4.4 逆向云播 VIP

作者：飞龙

这次的软件是刀哥云播，在这里下载：<http://www.xuepojie.com/thread-23860-1-1.html>

我们先分析一下行为：

打开之后的界面是这样，并弹出一行消息：

我们先点击“福利”，弹出这样一行字。

然后我们点击那个“设置”，在设置界面上，我们如果点击“加入会员”，弹出这样一行消息。

然后我们将其拖进 Android Killer，发现它是 e4a 编写的。

我们直接搜索“会员”，没有任何结果。可见 e4a 直接将字符串硬编码进代码里。

我们搜索它的 Unicode 编码，\u4f1a\u5458试试看：

一共有四个。程序窗口类中有两个，都在图片列表框1$表项被单击方法中。内容都是“您目前不是会员…”。设置窗口里的都是“加入会员”，是按钮的标题，和破解没太大关系。

我们点击第一个，文本附近的代码是这样：

1. .line 27
2. :cond_4
3. if-nez v0, :cond_1 # return-void

5. .line 28
6. const-string v0, "\u60a8\u76ee\u524d\u4e0d\u662f\u4f1a\u5458\u54e6 \n \u4e0d\u80fd\u4f7f\u7528\u4f1a\u5458\u529f\u80fd" # 您目前不是会员

8. invoke-static {v0}, Lcom/e4a/runtime/应用操作;->弹出提示(Ljava/lang/String;)V

10. goto :goto_0 # return-void

经分析可得，这个是失败分支的代码。然而:cond_1不是成功分支，它直接指向return-void，所以关键跳应该不在这里。由于安卓程序编译后的 Smali 是打乱的，应该在跳到:cond_4的地方。

我们在相同方法中寻找，只找到一处满足要求的地方：

1. # 项目索引
2. .param p1, "\u9879\u76ee\u7d22\u5f15"    # I

4. .prologue
5. const/4 v3, 0x1

7. .line 11
8. .line 12
9. if-nez p1, :cond_2
10. # p1 为 0 时的操作（随播）
11. # ...

13. .line 19
14. :cond_2
15. if-ne p1, v3, :cond_5
16. # p1 为 1 时的操作（短片）

18. .line 20
19. sget-boolean v0, Lcom/dgplay/公用模块;->vip:Z

21. .line 21
22. # 关键跳
23. if-ne v0, v3, :cond_4
24. # 启动短片窗口的代码
25. # ...

要注意这个回调对应图片列表框，就是主界面上的六个按钮（请见图 1）。其中p1是被选中项，按照惯例是从 0 开始，从左到右从上到下。我们刚才查看的这段代码是p1为 1 情况下的，也就是你点击右上角的按钮之后会触发。

（虽然我们实际上不推荐把六个回调都写到一个函数，因为它们是六个不同的逻辑，但是由于这是别人的代码，只能忍了。）

我们可以看到p1为 1 时，首先获取了com/dgplay/公用模块的vip静态字段，判断它是不是1（v3），是的话就启动窗口，不是的话就弹出消息。

我们还有另一个提示不是会员的位置，也就是我们之前测试过的“福利”按钮（下标为 4）。我们点过去看看：

1. .line 41
2. :cond_9
3. const/4 v0, 0x4

5. if-ne p1, v0, :cond_c
6. # p1 为 4 时的代码

8. .line 42
9. sget-boolean v0, Lcom/dgplay/公用模块;->vip:Z

11. .line 43

13. # 关键判断
14. if-ne v0, v3, :cond_b
15. # 启动福利窗口
16. # ...

18. .line 48
19. :cond_b
20. if-nez v0, :cond_1 # return-void

22. .line 49
23. const-string v0, "\u60a8\u76ee\u524d\u4e0d\u662f\u4f1a\u5458\u54e6 \n \u4e0d\u80fd\u4f7f\u7528\u4f1a\u5458\u529f\u80fd"

25. invoke-static {v0}, Lcom/e4a/runtime/应用操作;->弹出提示(Ljava/lang/String;)V

27. goto/16 :goto_0 # return-void

果然还是根据这个字段。我们猜想这个静态字段是控制当前用户是否是 VIP 的字段。为了减少工作量，以及避免可能的暗桩，我们不要直接改动判断，而是将这个字段赋成 1。

但是，在静态构造器中将这个字段赋成 1 是不行的，因为主界面中可能有将它重新赋成 0 的代码。我们搜索Lcom/dgplay/公用模块;->vip，结果如下：

其中只有主窗口和设置窗口有赋值。设置窗口那个不用看了，因为是购买 VIP 的地方，它肯定是将其赋值为 1，那么主窗口中：

1. # 第一处
2. .line 16
3. const/4 v0, 0x1
4. sput-boolean v0, Lcom/dgplay/公用模块;->vip:Z

6. # 第二处
7. .line 18
8. :cond_0
9. const-string v0, "\u60a8\u76ee\u524d\u8fd8\u4e0d\u662fVIP,\u53ef\u8d5e\u52a9\u4f5c\u8005\u83b7\u5f97VIP"

11. invoke-static {v0}, Lcom/e4a/runtime/应用操作;->弹出提示(Ljava/lang/String;)V

13. .line 19
14. # v1 为 0x0
15. sput-boolean v1, Lcom/dgplay/公用模块;->vip:Z

17. goto :goto_0

这两处都在多线程1$取网页源码2完毕函数中。当然第二处是将其赋为 0 的地方，通过分析逻辑得知，这个是失败分支，而另一个是成功分支。我们向上找到关键跳转：

1. # 关键跳转
2. if-eqz v0, :cond_0

4. # ...
5. # 第一处
6. # ...

把这句去掉，就可以了。重新编译、打包，大功告成。