记一次对喵窝计账的逆向分析

0x1 首先打开软件#

0809-12_8df7b73a 在『计账』界面，可以看到「未订阅」三个字，因此判断存在一个方法用于判断订阅状态：若为会员则显示「xx 会员」，否则显示「未订阅」。从「未订阅」入手。

0x2 在 resources.arsc 中搜索#

0809-11_62bf1edb 0809-10_ae566253 0809-9_30e62fdd 0809-8_8cda81fc

搜索「未订阅」，找到一个，长按属性复制，得到字符串 vip_type_unsubscribed。

0x3 在 Dex 编辑器++ 中搜索#

0809-6_18e29998

搜索 vip_type_unsubscribed，类型为字符串，共三条结果；凭直觉选择中间一条进入。

0x4 定位到方法#

0809-5_032b2cc9

定位到 com.glgjing.pig.ui.common.VipActivity.v 方法。Smali 难以阅读，用 AI 转成 Java，代码如下：

1
package com.glgjing.pig.ui.common;
2

3
import android.app.Activity;
4
import android.content.SharedPreferences;
5
import android.graphics.Paint;
6
import android.view.View;
7
import android.widget.TextView;
8

9
import com.glgjing.pig.R;
10
import com.glgjing.walkr.base.BaseListActivity;
11
import com.glgjing.walkr.theme.ThemeRectColorView;
12
import com.glgjing.walkr.view.WRecyclerView;
13

14
import java.lang.ref.WeakReference;
15
import java.util.Arrays;
16

17
import c0.i;
18
import c0.k;
19
import i.a;
20
import kotlin.jvm.internal.g;
21
import q.e;
22
import x2.d;
23
import x6.g;
24
import z0.b;
25

26
public final class VipActivity extends BaseListActivity {
27

28
    public final void v() {
29
        // 1. 计算 54dp -> px
30
        int px = g.n(this, 54f);
31

32
        // 2. 刷新列表头部
33
        WRecyclerView.Adapter adapter = u();
34
        b header = new b(px, 1, 8, false, kotlin.reflect.v.b);
35
        adapter.k(header);
36

37
        // 3. 关闭按钮
38
        findViewById(R.id.button_close).setOnClickListener(new i(this, 0));
39

40
        // 4. 根据订阅状态设置 vip_type TextView
41
        TextView tvType = findViewById(R.id.vip_type);
42
        String status = a.J();
43
        switch (status.hashCode()) {
44
            case 0x639ba539:            // "sub_vip_none"
45
                if ("sub_vip_none".equals(status)) {
46
                    tvType.setText(R.string.vip_type_unsubscribed);
47
                }
48
                break;
49
            case 0x48c24e6c:            // "sub_vip_monthly"
50
                if ("sub_vip_monthly".equals(status)) {
51
                    tvType.setText(R.string.vip_type_monthly);
52
                }
53
                break;
54
            case -0x2af59460:           // "sub_vip_annual"
55
                if ("sub_vip_annual".equals(status)) {
56
                    tvType.setText(R.string.vip_type_annual);
57
                }
58
                break;
59
            case -0x695108b3:           // "sub_vip_permanent"
60
                if ("sub_vip_permanent".equals(status)) {
61
                    tvType.setText(R.string.vip_type_permanent);
62
                }
63
                break;
64
        }
65

66
        // 5. 设置 vip_bg 主题色
67
        ThemeRectColorView bg = findViewById(R.id.vip_bg);
68
        if (!"sub_vip_none".equals(status) && status.length() != 0) {
69
            bg.setColorMode(5);         // v0 = 0x5
70
        } else {
71
            bg.setColorMode(2);         // v1 = 0x2
72
        }
73

74
        // 6. 如果已订阅永久版，隐藏底部购买区
75
        if (!a.R()) {
76
            findViewById(R.id.bottom_container).setVisibility(View.GONE);
77
            return;
78
        }
79

80
        // 7. 初始化价格信息
81
        SharedPreferences sp = d.c;
82
        if (sp == null) {
83
            g.j("sp");
84
            throw null;
85
        }
86

87
        // 7-1. 折扣价
88
        ((TextView) findViewById(R.id.desc_discount))
89
                .setText(sp.getString("KEY_VIP_DISCOUNT_PRICE", "$11.9"));
90

91
        // 7-2. 原价并加删除线
92
        TextView origin = findViewById(R.id.desc_origin);
93
        origin.setText(sp.getString("KEY_VIP_PERMANENT_PRICE", "$14.9"));
94
        origin.getPaint().setFlags(Paint.STRIKE_THRU_TEXT_FLAG);
95

96
        // 7-3. 各类价格
97
        ((TextView) findViewById(R.id.discount_price))
98
                .setText(sp.getString("KEY_VIP_DISCOUNT_PRICE", "$11.9"));
99

100
        ((TextView) findViewById(R.id.yearly_price))
101
                .setText(sp.getString("KEY_VIP_ANNUAL_PRICE", "$9.9"));
102

103
        ((TextView) findViewById(R.id.monthly_price))
104
                .setText(sp.getString("KEY_VIP_MONTHLY_PRICE", "$0.99"));
105

106
        // 7-4. 订阅提示文本
107
        TextView tip = findViewById(R.id.subscription_tip);
108
        String template = getString(R.string.vip_subscription_tip);
109
        String monthly = sp.getString("KEY_VIP_MONTHLY_PRICE", "$0.99");
110
        String yearly  = sp.getString("KEY_VIP_ANNUAL_PRICE",  "$9.9");
111
        tip.setText(String.format(template, monthly, yearly));
112

113
        // 8. 注册监听器
114
        k listener = this.r;
115
        g.e(listener, "listener");
116
        e.c.add(new WeakReference<>(listener));
117

118
        // 9. 三个购买按钮
119
        findViewById(R.id.sub_monthly).setOnClickListener(new i(this, 1));
120
        findViewById(R.id.sub_yearly) .setOnClickListener(new i(this, 2));
121
        findViewById(R.id.sub_permanent).setOnClickListener(new i(this, 3));
122

123
        // 10. 隐私和条款链接
124
        findViewById(R.id.privacy_link).setOnClickListener(new i(this, 4));
125
        findViewById(R.id.terms_link)  .setOnClickListener(new i(this, 5));
126
    }
127
}

由代码可见，会员状态由 i.a.J() 返回的字符串决定。因此修改思路：直接让该方法返回 "sub_vip_permanent"（永久会员）。

0x5 修改 `i.a.J()`#

0809-4_d0096ec6 0809-3_799bad5a 0809-2_156005c5

跳转到 i.a.J() 方法，清空代码，使其始终返回 "sub_vip_permanent"：

1
.method public static J()Ljava/lang/String;
2
    .registers 1
3

4
    const-string v0, "sub_vip_permanent"
5
    return-object v0
6
.end method

你以为本篇教程就这么结束了吗？当然不可能。

保存打包后发现：界面从「未订阅」变成了「永久会员」，但会员功能仍无法使用。

0x6 账本弹窗分析#

0809-1_f3ccdd27

添加账本时出现文字弹窗。沿用前述步骤，对弹窗内容 ledger_vip_tip 进行分析，定位到 a1.b.onClick 方法。再用 AI 转 Java，关键代码如下：

1
/* 这是 onClick(View v) 的 switch-case 主框架 */
2
public final void onClick(View view) {
3
    switch (this.c) {           // 0x0 ~ 0x1c 共 29 个分支
4
        case 0x1a:              // 导出功能
5
            boolean isVip = PigApp.a();   // 唯一判断点
6
            if (isVip) {
7
                Intent intent = new Intent(fragment.getContext(), VipActivity.class);
8
                intent.putExtra("ITEM_POSITION", 4);
9
                fragment.startActivity(intent);
10
            } else {
11
                showNeedVipDialog(fragment, R.string.setting_export_confirm);
12
            }
13
            break;
14

15
        case 0x15:              // 重复记账
16
            isVip = PigApp.a(); // 再次调用
17
            if (isVip && ((RepeatFragment) fragment).r > 0) {
18
                showNeedVipDialog(fragment, R.string.record_repeat_non_vip_tip);
19
            } else {
20
                fragment.startActivity(new Intent(fragment.getContext(), RepeatAddActivity.class));
21
            }
22
            break;
23

24
        case 0x10:              // 账本
25
            isVip = PigApp.a(); // 第三次调用
26
            if (isVip) {
27
                showNeedVipDialog(fragment, R.string.ledger_vip_tip);
28
            } else {
29
                fragment.startActivity(new Intent(fragment.getContext(), LedgerAddActivity.class));
30
            }
31
            break;
32

33
        /* 其余 0x11、0x12、… 等分支与会员完全无关，省略 */
34
    }
35
}

可定位到 com.glgjing.pig.PigApp.a，强制使其返回 true：

1
.method public static a()Z
2
    .registers 1
3

4
    const/4 v0, 0x1
5

6
    return v0
7
.end method

打包安装测试后，会员功能依旧未解锁。

0x7 继续逆向#

对其他会员功能进行逆向分析后发现，无论如何都会回到 a1.b.onClick 方法。先鸽一下。