资讯频道 → 编程语言
阅读更多

0顶
0踩

编程语言

原创新闻 Android应用安全风险与防范

2017-03-08 12:28 by 副主编 jihong10102006 评论(0) 有4949人浏览
android 安全

声明：ITeye资讯文章的版权属于ITeye网站所有，严禁任何网站转载本文，否则必将追究法律责任！

Hello，大家好，我是Clock。最近一段时间在做Android应用安全方面的功课，本文进行简单梳理方便以后Review，有错误和遗漏之处还请大家指出。

代码混淆
Android开发除了部分功能采用C/C++编码外，其余主要都是采用Java进行编码开发功能。Java应用非常容易被反编译，Android自然也不例外。只要利用apktool等类似的反编译工具，就可以通过安装包获取源代码。Google为了保护开发者的知识产权，为Android提供了ProGuard混淆方案，以增加反编译后源码阅读，但对于Android开发老司机和逆向工程师来说，解读还原出源代码只是时间问题。

ProGuard是针对Java应用的保护，并不是专门针对Android应用的，Android虽然使用Java开发，但是毕竟不是跑在JVM上，所以安装包结构和普通的Java应用还是区别多多。如果你对免费的ProGuard放心不下，可考虑试试付费的混淆方案DexGuard，除了拥有ProGuard的功能外，还包含资源混淆，字符串加密，类加密和dex文件分割等。
虽然代码混淆是最为基础的保护措施，不过国内仍有不少应用还是裸奔的，其中还包括一些大厂应用（此处不表）。

签名校验
Android黑产里面，有一个叫做二次打包，也称为重打包。即通过反编译正版应用后，可以获得smali源码，往其中注入代码或者修改相应业务逻辑后，再利用新的签名进行重新打包，并发布到应用市场去，很多无良开发者就是通过这种方式去破解一些付费应用或者往其中注入广告代码来获利。简单梳理一下重打包的基本流程：
  • 对正版应用用apktool类逆向工具进行解包；
  • 在某处地方注入smali代码；
  • 利用IDE生成签名文件，再通过jarsigner进行签名；
  • 上传应用市场；
为了与二次打包做对抗，可以在应用内的关键功能入口增加校验签名的检测，如果发现应用签名非正版，则强制关闭应用或者限制用户使用。加签名校验代码时，可以考虑：
  • 在JNI层中加校验代码，相比在Java层的代码，JNI层的逆向难度更大；
  • 如果要在Java层加校验代码，不要在一个地方暴露一段长串字符串，对于逆向工程师是来说，这是非常明显的提示。可以考虑将字符串打散存放在各处，这样会增加破解分析的难度；
当然，不要以为放在JNI就高枕无忧，对于JNI层，同样可以进行代码注入，来暴力破解你签名校验的逻辑，只不过相比Java层的，JNI层所需成本更高，这样也就能拦截掉一部分逆向人员的歪主意。

加壳
加壳的原理是通过加密原应用的安装包中的dex文件，其主要操作方式大致如下：
  • 准备要进行加壳的原应用安装包（以下简称原apk）、用于做壳的安装包（以下简称壳apk）；
  • 对原Apk进行拆解获取各个部分，并将dex文件进行算法加密（以下简称加密原dex）；
  • 将加密原dex和壳Apk中的dex进行组合，合并成为新的dex文件；
  • 利用特制的打包工具合并生成加密后的apk；
这种通过隐藏dex文件的方式加壳方式，最终是利用ClassLoader在内存中解密并进行动态加载运行。而如果是修改dex文件的加壳方式，其主要是抽取DexCode中的字节码指令后用零去填充，或者修改方法属性等操作，其修复时机则是运行时在内存中做相应的修正工作。

通过加壳得到的安装包如果不进行脱壳操作，逆向人员就无法拿到真正的dex文件，也就无从分析。这里可以看看使用360加固的一个应用的结构在没脱壳前的安装包结构

只有寥寥几个类，而正真的安装包中的dex文件则被藏起来了，这进一步加大了逆向的难度。关于加壳，市面上已经有很多成熟企业加固方案可以使用，如梆梆安全、爱加密、360加固保等，如果不是专门研究这块的开发者去自行开发一套加壳方案，显然不太现实。

加壳也只是提高被逆向的门槛，对于功力不够的逆向开发者而言，只能就此作罢，而对于逆向老鸟来说，脱壳同样这是外包时间问题罢了。此外，对应用加壳还要留意平台兼容性问题，如此前某著名加固产品就出现过在ART虚拟机不兼容问题，以及将会影响项目使用某些热修复技术。

对抗动态调试
你是不是曾以为没有拿到源代码就不可以调试Android应用了？然而并不是，只要反编译后拿到smali代码工程，再加上smalidea调试神奇，分分钟在Android Studio调试应用给你看，具体操作并不复杂，可以参照我文末提供的资料。即使你把核心代码放到了JNI层，我也可以祭出神器IDA Pro继续调试给你看，更何况，实际开发中能放进JNI层实现的核心代码实在有限。

为了对抗动态调试，可以考虑在源码中随意穿插相关的检测代码，在检测到动态调试时，直接进程自杀，异常退出虚拟机，大致实现如下： 
/**
     * 检测动态调试
     */
    public void detectedDynamicDebug(){
        if (!BuildConfig.DEBUG){
            if (Debug.isDebuggerConnected()){
                //进程自杀
                int myPid = android.os.Process.myPid();
                android.os.Process.killProcess(myPid);

                //异常退出虚拟机
                System.exit(1);
            }
        }
    }

以上只是一个简单的例子，市面上很多加固产品做了更多的动态调试对抗措施。

数据保护
数据保护这个主要例举以下几点：
  • 不要在客户的存放登录密码（即使你加密了），最好采用token的形式；
  • 数据传输记得加密；
  • 重要数据存放内置存储中，不要存放在外置存储；
  • 加密存放在xml和数据库中的重要信息；

资源保护
资源保护同样可以提高逆向分析的难度，但个人觉得只对逆向小白有效，可以考虑引入试试，目前比较知名的方案就是微信和美团两家的了，具体参见:
总结
应用安全的攻防就是这么一个相爱相杀又相辅相成的过程，对于客户端能做到的安全防范也是有限的，更多的还是应该结合后台业务分析来实现相应的对抗机制，对于中小企业而言，没有专门的安全人员去研究对抗方案，选择市面上成熟的加固方案是一个不错的选择。而对于大企业来说，内部早已有了自己的安全中心，自然也有自己的一系列对抗方案，包括在后端生成每个用户的画像来判别用户类型等等。大致就是这么些了，文末附上一些不错的资料，希望本文能对你有所启发！

资料
  • 大小: 12.4 KB
0
顶
0
踩
评论 共 0 条 请登录后发表评论

发表评论

您还没有登录,请您登录后再发表评论

相关推荐

  • Android应用钓鱼劫持风险的检测与防范.pdf

    Android应用钓鱼劫持风险的检测与防范.pdf

  • Android开源风险,Android应用安全风险与防范之加壳

    加壳的原理是通过机密原应用的安装包中的dex文件，大致操作如下:1.要进行加壳的原应用安装包、做壳的安装包；2.对原应用安装包进行拆解获取各个部分，并且对dex文件进行算法加密；3.将加密原dex和壳Apk中的dex进行...

  • Android 应用安全风险与防范

    Java应用非常容易被反编译，Android自然也不例外。只要利用apktool等类似的反编译工具，就可以通过安装包获取源代码。Google为了保护开发者的知识产权，为Android提供了ProGuard混淆方案，以增加反编译后源码阅读，...

  • Android应用安全风险与防范之代码混淆

    的保护，并不是针对Android应用的，Android虽然使用Java开发，但是毕竟不是跑在JVM上，所以安装包结构和普通的Java应用还是区别很大的。如果你对免费的ProGuard放心不下，可以考虑试一试付费的混淆方案DexDuard，...

  • Android安全风险控制策略

    ：在Android应用开发中会遇到各种各样的安全性问题，开发者应该从宏观上了解应用开发中可能存在的各种安全隐患，积极采取适当的控制策略。同时，在实现过程中从细节上采取具体的安全措施，增强系统的防御功能。 没有...

  • Android安全风险与防范措施

    做好的apk文件，被检测工具检测出一大堆风险问题，是不是感觉自己的付出白费了，今天咱就聊聊android的安全防范问题。 一，先说安全检查方面的吧 1，源文件安全问题方面 1篡改和二次打包风险 2应用签名未校验...

  • Android 组件导出风险及防范

    近段时间，公司安排了某安全公司对我们的APP进行了全方面的安全测试，根据文档检测结果看，整体上看还是很安全的，其中有一项就是组件导出风险，接下来我们说说四大组件、组件导出必要、风险以及如何防范。...

  • android如何避免钓鱼页面,Android应用钓鱼劫持风险的检测与防范

    Android应用钓鱼劫持风险的检测与防范Detection and Prevention of the Phishing Risk of Android ApplicationDOI:10.12677/CSA.2015.511053,PDF, 下载:2,316浏览:5,367国家自然科学基金支持作者:黄振鹏*, 牛少彰, ...

  • Android安全风险与防范措施--Activity劫持

    Activity劫持风险与防范措施 在Android系统问世不久，曾发生过这样的事情，用户在正常输入用户名、密码的情况，账密信息缺被盗的情况,why? 我们在使用银行类app时，只要我们的银行app客户端退至后台，为啥总会提示...

  • Android应用的安全风险及防范措施

    代码混淆是一种技术，通过将代码转换为难以理解的形式，以 ersoVdneirF 代码注入攻击，攻击者可以将恶意代码插入...开发Android应用时，开发者需要重视应用的安全性，并采取相应的防范措施，以保护用户的数据和隐私。

  • 人力资源经理绩效考核表.xls

    人力资源经理绩效考核表

  • 智慧环卫管理平台建设方案Word(211页).docx

    一、智慧环卫管理平台的建设背景与目标 智慧环卫管理平台的建设源于对环卫管理全面升级的需求。当前，城管局已拥有139辆配备车载GPS系统、摄像头和油耗传感器的环卫车辆，但环卫人员尚未配备智能移动终端，公厕也缺乏信息化系统和智能终端设备。为了提升环卫作业效率、实现精细化管理并节省开支，智慧环卫管理平台应运而生。该平台旨在通过信息化技术和软硬件设备，如车载智能终端和环卫手机App，实时了解环卫人员、车辆的工作状态、信息和历史记录，使环卫作业管理透明化、精细化。同时，平台还期望通过数据模型搭建和数据研读，实现更合理的环卫动态资源配置，为环卫工作的科学、健康、持续发展提供决策支持。 二、智慧环卫管理平台的建设内容与功能 智慧环卫管理平台的建设内容包括运行机制体制建设、业务流程设计、智慧公厕系统建设、网络建设、主机和储存平台需求、平台运维管理体系、硬件标准规范体系以及考核评价体系等多个方面。其中，智慧公厕系统建设尤为关键，它能实时监控公厕运行状态，保障公厕的清洁和正常运行。平台建设还充分利用了现有的电子政务网络资源，并考虑了有线和无线网络的需求。在功能上，平台通过普查、整合等手段全面收集环卫车辆、企业、人员、设施、设备等数据，建立智慧环卫基础数据库。利用智能传感、卫星定位等技术实现环卫作业的在线监管和远程监控，实现对道路、公共场所等的作业状况和卫生状况的全面监管。此外，平台还建立了环卫作业网格化管理责任机制，实现从作业过程到结果的全面监管，科学评价区域、部门、单位和人员的作业效果。 三、智慧环卫管理平台的效益与风险规避 智慧环卫管理平台的建设将带来显著的环境、经济和管理效益。环境方面，它将有力推进环境卫生监管服务工作，改善环境卫生状况，为人民群众创造更加清洁、卫生的工作和生活环境。经济方面，通过智慧化监管，大大降低了传统管理手段的成本，提高了监管的准确性和效率。管理方面，平台能够追踪溯源市民反映的问题，如公厕异味、渣土车辆抛洒等，并找到相应的责任单位进行处置，防止类似事件再次发生。同时，平台还拥有强大的预警机制功能，能够在很多环卫问题尚未出现前进行处置。然而，平台建设也面临一定的风险，如部门协调、配合问题，建设单位选择风险以及不可预测的自然灾害等。为了规避这些风险，需要加强领导、统一思想，选择优秀的系统集成商承接项目建设，并做好计算机和应用系统的培训工作。同时，也要注意标准制定工作和相关法律法规的制定工作，以保证系统建设完成后能够真正为环卫管理工作带来便利。

  • apache-parent-10-14.el7.x64-86.rpm.tar.gz

    1、文件内容：apache-parent-10-14.el7.rpm以及相关依赖 2、文件形式：tar.gz压缩包 3、安装指令： #Step1、解压 tar -zxvf /mnt/data/output/apache-parent-10-14.el7.tar.gz #Step2、进入解压后的目录，执行安装 sudo rpm -ivh *.rpm 4、安装指导：私信博主，全程指导安装

  • 用于卫星通信的CTS天线

    用于卫星通信的圆极化CTS天线研究

  • 人事档案登记及查询系统.xlsx

    人事档案登记及查询系统

  • 12 -防损部经理绩效考核表1.xlsx

    12 -防损部经理绩效考核表1

  • 泰尔指数模型stata全流程代码+数据+文献(数据权威)

    ## 一、泰尔指数模型stata全流程代码+数据+文献 参考C刊《农业经济问题》朱红根（2023）老师的做法，用泰尔指数是衡量个人或地区之间收入差距的重要指标，本文利用泰尔指数分析中国区域内和区域间数字乡村发展水平的差异，测算了全国总体差异、区域内差异、区域间差异以及相关贡献率。此资料包括stata全流程代码、案例数据、参考文献，用excel计算有标注有过程 ，并且参照文献讲的。 ## 二、2005-2021年城乡收入差距与泰尔指数：原始数据+测算结果 泰尔熵标准(Theil’s entropy measure)或者泰尔指数（Theil index）是衡量个人之间或者地区间收入差距（或者称不平等度）的指标。又称泰尔系数或锡尔指数，但我还是习惯叫泰尔指数。Theil指数用来表示区域经济差异状况，数值越大则差异程度越大。 数据名称：城乡收入差距与泰尔指数（原始数据+测算） 数据年份：2005-2021年 指标变量：泰尔指数、城镇收入占农村收入之比、城镇居民人均可支配收入、农村居民人均可支配收入、乡村人口、全体居民人均可支配收入、城镇人口、年末常住人口 测算公式：

  • 34 -配送部经理绩效考核表1.xlsx

    34 -配送部经理绩效考核表1

  • [2024最新更新]全国城投公司数据大全(数据权威)

    1.资料名称：2021-1998年城投公司数据大全 2.数据指标：序号、公司名称、区域、城投评分、省内排名、最新主体评级、行政等级、 股东背景、股权关系、平台重要性、城投口径、实控人、 总资产（亿元）、 货币资金（亿元）、土地资产（亿元）、受限资产（亿元）、应收账款（亿元） 应收类款项政府占比（%）、营业收入（亿元）、公益性&准公益性主营占比（%）、归母净利润（亿元）、政府补助（亿元）、总资产报酬率（%）、有息债务（亿元）、 短期债务（亿元）、借款（亿元）、债券余额（亿元）、私募债占比（%）、 非标融资（亿元）、资产负债率（%）、债务资本化比率（%） 对外担保比例（%）、EBITDA/利息（倍）、EBITDA全部债务比（%）、授信余额（亿元）、 最新报告期 、申万行业 城投公司是城市建设投资公司的简称，是全国各大城市政府投资融资平台，起源于1991年，承担相应的政府职能，是特殊市场经营体。 此类城投公司大多是不具备盈利能力的，属于事业单位或者国有独资公司性质，他们是通过政府补贴的方式实现盈利，属于带有政府性质的特殊市场经营体。

Global site tag (gtag.js) - Google Analytics