发现一个盗链的app，扒出来研究一下

     跟进com.vst.player.parse.a.getCDNUrl_a，发现是直接反射调用的SoMananger类的getLiveUrl函数

      跟进SoManager类（已重命名过），发现SoManager类在自加载dex中

    看了一下上面的逻辑，加载的是android.jar和temp.jar

    在/data/data/com.vst.live里搜索这两个文件，发现在cache目录下，导出，扔进010看一下，发现没有dex文件特征，放弃。

   尝试用大佬的dumpdex（工具git：7d7K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6D9j5i4y4@1K9h3&6Y4i4K6u0V1P5h3q4F1k6#2)9J5c8X3k6J5K9h3c8S2i4K6g2X3k6s2g2E0M7l9`.`.）工具从内存里直接把动态加载的dex拿出来

   我是直接复制了dump_dex()函数到自己的js中：

   从dump出的dex里搜SoManager，找到包含SoManager类的dex，但是无法解析出来

   怀疑是优化过的dex（我测试用的手机是8.1.0的）

   在/data/data/com.vst.live里搜索SoManager，发现vdex

   把两个vdex文件用vdexExtractor转成dex文件一下（工具git见：423K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6S2L8X3g2K6N6r3W2K6j5W2)9J5c8Y4k6V1k6i4S2q4P5s2c8J5j5h3y4@1L8%4t1`.）

   命令：bin/vdexExtractor -i  temp.vdex  -o tmp --deps -f

   出现下图表示转换成功：

   得到两个dex文件

   解析bi.dex， 没什么东西

   解析temp.dex看看, 发现SoManager

[培训]科锐逆向工程师培训第53期2025年7月8日开班！