背景
android逆向分析、脱壳破解分析过程中免不了和android的各种文件格式打交道(so、dex、xml、art、oat等等)。
Android下的两个最重要的文件是DEX文件和SO文件,下面重点对这两个文件及关联文件进行下文的梳理总结,以此用于温故知新。
DEX文件
DEX它是android虚拟机的可执行字节码文件,我们知道java文件需要经过javac编译成class文件,dx工具会将所有的class文件合并处理最终生成dex文件。
dex文件分为四大部分: DEX文件头,索引结构区,data数据区,静态链接数据区。
在dex文件中所有的代码和数据都放在data数据区中,索引结构区中存放的是data中各种数据的对应的偏移和索引。
ODEX文件
ODEX它的英文全称为Optimized DEX;即优化过的DEX。
在android5.0之前,Android采用的是JIT(just-in-time)即时编译,也就是程序边执行边编译。为了增加程序执行的效率,android在APK第一次安装的时候将程序的dex文件进行优化生成odex文件,并将其放在了/data/dalvik-cache目录下,等待下次apk运行时直接加载这个目录中经过优化的odex文件(优化基于当前系统的dalvik虚拟机版本,不同版本上的odex文件无法进行兼容),避免重复验证提高执行效率,加快APK的响应时间。
OAT文件
在android5.0之后,android使用的是AOT(Ahead-of-time)事前编译,也就是程序在运行前先编译。oat是ART虚拟机运行的文件,是ELF格式二进制文件,包含DEX和编译的本地机器指令,oat文件包含DEX文件,因此比ODEX文件占用空间更大。
程序在首次安装的时候,dex2oat默认会把classes.dex翻译成本地机器指令,生成ELF格式的OAT文件,并将其放在了/data/dalvik-cache或者是/data/app/packagename/目录下。ART加载OAT文件后不需要经过处理就可以直接运行,它在编译时就从字节码装换成机器码了,因此运行速度更快。
在android5.0之后oat文件的后缀还是odex,但是已经不是android5.0之前的文件格式,而是ELF格式封装的本地机器码,可以认为oat在dex上加了一层壳,可以从oat里提取出dex。
(elf格式的oat)
因为此时的oat文件是一个标准的elf文件,识别其实其是不是oat文件的标准就是看其符号表。
oatdata指向的是ELF文件的.rodata节区,存放了OAT文件头OATHeader,OAT的DEX文件头,原始DEX文件的DexFile等信息。
oatexec指向的是ELF文件的.text节区,这里存放的是编译生成的指定平台的二进制代码。
oatlastword指向的是对应oat文件的结尾。
OAT文件大小差不多= dex文件+art文件
vdex文件
android8.0(Android O)之前dex文件嵌入到oat文件本身中,在Android 8.0之后dex2oat将classes.dex优化生成两个文件oat文件(.odex)和vdex文件(.vdex),其中包含APK的未压缩DEX代码,以及一些旨在加快验证速度的元数据。
odex文件中包含了本机代码的OAT
vdex文件包含了原始的DEX文件副本
ART文件
ART虚拟机在执行dex文件时,需要将dex文件中使用的类,字符串等信息转换为自定义的结构。art文件就是保存APK中使用的一些类,字符串等信息的ART内部表示,可以加快APK程序启动的速度。
ELF文件
ELF文件格式提供了两种不同的视角,在汇编器和链接器看来,ELF文件是由Section Header Table描述的一系列Section的集合,而执行一个ELF文件时,在加载器(Loader)看来它是由Program Header Table描述的一系列Segment的集合。
ELF它是 Executable and Linking Format 的缩写,它是android平台上通用的二进制文件格式。在 Android 的 NDK 开发中,几乎都是和 ELF 打交道。
比如:
1、c / c++ 文件编译得到的 .o(或者 .obj)文件就是 ELF 格式的文件;
2、动态库(.so)文件、可执行文件也是 ELF 文件;
3、动态库的字符串擦除、动态库加壳、动态库修复等都离不开 ELF;
ELF文件名称中的Executable和 Linking表明 ELF 有两种重要的特性。
1、Executable表示可执行的。ELF 文件将参与程序的执行(Execution)过程。包括二进制程序的运行以及动态库 .so 文件的加载。
2、Linking表示可连接的。ELF 文件参与编译链接过程。
文件加载
Android中Java层通过System.load或System.loadLibrary来加载一个so文件,它的定义在Android源码中的路径
为/libcore/luni/src/main/java/java/lang/System.java,执行流程如下:
加载so的两种方式
1、System.loadLibrary(path),只能加载jniLIbs目录下的so文件,这个的执行流程
1.1、先读取so文件的.init_array段
1.2、执行JNI_OnLoad函数
1.3、JNI_ONLoad是.so文件的初始函数
1.4、最后调用具体的native方法
2、System.load(path),可以加载任意路径下的so
这两种方式最终都会调用Android底层的dlopen来打开so
dlopen用来打开一个动态链接库,并将其装入内存。它的定义在Android源码中的路径为/bionic/linker/dlfcn.cpp,执行流程如下:
So文件的入口为init_array、init_func这些初始化函数。这部分在dlopen的过程中就会执行,再之后的是JNI_Onload方法的调用。这里面可以注册一些本地方法,也可以继续做些变量的初始化等操作。
审核编辑:刘清
-
Android系统
+关注
关注
0文章
56浏览量
13492 -
虚拟机
+关注
关注
1文章
914浏览量
28161 -
ELF文件
+关注
关注
0文章
14浏览量
7134
原文标题:Android逆向基础(DEX/ELF文件格式)
文章出处:【微信号:哆啦安全,微信公众号:哆啦安全】欢迎添加关注!文章转载请注明出处。
发布评论请先 登录
相关推荐
评论