1. 逆向前先搞清楚目标是什么该从哪里下手接到“逆向反编译复原”需求时别急着开 apktool、jadx 一顿输出。我第一次拿到一个《中国惊奇先生》主题客户端安装包时也是先花了半小时确认“复原”到底要复原什么是想要复原美术资源还是想把界面交互逻辑完整还原或者只是想把代码里的业务规则梳理成文档。这三件事看起来都叫“逆向”实际走的路线完全不一样。1.1 先分清“逆向”的三层目标一个商业化客户端尤其是游戏类客户端通常可以拆成三层资源层图片、音频、视频、模型、Prefab、配置表、本地化文本。比如动画剧集配套的休闲手游大部分美术素材都存在 assets 或 AssetBundle 里。代码层Java/Kotlin 写的 Android 壳工程、Unity 的 C# 业务脚本、Native 的 C/C 动态库。这一层决定了“逻辑是怎么跑的”也是反编译最花时间的部分。协议层客户端与服务器之间的请求响应格式、加密算法、字段含义。很多“复原项目”的目标是搞清楚某个接口的签名规则但协议层通常不依赖反编译更多靠抓包和动态 hook。我这边的需求是“复原”所以主要聚焦前两层把资源提取出来把代码逻辑还原到能看懂甚至能重新编译的程度。协议层只做顺带确认避免在客户端里硬编码的服务器地址和用户凭证上踩雷。1.2 用“安装包指纹”判断技术栈拿到 APK 之后不要直接双击运行也不要用某个所谓“一键反编译”工具一把梭。先把它当成 zip 包解压看一层目录基本就能判断技术栈unzip ChinaSurprise.apk -d apk_raw ls -la apk_raw/lib apk_raw/assets apk_raw/bin以常见的 Unity 手游为例你会看到这些典型痕迹lib/armeabi-v7a/libunity.so说明是 Unity 引擎几乎可以锁定要走 Unity 资源还原路线。lib/arm64-v8a/libil2cpp.so加assets/bin/Data/Managed/global-metadata.dat说明这是 IL2CPP 模式C# 已经被编译成 C 再编进 so 里不能直接拿 dnSpy 打开。如果看到的是assets/bin/Data/Managed/Assembly-CSharp.dll则说明还是 Mono 模式C# 脚本可以通过 dnSpy 直接反编译难度低一个数量级。看到libflutter.so就别再按安卓原生思路去翻 smali 了逻辑基本在libapp.so里动态分析和字符串搜索比静态反编译更有效。这一步我管它叫“安装包指纹识别”它决定了后面所有工具选型。不要拿到一个包就先apktool d等看到乱码再回头补课顺序反了会浪费时间。1.3 给自己画一条合规红线做逆向反编译的第一前提是你有权对这个包做这件事。我这次复盘的样本是用于个人技术学习和安全审计的授权样本所有提取结果也只做内部研究不构成对原作版权内容的复制或传播。说实话干这行越久越清楚一个道理逆向的门槛不是技术而是边界。想练手的同学优先选择自己的应用、开源项目、CTF 题目或者明确允许分析的样本。别拿商业化游戏去绕过付费、去广告、抓取服务器资源那样做不仅没意思而且容易把自己搭进去。合规红线想清楚之后再往下走工具链和实操心态会稳很多。2. 工具链选择与其找“万能一键还原”不如配一套组合拳很多人让我推荐“最好的逆向工具”我的回答永远是没有万能工具只有适合当前阶段的工具。逆向反编译复原是个流水线每个环节需要的工具不一样而且同一个工具在不同项目里的表现差异巨大。下面是我这次清理和复原《中国惊奇先生》客户端时实际用下来的一套组合。2.1 静态分析工具组Apktool、jadx、MT管理器Apktool负责拆资源和解码 AndroidManifest.xml。它能把二进制资源表格resources.arsc还原成可读的 XML把 DEX 转成 smali。命令很稳定apktool d ChinaSurprise.apk -o unpacked解包后会得到一个包含res/、assets/、smali/、AndroidManifest.xml的工程目录。这是“复原”的基础骨架。jadx负责把 DEX 反编译成 Java 源码。相比dex2jar jd-gui的老组合jadx 对现代语法、lambda、资源查找的支持好很多而且可以直接打开 APK 文件不需要提前解包。我一般这样用jadx -d java_src ChinaSurprise.apk反编译出来的 Java 代码虽然不能保证和原始代码一致但控制流和字符串基本是可靠的足够人肉梳理逻辑。MT管理器我是在手机上快速验证用的。它可以直接查看 smali、批量替换字符串、修改资源文件非常适合现场快速确认某个 Activity 的入口情况。注意 MT管理器跑的是手机端适合小改动不建议用它做大工程的反编译屏幕太小容易看花眼。这套组合负责的是纯静态分析。如果遇到加固壳或者动态生成的代码静态工具会失效这时候需要动态分析工具上场。2.2 动态分析工具组Frida、Charles、IDAFrida是现阶段安卓逆向绕不开的 hook 工具。它的作用是在运行时注入代码拦截并修改目标应用的内存数据、函数参数、返回值。遇到 DEX 被加固、字符串动态解密、Unity 资源运行时解密的场景frida 能直接抓到解密后的结果。我这次复原资源时就是用 frida 脚本 hook 了 Unity 的LoadAssetBundle把运行时加载的 AssetBundle 直接 dump 到本地。Charles适合看协议层。手机配上代理后能看到 HTTP/HTTPS 请求的流量。遇到 HTTPS 抓不了的情况先确认 App 是否做了证书校验如果只是普通开发环境安装 Charles 根证书一般能解决。要注意单看协议不能复原客户端逻辑但能帮你确认“到底哪些数据是从服务器来的哪些是本地写死的”。IDA用来分析 so 文件。当代码逻辑跑到 Native 层比如游戏内的加密算法、关键校验jeb 或 jadx 就看不到了只能用 IDA 打开libil2cpp.so或libapp.so配合符号信息找函数、分析汇编。2.3 Unity 资源专项工具《中国惊奇先生》这类 IP 向游戏绝大多数是 Unity 引擎做的。Unity 的资源还原静态工具要额外增加两个AssetStudio开源工具可以直接打开assets/bin/Data目录或单个 AssetBundle 文件批量提取 Texture2D、Sprite、AudioClip、TextAsset、Shader 等资源。我在这轮复原里的所有美术资源、音频文件基本都是用它导出的。Il2CppDumper当目标使用 IL2CPP 时C# 代码的全部类型结构被写入global-metadata.dat但代码逻辑被编进libil2cpp.so。Il2CppDumper 就是用来解析 metadata 文件导出类名、方法名、字段偏移量的Il2CppDumper libil2cpp.so global-metadata.dat运行后生成的dump.cs能让你像看 C# 源码一样看到所有类和方法签名虽然看不到方法体但加上 IDA 的汇编分析足够还原大部分业务逻辑。选工具的核心逻辑其实很朴素静态先行动态兜底专项工具解决特定格式。不要迷信某个“一键还原”脚本因为你不知道目标 App 用了哪套加固、哪套资源加密组合拳比大招稳定得多。3. 一步一步把目标客户端拆开工具备好后实操流程就清晰了。整个逆向反编译复原过程我习惯按“解包 →还原 Java / smali → 还原 Unity / Native → 导出资源 → 整理工程”的顺序走每一步都保留中间产物方便回退。3.1 解包与资源还原从 APK 到可读目录第一步永远是解包先让二进制变成人能读的东西apktool d ChinaSurprise.apk -o unpacked命令执行完重点检查这几个位置AndroidManifest.xml找到application标签里的android:name和第一个activity这是入口也经常是加固壳加载器的入口。lib/确认 so 文件清单。看到libDexHelper.so或libshell*.so说明有加固壳。assets/Unity 项目会有bin/Data/子目录里面是 Unity 打包生成的资源索引文件。res/布局、图片、字符串资源反编译后是 XML 和 png直接可以浏览。这个阶段最容易忽略的是assets里的配置表。很多游戏会把数值配置放在assets/config/下以 JSON、CSV 或序列化字节流存储。我这次就在assets/config/下翻到了一大堆角色、技能、关卡配置这些虽然不是代码但对“复原”项目来说是比代码更重要的资料。解包完成后我会把unpacked整个目录复制一份作为备份后续所有操作都在副本上做避免误改。3.2 Java 层还原jadx 与 smali 双线并进资源解包完成后开始还原 Java 层代码。首选 jadxjadx -d java_src unpacked/classes.dex如果 APK 里有多个 dex可以直接传 APK 路径jadx 会自动处理。反编译完成后建议先看这几个东西主 Activity 的onCreate登录跳转、SDK 初始化、Unity 加载入口都在这里。AndroidManifest 里声明的 Service、Receiver往往对应推送、支付回执、广告逻辑。网络层搜OkHttpClient、Retrofit、HttpURLConnection能快速找到接口请求的封装类。字符串搜服务器域名、sign、encrypt、appkey等关键词能定位到加密逻辑。这一层还原的目标不是逐行读懂每个方法而是建立一张“代码地图”哪个类是入口哪个类是业务管理器哪个类是工具类。后面在 smali 层做精细化修改时才知道往哪里下刀。如果你的目标 App 没有加固jadx 的还原效果已经不错。如果 smali 里有大量a.b.c这种混淆类建议配合调用关系来定位关键逻辑。别一上来就想把所有混淆类名还原成业务名那是大力出奇迹不是工程方法。3.3 Unity 层还原Mono DLL 和 IL2CPP 两种路线打开unpacked/assets/bin/Data/Managed看一眼如果发现Assembly-CSharp.dll直接上 dnSpy 读 C# 源码。这是最舒服的逆向路径代码逻辑几乎是源码级还原。很多老牌单机游戏和休闲游戏都走这条线反编译出来之后基本可以直接看懂角色移动、技能释放、状态机切换怎么实现的。Adversely如果看到的是libil2cpp.so和global-metadata.dat就要走 IL2CPP 路线。先用 Il2CppDumper 导出类型结构Il2CppDumper libil2cpp.so global-metadata.dat它会生成几个文件重点是dump.cs和script.json。打开dump.cs后你会发现类名、方法名、字段名都是可读的甚至能看到注释里带出的字符串信息。虽然看不到方法体但配合 IDA 分析libil2cpp.so里的对应函数能还原大部分控制流。我的做法是在dump.cs里找到关键类比如GameManager、UIManager、BattleCore然后去 IDA 里搜函数名查看函数调用的子函数地址再结合 frida 在运行时 hook 这些方法打印返回值。这样做的好处是不用把所有代码都逆出来只关注核心业务逻辑就够复原用了。3.4 资源还原图片、音频、文本、配置表把资源从 Unity 包里抠出来是《中国惊奇先生》这种 IP 向游戏“复原”的重头戏。打开 AssetStudio拖入assets/bin/Data或者指定 AssetBundle 文件等待解析完成后会看到一张资源树。这里我的操作步骤是先按Texture2D过滤把角色立绘、场景背景、UI 图标都导出。再按AudioClip过滤导出背景音乐和音效。继续按TextAsset过滤导出本地化文案、配置文件、关卡数据。最后按Shader过滤Unity Shader 资源可以导出源码或汇编方便还原渲染效果。AssetStudio 默认会把资源友好分类但文件命名可能是乱码或者无意义哈希。我会在做完导出后根据 UI 预览图和上下文手工重命名一遍。这个过程累但最后你会发现一个“复原工程”的核心资产已经到你手里了。有些包的资源不在assets目录下而是单独放在主包外或者需要启动后从 CDN 下载。遇到这种情况只能靠抓包运行时 dumpCharles 看下载 URLfrida hook 资源加载函数把下载后的 AssetBundle dump 到内存。3.5 别忽略 WebView 里的“JS 世界”现代游戏客户端里经常嵌 H5 页面做活动、商城、公告。这部分的逻辑不一定在 DEX 里而是在assets目录下的index.html和打包的 JS bundle 里。我第一次逆这种包时只顾着扒 Java/C#结果发现活动倒计时和奖励配置全在 JS 里白白多花了半天。看到assets/apps/或assets/h5/目录下有一堆.js文件时说明逻辑分了一部分到 JS 层。需要“js 逆向”正常手段处理先格式化混淆后的 JS搜索“sign、timestamp、userid”等关键词定位加签逻辑如果是 webpack 打包的就还原模块加载器把业务模块一个个解开。这里的经验是不要把“逆向”局限在 APK 的 DEX 层WebView、React Native、Flutter、Unity 都是客户端的一部分哪个里面藏了业务就还原哪个。3.6 把碎片拼回“可编译工程”资源导出来了代码也还原到可读状态下一步才是真正意义上的“复原”把这些碎片拼成一个就算不能完整运行、至少能继续开发的工程骨架。我一般会在本地用 Android Studio 新建空工程然后把apktool解出的res/、assets/、AndroidManifest.xml手动填回去再根据 jadx 反编译出的 Java 类把入口 Activity、Application、核心管理类逐一编写或抄录整理。Unity 部分则在 Unity 里新建项目把 AssetStudio 导出的资源按原始目录结构放好再根据 C# 类命名补写脚本。这一步不要追求百分百还原目标是让“别人能看懂这个项目的结构和逻辑”。代码能编译最好不能编译至少把结构架起来。我甚至会给每个关键类写注释说明“这个方法在反编译版本里对应什么功能可能的调用来源是什么”。这些注释才是复原项目最有价值的产出。4. 反编译复原过程中的高频翻车点实操过程中我踩过不少坑这里挑几个典型问题写成一个小型排查手册。这些问题几乎每个做安卓逆向或游戏资源还原的人都会遇到。4.1 资源反编译失败八成是加固壳如果apktool d时报错或者解出来的smali目录里只有一个shell壳类那说明 APK 做了加固。常见标志有libDexHelper.solibshell-super.2019.solibjiagu.soassets/0O0oO0o0这类奇怪目录遇到加固包静态反编译看不到真实逻辑要先脱壳。脱壳的方式很多比较通用的是用 frida 主动调用系统 DexFile 加载函数在类加载完成后把内存中的 DEX dump 下来。思路就是加固壳在运行时一定会把真实 DEX 解密并加载hook 住加载点趁热捞出来。脱壳得到的 DEX 再交给 jadx 还原才能看到真正的业务代码。注意脱壳只适用于你确实有权分析的样本。而且现在很多加固壳升级了 VMP 和抽取壳光 dump 还不够还要修复指令那是另一个难度等级了。4.2 代码被混淆从垃圾变量里捞真逻辑ProGuard/R8 混淆后的代码类名全是a.b.c字符串被加密代码逻辑变得很难看。我的应对思路是三层递进第一层找入口。从AndroidManifest.xml里定义的 Activity 和 Application 入手。入口类不太可能被混淆得面目全非因为系统要用名字加载它。顺着入口的调用关系往下追能画出核心调用链。第二层盯字符串。混淆一般不会混淆功能字符串比如 URL、类名反射用的字符串、错误提示。用 jadx 搜索“http”“.json”“sign”“error”等关键词能快速定位关键方法。第三层跑动态。静态看不懂就看运行。用 frida hook 关键类的方法打印调用栈和参数比硬啃汇编高效很多。我的实际感受是混淆只是增加阅读难度不是增加逆向难度。它挡不住动态分析只要目标 App 能跑起来就一定能把逻辑从内存里挖出来。4.3 资源加密AssetBundle 读不出来AssetStudio 打开资源时发现一堆乱码文件文件头不是UnityFS说明 AssetBundle 被加密了。这种情况在商业游戏里越来越常见。先不要慌加密焦点的守恒是代码里必然存在解密函数而且解密函数运行时会产出明文的 AssetBundle。所以突破口永远是“找到解密函数”。我用 frida hook 了 Unity 的AssetBundle.LoadFromFile和LoadFromMemory在函数入口读原始字节在函数返回后读AssetBundle对象里的assetBundle.m_CachedPtr再把内存数据导出这就得到了解密后的包。定位解密函数本身不难在 jadx 或 IDA 里搜字节数组、AES、XOR、CryptoStream这类关键词基本能找到。难的是有些项目用了自定义加密算法需要先逆算法再写解密脚本工作量会大很多。4.4 崩溃和签名校验反编译后想重新打包跑起来最常见的问题就是崩溃和签名校验失败。崩溃原因分两种一种是资源缺失。反编译产物里少了某些资源文件运行时抛Resources.NotFoundException或空指针。排查办法是看 Logcat 里的报错信息再回去 AssetStudio 里确认对应资源是否导出。一种是签名校验。应用在启动时校验自身签名发现和服务器约定不一致就闪退。有些通过检测PackageManager获取签名比对有些在 Native 层校验。不要一上来就想着绕过签名校验除非你对这个应用有完全的控制权和授权。对自有应用正确做法是把校验逻辑摘掉或者用自己合法的签名密钥重新签名。对无授权的第三方应用绕过签名校验本身就踩线了我不会在文里给具体绕过方案。我把常见异常整理成了速查表现象可能原因排查方向apktool d报错加固壳/资源混淆先脱壳再反编译dex 转 Java 后类为空抽取壳/VMPfrida dump 完整 DEXClassNotFoundException类被混淆/裁剪查 ProGuard 映射若没有映射只能反推libil2cpp.so无法加载ABI 不匹配/被篡改检查 lib 目录和 so 完整性AssetStudio 打不开文件被加密hookAssetBundle解密函数 dump 明文安装后秒退签名校验检查签名是否一致或 Hook 校验函数确认返回值4.5 工具版本坑这一条特别想提醒新手工具版本不匹配造成的挫败感比逆向本身还大。Il2CppDumper对 Unity 2019 和 Unity 2022 生成的global-metadata.dat版本支持不一样apktool2.7 能解的包老版 2.3 可能直接报错jadx 的 Java 版本要求也在变。所以开工前先确认三件事工具是不是最新稳定版。目标包是 32 位还是 64 位ABI 目录对不对。导出时的操作系统是否兼容有的工具只有 Windows 版别在 macOS 上浪费一小时。如果某项资源打不开先升级工具大概率能救回来。5. 复盘与个人经验把这段《中国惊奇先生》主题客户端的反编译复原流程走完最大的体会不是“我把代码逆出来了”而是“我终于能用自己的话讲清楚这个项目为什么这么搭建”。逆向反编译的落点最终不是为了复制而是为了理解。我最后再分享一个小技巧复原不是终点文档才是。我在手工整理代码时会在工程根目录放一份REVERSE_README.md记录每个关键类的原始混淆名、反编译后的名字、猜测的业务功能、对应的资源文件路径。这比反复翻 jadx 输出高效得多。等这份文档写到一半你会发现原先看不懂的调用链自己拼上了原先理不清的资源命名也有规律了。所谓“复原”其实就是把别人藏在二进制里的设计意图重建到你自己脑子里。 
长河君 · 2026/10/6 5:40:40 · 阅读 1.2k 安卓逆向反编译复原实战：从APK拆解到Unity资源提取全流程
1. 逆向前先搞清楚目标是什么该从哪里下手接到“逆向反编译复原”需求时别急着开 apktool、jadx 一顿输出。我第一次拿到一个《中国惊奇先生》主题客户端安装包时也是先花了半小时确认“复原”到底要复原什么是想要复原美术资源还是想把界面交互逻辑完整还原或者只是想把代码里的业务规则梳理成文档。这三件事看起来都叫“逆向”实际走的路线完全不一样。1.1 先分清“逆向”的三层目标一个商业化客户端尤其是游戏类客户端通常可以拆成三层资源层图片、音频、视频、模型、Prefab、配置表、本地化文本。比如动画剧集配套的休闲手游大部分美术素材都存在 assets 或 AssetBundle 里。代码层Java/Kotlin 写的 Android 壳工程、Unity 的 C# 业务脚本、Native 的 C/C 动态库。这一层决定了“逻辑是怎么跑的”也是反编译最花时间的部分。协议层客户端与服务器之间的请求响应格式、加密算法、字段含义。很多“复原项目”的目标是搞清楚某个接口的签名规则但协议层通常不依赖反编译更多靠抓包和动态 hook。我这边的需求是“复原”所以主要聚焦前两层把资源提取出来把代码逻辑还原到能看懂甚至能重新编译的程度。协议层只做顺带确认避免在客户端里硬编码的服务器地址和用户凭证上踩雷。1.2 用“安装包指纹”判断技术栈拿到 APK 之后不要直接双击运行也不要用某个所谓“一键反编译”工具一把梭。先把它当成 zip 包解压看一层目录基本就能判断技术栈unzip ChinaSurprise.apk -d apk_raw ls -la apk_raw/lib apk_raw/assets apk_raw/bin以常见的 Unity 手游为例你会看到这些典型痕迹lib/armeabi-v7a/libunity.so说明是 Unity 引擎几乎可以锁定要走 Unity 资源还原路线。lib/arm64-v8a/libil2cpp.so加assets/bin/Data/Managed/global-metadata.dat说明这是 IL2CPP 模式C# 已经被编译成 C 再编进 so 里不能直接拿 dnSpy 打开。如果看到的是assets/bin/Data/Managed/Assembly-CSharp.dll则说明还是 Mono 模式C# 脚本可以通过 dnSpy 直接反编译难度低一个数量级。看到libflutter.so就别再按安卓原生思路去翻 smali 了逻辑基本在libapp.so里动态分析和字符串搜索比静态反编译更有效。这一步我管它叫“安装包指纹识别”它决定了后面所有工具选型。不要拿到一个包就先apktool d等看到乱码再回头补课顺序反了会浪费时间。1.3 给自己画一条合规红线做逆向反编译的第一前提是你有权对这个包做这件事。我这次复盘的样本是用于个人技术学习和安全审计的授权样本所有提取结果也只做内部研究不构成对原作版权内容的复制或传播。说实话干这行越久越清楚一个道理逆向的门槛不是技术而是边界。想练手的同学优先选择自己的应用、开源项目、CTF 题目或者明确允许分析的样本。别拿商业化游戏去绕过付费、去广告、抓取服务器资源那样做不仅没意思而且容易把自己搭进去。合规红线想清楚之后再往下走工具链和实操心态会稳很多。2. 工具链选择与其找“万能一键还原”不如配一套组合拳很多人让我推荐“最好的逆向工具”我的回答永远是没有万能工具只有适合当前阶段的工具。逆向反编译复原是个流水线每个环节需要的工具不一样而且同一个工具在不同项目里的表现差异巨大。下面是我这次清理和复原《中国惊奇先生》客户端时实际用下来的一套组合。2.1 静态分析工具组Apktool、jadx、MT管理器Apktool负责拆资源和解码 AndroidManifest.xml。它能把二进制资源表格resources.arsc还原成可读的 XML把 DEX 转成 smali。命令很稳定apktool d ChinaSurprise.apk -o unpacked解包后会得到一个包含res/、assets/、smali/、AndroidManifest.xml的工程目录。这是“复原”的基础骨架。jadx负责把 DEX 反编译成 Java 源码。相比dex2jar jd-gui的老组合jadx 对现代语法、lambda、资源查找的支持好很多而且可以直接打开 APK 文件不需要提前解包。我一般这样用jadx -d java_src ChinaSurprise.apk反编译出来的 Java 代码虽然不能保证和原始代码一致但控制流和字符串基本是可靠的足够人肉梳理逻辑。MT管理器我是在手机上快速验证用的。它可以直接查看 smali、批量替换字符串、修改资源文件非常适合现场快速确认某个 Activity 的入口情况。注意 MT管理器跑的是手机端适合小改动不建议用它做大工程的反编译屏幕太小容易看花眼。这套组合负责的是纯静态分析。如果遇到加固壳或者动态生成的代码静态工具会失效这时候需要动态分析工具上场。2.2 动态分析工具组Frida、Charles、IDAFrida是现阶段安卓逆向绕不开的 hook 工具。它的作用是在运行时注入代码拦截并修改目标应用的内存数据、函数参数、返回值。遇到 DEX 被加固、字符串动态解密、Unity 资源运行时解密的场景frida 能直接抓到解密后的结果。我这次复原资源时就是用 frida 脚本 hook 了 Unity 的LoadAssetBundle把运行时加载的 AssetBundle 直接 dump 到本地。Charles适合看协议层。手机配上代理后能看到 HTTP/HTTPS 请求的流量。遇到 HTTPS 抓不了的情况先确认 App 是否做了证书校验如果只是普通开发环境安装 Charles 根证书一般能解决。要注意单看协议不能复原客户端逻辑但能帮你确认“到底哪些数据是从服务器来的哪些是本地写死的”。IDA用来分析 so 文件。当代码逻辑跑到 Native 层比如游戏内的加密算法、关键校验jeb 或 jadx 就看不到了只能用 IDA 打开libil2cpp.so或libapp.so配合符号信息找函数、分析汇编。2.3 Unity 资源专项工具《中国惊奇先生》这类 IP 向游戏绝大多数是 Unity 引擎做的。Unity 的资源还原静态工具要额外增加两个AssetStudio开源工具可以直接打开assets/bin/Data目录或单个 AssetBundle 文件批量提取 Texture2D、Sprite、AudioClip、TextAsset、Shader 等资源。我在这轮复原里的所有美术资源、音频文件基本都是用它导出的。Il2CppDumper当目标使用 IL2CPP 时C# 代码的全部类型结构被写入global-metadata.dat但代码逻辑被编进libil2cpp.so。Il2CppDumper 就是用来解析 metadata 文件导出类名、方法名、字段偏移量的Il2CppDumper libil2cpp.so global-metadata.dat运行后生成的dump.cs能让你像看 C# 源码一样看到所有类和方法签名虽然看不到方法体但加上 IDA 的汇编分析足够还原大部分业务逻辑。选工具的核心逻辑其实很朴素静态先行动态兜底专项工具解决特定格式。不要迷信某个“一键还原”脚本因为你不知道目标 App 用了哪套加固、哪套资源加密组合拳比大招稳定得多。3. 一步一步把目标客户端拆开工具备好后实操流程就清晰了。整个逆向反编译复原过程我习惯按“解包 →还原 Java / smali → 还原 Unity / Native → 导出资源 → 整理工程”的顺序走每一步都保留中间产物方便回退。3.1 解包与资源还原从 APK 到可读目录第一步永远是解包先让二进制变成人能读的东西apktool d ChinaSurprise.apk -o unpacked命令执行完重点检查这几个位置AndroidManifest.xml找到application标签里的android:name和第一个activity这是入口也经常是加固壳加载器的入口。lib/确认 so 文件清单。看到libDexHelper.so或libshell*.so说明有加固壳。assets/Unity 项目会有bin/Data/子目录里面是 Unity 打包生成的资源索引文件。res/布局、图片、字符串资源反编译后是 XML 和 png直接可以浏览。这个阶段最容易忽略的是assets里的配置表。很多游戏会把数值配置放在assets/config/下以 JSON、CSV 或序列化字节流存储。我这次就在assets/config/下翻到了一大堆角色、技能、关卡配置这些虽然不是代码但对“复原”项目来说是比代码更重要的资料。解包完成后我会把unpacked整个目录复制一份作为备份后续所有操作都在副本上做避免误改。3.2 Java 层还原jadx 与 smali 双线并进资源解包完成后开始还原 Java 层代码。首选 jadxjadx -d java_src unpacked/classes.dex如果 APK 里有多个 dex可以直接传 APK 路径jadx 会自动处理。反编译完成后建议先看这几个东西主 Activity 的onCreate登录跳转、SDK 初始化、Unity 加载入口都在这里。AndroidManifest 里声明的 Service、Receiver往往对应推送、支付回执、广告逻辑。网络层搜OkHttpClient、Retrofit、HttpURLConnection能快速找到接口请求的封装类。字符串搜服务器域名、sign、encrypt、appkey等关键词能定位到加密逻辑。这一层还原的目标不是逐行读懂每个方法而是建立一张“代码地图”哪个类是入口哪个类是业务管理器哪个类是工具类。后面在 smali 层做精细化修改时才知道往哪里下刀。如果你的目标 App 没有加固jadx 的还原效果已经不错。如果 smali 里有大量a.b.c这种混淆类建议配合调用关系来定位关键逻辑。别一上来就想把所有混淆类名还原成业务名那是大力出奇迹不是工程方法。3.3 Unity 层还原Mono DLL 和 IL2CPP 两种路线打开unpacked/assets/bin/Data/Managed看一眼如果发现Assembly-CSharp.dll直接上 dnSpy 读 C# 源码。这是最舒服的逆向路径代码逻辑几乎是源码级还原。很多老牌单机游戏和休闲游戏都走这条线反编译出来之后基本可以直接看懂角色移动、技能释放、状态机切换怎么实现的。Adversely如果看到的是libil2cpp.so和global-metadata.dat就要走 IL2CPP 路线。先用 Il2CppDumper 导出类型结构Il2CppDumper libil2cpp.so global-metadata.dat它会生成几个文件重点是dump.cs和script.json。打开dump.cs后你会发现类名、方法名、字段名都是可读的甚至能看到注释里带出的字符串信息。虽然看不到方法体但配合 IDA 分析libil2cpp.so里的对应函数能还原大部分控制流。我的做法是在dump.cs里找到关键类比如GameManager、UIManager、BattleCore然后去 IDA 里搜函数名查看函数调用的子函数地址再结合 frida 在运行时 hook 这些方法打印返回值。这样做的好处是不用把所有代码都逆出来只关注核心业务逻辑就够复原用了。3.4 资源还原图片、音频、文本、配置表把资源从 Unity 包里抠出来是《中国惊奇先生》这种 IP 向游戏“复原”的重头戏。打开 AssetStudio拖入assets/bin/Data或者指定 AssetBundle 文件等待解析完成后会看到一张资源树。这里我的操作步骤是先按Texture2D过滤把角色立绘、场景背景、UI 图标都导出。再按AudioClip过滤导出背景音乐和音效。继续按TextAsset过滤导出本地化文案、配置文件、关卡数据。最后按Shader过滤Unity Shader 资源可以导出源码或汇编方便还原渲染效果。AssetStudio 默认会把资源友好分类但文件命名可能是乱码或者无意义哈希。我会在做完导出后根据 UI 预览图和上下文手工重命名一遍。这个过程累但最后你会发现一个“复原工程”的核心资产已经到你手里了。有些包的资源不在assets目录下而是单独放在主包外或者需要启动后从 CDN 下载。遇到这种情况只能靠抓包运行时 dumpCharles 看下载 URLfrida hook 资源加载函数把下载后的 AssetBundle dump 到内存。3.5 别忽略 WebView 里的“JS 世界”现代游戏客户端里经常嵌 H5 页面做活动、商城、公告。这部分的逻辑不一定在 DEX 里而是在assets目录下的index.html和打包的 JS bundle 里。我第一次逆这种包时只顾着扒 Java/C#结果发现活动倒计时和奖励配置全在 JS 里白白多花了半天。看到assets/apps/或assets/h5/目录下有一堆.js文件时说明逻辑分了一部分到 JS 层。需要“js 逆向”正常手段处理先格式化混淆后的 JS搜索“sign、timestamp、userid”等关键词定位加签逻辑如果是 webpack 打包的就还原模块加载器把业务模块一个个解开。这里的经验是不要把“逆向”局限在 APK 的 DEX 层WebView、React Native、Flutter、Unity 都是客户端的一部分哪个里面藏了业务就还原哪个。3.6 把碎片拼回“可编译工程”资源导出来了代码也还原到可读状态下一步才是真正意义上的“复原”把这些碎片拼成一个就算不能完整运行、至少能继续开发的工程骨架。我一般会在本地用 Android Studio 新建空工程然后把apktool解出的res/、assets/、AndroidManifest.xml手动填回去再根据 jadx 反编译出的 Java 类把入口 Activity、Application、核心管理类逐一编写或抄录整理。Unity 部分则在 Unity 里新建项目把 AssetStudio 导出的资源按原始目录结构放好再根据 C# 类命名补写脚本。这一步不要追求百分百还原目标是让“别人能看懂这个项目的结构和逻辑”。代码能编译最好不能编译至少把结构架起来。我甚至会给每个关键类写注释说明“这个方法在反编译版本里对应什么功能可能的调用来源是什么”。这些注释才是复原项目最有价值的产出。4. 反编译复原过程中的高频翻车点实操过程中我踩过不少坑这里挑几个典型问题写成一个小型排查手册。这些问题几乎每个做安卓逆向或游戏资源还原的人都会遇到。4.1 资源反编译失败八成是加固壳如果apktool d时报错或者解出来的smali目录里只有一个shell壳类那说明 APK 做了加固。常见标志有libDexHelper.solibshell-super.2019.solibjiagu.soassets/0O0oO0o0这类奇怪目录遇到加固包静态反编译看不到真实逻辑要先脱壳。脱壳的方式很多比较通用的是用 frida 主动调用系统 DexFile 加载函数在类加载完成后把内存中的 DEX dump 下来。思路就是加固壳在运行时一定会把真实 DEX 解密并加载hook 住加载点趁热捞出来。脱壳得到的 DEX 再交给 jadx 还原才能看到真正的业务代码。注意脱壳只适用于你确实有权分析的样本。而且现在很多加固壳升级了 VMP 和抽取壳光 dump 还不够还要修复指令那是另一个难度等级了。4.2 代码被混淆从垃圾变量里捞真逻辑ProGuard/R8 混淆后的代码类名全是a.b.c字符串被加密代码逻辑变得很难看。我的应对思路是三层递进第一层找入口。从AndroidManifest.xml里定义的 Activity 和 Application 入手。入口类不太可能被混淆得面目全非因为系统要用名字加载它。顺着入口的调用关系往下追能画出核心调用链。第二层盯字符串。混淆一般不会混淆功能字符串比如 URL、类名反射用的字符串、错误提示。用 jadx 搜索“http”“.json”“sign”“error”等关键词能快速定位关键方法。第三层跑动态。静态看不懂就看运行。用 frida hook 关键类的方法打印调用栈和参数比硬啃汇编高效很多。我的实际感受是混淆只是增加阅读难度不是增加逆向难度。它挡不住动态分析只要目标 App 能跑起来就一定能把逻辑从内存里挖出来。4.3 资源加密AssetBundle 读不出来AssetStudio 打开资源时发现一堆乱码文件文件头不是UnityFS说明 AssetBundle 被加密了。这种情况在商业游戏里越来越常见。先不要慌加密焦点的守恒是代码里必然存在解密函数而且解密函数运行时会产出明文的 AssetBundle。所以突破口永远是“找到解密函数”。我用 frida hook 了 Unity 的AssetBundle.LoadFromFile和LoadFromMemory在函数入口读原始字节在函数返回后读AssetBundle对象里的assetBundle.m_CachedPtr再把内存数据导出这就得到了解密后的包。定位解密函数本身不难在 jadx 或 IDA 里搜字节数组、AES、XOR、CryptoStream这类关键词基本能找到。难的是有些项目用了自定义加密算法需要先逆算法再写解密脚本工作量会大很多。4.4 崩溃和签名校验反编译后想重新打包跑起来最常见的问题就是崩溃和签名校验失败。崩溃原因分两种一种是资源缺失。反编译产物里少了某些资源文件运行时抛Resources.NotFoundException或空指针。排查办法是看 Logcat 里的报错信息再回去 AssetStudio 里确认对应资源是否导出。一种是签名校验。应用在启动时校验自身签名发现和服务器约定不一致就闪退。有些通过检测PackageManager获取签名比对有些在 Native 层校验。不要一上来就想着绕过签名校验除非你对这个应用有完全的控制权和授权。对自有应用正确做法是把校验逻辑摘掉或者用自己合法的签名密钥重新签名。对无授权的第三方应用绕过签名校验本身就踩线了我不会在文里给具体绕过方案。我把常见异常整理成了速查表现象可能原因排查方向apktool d报错加固壳/资源混淆先脱壳再反编译dex 转 Java 后类为空抽取壳/VMPfrida dump 完整 DEXClassNotFoundException类被混淆/裁剪查 ProGuard 映射若没有映射只能反推libil2cpp.so无法加载ABI 不匹配/被篡改检查 lib 目录和 so 完整性AssetStudio 打不开文件被加密hookAssetBundle解密函数 dump 明文安装后秒退签名校验检查签名是否一致或 Hook 校验函数确认返回值4.5 工具版本坑这一条特别想提醒新手工具版本不匹配造成的挫败感比逆向本身还大。Il2CppDumper对 Unity 2019 和 Unity 2022 生成的global-metadata.dat版本支持不一样apktool2.7 能解的包老版 2.3 可能直接报错jadx 的 Java 版本要求也在变。所以开工前先确认三件事工具是不是最新稳定版。目标包是 32 位还是 64 位ABI 目录对不对。导出时的操作系统是否兼容有的工具只有 Windows 版别在 macOS 上浪费一小时。如果某项资源打不开先升级工具大概率能救回来。5. 复盘与个人经验把这段《中国惊奇先生》主题客户端的反编译复原流程走完最大的体会不是“我把代码逆出来了”而是“我终于能用自己的话讲清楚这个项目为什么这么搭建”。逆向反编译的落点最终不是为了复制而是为了理解。我最后再分享一个小技巧复原不是终点文档才是。我在手工整理代码时会在工程根目录放一份REVERSE_README.md记录每个关键类的原始混淆名、反编译后的名字、猜测的业务功能、对应的资源文件路径。这比反复翻 jadx 输出高效得多。等这份文档写到一半你会发现原先看不懂的调用链自己拼上了原先理不清的资源命名也有规律了。所谓“复原”其实就是把别人藏在二进制里的设计意图重建到你自己脑子里。