Android 开发怎样做代码加密或混淆？

欢迎访问网易云社区，了解更多网易技术产品运营经验。

在大公司怎么做android代码混淆的？发现他们的软件用apktool反编译居然没看到classes.dex文件和当前安卓APP加固到底该如何做到防篡改?这两个问题中有过相应回答，现搬运要点过来。

网易资深安全工程师钟亚平在今年的安卓巴士全球开发者论坛上做了《安卓APP逆向与保护》的演讲（完整演讲内容请见这里：一文了解安卓APP逆向分析与保护机制），其中就谈到了关于代码混淆的问题。

Java代码是非常容易反编译的，为了很好地保护Java源代码，开发者往往会对编译好的class文件进行混淆处理。

混淆就是对发布出去的程序进行重新组织和处理，使得处理后的代码与处理前代码完成相同的功能，而混淆后的代码很难被反编译，即使反编译成功也很难得出程序的真正语义。ProGuard就是一个混淆代码的开源项目，能够对字节码进行混淆、缩减体积、优化等处理。

Proguard处理流程图如下所示，包含压缩、优化、混淆、预检四个主要环节：

<
1. 压缩（Shrink）：检测并移除代码中无用的类、字段、方法和特性（Attribute）； 
2. 优化（Optimize）：对字节码进行优化，移除无用的指令。优化代码，非入口节点类会加上private/static/final，没有用到的参数会被删除，一些方法可能会变成内联代码； 
3. 混淆（Obfuscate）：使用a、b、c、d这样简短而无意义的名称，对类、字段和方法进行重命名； 
4. 预检（Preveirfy）：在Java平台上对处理后的代码进行预检，确保加载的class文件是可执行的。

利用Proguard，对Dex2jar进行反编译处理后的Apk效果示例：

处理前

 

Proguard处理后

Proguard混淆器不仅能够保护代码，而且能够精简编译后的程序大小，减少内存占用。

混淆代码逆向分析

如果想要反编译混淆代码，钟亚平分享了一个国外的工具DEGUADR，它能够通过统计的方式来解混淆。虽然这个工具的正确率达不到100%，但是能在一定程度上帮助反编译代码。

使用DEGUADR解混淆的示例：

com.xxxxx.common.util.CryptoUtil网站也提供了一种反编译服务，如下所示：

java.lang.String a(byte[]) -> encodeToString
java.lang.String a(byte[],boolean,java.lang.String) -> a 
byte[] a(byte[],byte[]) -> encrypt 
byte[] b(byte[]) -> getKey 
byte[] b(byte[],byte[]) -> decrypt 
byte[] d(java.lang.String) -> getKey 
java.lang.String a(byte,char[]) -> a 
java.lang.String a(java.io.File) -> getHash 
java.lang.String a(java.lang.String) -> c 
java.lang.String b(java.lang.String) -> encode

对 DEX 文件进行加壳防护仍然是需要的，我们可以选择整体 DEX 加固或者拆分 DEX 加固的方式，隐藏源码防止直接性的反编译。拆分 DEX 加固需要注意 DEX 文件的数据结构，选取 classdata 和 classcode 这两部分，即使拆分出来也不会泄露 class 数据和字节码数据，反编译出来也不完整，安全性较高。尤其是虚拟机加固的方式，对字节做一些变化处理，即使把替换后的数据恢复了，也不会变形成为之前的字节码，安全系数较高。

网易云 Android 应用加固 免费试用，有效防止应用被逆向分析、反编译、二次打包，核心功能包括 DEX 加固，SO 加密保护，内存防 Dump 保护，防调试器，防模拟器等。

相关文章：
【推荐】 一次活动引发的血案
【推荐】 从加班论客户端开发中的建模