Re Flutter

常见坑与陷阱

• release 没有 kernel_blob.bin：现象——按 debug 教程找 assets/flutter_assets/kernel_blob.bin 找不到；原因——构建模式决定产物：Debug → JIT（kernel 二进制，业务代码在 kernel_blob），Profile 与 Release 都是 AOT（业务代码在 libapp.so 的快照段）——Profile 不靠 kernel_blob 执行业务代码，它与 Release 的差别是 profiling/service/优化配置而非执行模型；对策——先按步骤 1 判模式：无 kernel_blob → 走步骤 2 快照分区解析，别在 assets 里死找
• obfuscate/tree-shaking 后短名：现象——快照里函数/类名全是 a/b 等短名或直接缺失；原因——--obfuscate 混淆名称 + tree-shaking 删除未引用代码；对策——构建侧有 --split-debug-info 映射文件就直接查表（步骤 3 JSON）；没有映射则以 strings blob 的文案/URL 为锚交叉引用反推调用链；动态侧 hook 关键函数观察行为互补
• 引擎与业务代码混淆：现象——分析深陷 libflutter.so 的 dart:: 内部函数或 _kDartVmSnapshot* 段（dart:core/io 标准库），时间空耗；原因——引擎层与 VM 快照是所有 Flutter App 共用代码，不是业务；对策——业务只分析 libapp.so 的 _kDartIsolateSnapshot*；libflutter.so 只取 VM 导出（步骤 4/5）
• frida 版本不匹配：现象——frida-ps -U 报协议错误 / unable to communicate；原因——主机 frida-tools 与设备 frida-server 版本号不一致，或架构不符；对策——严格按 [[re-frida]] 工具准备：frida --version 对照下载同版本 frida-server，选对架构（arm64/arm/x86_64）
• 快照版本与解析脚本不匹配：现象——分区偏移错位、strings blob 内容乱码或解析中断；原因——Dart 版本间快照布局有差异（版本串在头部可见），手工/第三方脚本只覆盖特定版本；对策——先读头部版本串；解析按版本分支；版本过新时以通用方法兜底（magic 扫描 + 分区语义推演）
• hook 读 Dart 字符串读出乱码：现象——hook 到 Dart 对象指针但打印乱码；原因——Dart 字符串不是 C 字符串（对象指针 +7 偏移处 4 字节 Smi 编码长度，右移 1 位为真实长度，+15 起为 UTF-8 数据，该偏移为社区实测值）；对策——写 readDartString 工具函数按此布局读取并加长度上限（布局细节见 [[re-hybrid-app]] 坑条目）；偏移随 Dart 版本浮动——以 gen_snapshot --print-object-layout-to 导出的权威偏移或实测为准，别在异版本上照抄死偏移
• 对象池反序列化当定宽读（VLE）：现象——blutter 对 custom engine / 结构性重排的快照失败（No cluster defined for cid N 或空输出）后，自写解析器读出的 ref 错位、字符串全乱；原因——Dart AOT 对象池是带 tag 的条目数组（X27 持池基址，LDR Xn,[X27,#off] 加载第 off/8 号槽），填充区每条目 1 字节 type（旧版 TypeBits = eb & 0x7f，PatchableBit = 0x80），type 0（kTaggedObject）带 VLE ref（变长）、type 1（kImmediate）载荷是定宽整型（intptr_t，非 VLE）（常见坑）；无符号 VLE 每字节 7 数据位、末段 bit7 置位（5→0x85，27673→19 58 81）；注意上述 type 编号/位宽为 Dart 2.9 时代布局，现行版本 TypeBits 位数与枚举序已变——解析前先按快照版本取布局表，别跨版本套用；对策——VLE 读 length 开头后逐条按 type 解码，slot_offset = idx × 8；先用 2–4 个已知 ref→offset 锚点验证再全量信任，锚点不符时收窄扫描窗口重试；对象池即无符号二进制的符号表——pool_offset → {加载它的所有 PC} → {所属函数}，让「哪些函数触及字符串 ref N」可静态回答（来源：reverse-skills（inliver233），MIT）
• strings 找不到中文文案：现象——对 libapp.so 跑 strings/grep 找不到中文/CJK/emoji 业务文案，线索断掉；原因——Dart 快照字符串两种存储：OneByteString（Latin-1/UTF-8，可普通 grep）与 TwoByteString（UTF-16LE）；中文/CJK/emoji 基本都在 TwoByteString，按 UTF-8 字节序列去匹配 UTF-16LE 存储当然不中；CID 编号随 Dart 版本漂移（旧版 85/86，现行 3.x 为 93/94/95 等），别写死 CID——从快照类表动态读；对策——对目标串同时搜 UTF-8 与 UTF-16LE 两种编码，记录 offset + 编码 + 出现次数；--dump-utf16 全量导出 CJK 串再 grep；对象池内函数 Code 与其加载的字符串相邻，无符号时可凭池内邻近性猜字符串↔函数归属（来源：reverse-skills（inliver233），MIT）
• 池槽字符串查不到交叉引用：现象——已知字符串在池中的 offset，但反编译器的交叉引用列表为空，定位不到引用函数；原因——取池只有两种标准 idiom：ADD xR,x27,#page,LSL#12 后跟 LDR xD,[xR,#off]（offset=(page<<12)+off），以及 page==0 时的直接 LDR xD,[x27,#off]；通用 xref 分析对这类间接取址常漏报；对策——写模式扫描器用原始字节匹配两种 idiom（不需要反编译器），函数归属用 prologue 特征（fd 79 bf a9 fd 03 0f aa）反向扫描定位函数起点；先用一个已知加载点校准再信全量；「扫描器没找到」≠「无加载者」——非标准编码的加载会被漏掉，阴性结果需第二方法交叉验证；恰好只被一个函数加载的字符串是 feature-dedicated，是功能 UI builder 的强线索（来源：reverse-skills（inliver233），MIT）
• build/虚方法 callers=0 误判死代码：现象——对 build 或虚方法做 BL xref 扫描得到 0 个调用者，被误判为死代码放弃分析；原因——Dart build/虚方法不经 BL 调用，而是经分派 stub：读对象 cid → 查分派表 → blr x30 虚拟分派，静态 BL 扫描天然看不到；对策——callers=0 是常态，不作死代码证据；找调用者必须动态：在分派 stub 或目标函数 onEnter 捕获 lr + Thread.backtrace(Backtracer.ACCURATE) 定位分派点（「while rebuilding dirty elements」帧是框架渲染路径，业务 builder 已返回）；stub 把 cid 放 x0（低 16 位）、对象指针在 x1，对象字段 @1 也存 cid 可兜底；拿到 cid 后静态搜 movk xR,#<cid>,lsl#16 找构造器，其 BL 调用者即父 build；X21 = 分派表基址，需覆盖全表时配合 cid→构造器静态映射（来源：reverse-skills（inliver233），MIT）
• Dart bool 当 0/1 处理：现象——反编译 AOT 代码时把 bool 当普通 0/1 整数读，逻辑翻来覆去对不上；原因——Dart AOT 固定寄存器约定：X15=shadow-stack、X26=Thread、X27=Pool、X22=null 哨兵、X28=堆基（压缩指针）、X21=分派表基；Dart bool 是 canonical 对象的 tagged pointer，不是 0/1——True 在 null 低位偏移、False 在更高偏移（非压缩指针下 True = null+0x20（低 16 位常形如 …8061）、False = null+0x30（…8071）；压缩指针（Flutter release 默认）为 True = null+0x10（…8051）、False = null+0x18（…8059）；消费端 tbz w0,#4（压缩指针为 #3）bit=0 进 true 分支——判定位为 0 的是 True；对策——按固定寄存器语义读反汇编（mov x0,x22 返回 Dart null；标准 prologue stp x29,x30,[x15,#-16]!; mov x29,x15，字节 fd 79 bf a9 fd 03 0f aa）；bool 编码可用指令频度破解：add xR,x22,#0x20（压缩指针 #0x10）出现数千次（True）、add xR,x22,#0x30（压缩 #0x18）同理（False）；偏移/判定位随指针压缩与版本浮动，以实测或 --print-object-layout-to 为准；Thread 全局 G = Thread[x26+0x80]，字段按偏移读；分配 thunk 模式 mov x2,#imm; movk x2,#cid,lsl16; ldr x4,[x26,#0x228]; br x4（来源：reverse-skills（inliver233），MIT）
• patch 物化 false 用 movz w0,#0 崩溃（SIGILL）：现象——静态 patch 或 Frida 运行时内存写用 movz w0,#0（字节 52800000）物化「假」，运行时崩溃信号 4（SIGILL）；原因——Dart bool 是 tagged pointer，0 是非法的 immediate tag；对策——物化 True 用 add x0,x22,#0x20（字节 c0820091）、False 用 +0x30（压缩指针下为 True +0x10、False +0x18）；该规则同时适用于静态 patch 与 Frida 运行时内存写，写 Dart bool 一律写 canonical 地址，编码随指针压缩模式与版本浮动，以实测为准（来源：reverse-skills（inliver233），MIT）
• 弹窗 patch 无效（三源分诊）：现象——NOP 掉所有 showDialog 调用后弹窗照旧，或弹窗约 60 秒定时出现，反复重试成时间黑洞；原因——Flutter 弹窗只有三个来源，误分诊是最大浪费：(a) 显式 showDialog BL；(b) 未捕获异常——MissingPluginException → FlutterError.onError/zone onError → 异步弹窗，不经任何 showDialog BL；(c) 完整性聚合门——一个聚合函数 OR 约 7 个检查，任一为真就弹窗；对策——logcat + Dart 栈帧见 MissingPluginException/Unhandled Exception 且定时出现 → 源 (b)，正解是截断 fault-body 构造器（把 body 构建的条件分支改为无条件跳过），全局 handler 无内容可显示，停止 NOP 弹窗；弹窗文案 → 池 ref → body builder → 调用者追踪，callers=0（cid 分派）且无 showDialog BL → 也是源 (b)；源 (c) 找聚合函数（引用大量 check*/get* 通道方法字符串 + 条件 → 弹窗构建），NOP 其聚合失败分支（CMP W0,W22; B.EQ fail）或 entry-null 弹窗构造 helper；patch 在某设备生效另一设备不生效时，用文案内容定位新触发的检查类别（如校验提示文案对应环境/模拟器检查）（来源：reverse-skills（inliver233），MIT）
• 把 kernel 格式的 magic 当 ASCII KERNEL：现象——按"文件头是 KERNEL"去 grep/xxd 判断 kernel_blob.bin，或按该串在容器里搜 kernel 文件，命中不了或命中的是别的东西；原因——Dart kernel 二进制的 magic 是数值 0x90abcdef（源码 runtime/vm/kernel_binary.h 的 kMagicProgramFile），文件里显示为小端字节 ef cd ab 90，根本不是 ASCII 串；header 共 8 字节（magic + formatVersion），其后还有格式版本号，可作为版本判别；对策——按 4 字节魔数判断，不要用字符串搜索
• 按 ASCII SNAPSHOT 找 AOT 快照：现象——grep SNAPSHOT/data.find(b'SNAPSHOT') 在真实 libapp.so 上零命中，于是判"没有快照"或改用字符串猜偏移；原因——Dart VM snapshot 的头部是数值 magic 0xdcdcf5f5（4B）+ length(8B) + kind(8B) 的 20 字节基础头，不存在 ASCII SNAPSHOT，也没有固定的 12 字节版本串；头之后的子 blob 布局是版本相关的内部序列化实现，不能当稳定格式套；对策——按 0xdcdcf5f5（小端 f5 f5 dc dc）定位并读 length/kind（kind 为 full-aot 即 AOT 快照），要精确解析就对着目标 SDK 版本的 runtime/vm/snapshot.h 与序列化器实现；机器码本体在独立指令段
• 无符号万级函数不知从哪下手：现象——libapp.so 无符号、约两万函数，直接翻反汇编大海捞针；原因——无符号时函数边界、字符串归属、调用关系全靠静态重建，缺乏优先级信号；对策——用 prologue 特征字节（fd 79 bf a9 fd 03 0f aa）在 .text 内反向扫描（窗口约 0x6000–0x8000 字节）先恢复函数边界；每函数建特征向量：访问的字符串集（主导信号）、BL 目标/调用者 fan-in（(word>>26)==0b100101 解码 imm26）、gate 后分支点（TBZ/TBNZ/B.EQ）、null 比较（CMP W0,W22/MOV X0,X22）、bool 返回标志；四排序器把 2 万 → 短名单：关键字串短名单 → 共访问数（关键字类字符串 ≥2 个 → orchestrator）→ 双锚点集合交集（标题串+正文串的访问函数集相交 → 精确 builder，0 或 1 个函数）→ BL 调用 fan-in 向上迭代；caller 计数 = 风险度量——高计数（共享状态函数）避免作 patch 点，计数 1 的专用 handler 是安全目标；高 cmp + 条件分支数聚合得分用于浮现完整性门/聚合谓词（来源：reverse-skills（inliver233），MIT）