inquisiter

二、Xposed机制介绍这里我们采用大量的流程图来解析。通过分析android源码，我们可以得出如上图的结论：不论是java层还是c层的代码，都会进过一个统一的执行函数dvmCallMethodV,之后才判断是解释执行还是elf方式执行。图1 Xposed启动过程Xposed通过更改源码app_proccess中的app_main.c用来替换android 解释器zgote孵化器...

关于android应用中的签名验证的查找过程一切的工作全凭自我的摸索和实验，感觉啥问题都能遇到。小米的android手机有个叫做开发版的系统，刷机后自带root,不过感觉权限设置方面不稳定，会有莫名的错误出现。所有工具重启一遍好像有好了。模拟器虽然卡，不过验证一些东西还是可以的。至少不会一条道走到黑。 话题转回签名验证这块，andriod系统做的签名验证知识用来确定签名的存在与否。其实没啥大用，但

模拟器修改内核绕过ptracepid检测我看了下很多检测反调试的应用都会调用这个功能个，修改个内核做个系统还是很重要的。不够我自己嫌修改真机的内核太麻烦，现在模拟器上练个手，虽然网上没有如何修改具体的教程，不过真机修改内核还是有很多。我这里自己类推下：模拟器文件结构分析 我们先要找到内核文件的位置，如果是真机的话，需要找到boot.img。模拟器要简单很多，如上图，内核文件就是kernel-qem

不落地dex加载 android系统各函数之间的调用真是很复杂，想直接从源码上看懂基本不肯能。 DexClassLoader可以加载任何路径的apk/dex/jar PathClassLoader只能加载/data/app中的apk，也就是已经安装到手机中的apk。 这里据说c层的函数会调用到mmap进行内存映射，不过全局搜索不好用，没搜出来，算了。 这个

写一个测试项目package com.ijingyir.lier.testb;import android.support.v7.app.AppCompatActivity;import android.os.Bundle;import android.view.View;import android.widget.Button;import android.widget.Te...

一.加载型壳二.代码抽取型壳（一）、内存重组脱壳https://gitbub.com/zyq8709/DexHunter DexHunter ----->DumpClass()方法此方法针对非一次性解密的Dex结构进行了遍历加载，从而有效实现内存重组。三、代码混淆壳LLVM 原生程序混淆 llvm:passObfuscator-LLVM是基于LLVM pass...

dex不落地加载

要手动调用fupkInvokeMethodbool DexDumper::fixMethodByDvm(DexSharedData &shared, DexMethod *dexMethod, ClassDefBuilder* builder, u4 &lastIndex) { lastIndex = la...