增加 Smali 的本地登记册并使用新的登记册答案

【问题标题】：Increase local registers in Smali and use new register增加 Smali 的本地登记册并使用新的登记册
【发布时间】：2019-09-28 04:12:40
【问题描述】：

您好，我想了解如何在 smali 虚拟方法中正确增加寄存器。为了注入将使用新寄存器的代码

作为参考，我已经阅读了以下内容：https://github.com/JesusFreke/smali/wiki/Registers

这是我的java代码：

    public void toastMsg(String msg) {

        Toast toast = Toast.makeText(this, msg, Toast.LENGTH_LONG);
        toast.setGravity(Gravity.CENTER, 0, 0);
        toast.show();

    }

在 Smali 中是这样的

.method public toastMsg(Ljava/lang/String;)V
    .locals 2

    const/4 v0, 0x1

    .line 26
    invoke-static {p0, p1, v0}, Landroid/widget/Toast;->makeText(Landroid/content/Context;Ljava/lang/CharSequence;I)Landroid/widget/Toast;

    move-result-object p1

    const/4 v0, 0x0

    const/16 v1, 0x11

    .line 27
    invoke-virtual {p1, v1, v0, v0}, Landroid/widget/Toast;->setGravity(III)V

    .line 28
    invoke-virtual {p1}, Landroid/widget/Toast;->show()V

    return-void
.end method

现在据我了解，上述用于 toastMsg 方法的 smali sn-p 总共包含 4 个寄存器。

.locals = 2 + 1 表示对象（this），1 表示 toastMsg 方法的参数（字符串 msg）。

因此我的寄存器看起来像这样

v0 - free local register
v1 - free local register
v2 => p0 (this)
v3 => p1 (the string parameter - our msg)

现在假设我想注入以下 logcat 行，但我没有任何可用的本地寄存器。

const-string v3, "MYAWESOMELOG"
invoke-static {v3, p1}, Landroid/util/Log;->d(Ljava/lang/String;Ljava/lang/String;)I

现在注入该 logcat 代码当然会破坏 v3 寄存器，它会起作用，但 p1 的值会丢失，因为 v3 == p1。

我想向 .locals 添加一个额外的寄存器，以便它可以保存字符串。而不是破坏任何东西。假设基于我可以简单地增加.locals 变量上的数字的参考，它应该给我更多的本地寄存器来使用。

所以如果.locals 3 这个方法中的寄存器现在应该是这样的

v0 - free local register
v1 - free local register
v2 - new free local register ?
v3 => p0 (this)
v4 => p1 (the string parameter - our msg)

因此，如果我理解正确，本地寄存器 v2 现在应该是全新的并且可以免费使用。

所以现在logcat的以下smali代码我希望可以使用新的寄存器v2来存储标签，并且仍然保留字符串参数（p1）

 const-string v2, "MYAWESOMELOG"
    invoke-static {v2, p1}, Landroid/util/Log;->d(Ljava/lang/String;Ljava/lang/String;)I

因此修改后的代码现在看起来像这样

.method public toastMsg(Ljava/lang/String;)V
    .locals 3 <--- increased here by 1

    const/4 v0, 0x1

    .line 25
    invoke-static {p0, p1, v0}, Landroid/widget/Toast;->makeText(Landroid/content/Context;Ljava/lang/CharSequence;I)Landroid/widget/Toast;

    move-result-object p1

    const/4 v0, 0x0

    const/16 v1, 0x11

    .line 26
    invoke-virtual {p1, v1, v0, v0}, Landroid/widget/Toast;->setGravity(III)V

    .line 27

    invoke-virtual {p1}, Landroid/widget/Toast;->show()V

    # PATCH here useing the new regiser
    const-string v2, "MYAWESOMELOG"
    invoke-static {v2, p1}, Landroid/util/Log;->d(Ljava/lang/String;Ljava/lang/String;)I
    # END PATCH
    return-void
.end method

不幸的是，情况似乎并非如此，所以我认为我还没有理解如何正确修改和使用新寄存器。

我已经重建并安装了我的示例，但由于 java 类验证错误，应用程序强制关闭。

apktool d example.apk
apktool b example -o example-modified.apk

java.lang.VerifyError: Verifier rejected class
com.example.androidtest.MainActivity: void com.example.androidtest.MainActivity.toastMsg(java.lang.String) failed to 
verify: void com.example.androidtest.MainActivity.toastMsg(java.lang.String): 
[0x10] register v4 has type Reference: android.widget.Toast but expected Precise Reference: java.lang.String 
(declaration of 'com.example.androidtest.MainActivity' appears in 
/data/app/com.example.androidtest-m1NPS9_tJaTgZLY7-1Ev6w==/base.apk)

似乎我把寄存器弄乱了，但我不太明白问题出在哪里。将.locals 增加 1 应该会给我一个额外的寄存器，并且还会自动将参数引用向下移动，因此 v4 应该指向 p1 并且是一个字符串，但它指向的是 android.widget.Toast。

所以我不能在方法中增加.locals 变量并使用新的寄存器吗？我是否必须声明新的寄存器并以其他方式初始化它？

奇怪的是，似乎已经有一些问题指向我应该能够增加寄存器的答案。

我非常确信该文件没有使用 -p/--no-parameter-registers 选项进行反汇编。我只是在 apktool d 中使用了默认值

Smali: Increase number of registers

这个答案还表明我应该能够真正做到这一点 https://stackoverflow.com/a/12648626/2678928

所以问题是为什么当我增加.locals 变量时我没有新的寄存器v2，或者如果我有，那么为什么寄存器没有向下移动？或者如果所有这些都是正确的，那么也许我没有使用正确的寄存器，也没有在正确的位置注入补丁？

【问题讨论】：

好问题:)

标签： android logcat smali

【解决方案1】：

问题正是 JesusFreke 所描述的，但我还在错误的地方修补了代码。我试图调用 Log 方法，但未能理解 p1 的类型在函数结束时已从 String 更改为 android/widget/Toast。

以下工作使用新的寄存器 v2

.method public toastMsg(Ljava/lang/String;)V
    .locals 3

    const/4 v0, 0x1

    .line 26

    # PATCH HERE
    const-string v2, "MYAWESOMELOG"
    invoke-static {v2, p1}, Landroid/util/Log;->d(Ljava/lang/String;Ljava/lang/String;)I
    # END PATH

    invoke-static {p0, p1, v0}, Landroid/widget/Toast;->makeText(Landroid/content/Context;Ljava/lang/CharSequence;I)Landroid/widget/Toast;

    move-result-object p1

    const/4 v0, 0x0

    const/16 v1, 0x11

    .line 27
    invoke-virtual {p1, v1, v0, v0}, Landroid/widget/Toast;->setGravity(III)V



    .line 28
    invoke-virtual {p1}, Landroid/widget/Toast;->show()V


    return-void
.end method

这里有更深入的解释：

增加.locals 正常工作，在 toastMsg 方法调用开始时看起来像这样

v0 - free local register
v1 - free local register
v2 - free local register
v3 => p0 (this)
v4 => p1 (the string parameter - our msg)

以下几行现在更改了寄存器中的值，请注意 v4 == p1 在执行这些行之前，v4(p1) 指向一个字符串对象（我们的参数 msg）

invoke-static {p0, p1, v0}, Landroid/widget/Toast;->makeText(Landroid/content/Context;Ljava/lang/CharSequence;I)Landroid/widget/Toast;

move-result-object p1

在上面的代码 sn-p 中的move-result-object p1 之后，寄存器中的值现在看起来像这样

v0 - 0x1
v1 - free local register
v2 - "MYAWESOMELOG"
v3 => p0 (this)
v4 => p1 (android/widget/Toast)

我们不再拥有传递给 toastMsg 方法的原始字符串值

如果我想使用原始的 p1 值，我必须在 move-result-object p1 行之前使用它。或者，我可以再次增加本地变量并在函数开头复制/存储p1 的结果。

【讨论】：

【解决方案2】：

问题出在这条指令上

invoke-static {v2, p1}, Landroid/util/Log;->d(Ljava/lang/String;Ljava/lang/String;)I

您将 p1 作为第二个参数传递，但 p1 仍然包含 toast 对象。该方法需要一个字符串对象作为第二个参数，而不是 toast 对象。

【讨论】：