安装并打开CTF_100.apk之后，发现题目为爬到指定的楼层然后才能显示FLAG：
先使用JEB2反编译apk查看逻辑：
爬一层楼的点击事件：首先已爬楼层数+1并更新已爬楼层数，紧接着判断是否达到要爬楼层数，如果达到，就设置爬到了，看FLAG的点击结果为true。
最终看到FLAG按钮的点击事件，可以看到最终的返回FLAG方法在native层实现。我们可以使用IDA进行分析。
onCreate方法的实现，主要包含以下几步：看FLAG按钮的点击事件设置为flase，只有当达到要爬楼层数才设置点击事件可见；要爬楼层数设置为随机数；while循环里面是对随机数的一些操作。如果是负数或者大于5时先模32求余再乘以16384。
分析完成之后进行解题：
（1）最简单的是对java层进行修改并重新打包
首先想到的就是在onCreate方法启动时修改要看Flag的点击事件结果为true
对比smali和java，可见控制参数的寄存器为v5,修改寄存器初始值，重新编译，提示：
百度下知道了原来是：
用010editor查看对用位置的png文件发现其实文件为jpeg格式，修改图片格式后重新编译：
（2）由于前面分析时提到返回FALG的方法是在native层实现，使用IDA调试so文件：
静态分析so文件发现方法为动态注册，并且搜索不到get_flag方法（自己注册的实现方法，因此函数名称可能会发生变化）。
使用IDA进行动态调试,由于是动态注册，所以定位到JNI_OnLoad方法：
继续跟进，发现返回flag字符串的方法比较复杂，不过最后终究会返回一个字符串：
在这里进行下断点，点击 “爬到了，看FLAG” 按钮进行触发逻辑，并F8进行调式直到BLX为止（一般跳转指令都用来调用函数）：
BLX调用NewStringUTF函数返回result，查看此时R1寄存器的值（R1寄存器保存了NewStringUTF函数第二个参数的值，刚好是result，第一个参数为env）：
synchronize with R1看一下，发现：
返回的result值为26879…，刚好为FLAG的值。
(3)HOOK
这里使用Frida来hook，可以想到的方法有：
1）修改已爬楼层数为一个很大的值
2）修改要爬楼层数为很小的值
3）在点击事件中调用get_flag方法
