安卓修改大师WebView注入实战：隐藏按钮与添加图片

一、技术背景与原理分析

1.1 WebView与JavaScript通信机制

在Android中，WebView默认是允许执行JavaScript脚本的，但需要在代码中显式启用：webView.getSettings().setJavaScriptEnabled(true)。启用后，WebView与JavaScript之间可以通过两种方式进行通信：

• Native调用JS：通过webView.loadUrl("javascript:函数名()")或evaluateJavascript()方法，原生代码可以执行网页中的JavaScript函数。这是本文实现注入的核心手段。
• JS调用Native：通过addJavascriptInterface()方法，可以将Java对象注入到WebView中，使JavaScript可以调用原生方法。

本文的核心思路是：通过反编译找到目标APK中WebView初始化及加载网页的代码位置，然后在合适的时机（如页面加载完成后）注入自定义的JavaScript代码，从而实现隐藏按钮、添加图片等DOM操作。利用WebViewClient的onPageFinished回调，可以确保注入的JS代码在页面完全加载后再执行，避免因DOM未渲染完毕而导致的注入失败。

1.2 为什么要选择这种方案？

在Android逆向工程中，修改应用的界面行为有多种方法。相比于修改布局文件（仅能影响原生UI界面，无法干预WebView加载的网页内容）、修改服务端接口（需要控制服务端权限，实际场景中几乎不可行），通过Smali代码注入JavaScript是实现网页界面定制的最优解。这种方法不需要原始源代码，不需要root权限，只需要通过安卓修改大师这样的反编译工具，就能实现深度的功能定制。这种技术常用于开发调试、UI自动化测试、安全研究以及学习优秀应用的实现细节。

具体来说，这种方案的典型应用场景包括：

• 去广告化：隐藏WebView加载的网页中的广告元素
• 品牌植入：在合作方页面上添加自己的品牌Logo或宣传信息
• 功能增强：为网页添加原生应用才有的交互效果
• 安全审计：验证应用是否暴露了不必要的JS接口，进行安全加固

二、工具准备与环境搭建

2.1 必备工具清单

要完成本次实战，你需要准备以下工具。这些工具涵盖了从反编译、代码阅读、分析、修改到重新打包签名的完整逆向流程。

• 安卓修改大师：核心工具，提供了一站式的APK反编译、Smali编辑、资源管理和重新打包功能，将复杂的命令行操作转化为可视化图形界面。
• Jadx-GUI：辅助分析工具，可以将APK中的字节码反编译为可读性更好的Java源代码，帮助理解代码逻辑。
• Visual Studio Code：用于编辑Smali代码，配合Search功能可以快速定位代码文件。
• ADB工具：用于将修改后的APK安装到手机上进行验证测试。

2.2 环境配置要求

在使用安卓修改大师之前，请确保电脑已安装以下运行环境：

• .NET Framework 4.0+：安卓修改大师的运行基础框架。
• JDK 1.8+：用于APK的编译和签名操作。如果没有正确配置JDK环境变量，后续编译时会报错。
• Android 模拟器或物理设备：用于测试修改后的APK能否正常运行。建议使用Android 7.0以上版本的设备，以测试v2签名方案的兼容性。

2.3 实战案例：极速浏览器APP

我们选择“极速浏览器”作为实战目标，因为这类工具类APP通常大量使用WebView加载网页内容，并且其代码结构相对清晰，适合作为教学案例。该APP的主界面是一个WebView，用于加载用户输入的网址。我们的目标是：当用户访问任意网页时，自动隐藏页面中的“分享到社交媒体”按钮，并在页面顶部添加一幅宣传图片。这个案例在实际场景中非常有代表性——企业可能希望在自己的APP中隐藏竞品的广告或分享入口，或者希望在所有网页中植入自己的品牌元素。

三、APK反编译与代码定位

3.1 使用安卓修改大师反编译APK

打开安卓修改大师，将“极速浏览器”的APK文件直接拖拽到软件界面上，在弹出的菜单中选择“反编译”。系统将自动调用底层引擎完成解包过程，生成完整的Smali代码树和资源文件。建议在执行任何修改操作前，先完整执行一次反编译→打包→签名→安装的完整流程，验证环境是否正常工作。这一步虽然看起来多余，但可以帮你提前发现并修复环境问题，避免后续修改后的项目无法正常回编译。

反编译完成后，左侧目录树会显示应用的完整结构，其中smali文件夹存放了所有Dalvik字节码文件（即Smali代码），res文件夹存放资源文件，AndroidManifest.xml是应用的配置文件。通常WebView相关的逻辑会集中在某个Activity类中，比如MainActivity或BrowserActivity。我们的核心工作将在smali目录中展开。

3.2 搜索关键类与方法

要找到WebView初始化及加载网页的代码位置，我们需要搜索安卓系统中与WebView相关的关键类名和方法名。在安卓修改大师中，内置了强大的“搜索/替换”功能。输入以下关键词进行搜索：

• Landroid/webkit/WebView; - WebView类的完整路径，搜索它可以找到所有使用了WebView的类
• setJavaScriptEnabled - 启用JavaScript的关键方法，这是我们的注入能够生效的前提
• loadUrl - 加载网页的方法，我们最终也要用它来加载JS代码
• onPageFinished - WebViewClient的回调方法，页面加载完成后触发，是我们注入JS的绝佳时机
• shouldOverrideUrlLoading - URL拦截回调，一些应用会在此方法中处理跳转逻辑

搜索结果会列出所有包含这些关键字的Smali文件。在“极速浏览器”中，主界面对应的类很可能是MainActivity.smali或BrowserActivity.smali。找到对应的文件后，双击打开，我们可以看到完整的WebView初始化代码。这是我们需要修改的目标文件。

3.3 分析WebView初始化代码

以下是一段典型的WebView初始化Smali代码（经过格式化处理）。通过阅读这段代码，我们可以清晰地看到从获取WebView控件、启用JavaScript、设置WebViewClient到加载URL的完整流程：

关键点解读：

• 第28行通过findViewById获取WebView控件的实例，并存入成员变量mWebView。
• 第31行通过setJavaScriptEnabled(true)启用了JavaScript执行能力，这是我们注入JS代码的前提条件。
• 后续代码通常还会设置WebViewClient并在onPageFinished回调中执行注入操作。需要特别留意p0代表this，p1代表第一个方法参数。

四、Smali语法核心知识回顾

在开始修改Smali代码之前，有必要系统性地回顾一下Smali语法的核心要点。Smali是Dalvik虚拟机的寄存器语言，与Java字节码一一对应。掌握以下基础知识将帮助我们顺利理解后续的修改操作。

特别需要注意的是，registers指令声明了方法中使用的寄存器总数。如果我们要在现有方法中插入更多的代码，可能需要增加.locals的数值，以分配更多的寄存器来存储临时变量。这是一个容易被忽视但非常关键的步骤——如果忘记调整，编译时可能会报错verification error，导致回编译失败。

另外，Smali遵循前序定义、后序使用原则：所有局部寄存器的使用必须在方法体内部的代码执行之前通过.locals完成声明。例如，.locals 5表示有v0、v1、v2、v3、v4共5个局部寄存器可用。当我们在一个已有.locals 3的方法中插入代码，使用了v3和v4，就必须将.locals改成5，否则编译器会认为v3和v4超出了分配范围。

五、注入JavaScript代码：两种核心方法详解

5.1 方法一：在onPageFinished回调中注入（推荐）

这是最常用且最可靠的注入方式。当WebView加载完一个页面时，会触发WebViewClient.onPageFinished()回调，此时页面DOM已经完全加载，我们可以安全地执行JavaScript操作。我们需要找到当前APK中WebViewClient的实现类，在onPageFinished方法中添加JS执行代码。

搜索onPageFinished关键字，找到对应的Smali文件。其原始代码通常如下：

我们需要在return-void之前注入JavaScript执行代码。注意p1在这里就是WebView的实例（即方法签名的第一个参数），我们可以直接用它来调用loadUrl方法。修改后的代码如下：

代码分析：

• 我们将.locals从3改为5，以便使用v3和v4两个临时寄存器。这是因为在onPageFinished方法中，原始的代码只用了v0、v1、v2三个寄存器，我们新增的代码需要额外占用v3和v4。
• 第一段JS代码通过document.getElementById('shareBtn')找到ID为shareBtn的按钮，并将其display属性设为none，实现隐藏效果。使用if(btn)进行空值检查，避免目标网页中没有这个元素时触发JavaScript报错。
• 第二段JS代码动态创建一个img元素，设置其src为自定义图片URL，并通过CSS定位将其固定在页面右上角，设置了圆角、阴影等美化样式。
• 通过invoke-virtual {p1, v3}调用WebView的loadUrl方法执行JS代码。注意在Smali中，方法的第一个参数（p1）就是WebView实例，这相当于Java中的webView.loadUrl(javascriptString)。

5.2 方法二：在onLoadResource或shouldInterceptRequest中注入（更早干预）

如果希望在页面加载的更早阶段注入代码（避免用户看到原始元素一闪而过），可以在WebViewClient.onLoadResource()或shouldInterceptRequest()方法中进行操作。这些回调在每次资源请求时都会触发，可以更早地执行我们的注入逻辑。使用这种方法有一个显著优势：目标元素还未来得及渲染就被隐藏了，用户体验更好。

找到onLoadResource方法，在其中添加类似的JS执行代码。需要注意的是，在这个方法中注入需要更谨慎，因为它会被多次调用（页面中的每个资源如图片、CSS、JS都会触发一次），应该添加判断条件防止重复注入或过度执行。通常的做法是设置一个标志位，只在首次注入时执行：

六、完整的实战步骤演示

6.1 步骤一：反编译与初始测试

将极速浏览器的APK拖入安卓修改大师，点击“反编译”。反编译完成后，不要做任何修改，直接点击“打包/签名”按钮进行回编译。如果编译成功并签名后安装到手机测试，确保原始APK功能正常。这一步是为了验证反编译环境是否完整，避免后续修改后出现莫名奇妙的问题。这也是资深逆向工程师经常会做的“基线测试”。

6.2 步骤二：定位WebViewClient类

在安卓修改大师中，使用“搜索/替换”功能搜索onPageFinished关键字。在搜索结果中，通常会看到一个名为WebViewClient\$1.smali或类似的文件，这就是匿名内部类的实现。双击打开，定位到onPageFinished方法体。很多时候，WebViewClient是以匿名内部类的形式定义的，因此会以类名\$1.smali的形式出现，需要仔细辨别。

如果搜索onPageFinished没有找到直接结果，可以尝试搜索WebViewClient或setWebViewClient，找到设置WebViewClient的位置，然后沿着代码找到对应的匿名内部类。在Smali中，匿名内部类的命名规则是外部类\$序号.smali，序号从1开始递增。

6.3 步骤三：编写与注入JavaScript代码

在onPageFinished方法中，按照5.1节所示的方式插入JS代码。我们使用的JavaScript函数需要适应不同的网页环境，因此推荐使用IIFE（立即执行函数表达式）包裹代码，避免污染网页的全局命名空间。以下是可以直接复制使用的完整JavaScript代码：

注意，这段JS代码在Smali中需要压缩成一行字符串。压缩后的字符串中不能包含换行符，因为Smali的const-string指令只支持单行字符串。最终插入Smali的字符串如下（为了可读性，这里做了分段展示，实际代码中需合并为一行）：

6.4 步骤四：增加寄存器数量并验证

在插入新的代码后，原来的.locals数量可能不够用。每多使用一个寄存器，就需要将.locals的值增加1。在本文的示例中，我们使用了v3和v4两个额外的寄存器，因此需要将.locals从3改为5。这是一个容易被忽视但非常关键的步骤——如果忘记调整，回编译时可能会报错verification error。正确的做法是：先统计新代码中使用的最高寄存器编号，然后确保.locals的值大于该编号。例如，如果使用了v4，则.locals至少为5。

6.5 步骤五：重新打包与签名

修改完成后，点击左侧的“打包/签名”选项卡。安卓修改大师提供了内置签名功能，支持V1和V2签名方案。对于Android 7.0及以上版本，建议使用V2签名方案以保证兼容性。点击“开始打包”按钮，在日志窗口中观察编译过程。

打包并签名成功后，通过ADB将修改后的APK安装到测试设备或模拟器中运行。打开极速浏览器，访问一个包含分享按钮的测试网页（可以准备一个简单的HTML页面），观察分享按钮是否已被隐藏，以及自定义图片是否出现在页面右上角。如果一切正常，你会看到网页流畅加载，原本的分享按钮消失不见，而在页面右上角出现了一张精美的示例图片。

七、高级应用与扩展思路

7.1 动态判断域名执行不同操作

在实际应用中，我们可能希望只对特定网站执行注入操作，而不是所有页面都生效。可以通过在JS代码中判断window.location.hostname来实现精准的域名匹配。例如，只在访问知乎或简书等特定平台时隐藏某个广告元素，而在其他网页保持原样：

7.2 注入Java对象实现双向通信

除了使用loadUrl单向注入JS外，还可以通过addJavascriptInterface注入Java对象，实现JS调用原生代码的功能。这在需要获取设备信息、调用原生功能时非常有用。例如，有些金融APP会通过这种方式在H5页面中调用原生分享功能、获取用户登录Token等。然而，这种方式存在安全风险，攻击者可能通过此接口窃取用户信息。在反编译过程中，如果发现应用使用了addJavascriptInterface，应该仔细审查注入的Java对象是否暴露了敏感方法，这也是安全审计中的重要检查点。

7.3 处理页面动态加载的内容（MutationObserver方案）

现代网页大量使用Ajax异步加载内容，导致某些DOM元素在onPageFinished触发时可能尚未渲染。针对这种情况，可以使用MutationObserver来监听DOM变化，在目标元素出现后再执行操作。这种方案虽然JS代码更复杂，但能应对各种动态加载场景：

八、常见问题与故障排除

8.1 注入的JS代码没有生效

这是最常见的问题，可能原因包括：

• JS未启用：检查原始代码中是否调用了setJavaScriptEnabled(true)。如果原始代码禁用了JavaScript，我们的注入将不会生效。
• 注入时机不对：确保在onPageFinished之后注入，或使用onLoadResource更早注入但注意重复执行问题。
• 页面有iframes：如果目标元素在iframe中，需要在iframe的contentWindow中执行JS。
• 使用了X5内核：部分APP（如微信、QQ）使用的是腾讯X5内核而非系统WebView，需要单独处理。

8.2 回编译失败

• 寄存器数量不足：检查.locals声明是否足够覆盖你使用的所有寄存器。
• 语法错误：Smali对缩进不敏感，但对指令格式和参数类型非常严格。例如，invoke-virtual的寄存器参数需要用{}包裹。
• 资源冲突：如果添加了新的资源ID，可能需要更新R.java中的映射关系。

九、总结与进阶学习建议

通过本文的详细讲解，你应该已经掌握了使用安卓修改大师进行WebView JavaScript注入的核心技能。从APK反编译、代码定位、Smali语法学习，到JS代码注入、重新打包签名，每一步都有具体的操作指导和代码示例。我们以“极速浏览器”为实战案例，完整演示了如何隐藏网页中的分享按钮并在页面中添加自定义图片，这是一项非常实用且具有广阔应用场景的技术。

总结本文的核心知识要点：

• 反编译定位：使用安卓修改大师搜索onPageFinished或WebViewClient找到注入点。
• 注入时机选择：onPageFinished最可靠，onLoadResource更早但需处理重复问题。
• Smali修改要点：注意增加.locals数量，正确使用寄存器，注意类型匹配。
• JS代码编写：使用IIFE避免污染全局，通过cssText批量设置样式，使用querySelectorAll处理多种选择器。

想要进一步深入学习的读者，可以从以下几个方面拓展自己的技能树：

• 深入学习Smali指令集：熟练掌握所有指令的用法和场景，包括invoke-xxx系列、iget/iput系列、if-xxx条件跳转系列等。
• 掌握动态调试技术：学习使用Android Studio + Smalidea插件对Smali代码进行动态调试，设置断点、单步执行和观察寄存器值，这是解决复杂问题的终极武器。
• 研究Xposed与Frida框架：对于更复杂的逆向需求，可以学习使用Xposed或Frida进行运行时Hook，实现更灵活的代码注入和替换。
• 阅读实际案例：参考安卓修改大师官网上的实战教程系列，包括弹窗添加、分享功能注入、卡密系统实现等高级案例，拓展自己的逆向技能边界。

最后，以一个使用安卓修改大师进行逆向学习的良好实践观来结束本文：技术本身没有善恶，关键在于使用它的人。掌握APK反编译技术可以用于学习优秀应用的设计思路、修复自己应用的问题、进行安全审计等正当用途。请务必遵守相关法律法规，尊重原作者的劳动成果——始终在合法合规的前提下使用这些技术，将逆向知识用于提升技术能力和保护用户安全。