Android恶意代码分析：如何在Smali中实现类似ASM的函数日志插桩？

核心思路 #

直接依托Google官方维护的smali/baksmali工具链，配合轻量自定义脚本实现批量插桩，无需手动处理寄存器边界（包括超过16个寄存器的场景），稳定性和兼容性有保障。

具体步骤 #

1. 反编译恶意软件到Smali代码
   使用baksmali将目标APK或Dex文件反编译为Smali源码：

   baksmali d malicious.apk -o out_smali
   

2. 编写批量插桩脚本
   用Python（或其他文本处理语言）遍历所有Smali文件，对每个非抽象函数的入口插入日志打印代码：

   • 定位每个函数的.method标记（排除.method abstract）
   • 在.prologue指令之后插入以下Smali代码（自动适配寄存器分配）：

     .locals 2
     const-string v0, "MalwareControlFlow"
     const-string v1, "Lcom/malicious/TargetClass;->targetFunc(Ljava/lang/String;)V"  # 替换为当前函数的完整签名
     invoke-static {v0, v1}, Landroid/util/Log;->d(Ljava/lang/String;Ljava/lang/String;)I
     

   关键：无需手动计算寄存器数量，.locals声明临时变量后，smali工具会自动处理寄存器分配，包括超过16个寄存器的场景，编译时会自动修正寄存器计数。

3. 批量处理所有Smali文件
   遍历out_smali目录下的所有.smali文件，仅针对恶意软件自身的包名类进行插桩（跳过系统类），避免无效日志。

4. 重新编译并打包签名
   用smali将修改后的Smali代码编译为Dex文件，替换回原APK并重新签名：

   smali out_smali -o classes.dex
   

简化方案（无需自研脚本） #

如果不想写脚本，可直接使用基于smali工具链的开源插桩工具（如部分静态分析工具内置的smali插桩功能），核心逻辑仍是依托官方smali处理寄存器分配，避免手动处理边界情况。

内容的提问来源于stack exchange，提问作者Mycotina