背景
现在市面上对APP的安全合规管控越来越严格了，也就要求了APP在上架之前一定要做合规检测和加固处理。对APP就是加固的好处，可以提高APP的安全性，提高APP被逆向分析破解的门槛，同时通过加固保护可以提高过安全合规的检测。由于APP加固技术不断被攻破情况，因此加固技术也是不断在快速迭代的过程。现在市面上的加固产品的还是比较多的，并且各个加固技术产品都有其各自优缺点，但是加固产品的所采用技术去有很多共性的地方。下面就对加固和脱壳对抗方案做些梳理总结。
加固准备
APP加固主要是对APP中的dex文件、so文件、资源文件等进行保护，因此这边对这APP中的关键文件结构做简短梳理总结。
App文件的结构
Dex文件结构
SO文件结构
简单的APP加固原理的流程
- 加固的代码先运行，进行初始化工作；
- 加固的代码开始解密被保护的核心代码；
- 加固的代码开始加载解密后的核心代码；
- 加固的代码把控制权转交给核心代码。
第一代加固和脱壳
第一代加固技术主要做了进行对app的dex文件进行保护和做了一些简单的反调试保护。
Dex保护：
Dex文件整体加密、字符串加密、自定义DexClassLoader。
动态防护：
ptrace反调试、TracePid值校验反调试。
第一代加固的出现也同时出现各种对加固技术的攻破。从而出现了各种对抗加固的脱壳方法。
最突出的是直接从内存dump出dex完整结构脱壳原理：
程序在启动过程中，要保证程序正常运行，那么加固壳会自动解密受保护的dex文件并完成加载，基于这个子解密的原理，我可以选择在dex加载完成这个时机点，将其dump下来。从而实现第一层防护壳、加密壳的脱壳。
下面罗列几个脱壳方案
- 缓存脱壳法:
第一代的某些加固产品，安装包是加密压缩的，安装后回在data/dalvik-cache目录下生成解密的odex文件，这时候只需要获取odex文件进行做为分析的突破点。
- 内存 dump脱壳法
通过工具：IDA Pro dumpDEX
1、通过/proc/%d/maps获取内存映射
2、在内存中查找关键字 dex.035或dex.036
3、手动dump查找到的数据。
- 动态调试脱壳法
1、通过基于IDA的android_server的代理方式进行附加app。
2、再IDA中下dvmDexFileOpenPartial 断点，确认要dump的起始地址和大小。
3、用ida的脚本方式进行dump出原始数据。
- HOOK脱壳法
Hook脱壳法一般都是基于frida和xposed这两个框架进行做hook操作的。
这种hook脱壳法：先需要进行分析app应用，找到可以进行hook的函数，
然后在选择用的顺手的、适用的frida或xposed框架进行 hook。
（xposed是java编译，适用于java层hook；frida适用于java层和native层hook）。
通过对关键函数dvmDexFileOpenPartial进行hook实现脱壳。
也可以通过xposed框架hook ClassLoader的loadClass函数实现脱壳。
- 定制系统脱壳法
主要是通过修改系统源码中的关键函数，接着将修改后的源码重新编译并进行刷机。
例如通过修改系统dvmdexfileopenpartial函数的关键逻辑。在函数里面修改写入我们想要实现的功能。
第二代加固和脱壳
由于第一代加固是整体性加固的，因此只要dump到关键点后，就可以完整的获取到dex整个内容。由于第一代壳的缺点，随之而来的就是进行对APP中关键类的抽取技术。那么第二代加固主要进行如下的功能点。
- DEX保护: DEX类抽取、DEX动态加载、SO动态加载
- So保护:SO加密
- 动态防护: 反调试，防HOOK
- 资源文件保护:本地数据库保护、本地文件保护
脱壳技术方案
脱壳原理：
主动调用类中的每一个方法，并实现函数指令的还原
常见的加固厂商的指令抽取的实现方式主要又两大类，一种是指令代码在dex文件原便宜位置处还原，另外一种就是随机分配，通过修订偏移的方式，使程序在执行过程中通过修定的便宜找到函数指令；android程序在执行过程，使用到类时候，都需要进行加载，而在加载过程中，函数指令就会进行指令还原或修订函数指令指向的位置，我们可以利用这个时机，将代码拷贝到原代码位置，进而实现类抽取壳的脱壳。
下面罗列针对第二代加固的脱壳法
- 内存重组脱壳法
通过内存中dex文件的格式，找到完整的dex文件，将其组合到一起。
- 内存dump脱壳法
通过工具：IDA Pro dumpDEX
1、通过/proc/%d/maps获取内存映射
2、在内存中查找关键字 dex.035或dex.036
3、手动dump查找到的数据。
也可以直接用frida中的dump脚本进行内存dump脱壳。
- 动态调试脱壳法
1、通过基于IDA的android_server的代理方式进行附加app。
2、再IDA中下dvmDexFileOpenPartial 断点，确认要dump的起始地址和大小。
3、用ida的脚本方式进行dump出原始数据。
- HOOK脱壳法
Hook脱壳法一般都是基于frida和xposed这两个框架进行做hook操作的。
这种hook脱壳法：先需要进行分析app应用，找到可以进行hook的函数，
然后在选择用的顺手的、适用的frida或xposed框架进行 对关键函数hook。
（xposed是java编译，适用于java层hook；frida适用于java层和native层hook）。
通过对关键函数memcmp、dexFileParse进行hook实现脱壳。
也可以通过hook ClassLoader的loadClass函数实现脱壳。
- 定制系统脱壳法
主要是通过修改系统源码中的关键函数，接着将修改后的源码重新编译并进行刷机。
例如通过修改系统memcmp、dexFileParse函数的关键逻辑。在函数里面修改写入我们想要实现的功能。
第三代加固和脱壳
第三代加固方案主要进行对函数进行做抽取，并进行做动态加解密方式，下面罗列关键的加固技术点
- DEX保护: DEX Method代码抽取、Dex Method动态解密
- SO保护:SO加壳
- 动态防护：防内存dump、防系统核心库HOOK
- 资源文件保护：H5文件保护
APP函数抽取指令流程：
1、解析原始dex文件格式，保存所有方法的代码结构体信息。
2、通过传入需要置空指令的方法和类名，检索到其代码结构体信息。
3、通过方法的代码结构体信息获取指令个数和偏移地址，构造空指令集，然后覆盖原始指令。
4、重新计算dex文件的checksum和signature信息，回写到头部信息中。
脱壳方法：
- HOOK脱壳法
通过利用frida框架进行hook关键函数DexFile，OpenFile、dexFindClass等关键函数实现脱壳。
- 定制系统脱壳法
通过修改系统源码中的关键函数如DexFile、OpenFile、dexFindClass函数的关键逻辑，然后进行重编系统。
在ART中通过修改定制dex2oat法进行脱壳。
第四代加固和脱壳
现在市面上强度最强加固方案实属代码虚拟化保护的方案。通过将程序的代码编译为虚拟机指令也就是虚拟机代码（也就是自定义的代码集），通过虚拟机cpu解释并执行的一种方式。
下面罗列下关键的加固技术点
- DEX保护:代码VMP虚拟化保护
- SO保护:基于llvm的SO文件保护（ELF VMP）
脱壳方案
- HOOK脱壳法 可以基于frida框架进行针对不同虚拟机（dalvik和art）实现进行hook。
- 定制系统脱壳法
总结
利用frida脱壳方法：
1、通过找到DexFile对象(art虚拟机是DexFile对象，dalvik虚拟机下是DexFile结构体)，获取到DEX文件的起始地址和大小，然后dump下来。
常见能够找到DexFile对象的函数有LoadMethod、ResolveMethod函数等，能直接获取到DEX起始地址和大小的常见函数有openMemory、dexparse、dexFileParse、dvmDexFileOpenPartial等函数。frida_unpack便是其中的代表作。
2、利用frida的搜索内存，通过匹配DEX文件的特征，例如DEX文件的文件头中的魔法值---dex.035或dex.036这个特征。frida-Dexdump便是这种脱壳方法的代表作。
自定义系统和定制的android设备方法：
1、采用定制的android的rom，可以有效对抗市场中所有的加密壳、类抽取类型的壳；相比开源的脱壳工具，大体都是基于hook框架，例如frida、Xposed；目前大多加固厂商已经对hook框架，以及脱壳框架的特征进行了安全检测，这会导致app启动失败，从而实现脱壳失败，而通过自定义的rom，没有依赖hook框架，也就没有相关框架特征代码标志，所以脱壳成功率会比较高。
2、采用定制android硬件设备优势，基于android的开源性，google公司每次发布新版的rom，都会率先在Pixel、Nexus系列的设备上最早应用，这也导致大部分安全从业者为了提升工作效率，间隔的采用自定义ROM实现方式，在市场中开源脱壳ROM，大多是需要刷Nexus、Pixel系列机型，这也使得大多加固厂商对这Nexus、Pixel系列机型做特殊，更深层次的安全防护检测，以此保证程序在运行过程中的安全性。通过定制android硬件设备，没有Nexus、pixel设备相关特征，更能提高脱壳的成功率。
E N D
