使用Proguard混淆代码打造APP安全第一层防护

最新推荐文章于 2024-07-31 15:17:36 发布
最新推荐文章于 2024-07-31 15:17:36 发布
阅读量2.6k 收藏 2
点赞数 1
分类专栏： 【Android 性能优化】 【Android 开发进阶】 文章标签： android app安全 代码混淆详解 Proguard
精髓原创，欢迎转载、指正、探讨。-----老蒋
本文链接：https://blog.csdn.net/AndrExpert/article/details/55002749
版权

使用Proguard混淆代码打造APP安全第一层防护

 

作者：

蒋东国

时间：

2017年02月12日 星期日

应用来源：

hqt APP(测试终端：华为Nova，三星C9 Pro)

博客地址：

http://blog.csdn.net/andrexpert/article/details/55002749

      

       ProGuard是一个可用于对Java字节码文件进行压缩、优化、混淆以及预校验的免费工具，它能够移除工程中一些没有用的代码，或者使用语义上隐晦的名称来重命名代码中的类、字段和函数等，达到压缩、优化和混淆代码的功能。它的具体功能如下：

a.       压缩(Shrink)：检测并移除代码中无用的类、字段、方法和特性；

b.      优化(Optimize)：分析和优化相关方法字节码，移除无用的指令；

c.       混淆(Obfuscate)：使用随机的小写且无意义的名称对类、字段和方法进行重命名；

d.      预校验(Preverify)：在Java平台上对处理后的代码进行预校验，确保加载的class文件是可执行的。

2.     ProGuard工作原理

     ProGuard的工作原理包括四个部分，即压缩、优化、混淆、预校验，它们能够使最终生成的APK文件变得更小、效率更高、更难被反编译。ProGuard工作流程如下：


      Java是一种跨平台的解释性语言，它的源代码编译成中间”字节码”存储于class文件中。由于跨平台的需要，Java字节码中包括了很多源代码信息，如变量名、方法名，它们被用来访问相关的变量和方法，而这些符号恰恰带有很多语义信息，极易被反编译成Java源代码从而造成开发的应用被轻松破解。为了防止这种情况，我们可以使用ProGuard实现对Java字节码进行混淆。所谓混淆，是指ProGuard将发布出去的程序进行重新组织和处理，它能够将代码中的所有变量、方法、类名转换为极为简短且无任何意义的英文字母，在缺乏相应函数名和程序注释情况下，即使被反编译也将难以阅读，并且在混淆的过程中一些不影响正常运行的信息将永久丢失造成程序更加难以理解，最终达到保护应用源代码的效果。

2.     ProGuard代码混淆原则

(1)   代码中使用了反射，则不能混淆。比如一些ORM框架的使用，需要保证类名、方法不便，要不然混淆后就无法实现反射；

-keepattributes Signature 

-keepattributes EnclosingMethod

(2)   使用GSON、Fastjson等JSON解析框架所生成的对象类生成的bean实体对象不能混淆，因为其内部大多数是通过反射来生成的；

(3)   引用了第三方开源框架或继承第三方SDK，如开源的okhttp网络访问框架，百度定位SDK等在这些第三库的文档中通常会给出相应的混淆规则。如果无法确定相关的混淆规则，采用如下方法也可，以fastjson框架为例：

-libraryjars libs/fastjson-1.1.36.jar

-dontwarn com.alibaba.fastjson.**

-keep class com.alibaba.fastjson.** { *; }

(4)   继承了Serializable接口的类不能混淆，因为在反序列化时需要正确的类名等；

(5)   AndroidMainfest中的类及其子类不能混淆，包括四大组件、Application的子类等；

(6)   Parcelable的子类和Creator静态成员变量不混淆，否则会产生android.os.BadParcelableException异常；

-keep class * implements android.os.Parcelable{ 

  publicstatic final android.os.Parcelable$Creator *; 

}

(7)   使用WebView的JS调用接口不能混淆；

-keepclassmembersclass fqcn.of.javascript.interface.for.webview { 

      public *; 

} 

-keep classcom.xxx.xxx.** { *; }

(8) 所有的JNI方法不能混淆

    -keepclasseswithmembernamesclass * {

       native <methods>; 

}

(8)   不混淆Enum类型的指定方法

-keepclassmembers enum * {

    publicstatic **[] values(); 

    publicstatic ** valueOf(java.lang.String); 

}

3.     ProGuard参数详解

参数

作用

-optimizationpasses

指定混淆压缩比，0~7之间，默认-optimizationpasses 5

-dontusemixedcaseclassnames

混淆时不使用大小写混合，混淆后的类名为小写

-dontskipnonpubliclibraryclasses

指定不去忽略非公共的库类

-dontskipnonpubliclibraryclassmembers

指定不去忽略包可见的库类的成员

-dontpreverify

不做预校验，安卓不需要preverify，去掉这一步可加快混淆速度

-verbose

混淆后就会生成映射文件，包含有类名->混淆后类名的映射关系等

-dontoptimize

优化，不优化输入的类文件

-allowaccessmodification

优化时允许访问并修改有修饰符的类和类的成员

-printmapping

指定映射文件的名称，如-printmapping proguardMapping.txt

-dontshrink

压缩，不压缩输入的类文件

-optimizations

指定混淆时采用的算法，后面的参数是一个过滤器

-optimizations !code/simplification/arithmetic,!field/*,!class/merging/*

-keepattributes [attribute_filter]

不混淆相关属性，比如：

(1)    -keepattributes *Annotation*

不混淆代码中的注释(在JSON实体映射中非常重要)；

(2) -keepattributes Signature，不混淆泛型；

(3) -keepattributes SourceFile,LineNumberTable

抛出异常保留代码行号

-keep [,modifier,...] class_specification

不混淆指定的类文件和类的成员(变量、方法)，比如：

(1)    -keep public class * extends android.app.Activity

不混淆所有Activity的子类

(2)    -keep public class com.xxxx.app.ui.fragment.** {*;}

不混淆android-support-v4.jar包下的所有类及类的成员

-keepclassmembers

[,modifier,...] class_specification

不混淆指定类的成员，比如：

(1)    -keepclassmembers class * extends android.app.Activity {

public void *(android.view.View);}

不混淆所有Activity的子类中参数是view的方法；

(2)    -keepclassmembers enum * {

public static **[] values();

public static ** valueOf(java.lang.String);}

不混淆所有枚举类

-keepclasseswithmembers                    

[,modifier,...] class_specification

不混淆指定的类和类的成员，但条件是所有指定的类和类成员必须存在，如保留所有的本地native方法不被混淆：

-keepclasseswithmembernames class * {

    native <methods>;

}

-keepnames class_specification

不混淆指定的类和类的成员的名称

-keepclassmembernames

不混淆类的成员名

-keepclasseswithmembernames

不混淆类的及其成员名

-printseeds {filename}

列出类和类的成员-keep选项的清单，标准输出到给定的文件

-libraryjars class_path

声明引入的第三方库，比如支付宝SDK：

-libraryjars libs/alipaysdk.jar

-dontwarn

不提示引入第三方库发出的警告

-dontwarn com.alipay.android.app.**

文件过滤(File Filters)

(1) ？(问号)：匹配文件名中的一个字符

(2) *(单星号)：匹配任何一个文件名，但不包含目录分隔符

(3) **(双信号)：匹配任何一个文件名，及任意数量的目录分隔符

(4)!(感叹号)：匹配除!之外的内容

举例：

java/*.class，匹配java目录下的所有java文件，不包子目录

java/**.class，匹配所有Java文件，包括子目录下的java文件

!**.gif,images/**，匹配images目录下所有除gif格式文件

详见：android-sdk-windows/tools/proguard/docs/manual/usage.html

4.     ProGuard项目实例

(1)  project.properties

# This file is automatically generated by Android Tools.
# Do not modify this file -- YOUR CHANGES WILL BE ERASED!
#
# This file must be checked in Version Control Systems.
#
# To customize properties used by the Ant build system edit
# "ant.properties", and override values to adapt the script to your
# project structure.
#
# To enable ProGuard to shrink and obfuscate your code, uncomment this (available properties: sdk.dir, user.home):
proguard.config=${sdk.dir}/tools/proguard/proguard-android.txt:proguard-project.txt
# Project target.
target=android-20
android.library=false
dex.force.jumbo=true
#指明引用的本地库
android.library.reference.1=..\\HWPUSH

(2)  proguard-project.txt

-dontoptimize
-dontpreverify      	      #忽略与dex编译器和Dalvik VM不相干的预校验	
-verbose		 			      #开启混淆记录日志，指定映射文件的名称	
-printmapping proguardMapping.txt													
-keepattributes *Annotation*   #保留注释，RemoteViews通常需要annotations
-dontusemixedcaseclassnames  # 混淆时不使用大小写混合，混淆后的类名为小写
-dontskipnonpubliclibraryclasses       # 指定不去忽略非公共的库的类
-dontskipnonpubliclibraryclassmembers  # 指定不去忽略非公共的库的类的成员

###########################################################
####		         基本规则	               #####
###########################################################

#四大组件(AndroidManifest.xml清单文件中内容)等不混淆
-keep public class * extends android.app.Activity
-keep public class * extends android.app.Application
-keep public class * extends android.app.Service
-keep public class * extends android.content.BroadcastReceiver
-keep public class * extends android.content.ContentProvider
-keep public class * extends android.app.backup.BackupAgentHelper
-keep public class * extends android.preference.Preference
-keep public class com.android.vending.licensing.ILicensingService 

#自定义控件不混淆
-keep public class * extends android.view.View {
   public <init>(android.content.Context);
   public <init>(android.content.Context, android.util.AttributeSet);
   public <init>(android.content.Context, android.util.AttributeSet, int);
   public void set*(...);
}

#包含特殊参数的构造方法及其类不混淆
-keepclasseswithmembers class * {
   public <init>(android.content.Context, android.util.AttributeSet);
}
-keepclasseswithmembers class * {
    public <init>(android.content.Context, android.util.AttributeSet, int);
}

#所有的Onclick操作不混淆
-keepclassmembers class * extends android.content.Context {
  public void *(android.view.View);
  public void *(android.view.MenuItem);
}

# 对于R（资源）类中的静态方法不能被混淆
-keepclassmembers class **.R$* {
 public static <fields>;
}

#Javascript接口中的方法不能混淆
-keepclassmembers class * {
  @android.webkit.JavascriptInterface <methods>;
}
###########################################################
####				根据项目情况自定义规则		        #####
###########################################################
#不混淆注释
-keepattributes *Annotation*

#所有Native方法以及它们所在的类名不混淆
-keepclasseswithmembernames class * {
    native <methods>;
}

#枚举类中所有的静态方法不混淆
-keepclassmembers,allowoptimization enum * {
   public static **[] values();
   public static ** valueOf(java.lang.String);
}

#所有Parcelable子类静态方法不混淆
-keepclassmembers class * implements android.os.Parcelable {
   static android.os.Parcelable$Creator CREATOR;
}

# 保留Serializable序列化的类不被混淆
-keepclassmembers class * implements java.io.Serializable {
   static final long serialVersionUID;
   static final java.io.ObjectStreamField[] serialPersistentFields;
   private void writeObject(java.io.ObjectOutputStream);
      private void readObject(java.io.ObjectInputStream);
   java.lang.Object writeReplace();
   java.lang.Object readResolve();
}
#反射不混淆
-keepattributes Signature  
-keepattributes EnclosingMethod 
#不混淆所有Bean类，根据异常指定某些类不混淆
-keep class com.luchibao.example.bean.** {*;}
-keep class com.luchibao.example.dao.** {*;}	
# 申明所有jar包、so动态库
-libraryjars libs/fastjson-1.1.36.jar
-libraryjars libs/greendao-1.3.7.jar
-libraryjars libs/litehttp.jar
-libraryjars libs/armeabi/libpocketsphinx_jni.so
-dontwarn edu.cmu. pocketsphinx.**
-keep class  edu.cmu. pocketsphinx.** { *; }
#不混淆fastjson-1.1.36.jar
-dontwarn com.alibaba.fastjson.**
-keep class com.alibaba.fastjson.** { *; }
#不混淆greenrobot.jar
-dontwarn de.greenrobot.dao.**
-keep class  de.greenrobot.dao.** { *; }
#不混淆litehttp.jar
-dontwarn  com.litesuits.**
-dontwarn  com.google.gson.**
-keep class com.google.gson.** { *; } 
-keep class com.litesuits.http.** { *; } 
-keep class com.litesuits.android.** { *; }

注意：如果将jar包放在lib目录下引用，Proguard无法对其进行忽略，从而被混淆。但由于jar包通常已经被混淆过，如果再次混淆将会出现很多错误。对于这种情况，建议将lib目录下的jar包移动到libs目录下。

(3) 效果演示

       通过jeb.exe或者dex2jar、jd-gui.exe查看混淆后的apk或classes.class文件：


码字不易，转载请声明出处：http://blog.csdn.net/andrexpert/article/details/55002749

最后的话：开发当中遇到相关问题

(1)   java.io.IOException: Can't read[project_path\libs\aMcuSdk_7.0.14.108.jar] (Can't process class [d.class](Unknown verification type [113] in stack map frame))

解决：Proguard工具本身问题，修改Proguard源码中ClassConstants.java文件

      publicstatic final String ATTR_StackMapTable = "StackMapTable";

改为 public static final String ATTR_StackMapTable = "dummy";

参考：http://blog.csdn.net/jiguangcanhen/article/details/41806599

http://blog.csdn.net/zhongzhenyiyu/article/details/52994635

(2)   java.io.IOException: The same input jar[project_path\libs\baidumapapi_map_v3_7_3.jar] is specified twice.

解决：最新版的Proguard(5.3)默认对libs目录下所有第三方库进行引用，如果再在     proguard-project.txt进行-libraryjars引用，将会报此错误。另外，AudioStudio也不需要再次对第三方库进行-libraryjars引用。

(3)   ClassNotFoundException异常

解决： 两种情况

一是诸如反射相关类被混淆导致错误，需要通过keep对其进行过滤掉；

二是存在第三方库没有过滤问题导致被混淆

其他异常，详见android-sdk-windows/tools/proguard/docs/manual/usage.html(Troubleshooting)


无名之辈FTER
关注
专栏目录
提高APP安全性的必备加固手段——深度解析代码混淆技术
m0_62167422的博客
05-09 1041
其中，classPath 为加固后的 dex 文件的路径，className 和 methodName 分别为打包前的类名和方法名。DexClassLoader 的第一个参数为 dex 文件的路径，第二个参数为 dex 文件优化后的缓存路径，第四个参数为父类加载器。需要注意的是，这种加固方式不能完全杜绝反编译，但是可以大大增加反编译难度，让黑客无法轻易地获取 APK 中的代码。Android APP 加固是优化 APK 安全性的一种方法，常见的加固方式有混淆代码、加壳、数据加密、动态加载等。
Android安全防护之旅---带你把Apk混淆成中文语言代码
hgfujffg的博客
02-11 197
Android安全防护之旅---带你把Apk混淆成中文语言代码
app代码安全保护
阳光灿烂的日子的博客
03-31 757
今天给大家讲一下app防破解技术，很多开发者在app的安全层面知道的并不多，导致自己费了很多时间写的apk被轻易破解，代码被盗用分析关键信息。现在从以下几点来阐述： 1.Java代码是比较容易反编译的，为了很好的保护Java代码，我们往往会对编译好的class文件进行混淆处理 在app的build.gradle文件设置 minifyEnabled true，并在proguard-rules....
ProGuard-Java代码混淆（把类和变量混淆成诸如abcdefg的样子）
xiao190128的专栏
08-16 6655
首先下载混淆工具： http://proguard.sourceforge.net/downloads.html  如果你是初学者，又急于使用混淆功能，不用去找其他什么工具了，就这个就够了。  第一步：将我们的代码从eclipse中以普通export的方式导出成一个jar包，只导出src中的代码，其他钩全部去掉，右边的那些资源文件什么的也要去掉钩。导出之后放在桌面，直到混淆完成之前都不要移动这个j...
震惊！三分钟内搞定ProGuard混淆Java代码所有问题！绝招大公开！
最新发布
小金的博客
07-31 1564
当前的世界抄袭不断，当然本着开源的精神，我们也提倡代码共享，但是绝对拒绝代码抄袭，为了防止世界被破坏，为了守护世界的和平，自然而然衍生了许多代码混淆的技术，那么何为代码混淆呢？
Android 使用 ProGuard 代码混淆
技术笔记
03-14 3692
ProGuard 是开源的优化 Java 字节码工具。官方称可用减少 10% 体积，并提升 20% 运行效率。将类名、方法名、变量名混淆成a、b、c基本字母，一定程度上提高了反编译的难度。 压缩（Shrinking）：从入口开始建立引用关系网，去除网外为使用的代码。 优化（Optimization）：对入口点以外所有的方法进行分析，将其中一部分方法变为 final的，static的，private的或内联的，从而提高执行效率。 混淆（Obfuscation）：将入口点以外的类、方法、成员重构为简
App安全之代码混淆
亚特兰蒂斯
05-19 1640
参考： http://www.cnblogs.com/sunzn/archive/2013/03/06/2946952.html http://www.apkbus.com/android-240707-1-1.html 1、在项目根目录找到project.properties文件，将下图中圈出来的代码注释去除，即申明我们的混淆文件为proguard-project.txt：
java源码混淆编译工具使用演示（ProGuard）
liaomingwu的专栏
03-23 2624
java源码混淆编译工具使用演示（ProGuard）
利用ProGuard混淆代码：Android Studio指南
[利用ProGuard混淆代码：Android Studio指南](https://img-ask.csdn.net/upload/202008/19/1597822995_758900.png) # 1. ProGuard概述 ProGuard是一个开源的Java代码优化工具，主要用于压缩、优化和混淆Java字节码...
ProGuard混淆与dex2jar反编译工具
12-10
1. **ProGuard混淆**：在Android Studio中，可以在`build.gradle`文件中配置`ProGuard`规则。添加混淆规则后，每次构建APK时，`ProGuard`会自动执行混淆操作。 ```groovy android { buildTypes { release { ...
android安卓app开发之 隐藏app的图标.zip控制图标显示和隐藏
01-12
因此，使用代码混淆工具如ProGuard或R8，可以有效地增加逆向工程的难度。 4. **爱加密服务**：文件`(爱加密系列教程三) android反编译 学习如何隐藏应用图标 - 爱加密 - SegmentFault.url`提到了爱加密服务。爱加密...
Proguard插件使用
独孤飞磊
10-10 655
Proguard插件： <plugin> <groupId>com.github.wvengen</groupId> <artifactId>proguard-maven-plugin</artifactId> <version>2.1.1</version> <executions&...
Android Proguard安全加固教你如何让自己的应用程序或SDK更难被反编译--library打包成jar并且混淆
Engineer-Jsp的专栏
03-27 4778
Android Proguard安全加固教你如何让自己的应用程序或SDK更难被反编译--library打包成jar并且混淆
Android混淆
maxiaoyin111111的博客
07-05 388
什么是代码混淆    Java 是一种跨平台的、解释型语言，Java 源代码编译成中间”字节码”存储于 class 文件中。由于跨平台的需要，Java 字节码中包括了很多源代码信息，如变量名、方法名，并且通过这些名称来访问变量和方法，这些符号带有许多语义信息，很容易被反编译成 Java 源代码。为了防止这种现象，我们可以使用 Java 混淆器对 Java 字节码进行混淆。混淆就是对发布出去的程序进...
JAVA代码proguard混淆
dansam的专栏
08-12 2100
一,通用设置 #输出log -verbose #略过warning,不输出warning(有warning时无法继续) -ignorewarnings #不输出warning,这里可以限定某些类不要warning -dontwarn #不校验.校验可以提高java虚拟机的加载效率(java6) -dontpreverify #不混淆 #-dontobfuscate #需要混淆的目录 #-obf...
使用maven将Java程序打包成exe文件并制作成Windows系统服务（六）之使用allatori对Java代码混淆
撸啊撸的博客
01-31 1370
前面的章节中，我们介绍了Java程序在Windows下的各种部署和运行方式。在这个系列中，最后再给大家分享，如何把我们的代码打包混淆，因为JVM的架构体系设计，Java程序在很长一段时间不能像c/c++那样直接编译成本地二进制包。因此对Java程序中的代码保护基本上都采取混淆或者加密处理，这样在一定程度上能加大反编译的难度。我的理解就是把我们所编写的代码的组织结构打乱，然后再重新编排。通过对代码混淆可以来保护我们代码中的某些不想被公开的核心逻辑，增大反编译的难度。在某些非常时候，也是保护我们权益的一种方式。
proguard 配置简介
Working harder, getting stronger!
05-30 1799
proguard  配置简介   参数：    -include {filename}    从给定的文件中读取配置参数    -basedirectory {directoryname}    指定基础目录为以后相对的档案名称    -injars {class_path}    指定要处理的应用程序jar,war,ear和目录    -outjars {class_pa
springboot+proguard+maven 实现代码混淆 看这一篇就够了
热门推荐
郎涯技术
03-28 1万+
使用 proguard 混淆代码只能增加阅读和理解的难度, 并不能百分百保证代码安全。常用的应用场景是项目需要部署到客户机器上，一定程度上防止代码泄露。 proguard 简介 ProGuard 是一个混淆代码的开源项目，它的主要作用是混淆代码，ProGuard 包括以下 4 个功能： 压缩(Shrink)：检测并移除代码中无用的类、字段、方法和特性（Attribute） 优化(Optimize)：对字节码进行优化，移除无用的指令 混淆(Obfuscate)：使用 a，b，c，d 这样简短而.
ProGuard的介绍以及参数说明
跳跳的博客
03-27 4424
什么是proguardproguard是一个用于对代码进行瘦身，优化，混淆的java类库，可以把没有用到的方法，变量，属性等自动移除，经过proguad处理的jar包，size会更小，运行更快，还可以增加反编译的难度。典型应用减少jar包的size，加快启动速度优化服务的代码，提升性能保护jar不被反编译和篡改proguard相比于其他java混淆工具的主要优势是基于模板的配置(原文:compac...
使用Proguard混淆Java代码详细教程
"这篇文档详细介绍了如何使用Proguard来混淆Java源代码，以增强代码的安全性，防止轻易被反编译。文档提供了从下载Proguard、配置输入输出jar包、添加支持库、设置混淆规则、优化选项，到最后保存配置文件和指定保留...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值