在混淆代碼中隱藏字符串

Question

我只是使用proguard對我的Android代碼進行了模糊處理，然後對其進行了反編譯。有很多字符串我真的想躲在窺探之下。當我反編譯我的代碼時，字符串在那裏給大家看...並改變。其中一個字符串是我的許可服務器的URL，他們實際上可以將url更改爲指向假服務器（因爲我將向公衆發佈服務器代碼）。隱藏這類信息的最佳方式是什麼？

此外，我注意到R類字符串都是隨機數字，但我無法在反編譯的代碼中找到R類。它在哪裏？

敵人例如我看到：new SimpleCursorAdapter(localActivity, 2130903058, localCursor, arrayOfString, arrayOfInt);

2130903058是一個佈局文件，但它是什麼引用？這個數字除非指向某種地址，否則沒有任何意義。

Answer 1

假設你對隱晦而不是安全感到高興，那麼可以使用許多機制，但像proguard這樣的混淆器不能幫助你。

要實現這一點，您需要自己對字符串進行編碼或加密，您使用的方法取決於您要防範的方法，如果您只是試圖隱藏明顯的檢查，那麼編碼可能是足夠的（請參閱android.util.Base64,​​）。請注意，編碼處於「無法安全」狀態，並且它將刪除對您網站的明顯引用。

如果您試圖防禦更多的東西，那麼您可以移動到實際加密字符串，要做到這一點，你會使用對稱密碼，如AES通過javax.crypto.Cipher，http://www.androidsnippets.org/snippets/39/index.html提供了一個體面的使用示例。再次，這是更惱人的，然後安全的將是黑客，因爲您將需要將密鑰存儲在您的jar中的某個地方，從而否定任何加密安全。

爲了使這更清楚，基本步驟是：

1. 手動創建一個使用已知的密鑰來加密您的字符串。
2. 轉換代碼中使用此字符串的解密版本，例如：

前：

public class Foo { 
    private String mySecret = "http://example.com"; 

    ... 
} 

變爲：

public class Foo { 
    private String encrypted = "<manually created encrypted string>"; 
    private String key = "<key used for encryption"; 
    private String mySecret = MyDecryptUtil.decrypt(encrypted, key); 

    ... 
} 

A（良好）替代了這一切正在考慮使用第三方DRM解決方案，如谷歌提供的許可服務器http://android-developers.blogspot.com/2010/07/licensing-service-for-android.html。這可能比你推出自己的東西更安全，但受到與我上面描述的非常類似的限制。

Answer 2

你應該谷歌的「只是另一個Perl黑客」。這些程序是用混淆的代碼打印出一個字符串。網上還有很多其他語言的例子，然後是Perl。

Wikipedia entry

Answer 3

我所做的就是在我的全球公用事業類中創建靜態字符串的一個長長的清單。在很長的字符串列表中的某個位置，我把我的密鑰放在多個塊中。

用我的代碼很容易看出真正的密鑰是什麼 - 但是一旦混淆器開始工作，所有的靜態都會有A，B，C等名稱，並且不會再容易發現。

Answer 4

我使用了ROT47。這不是很安全，但易於使用和實施，因爲它是一個對稱編碼器/解碼器

Answer 5

您可以使用DexGuard加密字符串，可能比手動實現更有效，並且不會增加源代碼的負擔。

Answer 6

大家好。

1. 讓secret是要隱藏

2. 找到你的調試/ release.keystore的keyhash文本。讓​​成爲這個關鍵。

（使用工具keytool中+ OpenSSL的：keytool -exportcert -alias androiddebugkey -keystore ~/.android/debug.keystore | openssl sha1 -binary | openssl base64 ）

使用的工具（外部機器人代碼）與​​

encrypted = encode (secret, k1)加密secret

（例如：https://jwt.io，對於java：https://github.com/jwtk/jjwt）。

1. 在你的android java代碼中寫下encrypted。當你需要的encrypted解碼版本（這是，原來secret）寫

original = decode(encrypted, get_my_keyhash_programmatically())

這就是全部。這是可行的，因爲原始的secret沒有顯示在java源代碼上，也沒有對​​進行解碼。而且，如果黑客想要打印您的解密祕密，他必須更改代碼並重新編譯，用他自己的密鑰存儲庫簽署他的.apk ，而不是您自己的密鑰存儲庫，從而得不到正確的原始文件。 （「唯一」一點是​​是否可以從您的原始.apk中找出）。

注：get_my_keyhash_programmatically（）：

try { 
    PackageInfo info = getPackageManager().getPackageInfo(
      "el nombre de su paquete por ejemplo com.tarea.u8", 
      PackageManager.GET_SIGNATURES); 
    for (Signature signature : info.signatures) { 
     MessageDigest md = MessageDigest.getInstance("SHA"); 
     md.update(signature.toByteArray()); 
     Log.d("KeyHash:", Base64.encodeToString(md.digest(), Base64.DEFAULT)); 
    } 
} catch (PackageManager.NameNotFoundException e) { 

} catch (NoSuchAlgorithmException e) { 

}