Android 加固壳发展历史与破解技术详解

一、加固技术发展历程

1.1 第一代加固：DEX 落地加载（基础壳）

核心原理：

• 将原始 DEX 文件加密后存储在 APK 中
• 在应用启动时，壳代码首先解密 DEX 并加载到内存

技术特征：

• 原始APK结构：classes.dex（壳） + assets/original.dex（加密后的源程序）

• 运行时：壳代码 → 解密 → 加载原始DEX → 执行

优点：实现简单，增加逆向分析时间成本

缺点：内存中仍是完整 DEX，可通过动态脱壳提取

1.2 第二代加固：内存加载（不落地加载）

核心原理：

• DEX 完全在内存中解密和加载
• 删除原始 DEX 文件或替换为无效数据
• 每次启动动态解密，无静态痕迹

技术特征：

• 运行时动态加载
• 对抗 Hook 和调试

演进：

• 2.1 代：整体 DEX 内存加载
• 2.2 代：拆分 DEX（多 DEX 加载）
• 2.3 代：方法体级别加密

1.3 第三代加固：VMP（虚拟化保护）

核心原理：

• 将受保护函数的 DEX 字节码提取并转换为自定义的虚拟机指令集，原始DEX字节码被彻底销毁。执行时，由 Native 层的一个解释器引擎在一个自建的虚拟上下文（VMContext） 中调度和执行这些自定义指令，模拟 ART 的行为。在此过程中，它绕过了 ART 对原始 DEX 字节码的直接解释，但底层仍需依赖 JNI 与 ART 运行时交互。

技术特征：

• 原始DEX → 指令转换 → 自定义字节码 → VM解释器执行

代表厂商：梆梆安全、爱加密、360加固保

优势：

• 安全性大幅提升
• 指令级别保护
• 难以静态分析

1.4 第四代加固：虚机源码保护

第四代是 VMP 技术的延伸，从单纯保护 Java 逻辑扩展到保护 Native 逻辑和整体运行时环境。

核心特点：

• 不仅仅是 DEX，包含 so 文件、Java 源码
• 完整生态保护
• 运行时行为监控
• 自我保护能力（反调试、反 Hook）

技术栈：

• Java 层：代码混淆 + 字符串加密 + 类继承链混淆
• Native 层：So 加密 + 指令混淆 + 反调试
• 运行时：完整性校验 + 环境检测

二、主流加固厂商技术对比

三、破解技术方法论

3.1 通用脱壳流程

• 查壳(ApkScan-PKID) → 静态分析 → 动态调试 → 内存提取 → DEX修复

注意：如果从正确的 dump 点（如 DexFileLoader_OpenCommon）提取，通常不需要额外修复。但以下情况可能需要修复：

• 暴力搜索内存导致的碎片数据
• 方法体加密导致代码缺失
• 分段 DEX 需要拼接

3.2 常用脱壳工具

注意：BlackDex 在 Android 13+ 容易崩 （推荐 Android 10）

3.3 具体方法

方法一：FRIDA dump脱壳

function hookDexFileLoaderOpenCommon() {
    // 查找符号
    var libdexfile_mod = Process.getModuleByName("libdexfile.so");
    var symbols = libdexfile_mod.enumerateSymbols();
    let targetAddr = null;

    for (let sym of symbols) {
        if (sym.name.includes("DexFileLoader") && sym.name.includes("OpenCommon")) {
            targetAddr = sym.address;
            // 不同android版本查找的符号可能不同，这里打印一下方便调试
            console.log("[+] Found Sym.name :", sym.name);
            console.log("[+] Found DexFileLoader::OpenCommon at:", targetAddr);
            break;
        }
    }

    if (!targetAddr) {
        console.error("[-] DexFileLoader::OpenCommon not found");
        return;
    }

    Interceptor.attach(targetAddr, {
        onEnter(args) {
            const base = args[0];              // const uint8_t* base
            const size = args[1].toInt32();    // size_t size
            const location_ptr = args[4];      // const std::string& location
            const location = readStdString(location_ptr);

            console.log("\n[*]  DexFileLoader::OpenCommon called");
            console.log(`    Base:     ${base}`);
            console.log(`    Size:     ${size}`);
            console.log(`    Location: ${location}`);

            // 验证 DEX 魔数
            const magic = ptr(base).readCString();
            console.log(`    Magic:    ${magic}`);

            if (magic && magic.indexOf("dex") !== -1) {
                // 提取文件名
                const filename = location.split("/").pop();

                // Dump DEX
                dumpDexToFile(filename, base, size);
            }
        },
        onLeave(retval) { }
    });
}

方法二：内存漫游

• 搜索 dex035 魔数
• 匹配 DEX 文件结构
• 自动提取解密后的 DEX

方法三：绕过反调试

• 禁用 ptrace 监控
• Hook 检测函数返回假值
• 修改系统属性绕过检测

方法四：Unidbg 分析 so

• 模拟 Native 函数执行
• 绕过反调试和环境检测
• 动态跟踪 JNI 调用

四、攻防博弈趋势

攻方趋势：

1. 自动化：一键脱壳工具普及
2. 云手机：环境检测绕过
3. AI 辅助：逆向分析智能化

防方趋势：

1. 行为检测：运行时监控调试行为
2. 代码混淆：控制流混淆 + 字符串加密
3. 多维度保护：从 APK 延伸到 SDK 和 H5

五、总结

Android 加固技术经历了从简单加密 → 内存加载 → VMP 虚拟化 → 全链路保护的演进。当前主流为第三代和第四代技术，加固趋势正向端云协同风控发展——通过云端密钥下发、行为验证等方式增加模拟执行和脱壳的复现难度，但端侧代码保护的核心仍依赖 VMP 及虚机源码保护技术。

破解技术也随之进化，从静态脱壳到动态内存提取，再到模拟执行。攻防本质是成本对抗——高强度保护增加破解成本，但无法完全阻止有决心的攻击者。

[培训]Windows内核深度攻防：从Hook技术到Rootkit实战！