源網址：http://blog.csdn.net/lpohvbe/article/details/7981386
作者：lpohvbe
APK、Dalvik字節碼和smali文件
APK文件
大家都應該知道APK文件其實就是一個MIME爲ZIP的壓縮包，我們修改ZIP後綴名方式可以看到內部的文件結構，例如修改後綴後用RAR打開鱷魚小頑皮APK能看到的是（Google Play下載的完整版版本）：
Where's My Water.zip\
- asset\ <資源目錄1：asset和res都是資源目錄但有所區別，見下面說明>
- lib\ <so庫存放位置，一般由NDK編譯得到，常見於使用遊戲引擎或JNI native調用的工程中>
- |---armeabi\ |---<so庫文件分爲不同的CPU架構>
- |---armeabi-v7a\
- META-INF\ <存放工程一些屬性文件，例如Manifest.MF>
- res\ <資源目錄2：asset和res都是資源目錄但有所區別，見下面說明>
- |---drawable\ |---<圖片和對應的xml資源>
- |---layout\ |---<定義佈局的xml資源>
- |---...
- AndroidManifest.xml <Android工程的基礎配置屬性文件>
- classes.dex <Java代碼編譯得到的Dalvik VM能直接執行的文件，下面有介紹>
- resources.arsc <對res目錄下的資源的一個索引文件，保存了原工程中strings.xml等文件內容>
無關緊要地注：asset和res資源目錄的不同在於：
1. res目錄下的資源文件在編譯時會自動生成索引文件（R.java），在Java代碼中用R.xxx.yyy來引用；而asset目錄下的資源文件不需要生成索引，在Java代碼中需要用AssetManager來訪問；
2. 一般來說，除了音頻和視頻資源（需要放在raw或asset下），使用Java開發的Android工程使用到的資源文件都會放在res下；使用C++遊戲引擎（或使用Lua binding等）的資源文件均需要放在asset下。
因爲Where's My Water是使用迪斯尼公司自家的DMO遊戲引擎開發，所以遊戲中用到的所有資源文件都存放在asset下，除了應用圖標這些資源仍需要放在res下。
Dalvik字節碼
Dalvik是google專門爲Android操作系統設計的一個虛擬機，經過深度的優化。雖然Android上的程序是使用java來開發的，但是Dalvik和標準的java虛擬機JVM還是兩回事。Dalvik VM是基於寄存器的，而JVM是基於棧的；Dalvik有專屬的文件執行格式dex（dalvik executable），而JVM則執行的是java字節碼。Dalvik VM比JVM速度更快，佔用空間更少。
通過Dalvik的字節碼我們不能直接看到原來的邏輯代碼，這時需要藉助如Apktool或dex2jar+jd-gui工具來幫助查看。但是，注意的是最終我們修改APK需要操作的文件是.smali文件，而不是導出來的Java文件重新編譯（況且這基本上不可能）。
smali文件
好了，對Dalvik有一定認識後，下面介紹重點：smali，及其語法。
簡單的說，smali就是Dalvik VM內部執行的核心代碼。它有自己的一套語法，下面即將介紹，如果有JNI開發經驗的童鞋則能夠很快明白。
一、smali的數據類型
在smali中，數據類型和Android中的一樣，只是對應的符號有變化：
- B---byte
- C---char
- D---double
- F---float
- I---int
- J---long
- S---short
- V---void
- Z---boolean
- [XXX---array
- Lxxx/yyy---object
這裏解析下最後兩項，數組的表示方式是：在基本類型前加上前中括號“[”，例如int數組和float數組分別表示爲：[I、[F；對象的表示則以L作爲開頭，格式是LpackageName/objectName;（注意必須有個分號跟在最後），例如String對象在smali中爲：Ljava/lang/String;，其中java/lang對應java.lang包，String就是定義在該包中的一個對象。
或許有人問，既然類是用LpackageName/objectName;來表示，那類裏面的內部類又如何在smali中引用呢？答案是：LpackageName/objectName$subObjectName;。也就是在內部類前加“$”符號，關於“$”符號更多的規則將在後面談到。
二、函數的定義
函數的定義一般爲：
Func-Name (Para-Type1Para-Type2Para-Type3...)Return-Type
注意參數與參數之間沒有任何分隔符，同樣舉幾個例子就容易明白了：
1. foo ()V
沒錯，這就是void foo()。
2. foo (III)Z
這個則是boolean foo(int, int, int)。
3. foo (Z[I[ILjava/lang/String;J)Ljava/lang/String;
看出來這是String foo (boolean, int[], int[], String, long) 了嗎？
三、smali文件內容具體介紹
下面開始進一步分析smali中的具體例子，取鱷魚小頑皮中的WMWActivity.smali來分析，它的內容大概是這樣子的：
- .class public Lcom/disney/WMW/WMWActivity;
- .super Lcom/disney/common/BaseActivity;
- .source "WMWActivity.java"
- # interfaces
- .implements Lcom/burstly/lib/ui/IBurstlyAdListener;
- # annotations
- .annotation system Ldalvik/annotation/MemberClasses;
- value = {
- Lcom/disney/WMW/WMWActivity$MessageHandler;,
- Lcom/disney/WMW/WMWActivity$FinishActivityArgs;
- }
- .end annotation
- # static fields
- .field private static final PREFS_INSTALLATION_ID:Ljava/lang/String; = "installationId"
- //...
- # instance fields
- .field private _activityPackageName:Ljava/lang/String;
- //...
- # direct methods
- .method static constructor <clinit>()V
- .locals 3
- .prologue
- //...
- return-void
- .end method
- .method public constructor <init>()V
- .locals 3
- .prologue
- //...
- return-void
- .end method
- .method static synthetic access$100(Lcom/disney/WMW/WMWActivity;)V
- .locals 0
- .parameter "x0"
- .prologue
- .line 37
- invoke-direct {p0}, Lcom/disney/WMW/WMWActivity;->initIap()V
- return-void
- .end method
- .method static synthetic access$200(Lcom/disney/WMW/WMWActivity;)Lcom/disney/common/WMWView;
- .locals 1
- .parameter "x0"
- .prologue
- .line 37
- iget-object v0, p0, Lcom/disney/WMW/WMWActivity;->_view:Lcom/disney/common/WMWView;
- return-object v0
- .end method
- //...
- #virtual methods
- .method public captureScreen()V
- .locals 4
- .prologue
- //...
- goto :goto_0
- .end method
- .method public didScreenCaptured()V
- .locals 6
- .prologue
- //...
- goto :goto_0
- .end method
- class WMWActivity extends BaseActivity implements IBurstlyAdListener{
- //...
- class MessageHandler {
- //...
- }
- class FinishActivityArgs{
- //...
- }
- }
- const/4 v0, 0x0
- iput-boolean v0, p0, Lcom/disney/WMW/WMWActivity;->isRunning:Z
2、smali中的成員變量
- sget-object v0, Lcom/disney/WMW/WMWActivity;->PREFS_INSTALLATION_ID:Ljava/lang/String;
- iget-object v0, p0, Lcom/disney/WMW/WMWActivity;->_view:Lcom/disney/common/WMWView;
- const/4 v3, 0x0
- sput-object v3, Lcom/disney/WMW/WMWActivity;->globalIapHandler:Lcom/disney/config/GlobalPurchaseHandler;
- .local v0, wait:Landroid/os/Message;
- const/4 v1, 0x2
- iput v1, v0, Landroid/os/Message;->what:I
3、smali中的函數調用
smali中的函數和成員變量一樣也分爲兩種類型，但是不同成員變量中的static和instance之分，而是direct和virtual之分。那麼direct method和virtual method有什麼區別呢？直白地講，direct method就是private函數，其餘的public和protected函數都屬於virtual method。所以在調用函數時，有invoke-direct，invoke-virtual，另外還有invoke-static、invoke-super以及invoke-interface等幾種不同的指令。當然其實還有invoke-XXX/range 指令的，這是參數多於4個的時候調用的指令，比較少見，瞭解下即可。
（1）、invoke-static：顧名思義就是調用static函數的，因爲是static函數，所以比起其他調用少一個參數，例如：
- invoke-static {}, Lcom/disney/WMW/UnlockHelper;->unlockCrankypack()Z
這裏注意到invoke-static後面有一對大括號“{}”，其實是調用該方法的實例+參數列表，由於這個方法既不需參數也是static的，所以{}內爲空，再看一個例子：
- const-string v0, "fmodex"
- invoke-static {v0}, Ljava/lang/System;->loadLibrary(Ljava/lang/String;)V<span style="font-family: Verdana, sans-serif; "> </span>
（2）、invoke-super：調用父類方法用的指令，在onCreate、onDestroy等方法都能看到，略。
（3）、invoke-direct：調用private函數的，例如：
- invoke-direct {p0}, Lcom/disney/WMW/WMWActivity;->getGlobalIapHandler()Lcom/disney/config/GlobalPurchaseHandler;
這裏GlobalPurchaseHandler getGlobalIapHandler()就是定義在WMWActivity中的一個private函數，如果修改smali時錯用invoke-virtual或invoke-static將在回編譯後程序運行時引發一個常見的VerifyError（更多錯誤彙總可參照APK反編譯之番外三：常見錯誤彙總）。
（4）、invoke-virtual：用於調用protected或public函數，同樣注意修改smali時不要錯用invoke-direct或invoke-static，例子：
- sget-object v0, Lcom/disney/WMW/WMWActivity;->shareHandler:Landroid/os/Handler;
- invoke-virtual {v0, v3}, Landroid/os/Handler;->removeCallbacksAndMessages(Ljava/lang/Object;)V
- invoke-static/range {v0 .. v5}, Lcn/game189/sms/SMS;->checkFee(Ljava/lang/String;Landroid/app/Activity;Lcn/game189/sms/SMSListener;Ljava/lang/String;Ljava/lang/String;Ljava/lang/String;)Z
有人也許注意到，剛纔看到的例子都是“調用函數”這個操作而已，貌似沒有取函數返回的結果的操作？
在Java代碼中調用函數和返回函數結果是一條語句完成的，而在smali裏則需要分開來完成，在使用上述指令後，如果調用的函數返回非void，那麼還需要用到move-result（返回基本數據類型）和move-result-object（返回對象）指令：
- const/4 v2, 0x0
- invoke-virtual {p0, v2}, Lcom/disney/WMW/WMWActivity;->getPreferences(I)Landroid/content/SharedPreferences;
- move-result-object v1
- invoke-virtual {v2}, Ljava/lang/String;->length()I
- move-result v2
v2保存的則是調用String.length()返回的整型。
4、smali中函數實體分析
下面開始介紹函數實體，其實沒有什麼特別的地方，只是在植入代碼時有一點需要特別注意，舉例說明：
- .method protected onDestroy()V
- .locals 0
- .prologue
- .line 277
- invoke-super {p0}, Lcom/disney/common/BaseActivity;->onDestroy()V
- .line 279
- return-void
- .end method
- .method protected onDestroy()V
- .locals 1
- .prologue
- .line 277
- const/4 v0, 0x1
- iput-boolean v0, p0, Lcom/disney/WMW/WMWActivity;->exited:Z
- invoke-super {p0}, Lcom/disney/common/BaseActivity;->onDestroy()V
- .line 279
- return-void
- .end method
