Android apk动态调式以及UI定位

分手后的思念是犯贱 2023-01-10 09:43 105阅读 0赞

### 工具 ###

Android Studio，后面的内容简称AS.

Android Studio 是谷歌推出的一个Android集成开发工具，基于IntelliJ IDEA. 类似 Eclipse ADT，Android Studio 提供了集成的 Android 开发工具用于开发和调试。

### 系统app调试 ###

开发系统app的时候，大多数基于makefile的，并且签名是platform的，因此不能直接通过源码进行调试。本文不打算拿系统app来讲解如何调试，不过会使用这里的调式技巧，那么**调试系统app**也很简单了(系统app的源码大都涉密，不方便拿来举例，AOSP的源码例外)。

这里主要是Java层的调试，native层的调试在后续文章中会讲解。

#### 应用程序 ####

源码很简单，主要包括一个MainActivity，部分代码如下:

@Override
        protected void onCreate(Bundle savedInstanceState) { 
            super.onCreate(savedInstanceState);
            setContentView(R.layout.activity_main);
    
            password_et = (EditText) this.findViewById(R.id.password);
            username_et = (EditText) this.findViewById(R.id.username);
            message_tv = ((TextView) findViewById(R.id.textView));
            registerReceiver(new MyReceiver(), new IntentFilter("send"));
            ...
     }

通过objection查看安装目录，关于objection的使用在[Frida进阶之内存漫游及简单抓包][Frida]有所介绍。通过env命令可以查看安装目录。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center]使用**adb pull** 导出apk.

#### 使用AS进行debug ####

点击File->Profile or Debug APK，选择导出的apk。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 1]在右上角有Attach Kotlin/Java Source…，选择源代码路径，这时候相应的smali就编程源代码了。![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 2]选择Attach debugger to Android Process，选择相应的进程，在需要的地方下断点就可以正常调式了。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 3]这就和和正常的app的调试是一样的了。

当然也可以通过Run->Debug来调试，这种和普通app的调试就一样了。注意：在debug配置的时候选择Java Only。

### JDB调试Android程序 ###

在[App动态调试(1)-Radare2和lldb][App_1_-Radare2_lldb] 中对JDB调试进行了简单的介绍，通过jdb调试来跟踪指定的动态库加载完成。

#### JDWP 协议 ####

首先让我们认识一下什么是 JDWP（Java Debug Wire Protocol），说白了就是 JVM 或者类 JVM 的虚拟机都支持一种协议，通过该协议，Debugger 端可以和目标 VM 通信，可以获取目标 VM 的包括类、对象、线程等信息。

在调试 Android 应用程序这一场景，**Debugger 一般是指你的 develop machine 的某一支持 JDWP 协议的工具例如 Android Studio 或者 JDB**，而 **Target JVM 是指运行在你 mobile 设备当中的各个 App（因为它们都是一个个虚拟机 Dalvik 或者 ART）**。

JDWP Agent一般负责监听某一个端口，当有 Debugger 向这一个端口发起请求的时候，Agent 就转发该请求给 Target JVM 并最终由该 JVM 来处理请求，并把 reply 信息返回给 Debugger 端。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 4]针对Android设备，可参考下面这个图， JDWP Agent 在 Android 手机上应该是指 adbd 进程。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 5] JDWP 协议的报文格式，JDWP 协议中主要有两种报文：Command packet 和 Reply packet，command packet 就是我们上面所说的请求报文，reply 自然就是对 command 的回答。

如果想深入了解JDWP协议，可参考https://docs.oracle.com/javase/8/docs/technotes/guides/troubleshoot/introclientissues005.html。

关于JDWP曾经存在过远程命令执行漏洞，有兴趣可参考https://blog.csdn.net/wanzt123/article/details/82793023。

#### JDB命令列表 ####

这个除了step、stop，其他的用的不太多，除非要自己开发调试器。

<table> 
 <thead> 
  <tr> 
   <th>命令</th> 
   <th>作用</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>connectors</td> 
   <td>列出此 VM 中可用的连接器和传输</td> 
  </tr> 
  <tr> 
   <td>run [class [args]]</td> 
   <td>开始执行应用程序的主类</td> 
  </tr> 
  <tr> 
   <td>threads [threadgroup]</td> 
   <td>列出线程</td> 
  </tr> 
  <tr> 
   <td>suspend [thread id(s)]</td> 
   <td>挂起线程 (默认值: all)</td> 
  </tr> 
  <tr> 
   <td>resume [thread id(s)]</td> 
   <td>恢复线程 (默认值: all)</td> 
  </tr> 
  <tr> 
   <td>where [ | all]</td> 
   <td>转储线程的堆栈</td> 
  </tr> 
  <tr> 
   <td>wherei [ | all]</td> 
   <td>转储线程的堆栈, 以及 pc 信息</td> 
  </tr> 
  <tr> 
   <td>up [n frames]</td> 
   <td>上移线程的堆栈</td> 
  </tr> 
  <tr> 
   <td>down [n frames]</td> 
   <td>下移线程的堆栈</td> 
  </tr> 
  <tr> 
   <td>kill</td> 
   <td>终止具有给定的异常错误对象的线程</td> 
  </tr> 
  <tr> 
   <td>interrupt</td> 
   <td>中断线程</td> 
  </tr> 
  <tr> 
   <td>print</td> 
   <td>输出表达式的值</td> 
  </tr> 
  <tr> 
   <td>dump</td> 
   <td>输出所有对象信息</td> 
  </tr> 
  <tr> 
   <td>eval</td> 
   <td>对表达式求值 (与 print 相同)</td> 
  </tr> 
  <tr> 
   <td>set</td> 
   <td>向字段/变量/数组元素分配新值</td> 
  </tr> 
  <tr> 
   <td>locals</td> 
   <td>输出当前堆栈帧中的所有本地变量</td> 
  </tr> 
  <tr> 
   <td>classes</td> 
   <td>列出当前已知的类</td> 
  </tr> 
  <tr> 
   <td>class</td> 
   <td>显示已命名类的详细资料</td> 
  </tr> 
  <tr> 
   <td>methods</td> 
   <td>列出类的方法</td> 
  </tr> 
  <tr> 
   <td>fields</td> 
   <td>列出类的字段</td> 
  </tr> 
  <tr> 
   <td>threadgroups</td> 
   <td>列出线程组</td> 
  </tr> 
  <tr> 
   <td>threadgroup</td> 
   <td>设置当前线程组</td> 
  </tr> 
  <tr> 
   <td>stop in .[(argument_type,…)]</td> 
   <td>在方法中设置断点</td> 
  </tr> 
  <tr> 
   <td>stop at :</td> 
   <td>在行中设置断点</td> 
  </tr> 
  <tr> 
   <td>clear .[(argument_type,…)]</td> 
   <td>清除方法中的断点</td> 
  </tr> 
  <tr> 
   <td>clear :</td> 
   <td>清除行中的断点</td> 
  </tr> 
  <tr> 
   <td>clear</td> 
   <td>列出断点</td> 
  </tr> 
  <tr> 
   <td>catch [uncaught caught all]</td> 
   <td>出现指定的异常错误时中断</td> 
  </tr> 
  <tr> 
   <td>ignore [uncaught caught all]</td> 
   <td>对于指定的异常错误, 取消 ‘catch’</td> 
  </tr> 
  <tr> 
   <td>watch [access all] .</td> 
   <td>监视对字段的访问/修改</td> 
  </tr> 
  <tr> 
   <td>unwatch [access all] .</td> 
   <td>停止监视对字段的访问/修改</td> 
  </tr> 
  <tr> 
   <td>trace [go] methods [thread]</td> 
   <td>跟踪方法进入和退出。</td> 
  </tr> 
  <tr> 
   <td>trace [go] method exit exits [thread]</td> 
   <td>跟踪当前方法的退出, 或者所有方法的退出</td> 
  </tr> 
  <tr> 
   <td>untrace [methods]</td> 
   <td>停止跟踪方法进入和/或退出</td> 
  </tr> 
  <tr> 
   <td>step</td> 
   <td>执行当前行</td> 
  </tr> 
  <tr> 
   <td>step up</td> 
   <td>一直执行, 直到当前方法返回到其调用方</td> 
  </tr> 
  <tr> 
   <td>stepi</td> 
   <td>执行当前指令</td> 
  </tr> 
  <tr> 
   <td>cont</td> 
   <td>从断点处继续执行</td> 
  </tr> 
  <tr> 
   <td>list [line number method]</td> 
   <td>输出源代码</td> 
  </tr> 
  <tr> 
   <td>use (或 sourcepath) [source file path]</td> 
   <td>显示或更改源路径</td> 
  </tr> 
  <tr> 
   <td>exclude [, …</td> 
   <td>“none”]</td> 
  </tr> 
  <tr> 
   <td>classpath</td> 
   <td>从目标 VM 输出类路径信息</td> 
  </tr> 
  <tr> 
   <td>monitor</td> 
   <td>每次程序停止时执行命令</td> 
  </tr> 
  <tr> 
   <td>monitor</td> 
   <td>列出监视器</td> 
  </tr> 
  <tr> 
   <td>unmonitor &lt;monitor#&gt;</td> 
   <td>删除监视器</td> 
  </tr> 
  <tr> 
   <td>read</td> 
   <td>读取并执行命令文件</td> 
  </tr> 
  <tr> 
   <td>lock</td> 
   <td>输出对象的锁信息</td> 
  </tr> 
  <tr> 
   <td>threadlocks [thread id]</td> 
   <td>输出线程的锁信息</td> 
  </tr> 
  <tr> 
   <td>pop</td> 
   <td>通过当前帧出栈, 且包含当前帧</td> 
  </tr> 
  <tr> 
   <td>reenter</td> 
   <td>与 pop 相同, 但重新进入当前帧</td> 
  </tr> 
  <tr> 
   <td>redefine</td> 
   <td>重新定义类的代码</td> 
  </tr> 
  <tr> 
   <td>disablegc</td> 
   <td>禁止对象的垃圾收集</td> 
  </tr> 
  <tr> 
   <td>enablegc</td> 
   <td>允许对象的垃圾收集</td> 
  </tr> 
 </tbody> 
</table>

#### 调试程序 ####

使用JDB调试上面的apk程序。  
(1) 查看进程 adb shell ps | grep com.example.myapplication  
(2) 端口转发 adb forward tcp:12345 jdwp:15513(进程PID)  
(3)JDB和app之间建立联系 jdb -attach localhost:12345

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 6](4)设置断点 stop in com.example.myapplication.MainActivity.onCreate(android.os.Bundle)

由于这个这个方法已经运行了，因此这里是不能够出发断点的，如果在改方法调用之前能够suspend进程就能解决这个问题了。在[App动态调试(1)-Radare2和lldb][App_1_-Radare2_lldb] 通过R2frida的spawan模式使得进程suspend的。

#### 进入Debug模式 ####

添加这段代码android.os.Debug.waitForDebugger() 是能够实现的。  
也可以通过命令来以Debug方式启动：

adb shell am start –D  包名/类名

拿上面的apk举例，相应的命令就是:(本文基于的是Android 11)

adb shell am start  -D  com.example.myapplication/com.example.myapplication.MainActivity

当绑定debugger的时候会使得app恢复所与的线程，这是我门不希望的。**要阻止线程恢复，需要将suspend命令发送给jdb。**

{  echo "suspend"; cat; }  | jdb -attach localhost:12345

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 7]

### UI定位 ###

#### 记录AS中的一个错误 ####

记录AS中的一个错误，由于移除插件导致再次启动AS的时候出现了下面的错误:

> missing essential plugin org.jetbrains.android please reinstall android studio from scratch

这个错误是和用户有关的，因此可以通过用户切换来解决。

在Ubuntu上的解决办法:

rm -rf ./.config/Google/AndroidStudio4.1/disabled_plugins.txt

在其他平台也类似，找到用户目录，搜索disabled\_plugins.txt，然后删除就OK了。

#### 布局探测 ####

以某多多为例，根据这个关键字就能基本确定代码的位置了。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 8]

### 写在最后 ###

Android中涉及的调试有很多，包括framework层的调试以及native层的调试，后续会持续更新调试相关的文章。熟练使用调试对阅读代码和定位问题都有很大的帮助。

### 公众号 ###

更多内容，欢迎关注我的微信公众号: 无情剑客。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 9]

[Frida]: https://mp.weixin.qq.com/s?__biz=MzI1NjEyMzgxMw==&mid=2247484506&idx=1&sn=f4fcbdc028cc3a40a4b657643cda5cdd&chksm=ea2a3290dd5dbb86135cd9f6e69cd496bd2ec6319fe1a9e202fe307c794e68e723d6bddb4674&token=1382093453&lang=zh_CN#rd
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center]: /images/20221119/858cb8105e0945ab80ed089f31a707a3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 1]: https://img-blog.csdnimg.cn/20210123124037628.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ==,size_16,color_FFFFFF,t_70#pic_center
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20221119/2ca429fb32424b9bab7de704630ba291.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 3]: /images/20221119/f9904fde391c4a97acd04d753c2171b1.png
[App_1_-Radare2_lldb]: https://mp.weixin.qq.com/s?__biz=MzI1NjEyMzgxMw==&mid=2247484784&idx=1&sn=3e4b7f2ef735579a0018d5c6d12acd78&chksm=ea2a33badd5dbaac4c3d991948cd46ae2fbcb1c70196c3249d6555243deae9cac074d87afae0&token=1382093453&lang=zh_CN#rd
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 4]: /images/20221119/a84e7d2cd1224fdca514ffb7b886b4cf.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 5]: /images/20221119/ec9a0d8686c843e1938440c3bad6a98c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 6]: /images/20221119/b04172c43db545e08161c33f8dc7ec9f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 7]: /images/20221119/38ae4b50725f4834992bd1e154b3a529.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 8]: /images/20221119/f47d6fd33a8f4a46bb8438ee1dbee402.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 9]: /images/20221119/cc787a2a5ba340b9821315971ca88564.png