第四章 常见的 Android 文件格式（三）（AndroidManifest.xml）

文章目录AndroidManifest.xmlAndroidManifest.xml 文件的格式AXML 文件格式AXML 文件的修改 AndroidManifest.xml 其中存放了 APK 的大量配置信息：软件名称、图标、主题、包名、组件配置等 合理、安全地配置组件是安全开发中最重要的一课 AndroidManifest.xml 文件的格式 采用 XML 文本格式，在开发阶段，所有的配置信息都可直接以可视化的方式编辑。Crackme0201 的内容：

所有的配置都属于 manifest 标签，与程序配置相关的部分属于 Android 标签，程序中使用的四大组件也在这里声明 App Manifest 的详细信息可在 Android 的 API Guides（https://developer.android.google.cn/guide/topics/manifest/application-element ）中找到

android:allowBackup="true"

android:allowBackup 允许系统在进行备份操作时备份程序的应用数据，典型的操作是在终端执行 adb backup 命令，或点击手机设置界面上的“备份操作”按钮。对数据安全比较敏感的话，可设置为“false”

android:supportsRtl="true"

这个标签的作用：让 APK 支持 RTL（Right-to-Left）视图。将此值设为“true”，并将 targetSdkVersion 的值设为 17 及以上，即可开启 RTL 视图支持 AXML 文件格式 AS 在编译 APK 时，会将 AndroidManifest.xml 处理后打包进去。打包进去的 AndroidManifest.xml 被编译成二进制格式的文件。解压 APK 后，用文本编辑器打开它，会发现内容是乱码。这个打包后的 AndroidManifest.xml 称“AXML”，其格式称“AXML 文件格式” APK 用 AXML 而非纯文本格式 XML 存放数据，主要目的应是解决 APK 加载时的性能问题。在 Android 设备内存资源与能耗极其有限的情况下，二进制的 AXML 在分析处理速度和内存占用方面都比纯文本的 XML 有明显优势。但 AXML 的内容不能直接显示，因此，逆向分析 APK 时，对其格式有所了解，才能知道它原来的内容 Android 官方没明确给出 AXML 的二进制布局规范，可通过阅读 APK 打包流程和系统加载 APK 的代码掌握它的文件格式。在 Android 系统源码文件 frameworks/base/include/androidfw/ResourceType.h 中列举了 AXML 使用的大部分数据结构和常量定义 学习 AXML 文件格式过程中，在了解数据结构的同时，可使用 010 Editor 辅助分析 AXML 文件格式模板可通过 010 Editor 的模板库来安装，如下：
接着是 ResXMLTree，它用于表示 XML 的具体内容。他是一个线性的 XML 字节数据集合，由多个 XML 节点数据组成，每个 XML 节点数据由基本结构体 ResXMLTree_node 和扩展结构体组成 ResXMLTree_node 定义：

struct ResXMLTree_node {
    struct ResChunk_header header;
    uint32_t lineNumber;
    struct ResStringPool_ref comment;
};

对第一个节点来说，header 的 type 字段必须是 RES_XML_START_NAMESPACE_TYPE，表示这是一个 namespace 开始节点。与此对应的是 ResXMLTree 部分的最后一个 ResXMLTree_node，它的 header 的 type 字段必须是 RES_XML_END_NAMESPACE_TYPE，表示 namespace 节点的结束。lineNumber 字段表示节点数据在 AndroidManifest.xml 中的行号，占用 4 字节。comment 字段表示节点数据关联的注释内容，它的结构是 ResStringPool_ref，定义：

struct ResStringPool_ref {
    uint32_t index;
};

index 字段是字符串在字符串池中的偏移索引。若节点数据没有对应的注释，由 comment 字段取值 -1。对类型为 RES_XML_START_NAMESPACE_TYPE 与 RES_XML_END_NAMESPACE_TYPE 的节点数据来说，它的扩展结构体用 ResXMLTree_namespaceExt 表示，定义：

struct ResXMLTree_namespaceExt {
    struct ResStringPool_ref prefix;
    struct ResStringPool_ref uri;
};

prefix 字段表示 namespace 的前缀，对 AXML 来说，它的值通常为“android”。uri 字段表示 namespace 的 URI，对 AXML 来说，它的值通常为“http://schemas.android.com/apk/res/android” 在 RES_XML_START_NAMESPACE_TYPE 和 RES_XML_END_NAMESPACE_TYPE 类型的节点数据中间是一系列以 RES_XML_START_ELEMENT_TYPE 开头且以 RES_XML_END_ELEMENT_TYPE 结束的成对的 ResXMLTree_node 节点数据。这些节点数据虽然可嵌套，但必须成对出现，与 XML 的语法格式一样 RES_XML_START_ELEMENT_TYPE 类型的节点数据表示一个节点 TAG 的开始。它除了可包含多个子 TAG，还可包含多个属性值。它的扩展结构部分用 ResXMLTree_attrExt 表示，定义：

struct ResXMLTree_attrExt {
    struct ResStringPool_ref ns;
    struct ResStringPool_ref name;
    uint16_t attributeStart;
    uint16_t attributeSize;
    uint16_t attributeCount;
    uint16_t idIndex;
    uint16_t classIndex;
    uint16_t styleIndex;
};

ns 和 name 字段分别表示节点数据所在的 namespace 与节点的名称。attributeStart 字段表示属性的初始地址，它的位置是相对于本结构体的文件偏移。attributeSize 字段表示单个属性的大小。attributeCount 字段表示属性的总个数。idIndex、classIndex、styleIndex 字段分别表示 id 属性、class 属性、style 属性的索引（以 1 为下标，为 0 表示空值） 若 attributeStart 字段指向的偏移量不为 -1，且 attributeCount 字段指定的个数大于 0，接下来就是具体的属性数据。属性数据由 ResXMLTree_attribute 表示，定义：

struct ResXMLTree_attribute {
    struct ResStringPool_ref ns;
    struct ResStringPool_ref name;
    struct ResStringPool_ref rawValue;
    struct Res_value typedValue;
};

ns 和 name 字段分别表示属性所在的 namespace 与属性的名称。rawValue 字段表示该属性的原始字符串值。typedValue 字段的类型是 Res_value。Res_value 是一个复杂的类型，可存放各种类型的属性值。Res_value 定义如下，data_type 字段表示可存储的数据类型

struct Res_value {
    uint16_t size;
    uint8_t res0;
    uint8_t dataType;
    typedef uint32_t data_type;
    data_type data;
};

size 字段描述了属性占用的总字节数。res0 字段的值目前必须是 0。dataType 字段表示数据的类型，它的取值可以是如下形式：

enum {
    TYPE_NULL        = 0x00,
    TYPE_REFERENCE    = 0x01,
    TYPE_ATTRIBUTE    = 0x02,
    TYPE_STRING        = 0x03,
    TYPE_FLOAT        = 0x04,
    TYPE_DIMENSION    = 0x05,
    TYPE_FRACTION    = 0x06,
    TYPE_DYNAMIC_REFERENCE    = 0x07,
    TYPE_DYNAMIC_ATTRIBUTE    = 0x08,
    TYPE_FIRST_INT    = 0x10,
    TYPE_INT_DEC    = 0x10,
    TYPE_INT_HEX    = 0x11,
    TYPE_INT_BOOLEAN    = 0x12,
    TYPE_FIRST_COLOR_INT    = 0x1c,
    TYPE_INT_COLOR_ARGB8    = 0x1c,
    TYPE_INT_COLOR_AGB8        = 0x1d,
    TYPE_INT_COLOR_ARGB4    = 0x1e,
    TYPE_INT_COLOR_AGB4        = 0x1f,
    TYPE_LAST_COLOR_INT        = 0x1f,
    TYPE_LAST_INT            = 0x1f
};

data 字段中存放具体的数据，根据 dataType 指定的不同的数据类型，它的值的类型也不同。如，当 dataType 为 TYPE_STRING 时，data 字段中存放的是字符串的索引，前面的 rawValue 字段指向的也是字符串的索引值 对 RES_XML_END_ELEMENT_TYPE 类型的节点来说，它表示要给节点 TAG 的结束，它的扩展结构用 ResXMLTree_endElementExt 表示，定义：

struct ResXMLTree_endElementExt {
    struct ResStringPool_ref ns;
    struct ResStringPool_ref name;
};

ns 和 name 字段同前面的 ResXMLTree_attrExt 结构体所对应的字段，分别表示属性所在的 namespace 和属性的名称 至此，AXML 的格式介绍完毕。完整分析一个 AXML 的内容，关键在于解析后面一系列以 RES_XML_START_ELEMENT_TYPE 开始且以 RES_XML_END_ELEMENT_TYPE 结束的 ResXMLTree_node 节点数据 AXML 文件的修改 部分 APK 保护工具及一些厂商的加固方案利用 Android 系统解析 AXML 的漏洞，在编译 APK 时构造畸形的 AXML，是系统能正常安装 APK，但无法运行 ApkTool 等反编译工具。这时就要对 AXML 进行修改。最直接的修改方式：配合使用 010 Editor 及 AXML 模板查看文件格式，找到异常部分进行修改 对一些已出现的 AXML 加固方案，可用现成的工具修改： AmBinaryEditor：https://github.com/ele7enxxh/AmBinaryEditor AndroidManifestFix：https://github.com/zylc369/AndroidManifestFix
作者：zlmm741