杀毒软件反编译

① 为什么反编译systemui.apk 文件为空

先保证安装net环境和java环境，关闭杀毒软件安装“APK+Dex文件反编译及回编译工具v1.7.2正式版”

反编译错误，文件夹为空

1、到对应rom的system/framework 文件夹中提取2个文件
framework-res.apk和twframework-res.apk

2、在2个文件上右键，选择“**设为构架文件”

3、正常反编译SystemUI.apk

② 怎么做免杀越详细越好

这样一时半会时说不明白的，我炼紧要的说
（以下先介绍反汇编免杀）
第一步：你需要一本面纱的书如非安全出版的《反汇编揭露黑客免杀技巧》。进行基础性了解。
第二步：了解当下杀毒软件的查杀特点，认识云查杀和特征码查杀以及行为综合查杀等。
第三步：了解免杀技术分类：如内部免杀和外部免杀，特征码免杀以及文件免杀等
第四步：搭建调试环境，你需要一个虚拟机来测试你的木马免杀效果。如果你觉得不保险，可以在安 装冰点还原。（我的网站：google：青扬班 第一个即可）
第五步：你需要知道PE结构（这是指文件的一般格式）；输入表和输出表；以及什么是程序的壳。
第六步：你需要知道什么是汇编和反汇编（即机器语言和高级语言的区别）知道电脑内存基本的寄存器和内存80386寻址原理。和各种汇编命令如jmp，je，xor等
第七步：开始免杀。认识你自己的免杀工具如OD,OC,C32等
（常见面纱方法有加花免杀，加壳免杀，等价替换指令免杀，跳转面纱，大小写转换免杀，异化算法免杀等等，如果你是玩asp马的，还有脚本免杀）
源码免杀介绍如下：
通过修改源代码即可（很好面纱的）这里不说啦
如果你有什么不明白请google：青扬班
点击第一个网站即可，我们可以交流。

③ Android APK+Dex文件反编译及回编译工具的常见问题

1、被杀毒软件拦截误杀（安装前，关闭杀毒软件）
2、没有管理员权限（右键以管理员身份运行C:Apkdb安装.exe）或者，使用兼容模式 （右键-属性-兼容性-兼容模式[Windows XP SP3]）以及 特权等级 勾选“以管理员身份运行此程序”
3、UAC限制 安装过程没有写入注册表提示，直接显示安装完成（右键 我的电脑-管理-本地用户和组-用户-Administrator（√ 密码永不过期）请在系统变量【path】里最前面添加 c:windows;c:windowssystem32;4、正常安装成功，安装过程有写入注册表提示，但是右键APK 没有菜单（检查是不是安装了PC版的手机管理工具，关联了APK文件）
5、安装后无法编译文件，提示JAVA 错误（未安装JAVA平台，或安装错误。请卸载后重启电脑，重装再次重启电脑）
6、安装成功后，编译文件提示 “Can't create the output directory \****smali”（这是文件夹 没有写入权限。检查是否直接在硬盘分区根目录编译了？Apktool不能在磁盘分区。如：C盘 D盘 根目录！如果不是根目录，请检查apk文件名称是不是有问题。如，文件名结尾空格。）
7、能反编译，但无法回编译（可能是被旧版本的Apktool编译过，试试用旧版的反编译，用新版的回编译）
8、回编译出错问题：(1.提示 strings.xml 最后一行错误，检查是否</string>符号错误；(2.提示 strings.xml 最顶部含中文代码首行错误，编码格式不对，转换成 UTF-8；(3.提示 public.xml 出错，检查改动过的 arrays.xml 是否代码有错误的地方；(4.其他错误，检查是否复制aapt.exe 文件到系统目录如:C:WindowsSystem32aapt.exe
9、安装过程提示 systeminfo 提示“不是内部或外部命令”请在系统变量【path】里最前面添加 c:windows;c:windowssystem32;或者手动添加这个变量，如果还是不行可能系统不完整，重装吧)
10、如果安装过程中，未显示【操作成功完成】只显示：....................请在系统变量【path】里最前面添加 c:windows;c:windowssystem32;
11、64位系统,如果JAVA出错,建议把32位和64位的JAVA一起装上。
12、Win8用户 需要注意一下，如果安装了手机助手，需要，手动关联APK文件apk文件鼠标右键，【打开方式】-【选择默认程序】-【APK安装器】

④ 如何反编译木马程序

木马程序是一种程序，它能提供一些有用的，或是仅仅令人感兴趣的功能。但是它还有用户所不知道的其他功能，例如在你不了解的情况下拷贝文件或窃取你的密码。

RFC1244(Request for Comments:1244)中是这样描述木马的：“木马程序是一种程序，它能提供一些有用的，或是仅仅令人感兴趣的功能。但是它还有用户所不知道的其他功能，例如在你不了解的情况下拷贝文件或窃取你的密码。”随着互联网的迅速发展，木马的攻击、危害性越来越大。木马实质上是一个程序，必须运行后才能工作，所以会在进程表、注册表中留下蛛丝马迹，我们可以通过“查、堵、杀”将它“缉拿归案”。

查

1.检查系统进程

大部分木马运行后会显示在进程管理器中，所以对系统进程列表进行分析和过滤，可以发现可疑程序。特别是利用与正常进程的CPU资源占用率和句柄数的比较，发现异常现象。

2.检查注册表、ini文件和服务

木马为了能够在开机后自动运行，往往在注册表如下选项中添加注册表项：

HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼Run

HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼RunOnce

HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼RunOnceEx

HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼RunServices

HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼RunServicesOnce

木马亦可在Win.ini和System.ini的“run=”、“load=”、“shell=”后面加载，如果在这些选项后面加载程序是你不认识的，就有可能是木马。木马最惯用的伎俩就是把“Explorer”变成自己的程序名，只需稍稍改“Explorer”的字母“l”改为数字“1”，或者把其中的“o”改为数字“0”，这些改变如果不仔细观察是很难被发现。

在Windwos NT/2000中，木马会将自己作为服务添加到系统中，甚至随机替换系统没有启动的服务程序来实现自动加载，检测时要对操作系统的常规服务有所了解。

3.检查开放端口

远程控制型木马以及输出Shell型的木马，大都会在系统中监听某个端口，接收从控制端发来的命令，并执行。通过检查系统上开启的一些“奇怪”的端口，从而发现木马的踪迹。在命令行中输入Netstat na，可以清楚地看到系统打开的端口和连接。也可从www.foundstone.com下载Fport软件，运行该软件后，可以知道打开端口的进程名，进程号和程序的路径，这样为查找“木马”提供了方便之门。

4.监视网络通讯

对于一些利用ICMP数据通讯的木马，被控端没有打开任何监听端口，无需反向连接，不会建立连接，采用第三种方法检查开放端口的方法就行不通。可以关闭所有网络行为的进程，然后打开Sniffer软件进行监听，如此时仍有大量的数据，则基本可以确定后台正运行着木马。

堵

1.堵住控制通路

如果你的网络连接处于禁用状态后或取消拨号连接，反复启动、打开窗口等不正常现象消失，那么可以判断你的电脑中了木马。通过禁用网络连接或拔掉网线，就可以完全避免远端计算机通过网络对你的控制。当然，亦可以通过防火墙关闭或过滤UDP、TCP、ICMP端口。

2.杀掉可疑进程

如通过Pslist查看可疑进程，用Pskill杀掉可疑进程后，如果计算机正常，说明这个可疑进程通过网络被远端控制，从而使计算机不正常。

杀

1.手工删除

对于一些可疑文件，不能立即删除，有可能由于误删系统文件而使计算机不能正常工作。首先备份可疑文件和注册表，接着用Ultraedit32编辑器查看文件首部信息，通过可疑文件里面的明文字符对木马有一个大致了解。当然高手们还可以通过W32Dasm等专用反编译软件对可疑文件进行静态分析，查看文件的导入函数列表和数据段部分，初步了解程序的主要功能。最后，删除木马文件及注册表中的键值。

2.软件杀毒

由于木马编写技术的不断进步，很多木马有了自我保护机制。普通用户最好通过专业的杀毒软件如瑞星、金山毒霸等软件进行杀毒，对于杀毒软件，一定要及时更新，并通过病毒公告及时了解新木马的预防和查杀绝技，或者通过下载专用的杀毒软件进行杀毒(如近期的冲击波病毒各大公司都开发了查杀工具)。