一、题目来源
题目来源：XCTF题库安卓区easyjava
题目下载链接：下载地址
二、解题过程
1、将该apk安装进夜神模拟器中，发现有一个输入框和一个按钮，随便输入信息，点击按钮，发现弹出信息You are wrong!Bye~。
2、将该APK拖进AndroidKiller中反编译，反编译完成后，搜索字符串You are wrong，发现该字符串位于MainActivity.java中，如下图所示：
3、用jeb反编译该apk，反编译完成后直接将smali层代码转为java代码，发现在onCreate函数出现该字符串，发现将输入框中的字符串作为参数传入MainActivity的a(string)函数中，返回的布尔值确认flag是否正确。
4、而该a函数调用了MainActivity的b函数，b函数返回一个布尔值，b函数作用为首先获取输入框的字符串截取前5个符flag{与最后一个字符}之间的字符串。
然后实例化了一个b类，并且传入了一个参数2，而b类的构造函数首先为一个整形数组复制，然后左移该整形数组，左移的次数就是传进来的整数，这里是2。
在然后实例化了一个a类，传入了一个参数3，而a类的构造函数与b类的构造函数基本相同，就不再说了。
之后遍历截取下来的字符串的每个字符，然后将调用MainActivity中的a(string,b,a)函数返回回来的字符串添加到变量v3的尾部，遍历完后，将得到的字符串与字符串wigwrkaugala比较，若结果为真，返回True，否则返回False。
5、接着来看MainActivity的a(string,b,a)函数，该函数首先将传进来的第一个字符串作为调用b类的a函数的参数传入，然后将返回回来的结果作为调用a类的a函数的参数传入，最后返回一个字符。
再来看b类的a函数，该函数首先获取传进来的字符在字符串b.b中的索引，然后得到在b类中定义的整形数组中与该该索引相等的在数组中的索引，然后调用b类的a()函数，该函数作用为将b类中数组与字符串左移一位，然后返回该数组索引。
接着再来看a类中的a(int)函数，该函数首先获取与传进来的参数相等的数组中的值的索引，然后获取在字符串中索引为该数组索引的字符，最后返回该字符，当然，其中也调用a()函数，但是该函数要求等于25，所以该函数木有任何作用。
6、上面几步以及详细讲述了该apk的flag加密流程，要获取flag，逆向解密即可，解密脚本跑出结果如下：
三、附件
解密脚本：（要求python版本3.6或者与上）
cipherText = 'wigwrkaugala'
aArray = [21,4,24,25,20,5,15,9,17,6,13,3,18,12,10,19,0,22,2,11,23,1,8,7,14,16]
aString = 'abcdefghijklmnopqrstuvwxyz'
bArray = [17,23,7,22,1,16,6,9,21,0,15,5,10,18,2,24,4,11,3,14,19,12,20,13,8,25]
bString = 'abcdefghijklmnopqrstuvwxyz'
def changeBArrayandString():
global bString
global bArray
chArray = bArray[0]
chString = bString[0:1]
for i in range(len(bArray) - 1):
bArray[i] = bArray[i + 1]
bArray[len(bArray) - 1] = chArray
bString = bString[1:]
bString += chString
def getBchar(ch):
v2 = bArray[ch]
arg = bString[v2]
changeBArrayandString()
return arg
def getAint(ch):
global aString
global aArray
v1 = aString.index(ch)
arg5 = aArray[v1]
return arg5
print('flag{',end='')
for k in cipherText:
v0 = getAint(k)
print(getBchar(v0),end='')
print('}')
转载：https://blog.csdn.net/qq_41374107/article/details/104655458