北京时间8月7日，Google 正式发布最新版 Android 平台——Android 9 Pie。 腾讯云终端安全团队在第一时间升级应用加固方案，完成 Android9 Pie 的适配工作！
导语： 北京时间8月7日，Google 正式发布最新版 Android 平台——Android 9 Pie。 腾讯云终端安全团队在第一时间升级应用加固方案，完成 Android9 Pie 的适配
现在市面上对APP的安全合规管控越来越严格了，也就要求了APP在上架之前一定要做合规检测和加固处理。对APP就是加固的好处，可以提高APP的安全性，提高APP被逆向分析破解的门槛，同时通过加固保护可以提高过安全合规的检测。由于APP加固技术不断被攻破情况，因此加固技术也是不断在快速迭代的过程。现在市面上的加固产品的还是比较多的，并且各个加固技术产品都有其各自优缺点，但是加固产品的所采用技术去有很多共性的地方。下面就对加固和脱壳对抗方案做些梳理总结。
很多开发者没有意识到APP的安全隐患可能会严重损害他们的利益，加固可以帮助他们规避很多风险；
因为app开发者常常需要统计app在不同渠道的使用量，所以app安装包就得按照不同的渠道号分别打包。至于为什么要进行使用量的统计，可参见《Android开发笔记（一百零七）统计分析SDK》，现在我们以友盟统计为例，演示一下如何在Eclipse环境实现多渠道打包的功能。 代码工程导入了友盟统计分析的sdk后，还需在AndroidManifest.xml中定义当前发布包的渠道号，如下所示：
dumpDex： 一个开源的 Android 脱壳插件工具，需要xposed支持。可以用来脱掉当前市场上大部分的壳。（360加固、腾讯乐固、梆梆加固、百度加固均可脱壳）
类加载技术： 针对apk中的classes.dex文件进行处理，放入待定的文件中，通过native代码来进行对其运行时解密。
iOSAPP 加固是优化 APK 安全性的一种方法，常见的加固方式有混淆代码、加壳、数据加密、动态加载等。下面介绍一下 iOSAPP 加固的具体实现方式。
ART 虚拟机下的 DexClassLoader 的构造函数 , 与 Dalvik 虚拟机下的 DexClassLoader 构造函数基本相同 , 都是只实现了一个构造函数 , 调用了 BaseDexClassLoader 父类 ;
本博客用于记录下 360 加固保 加固应用流程 ; ( 上一次加固还是一年前 , 过程全忘了 o(╥﹏╥)o )
自己辛辛苦苦开发的软件，还没发到应用市场就被别人偷过去了？ 然后改个名字，换个样式发到应用市场？ 云免软件泄露流控key？泄露ip地址？被黑后台？ 试试360加固吧，app加密，让你的app固若金汤
脱壳就是要在加固厂商使用类加载器加载 DEX 文件时 , 从加载过程中 , 从内存中获取 DEX 文件 ;
函数指令 抽取 : 进行函数抽取加壳 , 首先要熟悉 dex 文件的结构 , 需要定位 dex 字节码文件中 , 函数指令 的偏移地址 ; 将 dex 文件中的函数指令 , 先抽取出来 ;
我们知道Android加混淆之后，代码的安全性得到了提高，即使你hook，反编译得到的也是乱码的，对于阅读性造成了影响，为了增强代码的破解难度，我们通常退对apk进行加固，常见的有腾讯，360，爱加密
学习逆向的初衷是想系统学习Android下的hook技术和工具, 想系统学习Android的hook技术和工具是因为Android移动性能实战这本书. 这本书里用hook技术hook一些关键函数来计算关键函数的调用参数和调用时长, 从而确定性能问题发生的位置和原因. 但目前没有比较系统的讲解hook的书籍, 所以就系统的了解下逆向分析.
a、原理很简单，就是首先将我们的 dex 文件或者 apk 文件解密，然后利用DexClassLoader加载器将其加载进内存中，然后利用反射加载待加固的 apk 的 appkication，然后运行待加固程序即可，我画了个流程图详细说明如下：
在安卓开发中，打包发布是开发的最后一个环节，apk是整个项目的源码和资源的结合体；对于懂点反编译原理的人可以轻松编译出apk的源码资源，并且可以修改资源代码、重新打包编译，轻轻松松变成自己的apk或者修改其中一部分窃取用户信息。
3月17日，安卓巴士全球开发者论坛在重庆举办，网易资深安全工程师钟亚平出席交流活动，并做《安卓APP逆向与保护》的演讲。在分享中，他介绍了 Android App常见保护方法及其对应的逆向分析方法，以及分析了常见的加固方案原理与对抗方法。
参考文章：https://www.jianshu.com/p/138c9de2c987
启动 VirtualXposed，并在 VirtualXposed中安装 FDex2:
Q 1: 指定 SYSTEM_UI_FLAG_LAYOUT_HIDE_NAVIGATION 好像并不能隐藏导航栏和状态栏？
使用腾讯云加固，下载后再次签名，签名成功之后的 apk 在华为鸿蒙、Android8 系统可以正常解析安装，在Android11 解析安装包失败
每个 Android 版本中都包含数十种用于保护用户的安全增强功能。以下是 Android 8.0 中提供的一些主要安全增强功能： 加密：在工作资料中增加了对取消密钥的支持。 验证启动：增加了 Android 验证启动 (AVB)。支持回滚保护（用于引导加载程序）的验证启动代码库已添加到 AOSP 中。建议提供引导加载程序支持，以便为 HLOS 提供回滚保护。建议将引导加载程序设为只能由用户通过实际操作设备来解锁。 锁定屏幕：增加了对使用防篡改硬件验证锁定屏幕凭据的支持。 KeyStore：搭载 An
参考 【Android 安全】DEX 加密 ( Java 工具开发 | apk 文件对齐 ) 博客内容 , 进行对齐 ;
在 Android中实现「类方法指令抽取方式」加固方案原理解析 博客中 , 首先对 Dex 字节码文件的结构进行了分析 , 函数抽取 , 主要是将 Dex 字节码文件中的函数进行抽取 , 然后在运行时再进行恢复操作 ;
原文地址：Double Stuffed Security in Android Oreo 原文作者：Gian G Spicuzza 译文出自：掘金翻译计划 本文永久链接：github.com/xitu/gold-m… 译者：一只胖蜗牛 校对者：corresponding，SumiMakito 像奥利奥一样的双重安全措施，尽在 Android Oreo 由 Android 安全团队的 Gian G Spicuzza 发表 Android Oreo 中包含很多安全性提升的更新。几个月以来，我们讨论了如何增强
在 【Android 安全】使用 360 加固宝加固应用 ( 购买高级加固服务 | 设置资源加固 | 设置 SO 文件保护配置 | 设置 SO 防盗用文件配置 | 反编译验证加固效果 ) 加固时 , 遇到的问题 ;
作者 SecurityMan 鉴于当前Android App安全加固市场火爆，特整合一个当前行业内较流行的安全加固厂商的安全加固产品介绍，希望能为大家拨开迷雾，见安全加固之真章！
已不推荐本方法，多渠道打包请看【Android】Walle多渠道打包&Tinker热修复。 现状 多渠道打包，相信很同学都知道。在Android Studio中只要经过配置，就能打出对应市场的渠道包。打过包的同学可能都会有这样的感受：散热器疯狂地转、打包速度那叫一个慢。这时候除了无奈，还是无奈~~ 场景 （讲一个我现实中遇到的情况） 今天APP要发布，已经是晚上八点多。这时候功能已经测得差不多了，老大说可以打包了。美好的时光即将到来，打完包就可以回家了，这个点还能回家撸几把。想到这里就有点小激动 一共要
Android和iOS应用程序加固方法详解：混淆、加壳、数据加密、动态加载和数字签名实现
本文将介绍Android应用中的native层（C/C++代码编译生成的.so文件）的SO加固方法，以及潜在的破解方式。SO加固旨在防止动态链接库（.so文件）被恶意分析、修改和破解。
前面的文章中我们为大家介绍了移动应用安全检测的测试依据、测试方法、和测试内容，本文我们着重分享App安全加固的相关内容。
序言：由于公司的某些方面原因，LZ最近都处于找工作的状态，年关了，最关键的LZ还只是个没毕业的孩子，所以工作越来越不好找了，到哪里投简历都是动不动就好几年经验，这让我们这些没经验的渣渣还怎么活啊！好了，也不吐槽那么多了，这几天到处去投简历，到处去面试，培训机构，外包公司这些都经历了个遍，总结了一下面试的时候的面试笔试题（如有错误，请及时纠正）
友情提醒，加固完成后需下载加固包进行重签名（步骤8开始），重新在应用市场上传apk哦~
首先需要知道V1,V2,V3签名的区别，可以参考之前的文章：AndroidV1,V2,V3签名原理详解
使用Lint对无用资源进行清理，而Lint则可以检查所有无用的资源文件，只要使用命令./gradlew lint或者在Android Studio工程中点击Analyze->Inspect Code,选择Whole Project点击ok就行。它在检测完之后会提供一份详细的资源文件清单，并将无用的资源列在“UnusedResources: Unused resources” 区域之下。只要你不通过反射来反问这些无用资源，你就可以放心地移除这些文件了。
2016年3月10日，Tinker项目正式启动，并在同年9月23日举行的MDCC会议上开源。一年过去了，两个人，50%的工作时间。总的来说，填了一些坑，获得少许成绩，也遭受不少批评。 究竟Tinker是否将已经很糟糕的Android的生态变得更差，会不会对用户的安全造成更大的挑战？ 回想Tinker的初心，我们希望开发者可以用很小代价进行快速升级，它是国内追求快速迭代诉求。立项至今，Tinker踩了很多坑也填了很多坑。今天，我希望跟大家分享这一年来我们遇到的一些问题，以及解决它们的思路与过程。 Tinke
深思数盾官网地址 : https://shop.shell.virbox.com/
使用了系统的 ClassLoader 加载 org.apache.http.* 的库
作者|shwen 来自|WeMobileDev 2016年3月10日，Tinker项目正式启动，并在同年9月23日举行的MDCC会议上开源。一年过去了，两个人，50%的工作时间。总的来说，填了一些坑，获得少许成绩，也遭受不少批评。究竟Tinker是否将已经很糟糕的Android的生态变得更差，会不会对用户的安全造成更大的挑战？ 回想Tinker的初心，我们希望开发者可以用很小代价进行快速升级，它是国内追求快速迭代诉求。立项至今，Tinker踩了很多坑也填了很多坑。今天，我希望跟大家分享这一年来我们遇到的一
DEX 整体加壳 就是将 完整的 DEX 文件 , 进行加密 , 只保留一个壳应用 , 应用执行时 , 壳应用解密 DEX 文件 , 然后执行解密后的 DEX 文件 ;
对于APP开发者而言，加固工作至关重要。没有经过加固防护的APP，黑产可以轻易将APP的源码通过逆向进行还原，然后重新打包、植入恶意代码甚至病毒，严重损害开发者甚至用户的利益。 寻找既安全又便捷的加固工具让许多APP开发者头疼不已。 一直关注APP开发者加固体验的腾讯云应用加固（乐固），近日全新升级了PC端加固工具，希望帮助开发者解决这些问题。新版本在继续提升安全性的同时，支持签名文件制作、一键连接专业版、网络代理设置等APP开发者关注的加固功能。除此之外，新版加固工具还对加固过程中的多个细节进行优化，全
【Google Play】创建 Google 开发者账号 ( 注册邮箱账号 | 创建开发者账号 ) 【Google Play】创建并设置应用 ( 访问权限 | 内容分级 | 受众群体 | 类别及联系方式 | 商品详情 )
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
