第一讲书人阅读 40,410评论 1赞 211
  • 城市分裂传说
    那天，我揣着相机与录音，去河边找鬼。 笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。 我是一名探鬼主播，决...
    沈念sama阅读 31,729评论 2赞 310
  • 双鸳鸯连环套：你想象不到人心有多黑
    文/苍兰香墨 我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
    开封第一讲书人阅读 30,412评论 0赞 194
  • 万荣杀人案实录
    序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
    沈念sama阅读 34,124评论 1赞 239
  • 护林员之死
    正文 独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 30,379评论 2赞 242
  • 白月光启示录
    正文 我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 31,903评论 1赞 257
  • 活死人
    序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
    沈念sama阅读 28,268评论 2赞 251
  • 日本核电站爆炸内幕
    正文 年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
    茶点故事阅读 32,894评论 3赞 233
  • 男人毒药：我在死后第九天来索命
    文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 26,014评论 0赞 8
  • 一桩弑父案，背后竟有这般阴谋
    文/苍兰香墨 我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 26,770评论 0赞 192
  • 情欲美人皮
    我被黑心中介骗来泰国打工， 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。 一个月前我还...
    沈念sama阅读 35,435评论 2赞 269
  • 代替公主和亲
    正文 我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
    茶点故事阅读 35,312评论 2赞 260

推荐阅读更多精彩内容

  • android逆向之Dalvik指令集
    前言 附参考链接:smali文件语法参考 类型 字节码类型描述符 其中L类型可以表示Java类型中的任何类.例如 ...
    Bui_vlee阅读 3,662评论 1赞 3
  • 安卓逆向系列教程（一）Dalvik 指令集
    安卓逆向系列教程（一）Dalvik 指令集 作者：飞龙 寄存器 Dalvik 指令集完全基于寄存器，也就是说，没有...
    布客飞龙阅读 1,890评论 0赞 28
  • smali 学习笔记
    smali学习 数据类型dalvik字节码有两种数据类型，原始类型和引用类型。对象和数组是引用类型，其他都是原始类...
    卧槽欢爷阅读 1,177评论 2赞 2
  • Spring Cloud
    Spring Cloud为开发人员提供了快速构建分布式系统中一些常见模式的工具（例如配置管理，服务发现，断路器，智...
    卡卡罗2017阅读 134,087评论 18赞 139
  • 一切顺其自然，不再强求
    8月份的自己总是因为工作而烦恼，甚至一直因为在乎自己的户口存款是0而在痛苦，在伤心，甚至吃不下，睡不着，担心着接下...
    张艾婷阅读 342评论 0赞 0