破解 Android 上 airpods 连接软件的pro版

0x00 起因

起因是在Android上用了一段时间的AndPods觉得不太好用之后，换到了另一个Play商店推荐的App。动画、连接和电量提示都用的很满意，就是每次连接的弹窗和APP里面都有广告，就想着改成Pro版把广告去掉。

---

0x01 解包分析

首先把apk拿出来解包，开始看代码。

代码没有加固，用了混淆，搜索关键字之后发现，只做了一个签名校验，pro版本通过一个常量来判断并通过SP明文存储。
root过的话直接通过adb修改SP的内容就好，由于手机没有root，只好通过改代码的方式来实现破解。

---

0x02 修改Pro版

通过搜索代码确定，pro版的判定只通过MenuItem::isPro，直接把值写死，setter方法return就好。

• 修改MenuItem.smali的constructor，在return-void前为isPro初始化

# direct methods
.method public constructor <init>()V
    .locals 1

    invoke-direct {p0}, Ljava/lang/Object;-><init>()V

    new-instance v0, Ljava/util/ArrayList;

    invoke-direct {v0}, Ljava/util/ArrayList;-><init>()V

    iput-object v0, p0, Lcom/pryshedko/materialpods/model/MenuItem;->possibleVariants:Ljava/util/ArrayList;

    sget-object v0, Lcom/pryshedko/materialpods/model/MenuItem$PROPERTY_TYPE;->TEXT:Lcom/pryshedko/materialpods/model/MenuItem$PROPERTY_TYPE;

    iput-object v0, p0, Lcom/pryshedko/materialpods/model/MenuItem;->type:Lcom/pryshedko/materialpods/model/MenuItem$PROPERTY_TYPE;

    const/4 v0, 0x1

    iput-boolean v0, p0, Lcom/pryshedko/materialpods/model/MenuItem;->isVisible:Z

    const/high16 v0, 0x43110000    # 145.0f

    iput v0, p0, Lcom/pryshedko/materialpods/model/MenuItem;->maxValue:F

    sget-object v0, Lb/a/a/a/a/b/a$b;->d:Lb/a/a/a/a/b/a$b;

    iput-object v0, p0, Lcom/pryshedko/materialpods/model/MenuItem;->unit:Lb/a/a/a/a/b/a$b;

    const/high16 v0, 0x40800000    # 4.0f

    iput v0, p0, Lcom/pryshedko/materialpods/model/MenuItem;->defaultFloatValue:F

    
+   const/4 v0, 0x1
+   iput-boolean v0, p0, Lcom/pryshedko/materialpods/model/MenuItem;->isPro:Z
    
    return-void
.end method

• 修改MenuItem.smali的setPro方法，直接删除iput-boolean

.method public final setPro(Z)V
    .locals 0

-   iput-boolean p1, p0, Lcom/pryshedko/materialpods/model/MenuItem;->isPro:Z

    return-void
.end method

---

0x03 绕过签名校验

通过搜索代码确定，签名校验的接口为b.g.b.b.b.g.b()，直接修改方法的返回值

.method public static b(Landroid/content/pm/PackageInfo;Z)Z
    .locals 3

-    const/4 v0, 0x0

-   if-eqz p0, :cond_1

-   iget-object v1, p0, Landroid/content/pm/PackageInfo;->signatures:[Landroid/content/pm/Signature;

-   if-eqz v1, :cond_1

-   const/4 v1, 0x1

-   if-eqz p1, :cond_0

-   sget-object p1, Lb/g/b/b/b/t;->a:[Lb/g/b/b/b/q;

-   invoke-static {p0, p1}, Lb/g/b/b/b/g;->a(Landroid/content/pm/PackageInfo;[Lb/g/b/b/b/q;)Lb/g/b/b/b/q;

-   move-result-object p0

-   goto :goto_0

-   :cond_0
-   new-array p1, v1, [Lb/g/b/b/b/q;

-   sget-object v2, Lb/g/b/b/b/t;->a:[Lb/g/b/b/b/q;

-   aget-object v2, v2, v0

-   aput-object v2, p1, v0

-   invoke-static {p0, p1}, Lb/g/b/b/b/g;->a(Landroid/content/pm/PackageInfo;[Lb/g/b/b/b/q;)Lb/g/b/b/b/q;

-   move-result-object p0

-   :goto_0
-   if-eqz p0, :cond_1

-   return v1

-   :cond_1
-   return v0

+ const/4 v0, 0x1

+ return v0

.end method

---

0x04 重打包&签名

由于我是用apktool2.4.0和旧的framework-res进行解包的，AndroidManifest中的foregroundServiceType="location"没有被正确解析，导致重打包时报了foregroundServiceType的错误，升级到apktool2.5.0并安装最新的framework-res.apk即可解决。

---

0x05 总结

这个App没有做过多的防护，重打包的过程也只是因为工具版本太低出现了一点小问题，修改起来没有什么难度，分析签名校验和Pro鉴权也算顺利，没遇到什么坑。