ApkVerifier的基础使用

于 2024-04-11 14:33:46 发布
阅读量337 收藏 1
点赞数 3
文章标签： windows linux 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/bugyinyin/article/details/137638475
版权
本文详细介绍了如何利用ApkVerifier工具解析APK文件的签名信息，包括验证过程、证书类型、有效期和公钥等关键数据，并展示了获取不同版本签名方案（V1、V2、V3）的示例。
摘要由CSDN通过智能技术生成

本文介绍如何使用ApkVerifier获取APK的签名信息。

引入

implementation("com.android.tools.build:apksig:8.2.2")

使用

val verifier: ApkVerifier = ApkVerifier.Builder(inputFile).build()
val result = verifier.verify()
val isSuccess = result.isVerified

inputFile为输入Apk的文件路径，构造一个新的Builder来验证提供的 APK 文件，该验证器旨在密切模仿 Android 平台的行为。这是为了使验证器能够用于检查 APK 的签名是否需要在 Android 上进行验证。

使用verifier.verify()获取结果。如果结果的ApkVerifier.Result.isVerified()返回true ，则可以认为 APK 已验证。验证结果还包括错误、警告以及有关签名者的信息（例如签名证书）

通过ApkVerifier.Result.errors获取错误信息。

var error = ""
result.errors.filter { it.issue == ApkVerifier.Issue.JAR_SIG_UNPROTECTED_ZIP_ENTRY }
                    .forEach {
                        error += it.toString() + "\n"
                    }

后续使用ApkVerifier.Result.v(1/2/3)SchemeSigners获取签名方案，并获取信息

if (result.v1SchemeSigners.isNotEmpty()) {
                    for (signer in result.v1SchemeSigners) {
                        val cert = signer.certificate ?: continue
                        if (signer.certificate.type == "X.509") {
                            val subject = cert.subjectX500Principal.name
                            val validFrom = cert.notBefore.toString()
                            val validUntil = cert.notAfter.toString()
                            val publicKeyType = (cert.publicKey as? RSAPublicKey)?.algorithm ?: ""
                            val modulus = (cert.publicKey as? RSAPublicKey)?.modulus?.toString(10) ?: ""
                            val signatureType = cert.sigAlgName
                            val md5 = getThumbPrint(cert, "MD5") ?: ""
                            val sha1 = getThumbPrint(cert, "SHA-1") ?: ""
                            val sha256 = getThumbPrint(cert, "SHA-256") ?: ""
                            val apkVerifier = model.ApkVerifier(1, subject, validFrom, validUntil, publicKeyType, modulus, signatureType, md5, sha1, sha256)
                            list.add(apkVerifier)
                        }
                        signer.errors.filter { it.issue == ApkVerifier.Issue.JAR_SIG_UNPROTECTED_ZIP_ENTRY }
                            .forEach {
                                error += it.toString() + "\n"
                            }
                    }
                }

V2和V3同理

                if (result.v2SchemeSigners.isNotEmpty()) {
                    for (signer in result.v2SchemeSigners) {
                        val cert = signer.certificate ?: continue
                        if (signer.certificate.type == "X.509") {
                            val subject = cert.subjectX500Principal.name
                            val validFrom = cert.notBefore.toString()
                            val validUntil = cert.notAfter.toString()
                            val publicKeyType = (cert.publicKey as? RSAPublicKey)?.algorithm ?: ""
                            val modulus = (cert.publicKey as? RSAPublicKey)?.modulus?.toString(10) ?: ""
                            val signatureType = cert.sigAlgName
                            val md5 = getThumbPrint(cert, "MD5") ?: ""
                            val sha1 = getThumbPrint(cert, "SHA-1") ?: ""
                            val sha256 = getThumbPrint(cert, "SHA-256") ?: ""
                            val apkVerifier = model.ApkVerifier(2, subject, validFrom, validUntil, publicKeyType, modulus, signatureType, md5, sha1, sha256)
                            list.add(apkVerifier)
                        }
                        signer.errors.filter { it.issue == ApkVerifier.Issue.JAR_SIG_UNPROTECTED_ZIP_ENTRY }
                            .forEach {
                                error += it.toString() + "\n"
                            }
                    }
                }
​
                if (result.v3SchemeSigners.isNotEmpty()) {
                    for (signer in result.v3SchemeSigners) {
                        val cert = signer.certificate ?: continue
                        if (signer.certificate.type == "X.509") {
                            val subject = cert.subjectX500Principal.name
                            val validFrom = cert.notBefore.toString()
                            val validUntil = cert.notAfter.toString()
                            val publicKeyType = (cert.publicKey as? RSAPublicKey)?.algorithm ?: ""
                            val modulus = (cert.publicKey as? RSAPublicKey)?.modulus?.toString(10) ?: ""
                            val signatureType = cert.sigAlgName
                            val md5 = getThumbPrint(cert, "MD5") ?: ""
                            val sha1 = getThumbPrint(cert, "SHA-1") ?: ""
                            val sha256 = getThumbPrint(cert, "SHA-256") ?: ""
                            val apkVerifier = model.ApkVerifier(3, subject, validFrom, validUntil, publicKeyType, modulus, signatureType, md5, sha1, sha256)
                            list.add(apkVerifier)
                        }
                        signer.errors.filter { it.issue == ApkVerifier.Issue.JAR_SIG_UNPROTECTED_ZIP_ENTRY }
                            .forEach {
                                error += it.toString() + "\n"
                            }
                    }
                }

这样就可以获取到Apk的签名信息，界面如图

完整代码如下

    /**
     * 签名验证
     */
    fun apkVerifier(input: String) {
        launch(Dispatchers.IO) {
            updateApkVerifierState(UIState.Loading)
            val list = ArrayList<model.ApkVerifier>()
            val inputFile = File(input)
            val path = inputFile.path
            val name = inputFile.name
            val verifier: ApkVerifier = ApkVerifier.Builder(inputFile).build()
            try {
                val result = verifier.verify()
                var error = ""
                val isSuccess = result.isVerified
​
                result.errors.filter { it.issue == ApkVerifier.Issue.JAR_SIG_UNPROTECTED_ZIP_ENTRY }
                    .forEach {
                        error += it.toString() + "\n"
                    }
​
                if (result.v1SchemeSigners.isNotEmpty()) {
                    for (signer in result.v1SchemeSigners) {
                        val cert = signer.certificate ?: continue
                        if (signer.certificate.type == "X.509") {
                            val subject = cert.subjectX500Principal.name
                            val validFrom = cert.notBefore.toString()
                            val validUntil = cert.notAfter.toString()
                            val publicKeyType = (cert.publicKey as? RSAPublicKey)?.algorithm ?: ""
                            val modulus = (cert.publicKey as? RSAPublicKey)?.modulus?.toString(10) ?: ""
                            val signatureType = cert.sigAlgName
                            val md5 = getThumbPrint(cert, "MD5") ?: ""
                            val sha1 = getThumbPrint(cert, "SHA-1") ?: ""
                            val sha256 = getThumbPrint(cert, "SHA-256") ?: ""
                            val apkVerifier = model.ApkVerifier(1, subject, validFrom, validUntil, publicKeyType, modulus, signatureType, md5, sha1, sha256)
                            list.add(apkVerifier)
                        }
                        signer.errors.filter { it.issue == ApkVerifier.Issue.JAR_SIG_UNPROTECTED_ZIP_ENTRY }
                            .forEach {
                                error += it.toString() + "\n"
                            }
                    }
                }
​
                if (result.v2SchemeSigners.isNotEmpty()) {
                    for (signer in result.v2SchemeSigners) {
                        val cert = signer.certificate ?: continue
                        if (signer.certificate.type == "X.509") {
                            val subject = cert.subjectX500Principal.name
                            val validFrom = cert.notBefore.toString()
                            val validUntil = cert.notAfter.toString()
                            val publicKeyType = (cert.publicKey as? RSAPublicKey)?.algorithm ?: ""
                            val modulus = (cert.publicKey as? RSAPublicKey)?.modulus?.toString(10) ?: ""
                            val signatureType = cert.sigAlgName
                            val md5 = getThumbPrint(cert, "MD5") ?: ""
                            val sha1 = getThumbPrint(cert, "SHA-1") ?: ""
                            val sha256 = getThumbPrint(cert, "SHA-256") ?: ""
                            val apkVerifier = model.ApkVerifier(2, subject, validFrom, validUntil, publicKeyType, modulus, signatureType, md5, sha1, sha256)
                            list.add(apkVerifier)
                        }
                        signer.errors.filter { it.issue == ApkVerifier.Issue.JAR_SIG_UNPROTECTED_ZIP_ENTRY }
                            .forEach {
                                error += it.toString() + "\n"
                            }
                    }
                }
​
                if (result.v3SchemeSigners.isNotEmpty()) {
                    for (signer in result.v3SchemeSigners) {
                        val cert = signer.certificate ?: continue
                        if (signer.certificate.type == "X.509") {
                            val subject = cert.subjectX500Principal.name
                            val validFrom = cert.notBefore.toString()
                            val validUntil = cert.notAfter.toString()
                            val publicKeyType = (cert.publicKey as? RSAPublicKey)?.algorithm ?: ""
                            val modulus = (cert.publicKey as? RSAPublicKey)?.modulus?.toString(10) ?: ""
                            val signatureType = cert.sigAlgName
                            val md5 = getThumbPrint(cert, "MD5") ?: ""
                            val sha1 = getThumbPrint(cert, "SHA-1") ?: ""
                            val sha256 = getThumbPrint(cert, "SHA-256") ?: ""
                            val apkVerifier = model.ApkVerifier(3, subject, validFrom, validUntil, publicKeyType, modulus, signatureType, md5, sha1, sha256)
                            list.add(apkVerifier)
                        }
                        signer.errors.filter { it.issue == ApkVerifier.Issue.JAR_SIG_UNPROTECTED_ZIP_ENTRY }
                            .forEach {
                                error += it.toString() + "\n"
                            }
                    }
                }
​
                if (isSuccess || list.isNotEmpty()) {
                    val apkVerifierResult = ApkVerifierResult(isSuccess, path, name, list)
                    updateApkVerifierState(UIState.Success(apkVerifierResult))
                } else {
                    if (error.isBlank()) {
                        error = "APK签名验证失败"
                    }
                    updateApkVerifierState(UIState.Error(error))
                }
            } catch (e: Exception) {
                updateApkVerifierState(UIState.Error(e.message ?: "APK签名验证失败"))
                e.printStackTrace()
            }
            if (apkVerifierState is UIState.Error) {
                delay(1000)
                updateApkVerifierState(UIState.WAIT)
            }
        }
    }
​
    private fun getThumbPrint(cert: X509Certificate?, type: String?): String? {
        val md = MessageDigest.getInstance(type) // lgtm [java/weak-cryptographic-algorithm]
        val der: ByteArray = cert?.encoded ?: return null
        md.update(der)
        val digest = md.digest()
        return hexify(digest)
    }
​
    private fun hexify(bytes: ByteArray): String {
        val hexDigits = charArrayOf('0', '1', '2', '3', '4', '5', '6', '7', '8', '9', 'A', 'B', 'C', 'D', 'E', 'F')
        val buf = StringBuilder(bytes.size * 3)
        for (aByte in bytes) {
            buf.append(hexDigits[aByte.toInt() and 0xf0 shr 4])
            buf.append(hexDigits[aByte.toInt() and 0x0f])
            if (bytes.indexOf(aByte) != bytes.size - 1) {
                buf.append(':')
            }
        }
        return buf.toString()
    }

如果你看到了这里，觉得文章写得不错就给个赞呗？
更多Android进阶指南 可以扫码 解锁更多Android进阶资料

在这里插入图片描述
敲代码不易，关注一下吧。ღ( ´･ᴗ･` )

bugyinyin
关注
  • 3
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
apkverifier:Go中的APK签名验证。 支持方案v1，v2和v3，并通过了Google apksig的测试套件
05-08
验证者 APK签名验证应支持所有算法以及方案v1和v2，包括降级攻击保护。 适用于Go 1.9或更高版本。 上的 go get github.com/avast/apkverifier 供应商的东西 由于Android甚至可以处理破碎X509 cerficates和ZIP文件，apkverifier从apkparser包使用ZipReader和厂商crypto/x509在internal/x509andr和在fullsailor/pkcs7文件夹。 后两个有一些更改，以处理一些并非完全符合规范的证书。 例子 package main import ( "fmt" "github.com/avast/apkverifier" "os" ) func main () { res , err := apkverifier . Verify ( os . Args [ 1 ], ni
props传值的数据验证（类型、默认值、validator、自定义构造函数）
爱代码的小海的博客
09-27 1403
1.props校验 <template> <div> <!-- 自定义构造函数较为特殊，其他传参暂时忽略 --> <!-- 正常传参 --> <my-components :propsG='person'></my-components> <!-- 非正常传参 控制台报错 --> <my-components :propsG='12'></my
Java实现token的生成与验证-登录功能
热门推荐
ZM つ小灰灰的成长的博客
01-03 1万+
一、token与cookie相比较的优势 1、支持跨域访问，将token置于请求头中，而cookie是不支持跨域访问的； 2、无状态化，服务端无需存储token，只需要验证token信息是否正确即可，而session需要在服务端存储，一般是通过cookie中的sessionID在服务端查找对应的session； 3、无需绑定到一个特殊的身份验证方案（传统的用户名密码登陆），只需要生成的token是...
AppVerifier的功能和原理
weixin_30568591的博客
08-31 679
以下基本上都是有关MS官网的文档介绍，觉得讲得挺好的就记下来： 在软件开发生命周期中使用应用程序验证器 发布日期 : 2006-6-5 | 更新日期 : 2006-6-5 摘要 Microsoft® Application Verifier (AppVerifier) 是针对非托管代码的运行时验证工具，它有助于找到细小的编程错误、安全问题和受限的用户帐户特权问题，使用常规...
中间件学习-jwt登录验证
weixin_43596589的博客
07-30 917
中间件学习-jwt登录验证 jwt json web token 简要说明 前端传验证信息到后端，后端验证通过，返回一个对象，只不过这个对象是被加密的，这样后端就可以为无状态的，每次请求的时候，请求头带上token ,里面封装了对象的信息，我们只需要用拦截器进行拦截，解析token,后端就可以知道是谁登录了界面，可以设置相应的超时时间，超时时间不应太长或者太短，根据实际情况而定，超时用户就需要从新登录 优点： 减少服务器的压力，不用向以前一样将对象保存在session里面，或者是利用redis保存信息，因为
使用appverifier
ALCAT的专栏
01-01 2496
AppVerifier 特别用于检测和帮助调试内存损坏、危险的安全漏洞以及受限的用户帐户特权问题。AppVerifier 有助于创建可靠且安全的应用程序，方法是监视应用程序与Windows操作系统的交互，并配置应用程序使用的对象、注册表、文件系统和 Win32 API（包括堆、句柄和锁）。AppVerifier 还包括检查，以便预测应用程序在非管理员环境中的执行情况。 1、 Appver
AppVerifier的使用2-log文件的分析
robert的个人博客
09-14 1669
上一篇说到怎么用avlogview.exe打开Appverify.exe的文件。下面是我的截图。  这里callstack的顺序是从下到上看的。这里有几个没有文件名和函数名的调用，不过没关系，根据函数从下到上的调用顺序，我们看最上面的那排。 打开我们上一篇中生成的程序的map文件。在这里分别比较前面三个函数的地址。比较verifier log文件中第一个地址是1129ch.
使用Application Verifier (AppVerifier)检查资源泄漏
lqxandroid2012的专栏
09-15 1523
使用Application Verifier (AppVerifier)检查资源泄漏 最近在论坛里看到很多人问怎样检查内存泄漏，对于Windows CE/Windows Mobile开发，微软已经为我们提供了很好的工具Application Verifier。AppVerifier是一个辅助开发工具，不用修改代码，可以检测出程序内存,句柄, GDI对象泄漏，并报告分配泄漏对象的调用栈
AppVerifier的使用1-生成log文件
robert的个人博客
09-10 2637
很久没有用APP Verifier,昨天用它做了一下内存泄露的测试。现在写一点App verifier的基本使用。 App verifier是一个用来检测程序稳定性的工具。主要是用来做内存泄露的测试。它分为device版本的和PC版本的。Device版本的使用过程如下： 1.复制exe文件到device. 启动device，在device上新建一个目录如/test,并把要测试的程序
编程不良人JWT笔记
拧发条鸟的博客
07-15 908
JWT 1.简介 1.含义 JWT简称JSON Web Token，也就是通过JSON形式作为Web应用中的令牌，用于各方之间安全地将信息作为JSON对象传输，在数据传输的过程中还可以完成数据加密、签名等相关处理。 2.认证流程 1.认证流程 - 首先，前端通过Web表单将自己的用户名和密码发送到后端的接口。这一过程一般是一个HTTP POST请求。建议的方式是通过SSL加密的传输（https协议），从而避免敏感信息被嗅探。 - 后端核对用户名和密码成功后，将用户的id等其他信息作为JWT Paylo
android app verify,Android App Links
weixin_34887818的博客
05-28 355
App Links一.App Links是什么？1.App Links是一种链接，用户唤起App,通过指定来实现跳转。2.App Links使用场景:1)通过手机短信中的链接启动APP2).通过推送过来的消息启动APP，并跳转的相关的页面3).与H5交互的时候，通过JS中包含的Link参数启动App二.实现App Links1.在AndroidManifest中添加Intent Filters说明...
Android - APK signature verification failed签名失败，报：INSTALL_PARSE_FAILED_NO_CERTIFICATES
NSMutableArray的专栏
08-06 4818
APK signature verification failed 在AS工具栏：Build→ Generate Signed Bundle/APK…
经典软件推荐：AppVerifier（应用程序验证器）
五角大寨
04-29 1万+
经典软件推荐：AppVerifier（应用程序验证器） AppVerifier的客观介绍AppVerifier能识别的问题AppVerifier的使用参考文献  “Bug”中最头痛的是那么一类：野指针、无效句柄，访问冲突，跟Windows内核打交道比较多的那些，它们发现难，调试难，定位难。不过AppVerifier就是解决这些问题的工具，实际上，以微软为首的大的Windows软件开
通信握手校验-------HostnameVerifier
Caesar Home
12-24 2636
[强制]在实现的HostnameVerifier子类中，需要使用verify函数效验服务器主机名的合法性，否则会导致恶意程序利用中间人攻击绕过主机名效验。 说明： 在握手期间，如果URL的主机名和服务器的标识主机名不匹配，则验证机制可以回调此接口实现程序来确定是否应该允许此连接，如果回调内实现不恰当，默认接受所有域名，则有安全风险。 反例： HostnameVerifier hnv=ne...
Verifier.exe
weixin_34315189的博客
05-22 1233
驱动程序验证程序功能 可通过运行 Verifier.exe 并随后重新启动计算机来使用驱动程序验证程序。要开始分析系统中的驱动程序，您不需要进行其他任何更改。 驱动程序验证程序提供以下功能。 池分配 尝试从特殊池中分配一个驱动程序的所有池配额。此驱动程序的配额是由“拒绝访问”权限分离和限定，而不是与系统的其他部分共享池配额。此功能可以确定驱动程序的池配额是否超出了其应得的份额，进而导致...
Android静态安全检测 -> 主机名弱校验
4lwin博客
07-29 6048
主机名弱校验 - HostnameVerifier.verify方法 1. API 继承关系 javax.net.ssl.HostnameVerifier public interface HostnameVerifier 主要方法 verify(String hostname, SSLSession
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值