ybdesire的专栏

Android样本重打包检测，可以发现恶意代码注入的情况。检测思路是根据manifest找到tag，或者DEX文件字符串地址偏移顺序。

1. 引入2020年8月，在DEFCON 28大会上（参考3），发布了一个开源的"Android malware analysis engine"，名字叫quark-engine（参考1）。这是台湾“財團法人電信技術中心”（参考2）开发的一个工具。该项目的开发者列表见参考7，目前主要活跃的开发者（负责人）是JunWei Song（参考3，参考5）。这个APK静态分析引擎，有以下几个特点：scoring system，能直接给出恶意度得分neglect certain cases of obfusc

1. 引入有些APK运行后，会收集你的手机号。有收集手机号这种行为的APP，就有可能把你的手机号泄露出去。那么，如何用一段python代码，来检测APK是否有这种收集手机号的行为呢？2. 原理从参考1中，我们可以知道，只要你写APP时，满足如下两个条件，就会让你的APP有收集本机手机号的行为。在manifest中添加如下权限<uses-permission android:name="android.permission.READ_PHONE_STATE"/> 在java中

引入jar文件具有跨平台、数据压缩、多文件封装的优点，所以我们常将java源程序和其他的文件（比如资源文件、签名）打包到一起，变成jar包。这样对java程序的部署会更方便，也更安全。用IDEA等IDE，可以直接将java文件转换为jar包。本文讲解如何用JDK命令来转换。本文实验环境windows10JDK最简单的jar包jar包中可以含有很多文件（具体见[1]），最简单的ja...

引入DEX文件在Android中很重要，它与APK瘦身、热修复、插件化、应用加固、逆向工程、64K方法数限制都有关系[1]。所以，我们先来认识一下本文的主角，DEX文件。Dalvik虚拟机在Android中的作用，与JVM在Linux中的作用类似。我们用java语言来开发Android程序，但Android的Dalvik并不能直接运行java字节码（.class文件）。所以需要把.class...

1. 引入当我们拿到一个APK，没有源代码，该怎么样去研究APK的核心逻辑呢？限于运行环境的复杂，我们会首先使用静态分析的方式，大概可以想出这样一些静态分析APK的方法：用apktool直接将APK转换为smali程序，再阅读smali代码（比较痛苦）用dextojar将APK中的DEX转换为jar，再用JD-JUI来查看其java代码用JEB，直接查看java或smali（...