基于APK文件格式的反编译对抗机制

商业APP为了防止反编译、被篡改，往往会采用第三方的APP加固方案，通过对源代码的混淆、加固、加壳等技术手段，隐藏源APP的逻辑结构，大大提高了反编译的难度，达到保障APP的安全与稳定运行的目的。而网赌、电诈、色情等涉网犯罪APP，基于成本考虑，其幕后的开发者往往不会采用第三方加固方案，但有可能会采用一些无成本的对抗机制，基于APK文件格式的反编译对抗就是其中的一种。该对抗机制主要利用了反编译工具的一些缺陷，导致APK反编译失败（图1）。

图 1 APK反编译失败

笔者研究发现，目前涉网犯罪APP主要利用了两种对抗机制，其一是修改APK文件，其二是修改AndroidManifest文件（AndroidManifest.xml）。两种对抗机制的原理本质上是一样的，都是修改对应二进制文件的一些特征数据，以达到“欺骗”反编译工具的目的，但是Android系统的包安装服务不会检测这些特征数据，因而又不影响APK的正常安装和运行。

一、基于ZIP文件格式的反编译对抗

1、ZIP文件格式

编译后生成的APK文件本质上就是一个ZIP压缩包，可以直接通过解压缩工具打开和解压。一个典型的ZIP文件的二进制数据由三部分组成：数据区、目录区、目录结束标记区。笔者新建一个txt文本文件（demo.txt），写入内容“this is  demo file”，保存后，压缩成一个ZIP文件（demo.zip），然后用十六进制编辑器010 Editor打开。如下图所示，该ZIP文件的二进制内容已被010 Editor识别并按颜色划分为三个不同的区域（黑色区域和灰色区域同属数据区，只是为了突出文件内容）：

图 2 ZIP文件二进制内容组成

数据区

数据区记录了所有被压缩文件的内容信息，每个被压缩的文件由文件头、文件内容和文件描述三部分组成。其中，文件头和文件内容必然存在，文件描述则不一定存在。

表 1 文件头

文件头后则是文件内容，而文件描述只有当文件头的通用标记字段的第3位设为1时才会出现，一般在磁盘上存储的ZIP文件都没有文件描述。

目录区

目录区记录了压缩包里所有的子目录的描述信息。

表 2 目录区数据结构

目录结束标记区

目录结束标记区用于标记压缩包目录数据的结束。

表 3 目录结束标记区

偏移

字节

描述

0

4

目录结束标记（固定值0x06054b50）

4

2

当前磁盘编号

6

2

目录区开始位置的磁盘编号

8

2

当前磁盘上记录的目录数

10

2

目录总数

12

4

目录区大小

16

4

目录区开始位置偏移

20

2

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)