加固(反逆向)调研
加密技术历史
加固功能大致分为:反篡改、反窃取、反逆向、反调试
而其中最重要的反逆向主要是Dex保护,技术历史如下:
壳史
第一代壳 Dex加密
- Dex字符串加密
- 资源加密
- 对抗反编译
- 反调试
- 自定义DexClassLoader
第二代壳 Dex抽取与So加固
- Dex Method代码抽取到外部(通常企业版)
- Dex动态加载
- So加密
第三代壳 Dex动态解密与So混淆
- Dex Method代码动态解密
- So代码膨胀混淆
- 对抗之前出现的所有脱壳法
第四代壳 arm vmp Java2C
- Vmp
- Java2C
破解难度
目前加固技术基本都发展到第三~四代,前2代的加固技术破解难度不大,基本被淘汰,这里只针对第三代加固技术,由于各加固服务商加固原理大致相同,这里不做区分,统一评估。目前的破解基本是针对免费版。
常见app加固厂商脱壳方法研究2
第一代壳
- 内存Dump法
- 文件监视法
- Hook法
- 定制系统
- 动态调试法
第二代壳
- 内存重组法
- Hook法
- 动态调试
- 定制系统
- 静态脱壳机
第三代壳
- dex2oat法
- 定制系统
第N代壳
- so + vmp
- 动态调试 + 人肉还原
免费版各平台对比
常见付费版对比(反编译dex保护部分)
各厂商 | 基础版 | 专业版 | 企业版 |
---|---|---|---|
360 | Dex文件加密 | - | Dex文件加密 |
360 | - | - | 全VMP保护 |
360 | - | - | DexShadow(防dump) |
360 | - | - | Dex2C(java2c) |
360 | - | - | 字符串加密(加密url、密钥等关键字符串信息) |
360 | - | - | 资源文件保护 |
– | – | – | – |
腾讯云 | 壳加密算法保护 | 壳加密算法保护 | 壳加密算法保护 |
腾讯云 | - | - | AndroidManifest.xml 防篡改 |
腾讯云 | DEX 文件整体加固保护 | DEX 文件整体加固保护 | DEX 文件整体加固保护 |
腾讯云 | - | - | DEX 虚拟化加固(VMP) |
– | – | – | – |
网易 | - | - | VMP虚拟机保护 |
网易 | - | - | Java2C保护 |
网易 | - | - | DEX函数抽取加密 |
– | – | – | – |
爱加密 | DEX整体加密 | - | DEX整体加密 |
爱加密 | - | - | DEX代码分离保护 |
爱加密 | - | - | DEX混合加密保护 |
爱加密 | - | - | 双重VMP保护 |
爱加密 | - | - | Java2CPP |
– | – | – | – |
通付盾 | - | - | 编译器级别的代码混淆,加花 |
通付盾 | - | - | VMP |
– | – | – | – |
梆梆 | EX文件加壳保护 | - | EX文件加壳保护 |
梆梆 | - | - | DEX函数抽取加密 |
梆梆 | - | - | 源代码深度混淆 |
可以看出免费版基本是第一代第二代技术,只能防住只会反编译的小白,根据相关破解知识,也是可以学会破解的
只有上了VMP Java2C之后,应该才能防住一般的逆向工程师
兼容性
以下几组是其网上对于免费版的几次测评结果:
未加固 | 阿里加固 | 腾讯加固 | 360加固 | 梆梆加固 | 爱加密 |
---|---|---|---|---|---|
100% | 100% | 99% | 98% | 98% | 97% |
以下几组是各平台的兼容性自述:
- 360
使用零影响:完美兼容各版本安卓系统,对应用功能、性能零影响 - 网易
高兼容性:支持arm、x86及64位多种CPU架构,完美支持Android4.0到最新系统 - 腾讯
良好的兼容性 :移动应用安全下的应用加固服务采用千余款真机而非虚拟机来验证加固稳定性,确保加固方案在主要机型上的兼容。(本方案主要适用于移动手机端 App,部分平板及电视端 App 不排除存在兼容性问题。) - 通付盾
兼容性极高:并与主流手机、操作系统、芯片厂商合作,保障应用兼容性,损耗控制1%以内。 - 爱加密
兼容性高达99%,实现ART全面兼容
部署
- 爱加密
交付方式灵活,支持本地部署或者云部署,云部署支持私有云和公有云 - 腾讯
企业版:有明确需求的私有化部署客户,请直接 联系他们。 - 网易
支持私有化部署 - 360
未调查到结果(应该不支持)
付费版安全技术排名:
360 > 腾讯云 ≈ 网易 ≈ 爱加密 > 通付盾 ≈ 梆梆
推荐:
-
免费版均使用第一二代技术,防小白,推荐:360 腾讯
-
付费版推荐: 360 > 腾讯云 ≈ 网易 ≈ 爱加密
厂商 | 360 | 腾讯 | 网易 |
---|---|---|---|
年费 | 36,000(6折) | 80,000 | 50,000+ |
- 私有化部署推荐:腾讯 > 网易 ≈ 爱加密
不推荐:加固本身并不会添加任何安全限制性功能,而且平台可以随时更新加固方案,及时修复漏洞