android反调试,android反调试技术

问一下，给android加密哪些加密方式最好最有效？

朋友你好，很高兴为你解决问题。

android加密的最佳加密方式可采用安卓应用APK加密工具，一键集成DEX加密、SO文件加密、DLL文件加密、内存保护、反调试、防二次打包等功能。

可以有效避免核心代码被破解，请求协议被伪造，被植入恶意代码后重打包等诸多安全风 险！

有效五个杜绝：

• 杜绝APP包被植入病毒或广 告，窃 取用户隐 私信息，推送垃 圾广 告；

• 维持应用原有的纯净度和企业信誉度。

• 杜绝竞 争对手逆向分析应用核心技术，窃 取企业劳动成果；

• 杜绝攻 击者挖掘应用漏洞，发起恶意攻 击行为。

• 杜绝应用广 告代码被删除，影响经 济收 益；

• 杜绝应用广 告代码被篡改，广 告收 益被攻 击者窃取。

希望以上解答能够帮助到你，参考资料：。

祝：开心每一天。

相关问答

Q1: Android studio 开发app，如何抵抗动态调试，反调试代码怎么写？请写上详细代码。

为了保护关键代码被逆向分析，一般放在应用程序初始化过程中，如init_array，或jni_onload函数里进行检查代码执行。

1.调试检测

对调试器的检测（ida，gdb,strace, ltrace等调试工具）

a.父进程检测

b.当前运行进程检测

例如对android_server进程检测。针对这种检测只需将android_server改名就可绕过

[objc] view plain copy

pid_t GetPidByName(const charchar *as_name) {

DIR *pdir = NULL;

struct dirent *pde = NULL;

FILEFILE *pf = NULL;

char buff[128];

pid_t pid;

char szName[128];

// 遍历/proc目录下所有pid目录

pdir = opendir("/proc");

if (!pdir) {

perror("open /proc fail.\n");

return -1;

}

while ((pde = readdir(pdir))) {

if ((pde-d_name[0] '0') || (pde-d_name[0] '9')) {

continue;

}

sprintf(buff, "/proc/%s/status", pde-d_name);

pf = fopen(buff, "r");

if (pf) {

fgets(buff, sizeof(buff), pf);

fclose(pf);

sscanf(buff, "%*s %s", szName);

pid = atoi(pde-d_name);

if (strcmp(szName, as_name) == 0) {

closedir(pdir);

return pid;

}

}

}

closedir(pdir);

return 0;

}

c.读取进程状态(/proc/pid/status)

State属性值T 表示调试状态，TracerPid 属性值正在调试此进程的pid,在非调试情况下State为S或R, TracerPid等于0

d.读取 /proc/%d/wchan

下图中第一个红色框值为非调试状态值，第二个红色框值为调试状态：

[objc] view plain copy

static void get_process_status(pid_t pid,const char* info,charchar *outline)

{

FILEFILE *fp;

char filename;

char line = {0};

snprintf( filename, sizeof(filename), "/proc/%d/status", pid );

fp = fopen( filename, "r" );

if ( fp != NULL )

{

while ( fgets( line, sizeof(line), fp ) )

{

if ( strstr( line, info ) )

strcpy(outline,line);

}

fclose( fp ) ;

}

return ;

}

static int getProcessStatus(int pid)

{

char readline = {0};

int result = STATUS_ELSE;

get_process_status(pid,"State",readline);

if(strstr(readline,"R"))

result = STATUS_RUNNING;

else if(strstr(readline,"S"))

result = STATUS_SLEEPING;

else if(strstr(readline,"T"))

result = STATUS_TRACING;

return result;

}

static int getTracerPid(int pid)

{

char readline = {0};

int result = INVALID_PID;

get_process_status(pid,"TracerPid",readline);

charchar *pidnum = strstr(readline,":");

result = atoi(pidnum + 1);

return result;

}

static int getWchanStatus(int pid)

{

FILEFILE *fp= NULL;

char filename;

char wchaninfo = {0};

int result = WCHAN_ELSE;

char cmd = {0};

sprintf(cmd,"cat /proc/%d/wchan",pid);

LOGANTI("cmd= %s",cmd);

FILEFILE *ptr; if((ptr=popen(cmd, "r")) != NULL)

{

if(fgets(wchaninfo, 128, ptr) != NULL)

{

LOGANTI("wchaninfo= %s",wchaninfo);

}

}

if(strncasecmp(wchaninfo,"sys_epoll\0",strlen("sys_epoll\0")) == 0)

result = WCHAN_RUNNING;

else if(strncasecmp(wchaninfo,"ptrace_stop\0",strlen("ptrace_stop\0")) == 0)

result = WCHAN_TRACING;

return result;

}

e. ptrace 自身或者fork子进程相互ptrace

[objc] view plain copy

ptrace me

if (ptrace(PTRACE_TRACEME, 0, 1, 0) 0) {

printf("DEBUGGING... Bye\n");

return 1;

}

void anti_ptrace(void)

{

pid_t child;

child = fork();

if (child)

wait(NULL);

else {

pid_t parent = getppid();

if (ptrace(PTRACE_ATTACH, parent, 0, 0) 0)

while(1);

sleep(1);

ptrace(PTRACE_DETACH, parent, 0, 0);

exit(0);

}

}

f. 防止dump

利用Inotify机制，对/proc/pid/mem和/proc/pid/pagemap文件进行监视。inotify API提供了监视文件系统的事件机制，可用于监视个体文件，或者监控目录。具体原理可参考：- pages/man7/inotify.7.html

伪代码：

[objc] view plain copy

void __fastcall anitInotify(int flag)

{

MemorPagemap = flag;

charchar *pagemap = "/proc/%d/pagemap";

charchar *mem = "/proc/%d/mem";

pagemap_addr = (charchar *)malloc(0x100u);

mem_addr = (charchar *)malloc(0x100u);

ret = sprintf(pagemap_addr, pagemap, pid_);

ret = sprintf(mem_addr, mem, pid_);

if ( !MemorPagemap )

{

ret = pthread_create(th, 0, (voidvoid *(*)(voidvoid *)) inotity_func, mem_addr);

if ( ret = 0 )

ret = pthread_detach(th);

}

if ( MemorPagemap == 1 )

{

ret = pthread_create(newthread, 0, (voidvoid *(*)(voidvoid *)) inotity_func, pagemap_addr);

if(ret 0)

ret = pthread_detach(th);

}

}

void __fastcall __noreturn inotity_func(const charchar *inotity_file)

{

const charchar *name; // r4@1

signed int fd; // r8@1

bool flag; // zf@3

bool ret; // nf@3

ssize_t length; // r10@3

ssize_t i; // r9@7

fd_set readfds; // @2

char event; // @1

name = inotity_file;

memset(buffer, 0, 0x400u);

fd = inotify_init();

inotify_add_watch(fd, name, 0xFFFu);

while ( 1 )

{

do

{

memset(readfds, 0, 0x80u);

}

while ( select(fd + 1, readfds, 0, 0, 0) = 0 );

length = read(fd, event, 0x400u);

flag = length == 0;

ret = length 0;

if ( length = 0 )

{

if ( !ret !flag )

{

i = 0;

do

{

inotity_kill((int)event);

i += *(_DWORD *)event + 16;

}

while ( length i );

}

}

else

{

while ( *(_DWORD *)_errno() == 4 )

{

length = read(fd, buffer, 0x400u);

flag = length == 0;

ret = length 0;

if ( length = 0 )

}

}

}

}

g. 对read做hook

因为一般的内存dump都会调用到read函数，所以对read做内存hook，检测read数据是否在自己需要保护的空间来阻止dump

h. 设置单步调试陷阱

[objc] view plain copy

int handler()

{

return bsd_signal(5, 0);

}

int set_SIGTRAP()

{

int result;

bsd_signal(5, (int)handler);

result = raise(5);

return result;

}

Q2: Android APP的破解技术有哪些？如何防止反编译

AndroidAPP破解主要依靠利用现有的各种工具，如下：1)APKtool2)dex2jar3)jd-gui4)签名工具防止反编译，介绍一种有效对抗native层代码分析的方法——代码混淆技术。代码混淆的学术定义如下：代码混淆（codeobfuscation）是指将计算机程序的代码，转换成一种功能上等价，所谓功能上的等价是指其在变换前后功能相同或相近。其解释如下：程序P经过混淆变换为P‘，若P没有结束或错误结束，那么P’也不能结束或错误结束；而且P‘程序的结果应与程序P具有相同的输出。否则P’不是P的有效的混淆。目前对于混淆的分类，普遍是以Collberg的理论为基础，分为布局混淆（layoutobfuscation）、数据混淆（dataobfuscation）、控制混淆（controlobfuscation）和预防混淆（preventiveobfuscation）这四种类型。腾讯御安全保护方案提供了以上所述四种混淆分类的多维度的保护，布局混淆方面，御安全提供了针对native代码层中的函数名进行了混淆删除调试信息等功能；数据混淆方面，御安全提供了针对常量字符串加密及全局变量的混淆的功能；控制混淆方面，御安全针对代码流程上，提供了扁平化，插入bogus分支以及代码等价变换等功能；预防混淆方面，御安全在混淆过程中加入了针对主流反编译器的预防混淆的代码，能够有效地抵抗其分析。御安全还对应用开发者提供不同等级的保护力度及多种混淆方式的功能的选择，用户可以根据自己的需求定制不同的混淆功能保护。同时，御安全保护方案除了提供代码混淆保护方面的技术，还提供代码虚拟化技术及反逆向、反调试等其他安全保护方案，综合使用多种保护方案可以有效地提高代码安全。

Q3: 请问，怎样给android安全加密？

朋友你好，很高兴为你解答问题！

Android应用加密，几维安 全极速加密，轻松集成DEX加密、防二次打包、反调试等多项安全防护。

用户基本是通过移动终端从各个应用市场获取目标应用，而这些市场上的应用本身就参差不齐，再加上各种盗版应用鱼龙混杂，造成用户下载的应用不安全存在很大的风险。比如用户运行了一款不安全的应用，可能会泄露隐私信息，遭受短信骚扰、应用广告等。

为了给用户提供更为安全的移动应用，几维安全致力推出移动应用安全加固服务，给应用添加层层安全防护功能，抵抗来自攻击人的破解，避免二次打包和隐私泄露等危害影响到用户，从而真正做到应用更安全，用户更放心。

android安全加密网页链接的参考资料，希望能够帮到你！

Q4: android怎么动态调试dex

1.1 安装JDK

JAVA环境的搭建请自行查找资料，这里不做详述。

1.2 安装Android SDK

下载地址：。

下载完安装包后解压到任意一目录，然后点击运行SDK Manager.exe，然后选择你需要的版本进行安装，如图：

1.3 安装Eclipse集成开发环境

下载地址：。选择Eclipse for Mobile Developers，解压到任意目录即可。

1.4 创建Android Virtual Device

动态调试可以用真实的手机来做调试环境，也可以用虚拟机来做调试环境，本文采用虚拟机环境。因此创建虚拟机步骤如下：

1打开Eclipse –windows-Android Virtual Device

2点击Create，然后选择各个参数如图：

这里Target 就是前面步骤中安装的SDK 选择任意你觉得喜欢的版本就可以。点击OK 就创建完毕。

1.5 安装 APK改之理

这个是一个很好用的辅助调试的软件，请自行搜索下载。

1.6 安装 IDA6.6

IDA6.6开始支持安卓APP指令的调试，现该版本已经提供免费下载安装，请自行搜搜。

0x02 Dalvik指令动态调试

2.1 准备工作

安卓APP应用程序后缀为apk，实际上是一个压缩包，我们把它改后缀为rar打开如图：

其中classes.dex是应用的主要执行程序，包含着所有Dalvik指令。我们用APK改之理打开apk，软件会自动对其进行反编译。反编译后会有很多smail文件，这些文件保存的就是APP的Dalvik指令。

在APK改之理里双击打开AndroidManifest.xml，为了让APP可调试，需要在application 标签里添加一句android:debuggable="true" 如图：

然后点击保存按钮，然后编译生成新的apk文件。接着打开Eclipse –windows-Android Virtual Device，选择刚才创建的虚拟机，然后点击start，虚拟机便开始运行。偶尔如果Eclipse启动失败，报错，可以同目录下修改配置文件：

把配置参数原本为512的改为256 原本为1024的改为512，然后再尝试启动。

在SDK安装目录有个命令行下的调试工具adb shell，本机所在目录为E:\adt-bundle-windows-x86-20140702\sdk\platform-tools，把adb.exe注册到系统环境变量中，打开dos命令行窗口执行adb shell 就可以进入APP命令行调试环境，或者切换到adb所在目录来执行adb shell。

这里先不进入adb shell，在DOS命令行下执行命令：adb install d:\1.apk 来安装我们刚才重新编译好的APK文件。安装完毕会有成功提示。

2.2 利用IDA动态调试

将APP包里的classes.dex解压到任意一目录，然后拖进IDA。等待IDA加载分析完毕，点击Debugger-Debugger Options如图

按图所示勾选在进程入口挂起，然后点击Set specific options 填入APP包名称和入口activity 如图：

其中包的名称和入口activity 都可以通过APK改之理里的AndroidManifest.xml 文件获取：

1

2

3

manifest xmlns:android="" package="com.example.simpleencryption"

application android:allowBackup="true" android:debuggable="true" android:icon="@drawable/creakme_bg2" android:label="@string/app_name" android:theme="@style/AppTheme"

activity android:label="@string/app_name" android:name=".MainActivity"

然后在IDA点击Debugger-Process Options

其他默认不变，端口这里改为8700。这里默认端口是23946，我在这里困扰了很久，就是因为这个端口没有改为8700所致。然后我们看看这个8700端口是怎么来的。在Android SDK里提供了一款工具DDMS，用来监视APP的运行状态和结果。在SDK的TOOLS目录有个DDMS.BAT的脚步，运行后就会启动DDMS。由于我的本机安装了SDK的ADT插件，DDMS集成到了Eclips中，打开Eclips-Open perspective-ddms就启动了DDMS。

如图所示：

在DDMS选中某个进程后面就会注释出它的调试端口,本机这里是8700。

到此所有的工作就准备就绪，然后就可以下断点来调试该APP了。我们在APK改之理中在com目录下查看smali文件 发现MainActivity.smali里有一个感兴趣的函数getPwdFromPic()，那么我们就对它下断以跟踪APP的运行。

在IDA里搜索字符串getPwdFromPic，发现onClick有调用该函数

我们在onClick 函数开始位置按F2下断如图：

然后点击上图中绿色三角形按钮启动调试如图：

调试过程中有一个问题出现了很多次，浪费了我大量的时间，就在写文章的时候，操作时还是遇到了这样的问题。就是点击启动后IDA提示can’t bind socket，琢磨了很久终于找到原因了，当打开过一次DDMS后 每次启动Eclips都会启动DDMS 而8700端口正是被这个DDMS给占用了，然后每次都会启动失败，解决办法就是 虚拟机运行起来后关闭掉Eclips，这时一切就正常了！

事例中是一个APP crackme 提示输入密码才能进入正确界面。这个时候我们输入123，点击登陆，IDA中断在了我们设置断点的地方，这时选中ida-debugger-use source level debugger，然后点击ida-debugger-debugger windows-locals打开本地变量窗口，如图：

然后按F7或F8单步跟踪程序流程，同时可以观察到变量值的变化，也可以在IDA右键选择图形视图，可以看到整个APP执行的流程图:

如上图所示 变量窗口中我们输入了123 被转化成的密码是么广亡，pw变量也显示出了正确的密码，其实这个时候已经很容易判断出正确密码了。

0x03 Andoid原生动态链接库动态调试

通常为了加密保护等措施，有时dex执行过程中会调用动态链接库文件，该文件以so为后缀，存在于APP文件包里。

这里我们以动态附加的方式来调试原生库。

3.1 准备工作

1、将IDA-dbgsrv目录下的android_server拷贝到虚拟机里，并赋予可执行权限

DOS命令分别为：

adb shell pull d:\ android_server /data/data/sv

adb shell chmod 755 /data/data/sv

2、启动调试服务器android_server

命令：adb shell /data/data/sv

服务器默认监听23946端口。

3、重新打开DOS窗口进行端口转发，命令：

adb forward tcp:23946 tcp:23946 如图：

3.2 利用IDA进行动态调试

1、虚拟机里启动要调试的APP 2、启动IDA，打开debugger-attach-remote Armlinux/andoid debugger

端口改为23946 其他保持不变，点击OK

如上图，选中要调试的APP 的数据包名，然后点击OK。

正常情况下，IDA会把APP进程挂起。

3、由于当前程序不是在动态链接库领空，这时我们要重新打开一个IDA，用它打开需要调试的so文件，找到需要下断的位置的文件偏移，并做记录，然后关闭后面打开的这个IDA。

4、在原IDA界面按下ctrl+s键，找到并找到需要调试的so，同时记录该文件的加载基址。然后点击OK 或者cancel按钮关闭对话框。

5、按下快捷键G 输入基址+文件偏移所得地址，点击OK 就跳转到SO文件需要下断的地方，这时按下F2键设置断点。当APP执行到此处时便可以断下来。

3.3 在反调试函数运行前进行动态调试

程序加载so的时候，会执行JNI_OnLoad函数，做一系列的准备工作。通常反调试函数也会放到JNI_OnLoad函数里。进行4.2中第2步时也许会遇到如下情况：

这时APP检测到了调试器，会自动退出，那么这时调试策略需要有所改变。

接着4.1第3步后，在DOS命令行执行命令：

adb shell am start -D -n com.yaotong.crackme/com.yaotong.crackme.MainActivity

来以调试模式启动APP 如图：

com.yaotong.crackme是APP包名称，com.yaotong.crackme.MainActivity是执行入口 这些可以用APK改之理查看。

这时由于APP还未运行，那么反调试函数也起不了作用，按照4.2中第2步把APP挂起。这时IDA会中断在某个位置

然后点击debugger-debugger opions设置如下：

点击OK 后按F9运行APP，然后再DOS命令下执行命令：

jdb -connect com.sun.jdi.SocketAttach:hostname=127.0.0.1,port=8700

这时APP会断下来，然后按照4.2中的3、4、5补找到JNI_OnLoad函数的地址并下断，然后按F9 会中断下来。然后便可以继续动态跟踪调试分析。

Q5: 怎么对android app实现逆向分析

首先，逆向分析是一门技术，也是一门艺术。

其次，安卓逆向同样可细分为应用层APK逆向、安卓设备框架、内核驱动等逆向、基于安卓的硬件产品逆向等。此处假定楼主说的是第一种逆向。

应用层的逆向分析根据需求的不同，又可细分成APK流程逆向与功能逆向。

流程逆向通常是指简单的对APK运行流程进行分析，此类分析通常可以使用将APK置于沙盒环境中运行捕捉并查看运行结果。这种逆向需求通常不是很多，典型的工种有杀软厂商的病毒分析工程师。

功能逆向相比流程逆向则困难得多。但需求比较普遍。实际逆向分析过程中对功能实现的理解，在很大程度上取决于逆向人员相关的软件开发知识。比如，分析Android程序的JAVA代码就需要掌握基本的Android软件开发的知识。分析so库的代码就需要了解C/C++相关的so库开发的知识。除了基本开发相关的能力外，逆向分析人员还需要具备以下知识：

ARM/X86/MIPS汇编语言-分析so库时可能需要阅读大量的反汇编代码。

常见逆向分析工具的使用-JDGUI/IDA PRO/APKTOOL/JEB/DEX2JAR

常用的安卓程序调试与反调试手段-调试器检测与反检测/脱壳/反混淆

常用的加密与解密算法-好的逆向分析人员需要有快速识别常见加密解密算法的能力

最后，就是多动手，多动手练习是掌握逆向分析技术最好的方法。