[分享] apk 的反-反組譯(anti-decompiler) proguard

看板AndroidDev作者afz096 (我被淡水的路寵壞了)時間14年前 (2011/01/21 15:25)推噓4(4推 0噓 5→)

留言9則, 7人參與討論串1/1

其實就是利用 proguard，對整個專案的程式碼做"混淆"，讓人無法輕易的解析。混淆的意思是將程式碼中，原本有意義的變數或函數的名稱，代換成無意義的文字。誠如就像版友之前所說，就算被混亂過，只要花時間，還是可以看出程式的架構。不過假設你有一個擔心的老闆，還是可以將 proguard 的混淆結果拿來說嘴一下:)。另外一個考量的是時間成本，花時間解析這份經過混淆的 code，搞不好所花得時間就可以硬刻出相同的功能外加 debug 好幾回。就時間成本來考量，proguard 或許也有些用處。 Android 從 ADT(Android Development Tools) 8.0.0 開始內建支援 proguard，詳細資料請參考網頁。 http://developer.android.com/guide/developing/tools/proguard.html 而要將經過 proguard 的結果輸出，要用 File -> Export -> Android -> Export Android Application，這在網頁上沒有描述的非常清楚，當初有稍微找了一下。 proguard 預設是利用英文字母來替換原來變數或函數的名字，但是可以利用參數的設定，利用其他的"符號"來代替英文字母。參數如下： -obfuscationdictionary dic.txt dic.txt 是字典檔，存放我們希望替換的符號。之前在研究的時候，突然福至心靈，用了神奇的字典檔（我自己覺的還蠻神奇的) 麤龘贔驫矗毳 (其實還有蠻多字 ptt 無法打出來，其實就是一堆難念筆劃又多的中文字) 沒錯，就是利用這些我自己都不太會念的中文字，當初的想法很簡單，我就是要讓人難以辨識，我知道中文是兩個字元，如果在不支援的雙 bytes 的電腦上，會顯示亂碼，如果在支援的電腦上，會顯示難以念出的中文字。但是中文字經過編譯之後會變啥，程式是否還能正常執行，我沒把握也沒概念，就抱著姑且一試的心情，反正 build 一次也兩三分鐘而已。結果比我預期的好，程式可以執行，混淆的結果也頗讓人滿意，節錄一小段反組譯之後的 code： http://pastebin.com/embed_iframe.php?i=35jiWneR 變數名稱的地方，肉眼辨識下都是同一個符號。不過我無法擔保你如果使用同樣的字典檔，程式是否一樣可以正確無誤。或許這些複雜的中文字，在 progroud 處理的時候已經是分開的字元了，這我就沒有仔細研究了。 proguard 的參數請參考 proguard 的網頁： http://proguard.sourceforge.net/index.html#/manual/usage.html 小結: android 已經將 prograd 內建了，透過適當修改混淆器的字典檔，可以加強混淆的程度。最後的心得: 在機會成本的觀念下，個人是覺的 proguard 還是有一點點的保護作用。想要做研究深入了解，當然是可以好好的拆(猜)解別人的 code。但在金錢和時間考量下，這樣的逆向工程似乎就不是最佳解了。當初是上面的老闆擔心，將來程式放到 market 上，我們能有什麼保護措施？所以才花了點時間研究這些東西。但是這些東西真的可以保護到程式碼嗎？我反而想問，我們的程式真的需要這樣的保護嗎？還是只是敝帚自珍而已？總之我花了點時間，玩了一些東西，就整理一下和大家分享:) -- ※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 140.119.80.94