（一）Apk的文件结构

    1、META-INF目录

      1)MANIFEST.MF文件

      2)CERT.SF文件

      3)CERT.RSA文件

    2、classes.dex-dx文件

    3、res目录

    4、resources.arsc

（二）Apk静态分析

    1、样本详情

      1)样本来源

      2)样本包名及校验

    2、Apk包含调用权限及其SDK情况

    3、权限列表

    4、Apk查壳

（三）APK动态脱壳

    1、ADB命令连接模拟器

    2、push脱壳工具到指定位置

    3、APK提权

    4、执行脱壳程序

    5、退出

    6、分析脱壳后的.dex文件

总结

App和Apk的区别，App是应用程序（Application）的缩写，包含Apk；而Apk是Android应用程序包（Android Application Package）的缩写，类似Symbian Sis或Sisx的文件格式，通过将APK文件直接传到Android模拟器或Android手机中执行即可安装;是Android操作系统使用的一种应用程序包文件格式。

一个完整的Apk文件包含有被编译的代码文件(.dex 文件)、文件资源（resources）、 assets、证书（certificates）、和清单文件（manifest file）。

1）MANIFEST.MF文件

MANIFEST.MF文件Apk的摘要文件。程序遍历Apk包中的所有文件(entry)，对非文件夹非签名文件的文件，逐个用SHA1生成摘要信息，再用Base64进行编码。

2）CERT.SF文件

CERT.SF文件对摘要的签名文件。对前一步生成的MANIFEST.MF，使用SHA1-RSA算法，用开发者的私钥进行签名。在安装时只能使用公钥才能解密它。解密之后，将它与未加密的摘要信息（即，MANIFEST.MF文件）进行对比，如果相符，则表明内容没有被异常修改。

系统在对程序进行验证的时候，用开发者公钥对不正确的签名文件进行解密，得到的结果和摘要文件（MANIFEST.MF）对应不起来，所以不能通过检验，不能成功安装文件。

3）CERT.RSA文件

CERT.RSA文件中保存了公钥、所采用的加密算法等信息；系统对签名文件进行解密，所需要的公钥就是从这个文件里取出来的。

1）样本来源

官网下的豌豆荚应用市场，链接https://www.wandoujia.com/apps/7833706。

2）样本包名及校验

在司法鉴定中，需要严格记录，以便随时可以回溯所有的操作，记录唯一性，下面对该多开Apk记录信息。

很多Android应用和游戏中会存在一些恶意收集用户隐私的行为，Google对Android的"权限等级"分为"normal"、"dangerous"、"signature"、"signature|system"（或signatureOrSystem）四大类。

jadx-gui打开Apk，可以看到AndroidManifest.xml <manifest>标签内使用<uses-permission>里面有很多的声明，"android.permission.xxx"的就是应用程序申请的具体权限要求，在权限列表中，我们可以看到，应用申请了哪些请求，下面将该Apk所要申请的（部分）权限列表如下。

总结

逆向是一个漫长的过程，以上只简单的对当前主流脱壳方法进行了脱壳分析，在网络的发展中，各种高级加壳、花壳、混淆技术等越来越高级，进阶Apk脱壳技术通过dump内存中处于解密状态的dex，进行修复分析，普通的逆向将难以应对。

书写片面，纯粹做个记录，有错漏之处欢迎指正。

公众号回复关键词【APK逆向】自动获取资源合集，如链接失效请留言，便于及时更新。

【声明：欢迎转发收藏，喜欢记得点点赞！转载引用请注明出处，著作所有权归作者 [蘇小沐] 所有】

【注：本文的软件资源等收集于官网或互联网共享，如有侵权请联系删除，谢谢！】

记录

开始编辑：2019年 12月 25日

最后编辑：2019年 12月 25日