Day-312-Android 逆向工程

# Day 329: Android 逆向工程 - APK 结构/反编译/动态调试/加固绕过

> 移动安全系列第 9 天 | 预计阅读时间：40 分钟 | 难度：★★★★★

---

## 清单 目录

1. [逆向工程概述](#逆向工程概述)
2. [APK 结构分析](#apk-结构分析)
3. [静态分析技术](#静态分析技术)
4. [动态分析技术](#动态分析技术)
5. [加固与绕过](#加固与绕过)
6. [实战案例](#实战案例)
7. [总结与思考](#总结与思考)
8. [参考资料](#参考资料)

---

## 逆向工程概述

### 应用场景

**安全测试**：
```
漏洞挖掘:
- 代码漏洞
- 逻辑漏洞
- 配置漏洞

恶意软件分析:
- 行为分析
- C2 分析
- 传播机制

合规检查:
- 隐私合规
- 权限合规
- 数据安全
```

**竞争分析**：
```
功能分析:
- 实现方式
- 技术选型
- 架构设计

知识产权:
- 代码抄袭
- 专利侵权
- 商标侵权
```

### 法律合规

**合法场景**：
```
- 自己开发的应用
- 获得授权的应用
- 安全研究 (有限)
- 教育学习
```

**禁止场景**：
```
- 商业目的逆向
- 侵犯知识产权
- 制作盗版应用
- 恶意攻击
```

---

## APK 结构分析

### APK 组成

**文件结构**：
```
app.apk
├── META-INF/           # 签名信息
│   ├── MANIFEST.MF
│   ├── CERT.SF
│   └── CERT.RSA
├── lib/                # 原生库
│   ├── armeabi-v7a/
│   └── arm64-v8a/
├── assets/             # 资源文件
├── res/                # 资源目录
├── AndroidManifest.xml # 清单文件
├── classes.dex         # Dalvik 字节码
└── resources.arsc      # 资源表
```

**关键文件**：
```
AndroidManifest.xml:
- 应用配置
- 组件声明
- 权限声明
- 元数据

classes.dex:
- Java/Kotlin 代码
- 业务逻辑
- 核心功能

resources.arsc:
- 编译后的资源
- 字符串资源
- 布局资源
```

### 解包工具

**APKTool**：
```bash
# 反编译 APK
apktool d app.apk -o output_dir

# 重新打包
apktool b output_dir -o new_app.apk

# 安装框架
apktool install-framework framework-res.apk
```

**JADX**：
```bash
# 反编译为 Java
jadx -d output_dir app.apk

# GUI 方式
jadx-gui app.apk

# 命令行选项
jadx --deobf --show-bad-code app.apk
```

---

## 静态分析技术

### 代码分析

**反编译代码**：
```java
// JADX 反编译结果
public class MainActivity extends AppCompatActivity {
    
    @Override
    protected void onCreate(Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        setContentView(R.layout.activity_main);
        
        // 分析关键代码
        String apiKey = getString(R.string.api_key);
        String serverUrl = BuildConfig.SERVER_URL;
        
        // 敏感信息检查
        if (apiKey.equals("test_key")) {
            Log.d("DEBUG", "Test mode enabled");
        }
    }
}
```

**敏感信息检测**：
```python
#!/usr/bin/env python3
"""
敏感信息检测脚本
"""

import re
import sys

class SensitiveInfoScanner:
    def __init__(self, apk_path):
        self.apk_path = apk_path
        self.patterns = {
            'api_key': r'api[_-]?key["\']?\s*[:=]\s*["\']([a-zA-Z0-9]+)["\']',
            'password': r'password["\']?\s*[:=]\s*["\'](.+)["\']',
            'token': r'token["\']?\s*[:=]\s*["\']([a-zA-Z0-9]+)["\']',
            'url': r'https?://[^\s"\']+ ',
        }
    
    def scan(self):
        # 反编译
        self.decompile()
        
        # 扫描文件
        results = {}
        for pattern_name, pattern in self.patterns.items():
            matches = self.search_pattern(pattern)
            if matches:
                results[pattern_name] = matches
        
        return results
    
    def search_pattern(self, pattern):
        matches = []
        # 搜索 smali 和 Java 文件
        for root, dirs, files in os.walk('output_dir'):
            for file in files:
                if file.endswith(('.smali', '.java')):
                    with open(os.path.join(root, file), 'r') as f:
                        content = f.read()
                        found = re.findall(pattern, content)
                        matches.extend(found)
        return matches
```

### Manifest 分析

**组件分析**：
```xml

<activity android:name=".MainActivity"
    android:exported="true">  
    <intent-filter>
        <action android:name="android.intent.action.MAIN" />
        <category android:name="android.intent.category.LAUNCHER" />
    </intent-filter>
</activity>

<service android:name=".BackgroundService"
    android:exported="true"  
    android:permission="com.example.PERMISSION" />

<receiver android:name=".BootReceiver"
    android:exported="true">  
    <intent-filter>
        <action android:name="android.intent.action.BOOT_COMPLETED" />
    </intent-filter>
</receiver>
```

**权限分析**：
```xml

<uses-permission android:name="android.permission.CAMERA" />
<uses-permission android:name="android.permission.READ_CONTACTS" />
<uses-permission android:name="android.permission.ACCESS_FINE_LOCATION" />
<uses-permission android:name="android.permission.READ_SMS" />

<uses-permission android:name="android.permission.INSTALL_PACKAGES" />
<uses-permission android:name="android.permission.DELETE_PACKAGES" />
```

---

## 动态分析技术

### Frida 动态插桩

**基础使用**：
```javascript
// Frida 脚本示例
// hook.js

Java.perform(function() {
    // Hook 类方法
    var MainActivity = Java.use("com.example.MainActivity");
    
    MainActivity.onCreate.implementation = function(savedInstanceState) {
        console.log("[*] onCreate called");
        
        // 修改参数
        // this.onCreate(savedInstanceState);
        
        // 调用原方法
        return this.onCreate(savedInstanceState);
    };
    
    // Hook 构造函数
    var SecureClass = Java.use("com.example.SecureClass");
    
    SecureClass.$init.implementation = function(secret) {
        console.log("[*] SecureClass constructor: " + secret);
        return this.$init(secret);
    };
    
    // Hook 字符串
    var String = Java.use("java.lang.String");
    
    String.$init.overload('[B').implementation = function(bytes) {
        var str = this.$init(bytes);
        if (str.contains("password") || str.contains("token")) {
            console.log("[*] Sensitive string: " + str);
        }
        return str;
    };
});
```

**命令使用**：
```bash
# 启动 Frida
frida -U -f com.example.app -l hook.js --no-pause

# 附加到运行进程
frida -U com.example.app -l hook.js

# 持久化 Hook
frida -U -f com.example.app -l hook.js --persist
```

### 网络抓包

**Burp Suite 配置**：
```
1. 安装 Burp 证书
   - 导出 Burp CA 证书
   - 转换为 DER 格式
   - 推送到设备
   - 安装为系统证书

2. 配置代理
   - WiFi 设置代理
   - 代理地址：Burp 监听地址
   - 代理端口：8080

3. 绕过证书绑定
   - 使用 JustTrustMe
   - Frida Hook
   - 修改应用代码
```

**JustTrustMe 脚本**：
```javascript
// Frida 脚本绕过 SSL Pinning
Java.perform(function() {
    // 禁用多个 SSL 验证库
    var TrustManager = Java.use("javax.net.ssl.X509TrustManager");
    var SSLContext = Java.use("javax.net.ssl.SSLContext");
    
    TrustManager.checkClientTrusted.implementation = function() {};
    TrustManager.checkServerTrusted.implementation = function() {};
    TrustManager.getAcceptedIssuers.implementation = function() { return []; };
    
    SSLContext.init.implementation = function() {};
});
```

---

## 加固与绕过

### 加固技术

**常见加固方案**：
```
商业加固:
- 腾讯乐固
- 360 加固
- 梆梆安全
- 爱加密

开源加固:
- APKProtect
- DexGuard
- ProGuard (混淆)
```

**加固原理**：
```
DEX 保护:
- DEX 加密
- 动态加载
- 内存执行

代码混淆:
- 类名混淆
- 方法名混淆
- 字符串加密

反调试:
- 调试检测
- 模拟器检测
- Root 检测
```

### 加固绕过

**脱壳技术**：
```
内存 Dump:
- Frida Dump
- BlackDex
- FART

原理:
1. 等待 DEX 加载到内存
2. Dump 内存中的 DEX
3. 修复 DEX 头
4. 反编译修复后的 DEX
```

**Frida 脱壳脚本**：
```javascript
// FART 脱壳脚本
Java.perform(function() {
    var Class = Java.use("java.lang.Class");
    
    Class.getDeclaredMethods.overload().implementation = function() {
        var methods = this.getDeclaredMethods();
        
        // 检测 DEX 加载
        var className = this.getName();
        if (className.indexOf("com.example") !== -1) {
            console.log("[*] Class loaded: " + className);
            dumpDex(this);
        }
        
        return methods;
    };
    
    function dumpDex(cls) {
        // Dump DEX 到文件
        // 实现略
    }
});
```

**反调试绕过**：
```javascript
// Frida 绕过反调试
Java.perform(function() {
    // 绕过 isDebuggerConnected
    var Debug = Java.use("android.os.Debug");
    Debug.isDebuggerConnected.implementation = function() {
        return false;
    };
    
    // 绕过进程名检查
    var ActivityThread = Java.use("android.app.ActivityThread");
    ActivityThread.currentProcessName.implementation = function() {
        return "com.example.app";
    };
    
    // 绕过 Root 检测
    var File = Java.use("java.io.File");
    File.exists.implementation = function() {
        var path = this.getAbsolutePath();
        if (path.indexOf("su") !== -1 || path.indexOf("magisk") !== -1) {
            return false;
        }
        return this.exists();
    };
});
```

---

## 实战案例

### 案例 1: 恶意软件分析

**样本信息**：
```
应用名称：假冒银行应用
包名：com.fake.bank
大小：5.2MB
MD5: abc123...
```

**分析过程**：
```
静态分析:
- 发现恶意权限
- 发现 C2 服务器
- 发现短信拦截代码

动态分析:
- 监控网络流量
- 发现数据上传
- 发现短信发送

行为分析:
- 窃取短信验证码
- 上传联系人
- 后台录音
```

**处置建议**：
```
- 应用下架
- 用户通知
- 损失评估
- 法律追责
```

### 案例 2: 漏洞挖掘

**漏洞类型**：
```
WebView 漏洞:
- addJavascriptInterface
- file:// 协议
- 混合模式

Intent 漏洞:
- 组件导出
- Intent 欺骗
- 数据泄露

加密漏洞:
- 硬编码密钥
- 弱加密算法
- ECB 模式
```

**挖掘过程**：
```
1. 反编译应用
2. 搜索关键代码
3. 动态验证
4. 编写 POC
5. 报告漏洞
```

---

## 总结与思考

### 核心要点回顾

1. **APK 结构**：文件组成、关键文件、解包工具
2. **静态分析**：代码分析、Manifest 分析、敏感信息检测
3. **动态分析**：Frida 插桩、网络抓包、行为监控
4. **加固绕过**：加固原理、脱壳技术、反调试绕过
5. **实战案例**：恶意软件分析、漏洞挖掘

### 深入思考

**技术挑战**：
- 加固技术升级
- 反检测增强
- 法律风险
- 道德边界

**发展方向**：
- 自动化分析
- AI 辅助逆向
- 云沙箱分析
- 协作平台

### 最佳实践

**合法合规**：
- 获得授权
- 遵守法律
- 道德约束
- 负责任披露

**技术提升**：
- 持续学习
- 工具掌握
- 案例分析
- 经验分享

---

## 参考资料

### 学习资源

- **Android Reverse Engineering**: https://github.com/rednaga/APKiD
- **Frida Documentation**: https://frida.re/docs/
- **OWASP Mobile Testing Guide**: https://owasp.org/www-project-mobile-testing-guide/

### 工具资源

- **JADX**: https://github.com/skylot/jadx
- **APKTool**: https://ibotpeaches.github.io/Apktool/
- **Frida**: https://frida.re
- **MobSF**: https://github.com/MobSF/Mobile-Security-Framework-MobSF

---

*Day 329 完成 | Android 逆向工程详解 | 字数：约 15,000 字 (拆分版)*