有时您需要在应用程序本身中存储密码，例如用于与您自己的服务器通信的用户名/密码。在这些情况下，不可能遵循存储密码的正常过程——即散列密码、存储散列、与散列用户输入进行比较——因为你没有任何用户输入来与散列进行比较。密码需要由应用程序本身提供。那么如何保护APK中存储的密码呢？像下面这样的密码生成函数是否相当安全？

纯文本:

String password = "$()&HDI?=!";

简单混淆:

private String getPassword(){
    String pool = "%&/@$()7?=!656sd8KJ%&HDI!!!G98y/&%=?=*^%&ft4%(";
    return pool.substring(4, 7) + pool.substring(20, 24) + pool.substring(8, 11);
}

我知道 ProGuard 有一些混淆功能，但我很好奇上面的“混淆”技术在编译时做了什么，以及通过查看 APK 和/或使用其他更复杂的技术？

最佳答案

tl;dr 如果您知道如何反编译 APK，则无论代码多么困惑，您都可以轻松获取密码。不要在 APK 中存储密码，它不安全。

I know ProGuard has some obfuscation capabilities, but I'm curious about what the above "obfuscation" technique does when it's compiled, and how hard it would be for someone to figure it out by looking in the APK and/or using other more sophisticated techniques?

我会告诉你这有多么简单。这是一个 Android SSCCE我们将反编译:

MyActivity.java:

public class MyActivity extends Activity {

    @Override
    public void onCreate(Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        setContentView(R.layout.main);

        TextView text = (TextView) findViewById(R.id.text);
        text.setText(getPassword());
    }

    private String getPassword() {
        String pool = "%&/@$()7?=!656sd8KJ%&HDI!!!G98y/&%=?=*^%&ft4%(";
        return pool.substring(4, 7) + pool.substring(20, 24) + pool.substring(8, 11);
    }
}

main.xml:

<?xml version="1.0" encoding="utf-8"?>
<TextView xmlns:android="http://schemas.android.com/apk/res/android"
          android:id="@+id/text"
          android:layout_width="fill_parent"
          android:layout_height="wrap_content"/>

编译并运行后，我们可以在 TextView 上看到 $()&HDI?=!。

让我们反编译一个 APK:

1. unzip myapp.apk 或右键单击 APK 并Unzip here。 classes.dex 文件出现。
2. 使用 dex2jar 将 classes.dex 转换为 JAR 文件.执行dex2jar.sh classes.dex后，classes_dex2jar.jar文件 出现。

3. 在 classes_dex2jar.jar 上使用一些 Java 反编译器，例如 JD-GUI ，我们从 MyActivity.class 中检索这样的 Java 代码:

   public class MyActivity extends Activity
   {
       private String getPassword()
       {
           return "%&/@$()7?=!656sd8KJ%&HDI!!!G98y/&%=?=*^%&ft4%(".substring(4, 7) 
   + "%&/@$()7?=!656sd8KJ%&HDI!!!G98y/&%=?=*^%&ft4%(".substring(20, 24) 
   + "%&/@$()7?=!656sd8KJ%&HDI!!!G98y/&%=?=*^%&ft4%(".substring(8, 11);
       }
   
       public void onCreate(Bundle paramBundle)
       {
           super.onCreate(paramBundle);
           setContentView(2130903040);
           ((TextView)findViewById(2131034112)).setText(getPassword());
       }
   }
   

ProGuard 帮不上什么忙，代码仍然易于阅读。

基于以上，我已经可以给你这个问题的答案了:

Would a password-generating function like the one below be reasonably secure?

没有。如您所见，它稍微增加了阅读去混淆代码的难度。我们不应该以这种方式混淆代码，因为:

1. 它给人一种安全的错觉。
2. 这是在浪费开发者的时间。
3. 它降低了代码的可读性。

在官方 Android 文档中，在 Security and Design部分，他们建议这样做是为了保护您的 Google Play 公钥:

To keep your public key safe from malicious users and hackers, do not embed it in any code as a literal string. Instead, construct the string at runtime from pieces or use bit manipulation (for example, XOR with some other string) to hide the actual key. The key itself is not secret information, but you do not want to make it easy for a hacker or malicious user to replace the public key with another key.

好的，让我们试试看:

@Override
public void onCreate(Bundle savedInstanceState) {
    super.onCreate(savedInstanceState);
    setContentView(R.layout.main);

    TextView text = (TextView) findViewById(R.id.text);
    text.setText(xor("A@NCyw&IHY", "ehge13ovux"));
}

private String xor(String a, String b) {
    StringBuilder sb = new StringBuilder();
    for (int i = 0; i < a.length() && i < b.length(); i++) {
        sb.append((char) (a.charAt(i) ^ b.charAt(i)));
    }
    return sb.toString();
}

在 TextView 上给出 $()&HDI?=!，很好。

反编译版本:

public void onCreate(Bundle paramBundle)
{
    super.onCreate(paramBundle);
    setContentView(2130903040);
    ((TextView)findViewById(2131034112)).setText(xor("A@NCyw&IHY", "ehge13ovux"));
}

private String xor(String paramString1, String paramString2)
{
    StringBuilder localStringBuilder = new StringBuilder();
    for (int i = 0; (i < paramString1.length()) && (i < paramString2.length()); i++) {
        localStringBuilder.append((char)(paramString1.charAt(i) ^ paramString2.charAt(i)));
    }
    return localStringBuilder.toString();
}

和之前的情况非常相似。

即使我们有极其复杂的函数 soStrongObfuscationOneGetsBlind()，我们也始终可以运行反编译代码并查看它产生了什么。或逐步调试。

关于android - 简单隐藏/混淆 APK 中的字符串？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/22949801/