dex文件格式

dex文件中的数据结构

每个LB125由1~5个字节组成，所有的字节组合在一起表示一个32位的数据。每个字节只有7位有效位，如果第一个字节的最高位为1，表示LEB128需要使用到第2个字节，如果LEB第二个字节的最高位为1，表示会使用到第3个字节，以此类推。LEB128最多使用5个字节，如果读取5个字节后下一个字节最高位仍为1，则表示该dex文件无效。

以字符序列“c0 83 92 25”为例，计算它的uleb128的值：

第1个字节0xc0 > 0x7c ，表示会用到第2个字节。result = 0x0c & 0x7f

第2个字节0x83 > 0x7c，表示会用到第3个字节。result = result + 0x83 & 0x7f << 7

第3个字节0x92 > 0x7c，表示会用到第4个字节。result = result + 0x92 & 0x7c << 14

第4个字节0x25 < 0x7c，表示到了结尾。result = result + 0x25 & 0x7c << 21

计算结果为0x40 + 0x180 + 0x48000 +0x4a00000 = 0x4a481c0

以字符序列“d1 c2 b3 40”为例，计算它的sleb128值。

result = 0xd1 & 0x7f

result=result + 0xc2 & 0x7f << 7

result=result + b3 & 0x7f << 14

result=(result + 40 & 0x7f <<21)<<4)>>4

dex文件整体结构

dex文件由7个部分组成。dex header为dex文件头，它指定了dex文件的一些属性，并记录了其他6部分数据结构在dex文件中的物理偏移。string_ids和 class_def 结构可以裂解为索引结构区，真实的数据存放在data中。最后的link_data为静态链接数据区，对于目前生成的dex文件而言，它始终为空。

未经过优化的dex文件结构表示如下：

struct DexFile {
    DexHeader     header;
    DexStringId     StringIds[StringIdsSize];
    DexTypeId      TypeIds[typeIdsSize];
    DexProtoId     ProtoIds[protoIdsSize];
    DexFieldId      FieldIds[fieldIdsSize];
    DexMethodId   MethodIds[methodIdsSize];
    DexClassDef    Data[];
    DexLink        LinkData;
}

DexFile结构的声明在Android系统源码dalvik\libdex\DexFile.h文件中。

dex文件头

DexHeader结构下面的数据为“索引结构区”与“数据区”。

“索引结构区”中各数据结构的偏移地址都是从DexHeader结构的stringIdsOff~classDefsOff字段的值指定的，它们并非真正的类数据，而是指向dex文件的data数据区的偏移或数据结构索引。

DexHeader结构声明如下：

struct DexHeader {
    u1  magic[8];           
    u4  checksum;          
    u1  signature[kSHA1DigestLen];
    u4  fileSize;           
    u4  headerSize;        
    u4  endianTag;
    u4  linkSize;
    u4  linkOff;
    u4  mapOff;
    u4  stringIdsSize;
    u4  stringIdsOff;
    u4  typeIdsSize;
    u4  typeIdsOff;
    u4  protoIdsSize;
    u4  protoIdsOff;
    u4  fieldIdsSize;
    u4  fieldIdsOff;
    u4  methodIdsSize;
    u4  methodIdsOff;
    u4  classDefsSize;
    u4  classDefsOff;
    u4  dataSize;
    u4  dataOff;
};

dex文件结构分析

DexMapItem

Dalvik虚拟机解析dex文件的内容，最终将其映射成DexMapList数据结构，DexHeader结构的mapOff字段指明了DexMapList结构在dex文件中的偏移，它的声明如下。

struct DexMapList {
    u4  size;               /* DexMapItem的个数 */
    DexMapItem list[1];     /* DexMapItem的结构 */
};

size字段表示接下来有多少个DexMapItem结构，DexMapItem的结构声明如下。

struct DexMapItem {
    u2 type;              /* kDexType开头的类型 */
    u2 unused;            /*未使用，用于字节对齐 */
    u4 size;              /* 指定类型的个数 */
    u4 offset;            /* 指定类型的文件偏移 */
};

type字段为一个枚举常量，如下所示，通过类型名称很容易判断它的具体类型。

enum {
    kDexTypeHeaderItem               = 0x0000,
    kDexTypeStringIdItem             = 0x0001,
    kDexTypeTypeIdItem               = 0x0002,
    kDexTypeProtoIdItem              = 0x0003,
    kDexTypeFieldIdItem              = 0x0004,
    kDexTypeMethodIdItem             = 0x0005,
    kDexTypeClassDefItem             = 0x0006,
    kDexTypeMapList                  = 0x1000,
    kDexTypeTypeList                 = 0x1001,
    kDexTypeAnnotationSetRefList     = 0x1002,
    kDexTypeAnnotationSetItem        = 0x1003,
    kDexTypeClassDataItem            = 0x2000,
    kDexTypeCodeItem                 = 0x2001,
    kDexTypeStringDataItem           = 0x2002,
    kDexTypeDebugInfoItem            = 0x2003,
    kDexTypeAnnotationItem           = 0x2004,
    kDexTypeEncodedArrayItem         = 0x2005,
    kDexTypeAnnotationsDirectoryItem = 0x2006,
};

以hello.dex为例，用winhex打开文件。

dex header

在偏移0x34处找到mapOff，即MapList的偏移：0x0290

MapList偏移

读取0x290处的一个双字值为0x0d，表明接下来会有13个DexMapItem。（此处占四个字节？）

根据前文中提到的DexMapItem结构，一个DexMapItem占12个字节，1-2个字节表示类别，5-8个字节表示个数，9-12个字节表示偏移量。

所有DexMapItem如下表：

kDexTypeHeaderItem描述了DexHeader部分，它占用了文件0x70个字节的空间。而接下来的kDexTypeStringIdItem~kDexTypeClassDataItem与DexHeader当中对应的类型个数字段的值是相同的。

kDexTypeStringIdItem

比如kDexTypeStringIdItem对应了DexHeader的stringIdsSize与stringIdsOff字段，表明了在0

x70偏移处，有0x10个DexStringId对象。DexStringId结构的声明如下。

struct DexStringId {
    u4 stringDataOff;      /* 字符串数据偏移 */
};

DexStringId结构只有一个stringDataOff字段，直接指向字符串数据，从0x70开始，有0x10个DexStringId对象，一个对象是4个字节代表字符串偏移。一共16个字段如下：

DexStringId对象

上表中的字符串并非普通的ascii字符串，他们是有MUTF-8编码表示的。MUTF-8含义为Modified UTF-8。

kDexTypeTypeIdItem

他对应DexHeader中的typeIdsSize和typeIdsOff字段，指向的结构体为：

struct DexTypeId {
    u4  descriptorIdx;      /* 指向DexStringId列表的索引 */
};

descriptorIdx是指向DexStringId列表的索引 ，他对应的字符串代表具体类的类型，我们根据上面字段可知：从0xb0起有0x7个DexTypeId结构：

DexTypeId结构

kDexTypeProtoIdItem

对应DexHeader中的protoIdsSize与protoIdsOff字段，声明如下：

struct DexProtoId {
    u4  shortyIdx;          /* 指向DexStringId列表的索引 */
    u4  returnTypeIdx;      /* 指向DexTypeId列表的索引 */
    u4  parametersOff;      /* 指向DexTypeList的偏移 */
};

他是一个方法的声明结构体，shortyIdx为方法声明字符串，returnTypeIdx为方法返回类型字符串，parametersOff指向一个DexTypeList的结构体存放了方法的参数列表 。DexTypeList声明如下：

struct  DexTypeList{
    u4  size;               /* 接下来DexTypeItem的个数 */
    DexTypeItem list[1];    /* DexTypeItem结构 */
};

DexTypeItem声明如下：

struct DexTypeItem {
    u2  typeIdx;            /* 指向DexTypeId列表的索引 */
};

从0xcc开始，有4个DexProtoId，如表：

DexProtoId结构表

通过上表可以发现，方法声明由返回类型与参数列表组成，并且返回类型位于参数列表的前面。

kDexTypeFieldIdItem

对应DexHeader中的fieldIdsSize和fieldIdsOff字段，指向DexFieldId结构体 ：

struct DexFieldId {
    u2  classIdx;           /* 类的类型，指向DexTypeId列表索引 */
    u2  typeIdx;            /* 字段类型，指向DexTypeId列表索引 */
    u4  nameIdx;            /* 字段名，指向DexStringId列表 */
};

DexFieldId结构体中的数据全部是索引值，指明了字段所在的类，字段的类型以及字段名，从0xfc开始共有1个DexFieldId结构。结果如图：

kDexTypeMethodIdItem

它对应DexHeader中的methodIdsSize与methodIdsOff字段，指向的结构体DexMethodId

struct DexMethodId {
    u2  classIdx;           /* 类的类型，指向DexTypeId列表的索引 */
    u2  protoIdx;           /* 声明类型，指向DexProtoId列表索引 */
    u4  nameIdx;            /* 方法名，指向DexStringId列表的索引 */
};

数据也是索引，指明了方法所在的类，方法声明和方法名。从0x104有0x5个kDexTypeMethodIdItem

kDexTypeClassDefItem

对应DexHeader中的classDefsSize和classDefsOff字段，指向结构体DexClassDef

struct DexClassDef {
    u4  classIdx;           /* 类的类型，指向DexTypeId列表索引 */
    u4  accessFlags;        /* 访问标志 */
    u4  superclassIdx;      /* 父类的类型，指向DexTypeId列表的索引 */
    u4  interfacesOff;      /* 实现了哪些接口，指向DexTypeList结构的偏移 */
    u4  sourceFileIdx;      /* 源文件名，指向DexStringId列表的索引 */
    u4  annotationsOff;     /* 注解，指向DexAnnotationsDirectoryItem结构的偏移 */
    u4  classDataOff;       /* 指向DexClassData结构的偏移 */
    u4  staticValuesOff;    /* 指向DexEncodedArray结构的偏移 */
};

• classIdx：索引值，表明类的类型
• accessFlags：类的访问标志，它是以ACC_开头的一个枚举值
• superclassIdx：父类类型索引值，
• interfacesOff：如果类中含有接口声明或实现，字段会指向1个DexTypeList结构，否则这里为0
• sourceFileIdx ：字符串索引值，表示类所在的源文件名称
• annotationsOff ：指向注解目录结构
• classDataOff ：指向DexClassData结构，这是数据部分
• staticValuesOff ：指向DexEncodedArray结构，记录了类中的静态数据

DexClassData

struct DexClassData {
    DexClassDataHeader header; //指向DexClassDataHeader，字段和方法个数
    DexField*          staticFields; //静态字段
    DexField*          instanceFields; //实例字段
    DexMethod*         directMethods; //直接方法
    DexMethod*         virtualMethods;//虚方法
};

DexClassDataHeader

记录了当前类中的字段和方法的数目，声明如下：

struct DexClassDataHeader {
    u4 staticFieldsSize; //静态字段个数
    u4 instanceFieldsSize;//实例字段个数
    u4 directMethodsSize;//直接方法个数
    u4 virtualMethodsSize;//虚方法个数
};

DexField

描述了字段类型与访问标志，声明如下:

struct DexField {
    u4 fieldIdx;    /* 指向DexFieldId列表的索引 */
    u4 accessFlags; /* 访问标志 */
};

DexMethod

struct DexMethod {
    u4 methodIdx;    /* 指向DexMethodId列表的索引 */
    u4 accessFlags;  /* 访问标志 */
    u4 codeOff;      /* 指向DexCode结构的偏移 */
};

codeOff字段指向一个DexCode结构体，声明如下：

/dalvik/libdex/DexFile.h

struct DexCode {
    u2  registersSize;//使用寄存器个数
    u2  insSize;//参数个数
    u2  outsSize;//调用其他方法时使用的寄存器个数
    u2  triesSize;//try/catch个数
    u4  debugInfoOff;//指向调试信息的偏移
    u4  insnsSize;//指令集个数，以2字节为单位
    u2  insns[1];//指令集
    /* followed by optional u2 padding */
    /* followed by try_item[triesSize] */
    /* followed by uleb handlersSize */
    /* followed by catch_handler_item[handlersSize] */
};