一、先说个巨大概——DEX文件到底是个啥子？

　　DEX其实就是Dalvik Executable的缩写， 听起来高大巨大上，但其实它就是把Java .class文件给压扁、压紧、压细小，装进一个叫.dex的盒子里让Android手机跑得geng迅速。

　　别kan名字长远， 实际用法和我们平时玩儿的差不许多——dou是zip格式，只不过后缀名不一样而Yi。apk文件是把androidsdk编译的工事打包成一个安装程序文件,格式为apk. APK文件其实是zip格式,但后缀名被修改为apk,通过UnZip解压后...

1）为啥叫Dalvik？谁是老板？

Dalvik其实是Google自己写的一个轻巧量级虚拟机，专门给手机这种矮小配机器准备的。它跟普通JVM不一样， 它要一次性把全部类dou装进同一个.dex，省点磁盘IO，这样启动速度才不会磨蹭得像乌龟。

二、DEX内部到底藏了些啥东西？

*注意*：下面的说说兴许有点乱， 基本上原因是我自己也不是专业人士，只是抄了几个网上资料，然后加了点自己的想法。

• Header：Preamble， 记录版本号、文件巨大细小之类的信息。
• String IDs：全部字符串的索引表。
• Type IDs："Lcom/example/Foo;" 这种类型说说的列表。
• Proto IDs： 方法原型集合。
• Method IDs & Field IDs： 方法和成员变量的指针。
• Class Defs： 个个class在dex里的定义块， 包括访问标志、父类指针等。
• Codelayout： 真实正的字节码段，所谓“指令”。

a）细小插曲：Dex vs Jar vs Class

Dex跟Jar不一样， Jar里个个class单独占一个文件；Dex把全部classdou塞进一锅粥，这样体积geng细小，但是反编译时要先拆开来。hen许多工具比如dex2jar就是干这玩意儿活儿——把dex变成jar再用JD-GUIkan源码。

三、怎么把DEX给解析出来？手把手教你几步走

用unzip直接打开

   虽然.dex不是.zip，但它本身也是一种压缩结构。直接用WinRAR/7z打开基本Nengkan到里面的一堆二进制块，不过kan不懂。

用官方工具baksmali/smali

 Baksmali 是 Google 官方出品，用来把 dex 反汇编成 .smali 文本。步骤巨大致如下：

$ java -jar baksmali.jar disassemble classes.dex -o out
# out目录下会出现一堆xxx.smali文件
$ java -jar smali.jar assemble out -o new.dex
# 
打包回dex

常见坑：字节序 / 对齐错误

- 有时候解压出来的 dex 会报错 “Invalid magic number”，那兴许是基本上原因是你用了 Windows 自带的 Notepad 打开保存弄得编码被改了。 - 再比如混淆后的 dex ， 方法名全变成 a,b,c…… kan着头疼，但结构还是一样，只是可读性矮小了。

四、Dex在Android里到底怎么跑——性Neng篇

*关键点*：**从 Dalvik 到 ART 的演进**。老系统用 Dalvik JIT，新鲜系统直接在安装阶段 AOT生成 OAT 文件，这样启动差不离秒开。不过无论哪种，dou离不开原始 dex 作为源头。

• I/O 少许些：Dex 把优良几个 class 合并， 一个文件就Neng一次性读完，比起个个 class 单独加载要迅速hen许多。
• Lego‑style 优化：Dex 在转换时会去掉再来一次的方法签名， 把相同字符串合并，这叫“String deduplication”。后来啊就是体积细小，内存占用矮小。
• MIPS/ARM 差异：Dex 字节码在不同 CPU 上会被 JIT/AOT 编译本钱地机器码， 所以同一个 dex 在高大端机和矮小端机跑起来速度差别hen巨大，这也是为啥有些 app 在老手机卡死，而在旗舰机流畅如丝。

五、 平安为啥喜欢盯着 Dex ——平安篇

Dex 是应用Zui核心的代码载体，一旦被改动，就Neng植入木马、广告弹窗甚至窃取用户隐私。所以平安研究研究者三天两头围着 dex 转：逆向、 脱壳、加固……下面列几个常见手段：

静态琢磨 + 反编译

- 工具：dex2jar + JD‑GUI + JADX + Bytecode Viewer - 思路：把.dex → .class → .java，然后搜关键词 “getDeviceId”“Runtime.exec”等凶险 API。 - 细小技巧：搜索 “Landroid/telephony/TelephonyManager;” Neng飞迅速定位是不是读取 IMEI。

动态调试 + Frida

- 把 apk 安装到真实机， 用 Frida 注入脚本拦截 Java 方法调用，比如 hook “java.lang.Runtime.exec”。这一步比单纯kan源码geng靠谱，基本上原因是有些代码在运行时才会解密出来。.

加固与混淆 —— 那么“烂”还Neng烂吗？

- ProGuard/R8 混淆只Neng改名字， 根本挡不住逆向； - 加固厂商会把 dex 加密后再放到 assets 里需要运行时解密再加载，这就出现了 “加载器层”。破解者往往先抓日志或 hook 解密函数，再拿到真实 dex 再琢磨。

六、一下——别记不得这几句口号！

   ① DEX 是 Android 应用的巨大脑；    ② 想让 App 迅速， 就得懂 Dex 的结构和优化技巧；    ③ 想让 App 平安，就得学会逆向 Dex 并Zuo优良混淆加固；    ④ 工具链从 unzip → baksmali → smali → re‑pack，一环扣一环，不要跳步骤！    ⑤ 再说说记住一句话：“没事别随便改 Dex，不然崩溃找不到北”。

---

© 2026 某某手艺博客 | 本文仅供学交流，如有侵权请联系删除

---