4.4 逆向云播 VIP

作者：飞龙

这次的软件是刀哥云播，在这里下载：http://www.xuepojie.com/thread-23860-1-1.html

我们先分析一下行为：

打开之后的界面是这样，并弹出一行消息：

4.4 逆向云播 VIP - 图1

我们先点击“福利”，弹出这样一行字。

4.4 逆向云播 VIP - 图2

然后我们点击那个“设置”，在设置界面上，我们如果点击“加入会员”，弹出这样一行消息。

4.4 逆向云播 VIP - 图3

然后我们将其拖进 Android Killer，发现它是 e4a 编写的。

4.4 逆向云播 VIP - 图4

我们直接搜索“会员”，没有任何结果。可见 e4a 直接将字符串硬编码进代码里。

4.4 逆向云播 VIP - 图5

我们搜索它的 Unicode 编码，\u4f1a\u5458试试看：

4.4 逆向云播 VIP - 图6

一共有四个。程序窗口类中有两个，都在图片列表框1$表项被单击方法中。内容都是“您目前不是会员…”。设置窗口里的都是“加入会员”，是按钮的标题，和破解没太大关系。

我们点击第一个，文本附近的代码是这样：

  1. .line 27
  2. :cond_4
  3. if-nez v0, :cond_1 # return-void
  5. .line 28
  6. const-string v0, "\u60a8\u76ee\u524d\u4e0d\u662f\u4f1a\u5458\u54e6 \n \u4e0d\u80fd\u4f7f\u7528\u4f1a\u5458\u529f\u80fd" # 您目前不是会员
  8. invoke-static {v0}, Lcom/e4a/runtime/应用操作;->弹出提示(Ljava/lang/String;)V
  10. goto :goto_0 # return-void

经分析可得，这个是失败分支的代码。然而:cond_1不是成功分支，它直接指向return-void，所以关键跳应该不在这里。由于安卓程序编译后的 Smali 是打乱的，应该在跳到:cond_4的地方。

我们在相同方法中寻找，只找到一处满足要求的地方：

  1. # 项目索引
  2. .param p1, "\u9879\u76ee\u7d22\u5f15"    # I
  4. .prologue
  5. const/4 v3, 0x1
  7. .line 11
  8. .line 12
  9. if-nez p1, :cond_2
  10. # p1 为 0 时的操作（随播）
  11. # ...
  13. .line 19
  14. :cond_2
  15. if-ne p1, v3, :cond_5
  16. # p1 为 1 时的操作（短片）
  18. .line 20
  19. sget-boolean v0, Lcom/dgplay/公用模块;->vip:Z
  21. .line 21
  22. # 关键跳
  23. if-ne v0, v3, :cond_4
  24. # 启动短片窗口的代码
  25. # ...

要注意这个回调对应图片列表框，就是主界面上的六个按钮（请见图 1）。其中p1是被选中项，按照惯例是从 0 开始，从左到右从上到下。我们刚才查看的这段代码是p1为 1 情况下的，也就是你点击右上角的按钮之后会触发。

（虽然我们实际上不推荐把六个回调都写到一个函数，因为它们是六个不同的逻辑，但是由于这是别人的代码，只能忍了。）

我们可以看到p1为 1 时，首先获取了com/dgplay/公用模块的vip静态字段，判断它是不是1（v3），是的话就启动窗口，不是的话就弹出消息。

我们还有另一个提示不是会员的位置，也就是我们之前测试过的“福利”按钮（下标为 4）。我们点过去看看：

  1. .line 41
  2. :cond_9
  3. const/4 v0, 0x4
  5. if-ne p1, v0, :cond_c
  6. # p1 为 4 时的代码
  8. .line 42
  9. sget-boolean v0, Lcom/dgplay/公用模块;->vip:Z
  11. .line 43
  13. # 关键判断
  14. if-ne v0, v3, :cond_b
  15. # 启动福利窗口
  16. # ...
  18. .line 48
  19. :cond_b
  20. if-nez v0, :cond_1 # return-void
  22. .line 49
  23. const-string v0, "\u60a8\u76ee\u524d\u4e0d\u662f\u4f1a\u5458\u54e6 \n \u4e0d\u80fd\u4f7f\u7528\u4f1a\u5458\u529f\u80fd"
  25. invoke-static {v0}, Lcom/e4a/runtime/应用操作;->弹出提示(Ljava/lang/String;)V
  27. goto/16 :goto_0 # return-void

果然还是根据这个字段。我们猜想这个静态字段是控制当前用户是否是 VIP 的字段。为了减少工作量，以及避免可能的暗桩，我们不要直接改动判断，而是将这个字段赋成 1。

但是，在静态构造器中将这个字段赋成 1 是不行的，因为主界面中可能有将它重新赋成 0 的代码。我们搜索Lcom/dgplay/公用模块;->vip，结果如下：

4.4 逆向云播 VIP - 图7

其中只有主窗口和设置窗口有赋值。设置窗口那个不用看了，因为是购买 VIP 的地方，它肯定是将其赋值为 1，那么主窗口中：

  1. # 第一处
  2. .line 16
  3. const/4 v0, 0x1
  4. sput-boolean v0, Lcom/dgplay/公用模块;->vip:Z
  6. # 第二处
  7. .line 18
  8. :cond_0
  9. const-string v0, "\u60a8\u76ee\u524d\u8fd8\u4e0d\u662fVIP,\u53ef\u8d5e\u52a9\u4f5c\u8005\u83b7\u5f97VIP"
  11. invoke-static {v0}, Lcom/e4a/runtime/应用操作;->弹出提示(Ljava/lang/String;)V
  13. .line 19
  14. # v1 为 0x0
  15. sput-boolean v1, Lcom/dgplay/公用模块;->vip:Z
  17. goto :goto_0

这两处都在多线程1$取网页源码2完毕函数中。当然第二处是将其赋为 0 的地方，通过分析逻辑得知，这个是失败分支，而另一个是成功分支。我们向上找到关键跳转：

  1. # 关键跳转
  2. if-eqz v0, :cond_0
  4. # ...
  5. # 第一处
  6. # ...

把这句去掉，就可以了。重新编译、打包，大功告成。