Cara Melihat Source Code Di Android

Android, sistem operasi seluler yang paling banyak digunakan di dunia, menawarkan fleksibilitas dan kustomisasi yang luar biasa. Namun, di balik antarmuka yang ramah pengguna, terdapat jutaan baris kode yang membentuk fondasi setiap aplikasi yang kita gunakan sehari-hari. Bagi para pengembang, peneliti keamanan, atau sekadar mereka yang penasaran, kemampuan untuk melihat source code (kode sumber) aplikasi Android adalah kunci untuk memahami cara kerja internalnya, mengidentifikasi potensi kerentanan, dan bahkan memodifikasinya.

Artikel ini akan mengupas tuntas berbagai metode dan alat yang dapat digunakan untuk melihat source code aplikasi Android, mulai dari pendekatan yang sederhana hingga teknik yang lebih kompleks. Kita akan membahas kelebihan dan kekurangan masing-masing metode, serta memberikan panduan langkah demi langkah untuk membantu Anda memulai.

1. Memahami Format Aplikasi Android: APK dan DEX

Sebelum kita masuk ke metode melihat source code, penting untuk memahami bagaimana aplikasi Android dikemas dan dijalankan. Aplikasi Android didistribusikan dalam format APK (Android Package Kit). APK pada dasarnya adalah arsip ZIP yang berisi semua file yang diperlukan aplikasi, termasuk:

• classes.dex: File ini berisi kode bytecode Dalvik Executable (DEX), yang merupakan format kode yang dioptimalkan untuk dijalankan di Dalvik Virtual Machine (DVM) atau Android Runtime (ART).
• resources.arsc: File ini berisi sumber daya aplikasi, seperti string, gambar, dan tata letak.
• AndroidManifest.xml: File ini berisi metadata tentang aplikasi, seperti nama paket, izin yang diperlukan, dan komponen aplikasi.
• lib/: Direktori ini berisi native libraries (pustaka asli) yang ditulis dalam bahasa seperti C atau C++, yang digunakan untuk tugas-tugas yang membutuhkan performa tinggi.
• META-INF/: Direktori ini berisi informasi tanda tangan aplikasi.
• res/: Direktori ini berisi sumber daya aplikasi yang tidak dikompilasi, seperti tata letak XML, gambar, dan video.

Kode sumber asli (biasanya Java atau Kotlin) dikompilasi menjadi bytecode DEX, yang kemudian dijalankan oleh DVM atau ART. Artinya, kita tidak dapat langsung melihat kode Java atau Kotlin asli di dalam APK. Kita perlu menggunakan alat untuk decompile (mendekompilasi) bytecode DEX kembali ke kode yang lebih mudah dibaca.

2. Menggunakan Alat Dekompilasi APK: APKTool, Dex2jar, dan JD-GUI

Beberapa alat populer dapat digunakan untuk mendekompilasi APK dan melihat source code (dalam bentuk Java yang didekompilasi):

• APKTool: Alat yang sangat kuat untuk mendekode sumber daya dan mendekompilasi hampir semua aplikasi. APKTool memungkinkan Anda mendekode sumber daya (seperti tata letak XML dan gambar) kembali ke format aslinya, sehingga memudahkan untuk memahami dan memodifikasi aplikasi. Ini sangat berguna untuk menganalisis dan memodifikasi aspek visual dan fungsional aplikasi.

  • Kelebihan: Mendekode sumber daya dengan akurat, mendukung rebuilding aplikasi setelah modifikasi (dengan hati-hati!), mampu menangani aplikasi yang diobfuskasi.
  • Kekurangan: Membutuhkan pemahaman tentang struktur APK dan command line.

• Dex2jar: Alat ini mengubah file classes.dex menjadi file JAR (Java Archive), yang kemudian dapat dibuka dengan Java decompiler standar.

  • Kelebihan: Sederhana digunakan, menghasilkan file JAR yang kompatibel dengan banyak Java decompiler.
  • Kekurangan: Tidak mendekode sumber daya, kurang efektif untuk aplikasi yang sangat diobfuskasi.

• JD-GUI (Java Decompiler): GUI decompiler yang mudah digunakan untuk membuka file JAR dan menampilkan source code Java yang didekompilasi.

  • Kelebihan: Antarmuka yang intuitif, menampilkan source code dengan penyorotan sintaks.
  • Kekurangan: Hanya dapat mendekompilasi file JAR, bergantung pada Dex2jar untuk mendekompilasi file classes.dex.

Langkah-langkah umum:

1. Ekstrak APK: Ubah ekstensi file APK menjadi ZIP, lalu ekstrak semua file ke direktori. (Atau gunakan APKTool untuk mendekode)
2. Gunakan Dex2jar: Jalankan Dex2jar pada file classes.dex untuk menghasilkan file JAR. Misalnya: d2j-dex2jar classes.dex.
3. Gunakan JD-GUI: Buka file JAR yang dihasilkan dengan JD-GUI untuk melihat source code Java yang didekompilasi.

Perlu dicatat bahwa kode yang didekompilasi mungkin tidak persis sama dengan kode sumber asli. Obfuscation (lihat bagian selanjutnya) dan optimasi kompiler dapat mengubah kode, sehingga membuatnya lebih sulit untuk dibaca dan dipahami.

3. Mengatasi Obfuscation: ProGuard dan R8

Obfuscation adalah teknik yang digunakan pengembang untuk membuat source code lebih sulit dipahami. Ini dilakukan dengan mengganti nama variabel, metode, dan kelas dengan nama yang tidak bermakna, serta menghapus informasi debug. Tujuannya adalah untuk mempersulit reverse engineering dan melindungi kekayaan intelektual.

ProGuard dan R8 adalah alat obfuscation populer yang digunakan dalam pengembangan Android. Mereka tidak hanya mengobfuscasi kode, tetapi juga melakukan optimasi seperti dead code elimination (menghapus kode yang tidak digunakan) dan inlining (mengganti panggilan metode dengan kode metode itu sendiri).

Dampak Obfuscation:

• Membuat kode yang didekompilasi jauh lebih sulit dibaca dan dipahami.
• Menghambat analisis keamanan dan pencarian kerentanan.
• Membuat modifikasi aplikasi menjadi lebih sulit dan berisiko.

Strategi Mengatasi Obfuscation:

• Debugging yang Cermat: Meskipun nama variabel dan metode telah diubah, logika program secara umum masih dapat diikuti dengan melakukan debugging dan menganalisis perilaku aplikasi.
• String Analysis: Menganalisis string yang digunakan dalam aplikasi dapat memberikan petunjuk tentang fungsi dan tujuan berbagai bagian kode.
• Penggunaan Alat Tambahan: Beberapa alat menawarkan fitur deobfuscation, tetapi efektivitasnya bervariasi tergantung pada tingkat obfuscation yang diterapkan.
• Fokus pada Algoritma Utama: Jika tujuan Anda adalah untuk memahami algoritma tertentu, fokuslah pada logika inti daripada mencoba memahami setiap baris kode yang diobfuskasi.

4. Analisis Kode dengan Alat Statis: Jadx dan CFR

Beberapa alat menawarkan kemampuan yang lebih canggih untuk mendekompilasi dan menganalisis kode Android:

• Jadx: Decompiler DEX yang open-source dengan GUI dan command line interface. Jadx mampu mendekompilasi kode DEX kembali ke kode Java yang lebih mudah dibaca, bahkan pada aplikasi yang diobfuskasi.

  • Kelebihan: Kualitas dekompilasi yang baik, mendukung banyak format file (APK, DEX, JAR), memiliki GUI yang intuitif.
  • Kekurangan: Membutuhkan sumber daya komputasi yang signifikan untuk aplikasi yang besar.

• CFR (Commented Flow Recoverer): Decompiler Java yang mencoba menghasilkan kode sumber yang lebih mirip dengan kode asli, termasuk komentar dan struktur kontrol yang lebih jelas.

  • Kelebihan: Menghasilkan kode yang lebih mudah dibaca dibandingkan dengan decompiler lainnya dalam beberapa kasus.
  • Kekurangan: Kurang populer dibandingkan dengan Jadx, mungkin tidak mendukung semua fitur terbaru.

Tips menggunakan Jadx:

• Gunakan opsi command line: Untuk aplikasi yang besar, menggunakan opsi command line Jadx mungkin lebih efisien daripada menggunakan GUI.
• Eksplorasi fitur pencarian: Jadx menawarkan fitur pencarian yang kuat untuk menemukan string, kelas, dan metode tertentu.
• Perhatikan warnings: Jadx akan menampilkan warnings jika terjadi masalah selama dekompilasi. Perhatikan warnings ini untuk memahami potensi masalah dengan kode yang didekompilasi.

5. Debugging Dinamis: Menggunakan Android Debug Bridge (ADB)

Selain analisis statis, debugging dinamis adalah teknik yang sangat berharga untuk memahami perilaku aplikasi Android. Android Debug Bridge (ADB) adalah alat command line yang memungkinkan Anda berkomunikasi dengan perangkat Android yang terhubung dan melakukan berbagai tugas, termasuk debugging.

Langkah-langkah Debugging dengan ADB:

1. Aktifkan USB Debugging: Aktifkan opsi "USB Debugging" di pengaturan pengembang perangkat Android Anda.
2. Hubungkan Perangkat: Hubungkan perangkat Android Anda ke komputer menggunakan kabel USB.
3. Gunakan ADB: Gunakan perintah ADB untuk menginstal aplikasi yang ingin Anda debug, memulai aplikasi, dan melampirkan debugger ke proses aplikasi.
4. Gunakan Android Studio Debugger: Gunakan Android Studio untuk mengatur breakpoints, memeriksa variabel, dan mengikuti alur eksekusi aplikasi.

Keuntungan Debugging Dinamis:

• Memungkinkan Anda melihat bagaimana aplikasi berperilaku secara real-time.
• Memungkinkan Anda memeriksa nilai variabel dan mengevaluasi ekspresi selama eksekusi.
• Memungkinkan Anda mengidentifikasi masalah seperti crashes, ANRs (Application Not Responding), dan memory leaks.
• Sangat berguna untuk menganalisis aplikasi yang menggunakan native code (C/C++).

Perhatian:

• Debugging dinamis memerlukan pemahaman tentang debugging Android dan penggunaan Android Studio.
• Beberapa aplikasi mungkin memiliki mekanisme anti-debugging yang mempersulit atau bahkan mencegah debugging.

6. Memeriksa Log: Logcat dan Analisis Crash Reports

Log adalah catatan aktivitas yang dihasilkan oleh aplikasi Android. Menganalisis log dapat memberikan wawasan berharga tentang perilaku aplikasi, terutama ketika terjadi kesalahan atau crash.

Logcat:

• Logcat adalah alat command line yang menampilkan log sistem Android, termasuk log yang dihasilkan oleh aplikasi.
• Anda dapat menggunakan ADB untuk mengakses logcat dan memfilter log berdasarkan tag, level prioritas, dan nama paket aplikasi.
• Logcat sering kali berisi pesan kesalahan, warnings, dan informasi debug yang dapat membantu Anda mengidentifikasi penyebab masalah.

Analisis Crash Reports:

• Ketika aplikasi crash, sistem Android akan menghasilkan crash report yang berisi informasi tentang penyebab crash, seperti stack trace dan informasi perangkat.
• Anda dapat mengumpulkan crash reports dari pengguna melalui layanan seperti Firebase Crashlytics atau Sentry.
• Menganalisis crash reports dapat membantu Anda mengidentifikasi dan memperbaiki bugs di aplikasi Anda.

Tips Menganalisis Log:

• Filter Log: Gunakan filter untuk memfokuskan perhatian Anda pada log yang relevan.
• Perhatikan Stack Trace: Stack trace menunjukkan urutan panggilan metode yang menyebabkan crash.
• Cari Pesan Kesalahan: Pesan kesalahan sering kali memberikan petunjuk tentang penyebab masalah.
• Gunakan Log Level yang Tepat: Gunakan level log yang berbeda (Verbose, Debug, Info, Warn, Error) untuk memprioritaskan informasi yang penting.

Dengan kombinasi teknik-teknik ini, Anda dapat menggali lebih dalam ke dalam cara kerja aplikasi Android, memahami kode di baliknya, dan bahkan memodifikasinya (dengan hati-hati dan sesuai dengan hukum yang berlaku). Meskipun prosesnya mungkin menantang, pengetahuan yang diperoleh sangat berharga bagi para pengembang, peneliti keamanan, dan siapa pun yang tertarik dengan seluk-beluk sistem operasi Android.