DEX加殼加密解決方案的設(shè)計(jì)與實(shí)現(xiàn)

1、一、什么是加殼？       加殼是在二進(jìn)制的程序中植入一段代碼，在運(yùn)行的時(shí)候優(yōu)先取得程序的控制權(quán)，做一些額外的工作。大多數(shù)病毒就是基于此原理。PC EXE文件加殼的過(guò)程如下：     二、加殼作用       加殼的程序可以有效阻止對(duì)程序的反匯編分析，以達(dá)到它不可告人的目的。這種技術(shù)也常用來(lái)保護(hù)軟件版權(quán)，防止被軟件破解。三、Android Dex文件加殼原理       PC平臺(tái)現(xiàn)在已存在大量的標(biāo)準(zhǔn)的加殼和解殼工具，但是Android作為新興平

2、臺(tái)還未出現(xiàn)APK加殼工具。Android Dex文件大量使用引用給加殼帶來(lái)了一定的難度，但是從理論上講，Android APK加殼也是可行的。       在這個(gè)過(guò)程中，牽扯到三個(gè)角色：           1、加殼程序：加密源程序?yàn)榻鈿?shù)據(jù)、組裝解殼程序和解殼數(shù)據(jù)           2、解殼程序：解密解殼數(shù)據(jù)，并運(yùn)行時(shí)通過(guò)DexClassLoader動(dòng)態(tài)加載         

3、60;3、源程序：需要加殼處理的被保護(hù)代碼       閱讀該文章，需要您對(duì)DEX文件結(jié)構(gòu)有所了解，您可以通過(guò)以下網(wǎng)址了解相關(guān)信息：               根據(jù)解殼數(shù)據(jù)在解殼程序DEX文件中的不同分布，本文將提出兩種Android Dex加殼的實(shí)現(xiàn)方案。    （一）解殼數(shù)據(jù)位于解殼程序文件尾部              該種方式簡(jiǎn)單實(shí)用，合并后的DEX文件結(jié)構(gòu)如下。&#

4、160;         加殼程序工作流程：                  1、加密源程序APK文件為解殼數(shù)據(jù)                  2、把解殼數(shù)據(jù)寫入解殼程序Dex文件末尾，并在文件尾部添加解殼數(shù)據(jù)的大小。                  3、修改解殼程序DEX頭中ch

5、ecksum、signature 和file_size頭信息。                  4、修改源程序AndroidMainfest.xml文件并覆蓋解殼程序AndroidMainfest.xml文件。          解殼DEX程序工作流程：                  1、讀取DEX文件末尾數(shù)據(jù)獲取借殼數(shù)據(jù)長(zhǎng)度。   

6、60;             2、從DEX文件讀取解殼數(shù)據(jù)，解密解殼數(shù)據(jù)。以文件形式保存解密數(shù)據(jù)到a.APK文件                  3、通過(guò)DexClassLoader動(dòng)態(tài)加載a.apk。（二）解殼數(shù)據(jù)位于解殼程序文件頭          該種方式相對(duì)比較復(fù)雜， 合并后DEX文件結(jié)構(gòu)如下：          加殼程序工作流程：&#

7、160;                 1、加密源程序APK文件為解殼數(shù)據(jù)                  2、計(jì)算解殼數(shù)據(jù)長(zhǎng)度，并添加該長(zhǎng)度到解殼DEX文件頭末尾，并繼續(xù)解殼數(shù)據(jù)到文件頭末尾。                       （插入數(shù)據(jù)的位置為0x70處）    

8、0;             3、修改解殼程序DEX頭中checksum、signature、file_size、header_size、string_ids_off、type_ids_off、proto_ids_off、field_ids_off、              method_ids_off、class_defs_off和data_off相關(guān)項(xiàng)。  分析map_off 數(shù)據(jù)，修改相關(guān)的數(shù)據(jù)偏移量。      &#

9、160;             4、修改源程序AndroidMainfest.xml文件并覆蓋解殼程序AndroidMainfest.xml文件。          解殼DEX程序工作流程：                  1、從0x70處讀取解殼數(shù)據(jù)長(zhǎng)度。                  2、從DEX

10、文件讀取解殼數(shù)據(jù)，解密解殼數(shù)據(jù)。以文件形式保存解密數(shù)據(jù)到a.APK                  3、通過(guò)DexClassLoader動(dòng)態(tài)加載a.APK。 一、序言        在上篇“Android APK加殼技術(shù)方案”（ Dex加殼技術(shù)實(shí)現(xiàn)方案，本片博文將對(duì)方案1代碼實(shí)現(xiàn)進(jìn)行講解。博友可以根據(jù)方案1的代碼實(shí)現(xiàn)原理對(duì)方案2自行實(shí)現(xiàn)。       在方案1的代碼實(shí)現(xiàn)過(guò)程中，各種不同的問(wèn)題接踵出現(xiàn)，最初的方案也在

11、不同問(wèn)題的出現(xiàn)、解決過(guò)程中不斷的得到調(diào)整、優(yōu)化。       本文的代碼實(shí)現(xiàn)了對(duì)整個(gè)APK包的加殼處理。加殼程序不會(huì)對(duì)源程序有任何的影響。二、代碼實(shí)現(xiàn)     本程序基于Android2.3代碼實(shí)現(xiàn)，因?yàn)闋砍兜较到y(tǒng)代碼的反射修改，本程序不保證在其它android版本正常工作，博友可以根據(jù)實(shí)現(xiàn)原理，自行實(shí)現(xiàn)對(duì)其它Android版本的兼容性開發(fā)。     1、 加殼程序流程及代碼實(shí)現(xiàn)               

12、;   1、加密源程序APK為解殼數(shù)據(jù)                  2、把解殼數(shù)據(jù)寫入解殼程序DEX文件末尾，并在文件尾部添加解殼數(shù)據(jù)的大小。                  3、修改解殼程序DEX頭中checksum、signature 和file_size頭信息。       代碼實(shí)現(xiàn)如下：java view plaincopy1. packag

13、e com.android.dexshell;  2. import java.io.ByteArrayOutputStream;  3. import java.io.File;  4. import java.io.FileInputStream;  5. import java.io.FileOutputStream;  6. import java.io.IOException;  7. import

14、0;java.security.MessageDigest;  8. import java.security.NoSuchAlgorithmException;  9. import java.util.zip.Adler32;  10.   11. public class DexShellTool   12.     /* 13.      

15、* param args 14.      */  15.     public static void main(String args)   16.         / TODO Auto-generated method stub  17. &

16、#160;       try   18.             File payloadSrcFile = new File("g:/payload.apk");  19.           &

17、#160; File unShellDexFile = new File("g:/unshell.dex");  20.             byte payloadArray = encrpt(readFileBytes(payloadSrcFile);  21.      

18、0;      byte unShellDexArray = readFileBytes(unShellDexFile);  22.             int payloadLen = payloadArray.length;  23.       &#

19、160;     int unShellDexLen = unShellDexArray.length;  24.             int totalLen = payloadLen + unShellDexLen +4;  25.      

20、;       byte newdex = new bytetotalLen;  26.             /添加解殼代碼  27.             System.arraycopy(unShel

21、lDexArray, 0, newdex, 0, unShellDexLen);  28.             /添加加密后的解殼數(shù)據(jù)  29.             System.arraycopy(payloadArray, 0, newdex,&#

22、160;unShellDexLen,  30.                     payloadLen);  31.             /添加解殼數(shù)據(jù)長(zhǎng)度  32.    

23、60;        System.arraycopy(intToByte(payloadLen), 0, newdex, totalLen-4, 4);  33.                         /修改

24、DEX file size文件頭  34.             fixFileSizeHeader(newdex);  35.             /修改DEX SHA1 文件頭  36.      &

25、#160;      fixSHA1Header(newdex);  37.             /修改DEX CheckSum文件頭  38.             fixCheckSumHeader(newdex);  

26、39.   40.   41.             String str = "g:/classes.dex"  42.             File file = new File(str);

27、0; 43.             if (!file.exists()   44.                 file.createNewFile();  45.       &#

28、160;       46.               47.             FileOutputStream localFileOutputStream = new FileOutputStream(str);

29、60; 48.             localFileOutputStream.write(newdex);  49.             localFileOutputStream.flush();  50.        

30、60;    localFileOutputStream.close();  51.   52.   53.          catch (Exception e)   54.             / TODO A

31、uto-generated catch block  55.             e.printStackTrace();  56.           57.       58.       5

32、9.     /直接返回?cái)?shù)據(jù)，讀者可以添加自己加密方法  60.     private static byte encrpt(byte srcdata)  61.         return srcdata;  62.       63.   6

33、4.   65.     private static void fixCheckSumHeader(byte dexBytes)   66.         Adler32 adler = new Adler32();  67.         a

34、dler.update(dexBytes, 12, dexBytes.length - 12);  68.         long value = adler.getValue();  69.         int va = (int) value;  70. &#

35、160;       byte newcs = intToByte(va);  71.         byte recs = new byte4;  72.         for (int i = 0; i

36、 < 4; i+)   73.             recsi = newcsnewcs.length - 1 - i;  74.             System.out.println(Integer.

37、toHexString(newcsi);  75.           76.         System.arraycopy(recs, 0, dexBytes, 8, 4);  77.         System.out.println(Long.to

38、HexString(value);  78.         System.out.println();  79.       80.   81.   82.     public static byte intToByte(int number)   83. 

39、0;       byte b = new byte4;  84.         for (int i = 3; i >= 0; i-)   85.           &

40、#160; bi = (byte) (number % 256);  86.             number >>= 8;  87.           88.       

41、0; return b;  89.       90.   91.   92.     private static void fixSHA1Header(byte dexBytes)  93.             throws

42、0;NoSuchAlgorithmException   94.         MessageDigest md = MessageDigest.getInstance("SHA-1");  95.         md.update(dexBytes, 32, dexBytes.length - 

43、;32);  96.         byte newdt = md.digest();  97.         System.arraycopy(newdt, 0, dexBytes, 12, 20);  98.        

44、0;String hexstr = ""  99.         for (int i = 0; i < newdt.length; i+)   100.             hexstr +=&#

45、160;Integer.toString(newdti & 0xff) + 0x100, 16)  101.                     .substring(1);  102.          &

46、#160;103.         System.out.println(hexstr);  104.       105.   106.   107.     private static void fixFileSizeHeader(byte dexBytes)   108. 

47、0; 109.   110.         byte newfs = intToByte(dexBytes.length);  111.         System.out.println(Integer.toHexString(dexBytes.length);  112.      

48、;   byte refs = new byte4;  113.         for (int i = 0; i < 4; i+)   114.             refsi 

49、;= newfsnewfs.length - 1 - i;  115.             System.out.println(Integer.toHexString(newfsi);  116.           117.     

50、0;   System.arraycopy(refs, 0, dexBytes, 32, 4);  118.       119.   120.   121.     private static byte readFileBytes(File file) throws IOException &#

51、160; 122.         byte arrayOfByte = new byte1024;  123.         ByteArrayOutputStream localByteArrayOutputStream = new ByteArrayOutputStream();  124. 

52、0;       FileInputStream fis = new FileInputStream(file);  125.         while (true)   126.             int i&

53、#160;= fis.read(arrayOfByte);  127.             if (i != -1)   128.                 localByteArrayOutputStream.writ

54、e(arrayOfByte, 0, i);  129.              else   130.                 return localByteArrayOutputStream.toByteArray(

55、);  131.               132.           133.       134.   135.   136.       2、 解殼程序流程及代碼實(shí)現(xiàn) 

56、        在解殼程序的開發(fā)過(guò)程中需要解決如下幾個(gè)關(guān)鍵的技術(shù)問(wèn)題：         （1）解殼代碼如何能夠第一時(shí)間執(zhí)行？                  Android程序由不同的組件構(gòu)成，系統(tǒng)在有需要的時(shí)候啟動(dòng)程序組件。因此解殼程序必須在Android系統(tǒng)啟動(dòng)組件之前運(yùn)行，完成對(duì)解殼數(shù)                據(jù)的解殼及AP

57、K文件的動(dòng)態(tài)加載，否則會(huì)使程序出現(xiàn)加載類失敗的異常。                  Android開發(fā)者都知道Applicaiton做為整個(gè)應(yīng)用的上下文，會(huì)被系統(tǒng)第一時(shí)間調(diào)用，這也是應(yīng)用開發(fā)者程序代碼的第一執(zhí)行點(diǎn)。因此通過(guò)對(duì)              AndroidMainfest.xml的application的配置可以實(shí)現(xiàn)解殼代碼第一時(shí)間運(yùn)行。html view plaincopy1. <application&

58、#160; 2.     android:icon="drawable/ic_launcher"  3.     android:label="string/app_name"  4.     android:theme="style/AppTheme" android:name="<span style="color:&

59、#160;rgb(255, 0, 0);"><em><strong>com.android.dexunshell.ProxyApplication</strong></em></span>" >  5. </application>           （2）如何替換回源程序原有的Application?         

60、        當(dāng)在AndroidMainfest.xml文件配置為解殼代碼的Application時(shí)。源程序原有的Applicaiton將被替換，為了不影響源程序代碼邏輯，我們需要              在解殼代碼運(yùn)行完成后，替換回源程序原有的Application對(duì)象。我們通過(guò)在AndroidMainfest.xml文件中配置原有Applicaiton類信息來(lái)達(dá)到我們              的目的。解殼程

61、序要在運(yùn)行完畢后通過(guò)創(chuàng)建配置的Application對(duì)象，并通過(guò)反射修改回原Application。html view plaincopy1. <application  2.     android:icon="drawable/ic_launcher"  3.     android:label="string/app_name"  4.     andro

62、id:theme="style/AppTheme" android:name="<em><strong><span style="color: rgb(255, 0, 0);">com.android.dexunshell.ProxyApplication</span></strong></em>" >  5.     <span&#

63、160;style="color: rgb(255, 0, 0);"><em><strong><meta-data android:name="APPLICATION_CLASS_NAME" android:value="com.*.Application"/></strong></em></span>  6. </application>   

64、                  （3）如何通過(guò)DexClassLoader實(shí)現(xiàn)對(duì)apk代碼的動(dòng)態(tài)加載。                  我們知道DexClassLoader加載的類是沒(méi)有組件生命周期的，也就是說(shuō)即使DexClassLoader通過(guò)對(duì)APK的動(dòng)態(tài)加載完成了對(duì)組件類的加載，              當(dāng)系統(tǒng)啟動(dòng)該組件時(shí)，

65、還會(huì)出現(xiàn)加載類失敗的異常。為什么組件類被動(dòng)態(tài)加載入虛擬機(jī)，但系統(tǒng)卻出現(xiàn)加載類失敗呢？                  通過(guò)查看Android源代碼我們知道組件類的加載是由另一個(gè)ClassLoader來(lái)完成的，DexClassLoader和系統(tǒng)組件ClassLoader并不存在關(guān)                  系，系統(tǒng)組件ClassLoader當(dāng)然找不到由DexClassLoader加載的類，如果把系統(tǒng)組件Cla

66、ssLoader的parent修改成DexClassLoader，我們就可              以實(shí)現(xiàn)對(duì)apk代碼的動(dòng)態(tài)加載。         （4）如何使解殼后的APK資源文件被代碼動(dòng)態(tài)引用。                 代碼默認(rèn)引用的資源文件在最外層的解殼程序中，因此我們要增加系統(tǒng)的資源加載路徑來(lái)實(shí)現(xiàn)對(duì)借殼后APK文件資源的加載。      &

67、#160; 解殼實(shí)現(xiàn)代碼：java view plaincopy1. package com.android.dexunshell;  2.   3. import java.io.BufferedInputStream;  4. import java.io.ByteArrayInputStream;  5. import java.io.ByteArrayOutputStream;  6. import java.io.DataIn

68、putStream;  7. import java.io.File;  8. import java.io.FileInputStream;  9. import java.io.FileOutputStream;  10. import java.io.IOException;  11. import java.lang.ref.WeakReference;  12. import java.util.Array

69、List;  13. import java.util.HashMap;  14. import java.util.Iterator;  15. import java.util.zip.ZipEntry;  16. import java.util.zip.ZipInputStream;  17.   18. import dalvik.system.DexClassLoader;  19. impor

70、t android.app.Application;  20. import android.content.pm.ApplicationInfo;  21. import android.content.pm.PackageManager;  22. import android.content.pm.PackageManager.NameNotFoundException;  23. import android.os.Bundle;  24

71、. public class ProxyApplication extends Application   25.   26.   27.     private static final String appkey = "APPLICATION_CLASS_NAME"  28.     private

72、60;String apkFileName;  29.     private String odexPath;  30.     private String libPath;  31.   32.   33.     protected void attachBaseContext(Context

73、0;base)   34.         super.attachBaseContext(base);  35.         try   36.             File odex = this.

74、getDir("payload_odex", MODE_PRIVATE);  37.             File libs = this.getDir("payload_lib", MODE_PRIVATE);  38.           &

75、#160; odexPath = odex.getAbsolutePath();  39.             libPath = libs.getAbsolutePath();  40.             apkFileName = od

76、ex.getAbsolutePath() + "/payload.apk"  41.             File dexFile = new File(apkFileName);  42.             if (!

77、dexFile.exists()  43.                 dexFile.createNewFile();  44.             / 讀取程序classes.dex文件  45.    &#

78、160;        byte dexdata = this.readDexFileFromApk();  46.             / 分離出解殼后的apk文件已用于動(dòng)態(tài)加載  47.           &#

79、160; this.splitPayLoadFromDex(dexdata);  48.             / 配置動(dòng)態(tài)加載環(huán)境  49.             Object currentActivityThread = RefInvoke.invokeSta

80、ticMethod(  50.                     "android.app.ActivityThread", "currentActivityThread",  51.           

81、;          new Class , new Object );  52.             String packageName = this.getPackageName();  53.     

82、60;       HashMap mPackages = (HashMap) RefInvoke.getFieldOjbect(  54.                     "android.app.ActivityThread", 

83、;currentActivityThread,  55.                     "mPackages");  56.             WeakReference wr =&#

84、160;(WeakReference) mPackages.get(packageName);  57.             DexClassLoader dLoader = new DexClassLoader(apkFileName, odexPath,  58.          

85、;           libPath, (ClassLoader) RefInvoke.getFieldOjbect(  59.                           

86、60; "android.app.LoadedApk", wr.get(), "mClassLoader");  60.             RefInvoke.setFieldOjbect("android.app.LoadedApk", "mClassLoader",  61.   

87、0;                 wr.get(), dLoader);  62.   63.   64.          catch (Exception e)   65.    &

88、#160;        / TODO Auto-generated catch block  66.             e.printStackTrace();  67.           68.  

89、     69.   70.   71.     public void onCreate()   72.           73.   74.   75.           

90、  / 如果源應(yīng)用配置有Appliction對(duì)象，則替換為源應(yīng)用Applicaiton，以便不影響源程序邏輯。  76.             String appClassName = null;  77.             try 

91、60; 78.                 ApplicationInfo ai = this.getPackageManager()  79.                    &

92、#160;    .getApplicationInfo(this.getPackageName(),  80.                                 PackageManager.GET_ME

93、TA_DATA);  81.                 Bundle bundle = ai.metaData;  82.                 if (bundle !=&

94、#160;null  83.                         && bundle.containsKey("APPLICATION_CLASS_NAME")   84.       

95、60;             appClassName = bundle.getString("APPLICATION_CLASS_NAME");  85.                  else   8

96、6.                     return;  87.                   88.        

97、      catch (NameNotFoundException e)   89.                 / TODO Auto-generated catch block  90.       

98、          e.printStackTrace();  91.               92.   93.   94.             Object 

99、currentActivityThread = RefInvoke.invokeStaticMethod(  95.                     "android.app.ActivityThread", "currentActivityThread",  96.  

100、                   new Class , new Object );  97.             Object mBoundApplication = RefInv

101、oke.getFieldOjbect(  98.                     "android.app.ActivityThread", currentActivityThread,  99.           &#

102、160;         "mBoundApplication");  100.             Object loadedApkInfo = RefInvoke.getFieldOjbect(  101.        

103、             "android.app.ActivityThread$AppBindData",  102.                     mBoundApplication, "info

104、");  103.             RefInvoke.setFieldOjbect("android.app.LoadedApk", "mApplication",  104.                 

105、    loadedApkInfo, null);  105.             Object oldApplication = RefInvoke.getFieldOjbect(  106.              &#

106、160;      "android.app.ActivityThread", currentActivityThread,  107.                     "mInitialApplication");  108.  

107、           ArrayList<Application> mAllApplications = (ArrayList<Application>) RefInvoke  109.                   &

108、#160; .getFieldOjbect("android.app.ActivityThread",  110.                             currentActivityThread, "mAllApplication

109、s");  111.             mAllApplications.remove(oldApplication);  112.             ApplicationInfo appinfo_In_LoadedApk = (ApplicationInfo)&#

110、160;RefInvoke  113.                     .getFieldOjbect("android.app.LoadedApk", loadedApkInfo,  114.           

111、60;                 "mApplicationInfo");  115.             ApplicationInfo appinfo_In_AppBindData = (ApplicationInfo)

112、60;RefInvoke  116.                     .getFieldOjbect("android.app.ActivityThread$AppBindData",  117.            &

113、#160;                mBoundApplication, "appInfo");  118.             appinfo_In_LoadedApk.className = appClassName; 

114、60;119.             appinfo_In_AppBindData.className = appClassName;  120.             Application app = (Application) RefInvoke.invokeMetho

115、d(  121.                     "android.app.LoadedApk", "makeApplication", loadedApkInfo,  122.          &#

116、160;          new Class  boolean.class, Instrumentation.class ,  123.                     new Object 

117、0;false, null );  124.             RefInvoke.setFieldOjbect("android.app.ActivityThread",  125.                  &#

118、160;  "mInitialApplication", currentActivityThread, app);  126.   127.   128.             HashMap mProviderMap = (HashMap) RefInvoke.getFieldOjbect(  

119、129.                     "android.app.ActivityThread", currentActivityThread,  130.                &

120、#160;    "mProviderMap");  131.             Iterator it = mProviderMap.values().iterator();  132.             while

121、 (it.hasNext()   133.                 Object providerClientRecord = it.next();  134.                

122、 Object localProvider = RefInvoke.getFieldOjbect(  135.                         "android.app.ActivityThread$ProviderClientRecord", 

123、0;136.                         providerClientRecord, "mLocalProvider");  137.              

124、;   RefInvoke.setFieldOjbect("android.content.ContentProvider",  138.                         "mContext", localProvider, app)

125、;  139.               140.             app.onCreate();  141.           142.     

126、  143.   144.   145.     private void splitPayLoadFromDex(byte data) throws IOException   146.         byte apkdata = decrypt(data);  147.  

127、       int ablen = apkdata.length;  148.         byte dexlen = new byte4;  149.         System.arraycopy(apkdata, ablen 

128、- 4, dexlen, 0, 4);  150.         ByteArrayInputStream bais = new ByteArrayInputStream(dexlen);  151.         DataInputStream in = new DataI

129、nputStream(bais);  152.         int readInt = in.readInt();  153.         System.out.println(Integer.toHexString(readInt);  154.        

130、0;byte newdex = new bytereadInt;  155.         System.arraycopy(apkdata, ablen - 4 - readInt, newdex, 0, readInt);  156.         File f

131、ile = new File(apkFileName);  157.         try   158.             FileOutputStream localFileOutputStream = new FileOutputStream(file); 

132、 159.             localFileOutputStream.write(newdex);  160.             localFileOutputStream.close();  161.   162.   163.          catch (IOException localIOExc