产品详细信息

【书籍】【PDF】Android软件安全与逆向分析电子书

自动发货 库存(2592)

¥ 6.60 ¥ 69.00

电子邮箱
购买数量
查询密码
支付方式
商品详情

Android软件安全与逆向分析电子书

内容简介  · · · · · ·

作者简介  · · · · · ·

丰生强(网名非虫)

Android软件安全专家。看雪论坛Android安全版版主;安卓巴士开发交流版版主。

对Android软件与系统安全有狂热的爱好和独到的见解,对Android系统的全部源代码进行过深入地研究和分析。逆向分析实战经验丰富。

在国内信息安全杂志上发表过多篇有价值的软件安全文章,目前就职于国内某Android开发企业,常年混迹于看雪论坛(ID非虫)。

作者邮箱:fei_cong@hotmail.com

愿与国内安全爱好者共同交流与探讨安全技术。

目录  · · · · · ·

第1章  Android程序分析环境搭建  1
1.1  Windows分析环境搭建  1
1.1.1  安装JDK  1
1.1.2  安装Android SDK  3
1.1.3  安装Android NDK  5
1.1.4  Eclipse集成开发环境  6
1.1.5  安装CDT、ADT插件  6
1.1.6  创建Android Virtual Device  8
1.1.7  使用到的工具  9
1.2  Linux分析环境搭建  9
1.2.1  本书的Linux环境  9
1.2.2  安装JDK  9
1.2.3  在Ubuntu上安装Android SDK  10
1.2.4  在Ubuntu上安装Android NDK  11
1.2.5  在Ubuntu上安装Eclipse集成开发环境  12
1.2.6  在Ubuntu上安装CDT、ADT插件  13
1.2.7  创建Android Virtual Device  13
1.2.8  使用到的工具  15
1.3  本章小结  15
第2章  如何分析Android程序  16
2.1  编写第一个Android程序  16
2.1.1  使用Eclipse创建Android工程  16
2.1.2  编译生成APK文件  19
2.2  破解第一个程序  20
2.2.1  如何动手?  20
2.2.2  反编译APK文件  20
2.2.3  分析APK文件  21
2.2.4  修改Smali文件代码  26
2.2.5  重新编译APK文件并签名  26
2.2.6  安装测试  27
2.3  本章小结  28
第3章  进入Android Dalvik虚拟机  29
3.1  Dalvik虚拟机的特点——掌握Android程序的运行原理  29
3.1.1  Dalvik虚拟机概述  29
3.1.2  Dalvik虚拟机与Java虚拟机的区别  29
3.1.3  Dalvik虚拟机是如何执行程序的  34
3.1.4  关于Dalvik虚拟机JIT(即时编译)  36
3.2  Dalvik汇编语言基础为分析Android程序做准备  37
3.2.1  Dalvik指令格式  37
3.2.2  DEX文件反汇编工具  39
3.2.3  了解Dalvik寄存器  40
3.2.4  两种不同的寄存器表示方法——v命名法与p命名法  42
3.2.5  Dalvik字节码的类型、方法与字段表示方法  43
3.3  Dalvik指令集  44
3.3.1  指令特点  45
3.3.2  空操作指令  45
3.3.3  数据操作指令  46
3.3.4  返回指令  46
3.3.5  数据定义指令  46
3.3.6  锁指令  47
3.3.7  实例操作指令  47
3.3.8  数组操作指令  48
3.3.9  异常指令  48
3.3.10  跳转指令  48
3.3.11  比较指令  49
3.3.12  字段操作指令  50
3.3.13  方法调用指令  50
3.3.14  数据转换指令  51
3.3.15  数据运算指令  51
3.4  Dalvik指令集练习——写一个Dalvik版的Hello World  52
3.4.1  编写smali文件  52
3.4.2  编译smali文件  54
3.4.3  测试运行  54
3.5  本章小结  55
第4章  Android可执行文件  56
4.1  Android程序的生成步骤  56
4.2  Android程序的安装流程  59
4.3  dex文件格式  66
4.3.1  dex文件中的数据结构  66
4.3.2  dex文件整体结构  68
4.3.3  dex文件结构分析  71
4.4  odex文件格式  80
4.4.1  如何生成odex文件  80
4.4.2  odex文件整体结构  81
4.4.3  odex文件结构分析  83
4.5  dex文件的验证与优化工具dexopt的工作过程  88
4.6  Android应用程序另类破解方法  91
4.7  本章小结  93
第5章  静态分析Android程序  94
5.1  什么是静态分析  94
5.2  快速定位Android程序的关键代码  94
5.2.1  反编译apk程序  94
5.2.2  程序的主Activity  95
5.2.3  需重点关注的Application类  95
5.2.4  如何定位关键代码——六种方法  96
5.3  smali文件格式  97
5.4  Android程序中的类  100
5.4.1  内部类  100
5.4.2  监听器  102
5.4.3  注解类  105
5.4.4  自动生成的类  108
5.5  阅读反编译的smali代码  110
5.5.1  循环语句  110
5.5.2  switch分支语句  115
5.5.3  try/catch语句  121
5.6  使用IDA Pro静态分析Android程序  127
5.6.1  IDA Pro对Android的支持  127
5.6.2  如何操作  128
5.6.3  定位关键代码——使用IDA Pro进行破解的实例  132
5.7  恶意软件分析工具包——Androguard  135
5.7.1  Androguard的安装与配置  135
5.7.2  Androguard的使用方法  137
5.7.3  使用Androguard配合Gephi进行静态分析  144
5.7.4  使用androlyze.py进行静态分析  148
5.8  其他静态分析工具  152
5.9  阅读反编译的Java代码  152
5.9.1  使用dex2jar生成jar文件  152
5.9.2  使用jd-gui查看jar文件的源码  153
5.10  集成分析环境——santoku  154
5.11  本章小结  156
第6章  基于Android的ARM汇编语言基础——逆向原生!  157
6.1  Android与ARM处理器  157
6.1.1  ARM处理器架构概述  157
6.1.2  ARM处理器家族  158
6.1.3  Android支持的处理器架构  159
6.2  原生程序与ARM汇编语言——逆向你的原生Hello ARM  160
6.2.1  原生程序逆向初步  160
6.2.2  原生程序的生成过程  162
6.2.3  必须了解的ARM知识  164
6.3  ARM汇编语言程序结构  166
6.3.1  完整的ARM汇编程序  166
6.3.2  处理器架构定义  167
6.3.3  段定义  168
6.3.4  注释与标号  169
6.3.5  汇编器指令  169
6.3.6  子程序与参数传递  170
6.4  ARM处理器寻址方式  170
6.4.1  立即寻址  170
6.4.2  寄存器寻址  171
6.4.3  寄存器移位寻址  171
6.4.4  寄存器间接寻址  171
6.4.5  基址寻址  171
6.4.6  多寄存器寻址  171
6.4.7  堆栈寻址  172
6.4.8  块拷贝寻址  172
6.4.9  相对寻址  172
6.5  ARM与Thumb指令集  173
6.5.1  指令格式  173
6.5.2  跳转指令  174
6.5.3  存储器访问指令  175
6.5.4  数据处理指令  177
6.5.5  其他指令  184
6.6  用于多媒体编程与浮点计算的NEON与VFP指令集  185
6.7  本章小结  186
第7章  Android NDK程序逆向分析  187
7.1  Android中的原生程序  187
7.1.1  编写一个例子程序  187
7.1.2  如何编译原生程序  188
7.2  原生程序的启动流程分析  194
7.2.1  原生程序的入口函数  194
7.2.2  main函数究竟何时被执行  198
7.3  原生文件格式  199
7.4  原生C程序逆向分析  200
7.4.1  原生程序的分析方法  200
7.4.2  for循环语句反汇编代码的特点  204
7.4.3  if...else分支语句反汇编代码的特点  208
7.4.4  while循环语句反汇编代码的特点  211
7.4.5  switch分支语句反汇编代码的特点  215
7.4.6  原生程序的编译时优化  218
7.5  原生C++程序逆向分析  222
7.5.1  C++类的逆向  222
7.5.2  Android NDK对C++特性的支持  225
7.5.3  静态链接STL与动态链接STL的代码区别  227
7.6  Android NDK JNI API逆向分析  232
7.6.1  Android NDK提供了哪些函数  232
7.6.2  如何静态分析Android NDK程序  233
7.7  本章小结  235
第8章  动态调试Android程序  236
8.1  Android动态调试支持  236
8.2  DDMS的使用  237
8.2.1  如何启动DDMS  237
8.2.2  使用LogCat查看调试信息  238
8.3  定位关键代码  240
8.3.1  代码注入法——让程序自己吐出注册码  240
8.3.2  栈跟踪法  244
8.3.3  Method Profiling  247
8.4  使用AndBug调试Android程序  250
8.4.1  安装AndBug  251
8.4.2  使用AndBug  251
8.5  使用IDA Pro调试Android原生程序  254
8.5.1  调试Android原生程序  255
8.5.2  调试Android原生动态链接库  256
8.6  使用gdb调试Android原生程序  260
8.6.1  编译gdb与gdbserver  260
8.6.2  如何调试  262
8.7  本章小结  264
第9章  Android软件的破解技术  265
9.1  试用版软件  265
9.1.1  试用版软件的种类  265
9.1.2  实例破解——针对授权KEY方式的破解  265
9.2  序列号保护  271
9.3  网络验证  272
9.3.1  网络验证保护思路  272
9.3.2  实例破解——针对网络验证方式的破解  273
9.4  In-app Billing(应用内付费)  277
9.4.1  In-app Billing原理  277
9.4.2  In-app Billing破解方法  280
9.5  Google Play License保护  281
9.5.1  Google Play License保护机制  281
9.5.2  实例破解——针对Google Play License方式的破解  283
9.6  重启验证  284
9.6.1  重启验证保护思路  285
9.6.2  实例破解——针对重启验证方式的破解  285
9.7  如何破解其他类型的Android程序  296
9.7.1  Mono for Android开发的程序及其破解方法  296
9.7.2  Qt for Android开发的程序及其破解方法  301
9.8  本章小结  309
第10章  Android程序的反破解技术  310
10.1  对抗反编译  310
10.1.1  如何对抗反编译工具  310
10.1.2  对抗dex2jar  311
10.2  对抗静态分析  312
10.2.1  代码混淆技术  312
10.2.2  NDK保护  315
10.2.3  外壳保护  316
10.3  对抗动态调试  316
10.3.1  检测调试器  316
10.3.2  检测模拟器  317
10.4  防止重编译  318
10.4.1  检查签名  318
10.4.2  校验保护  319
10.5  本章小结  320
第11章  Android系统攻击与防范  321
11.1  Android系统安全概述  321
11.2  手机ROOT带来的危害  321
11.2.1  为什么要ROOT手机  321
11.2.2  手机ROOT后带来的安全隐患  322
11.2.3  Android手机ROOT原理  322
11.3  Android权限攻击  329
11.3.1  Android权限检查机制  329
11.3.2  串谋权限攻击  333
11.3.3  权限攻击检测  336
11.4  Android组件安全  339
11.4.1  Activity安全及Activity劫持演示  340
11.4.2  Broadcast Receiver 安全  343
11.4.3  Service安全  345
11.4.4  Content Provider安全  346
11.5  数据安全  347
11.5.1  外部存储安全  347
11.5.2  内部存储安全  348
11.5.3  数据通信安全  350
11.6  ROM安全  351
11.6.1  ROM的种类  352
11.6.2  ROM的定制过程  352
11.6.3  定制ROM的安全隐患  359
11.6.4  如何防范  360
11.7  本章小结  361
第12章  DroidKongFu变种病毒实例分析  362
12.1  DroidKongFu病毒介绍  362
12.2  配置病毒分析环境  363
12.3  病毒执行状态分析  364
12.3.1  使用APIMonitor初步分析  365
12.3.2  使用DroidBox动态分析  369
12.3.3  其他动态分析工具  373
12.4  病毒代码逆向分析  376
12.4.1  Java层启动代码分析  376
12.4.2  Native层启动代码分析  381
12.4.3  Native层病毒核心分析  393
12.5  DroidKongFu病毒框架总结  404
12.6  病毒防治  406

12.7  本章小结  406

 

《Android软件安全与逆向分析》试读:推荐序

  第一次看到生强的文章是在看雪安全论坛,他以“非虫”的笔名发表了几篇Android安全的文章。标题很低调,内容却极为丰富,逻辑清晰,实践性强,最重要的是很有“干货”。后来得知他在写书,一直保持关注,今日终于要出版了。

  这本书的价值无疑是巨大的。

  在此之前,即便我们把范围扩大到全球,也没有哪本书具体而系统地专门介绍Android逆向技术和安全分析技术。这可能有多方面的原因,但其中最重要的一点是竞争与利益。推动信息安全技术发展的,除了爱好者,大致可以分为三类:学术研究人员、企业研发人员、攻击者。

  在Android安全方向,研究人员相对更为开放——许多团队开放了系统原型的源码,或者提供了可用的工具——但有时候他们也只发表论文以介绍系统设计和结果,却不公开可以复用的资源。近两年来,顶级会议对Android安全的研究颇为青睐,他们如此选择,可以理解。

  在这个市场正高速增长的产业中,对企业而言,核心技术更是直接关系到产品的功能和性能,关系到企业竞争力和市场份额,许多企业会为了扩大技术影响而发布白皮书,但真正前沿的、独有的东西,极少会轻易公开。

  攻击者则最为神秘,为了躲避风险,他们大都想尽一切办法隐藏自己的痕迹,低调以求生存。在地下产业链迅速形成后,对他们而言,安全技术更是非法获利的根本保障。

  在这种情况下,刚刚进入或希望进入这一领域的人会发现,他们面临的是各种零散而不成体系的、质量参次不齐的、可能泛泛而谈的、也可能已经过时的技术资料,他们不得不去重复别人走过的路、犯别人犯过的错,将精力消耗在这些琐碎之中,而难以真正跟上技术的发展。

  生强的这本书,无疑将大为改善这种局面,堪称破局之作。做到这一点颇为不易,这意味着大量的阅读、总结、尝试和创造。事实上,书中介绍的很多技术和知识,我此前从未在别的地方看到过。

  另一方面,在Android这个平台,我们已经面临诸多的威胁。恶意代码数量呈指数增长,并且出现了多种对抗分析、检测、查杀的技术;应用软件和数字内容的版权不断遭到侵害,软件破解、软件篡改、广告库修改和植入、恶意代码植入、应用内付费破解等普遍存在;应用软件本身的安全漏洞频繁出现在国内外互联网企业的产品中,数据泄露和账户被盗等潜在风险让人担忧;官方系统、第三方定制系统和预装软件的漏洞不断被发现,对系统安全与稳定产生极大的威胁;移动支付从概念逐步转为实践,而对通信技术的攻击、对算法和协议的攻击时常发生;移动设备正融入办公环境,但移动平台的攻击与APT攻击结合的趋势日益明显……更糟的是,随着地下产业链的不断成熟和扩大,以及攻击技术的不断发展和改进,这些威胁和相关攻击只会来势更凶。

  毫无疑问,在Android安全上我们面临极大的挑战。在这个时候,生强的这本书起到的将是雪中送炭的作用。

  安全技术几乎都是双刃剑,它们既能协助我们开发更有效的保护技术,也几乎必定会被攻击者学习和参考。这里的问题是,大量安全技术的首次大范围公开,是否会带来广泛的模仿和学习,从而引发更多的攻击?在这个问题上,安全界一直存在争议。1987年出版的一本书中首次公布了感染式病毒的反汇编代码,引发大量模仿的新病毒出现。自此,这个问题成为每一本里程碑式的安全书籍都无法绕开的话题。我个人更喜欢的则是这样一个观点,在《信息安全工程》中,Ross Anderson说:“尽管一些恶意分子会从这样的书中获益,但他们大都已经知道了这些技巧,而好人们获得的收益会多得多。”

  在生强写这本书的过程中,我们就不少细节有过交流和讨论。他的认真给我留下了非常深刻的印象。与其他的安全书籍相比,这本书在这样几个方面尤为突出:

  实践性强。这本书的几乎每一个部分,都结合实际例子,一步步讲解如何操作。因此,它对刚入门的人或者想快速了解其中某个话题的人会有很大的帮助。事实上,缺乏可操作性,是Android安全方面现有论文、白皮书、技术文章和书籍最大的问题之一,很多人读到最后可能对内容有了一些概念,却不知道从何下手。但这本书则有很大不同。

  时效性强。在交流中,我惊讶地发现,刚刚发布不久的Santoku虚拟机、APIMonitor等工具,以及Androguard的新特性等,已经出现在了这本书中。这意味着,生强在一边写作的同时,还一边关注业界的最新进展,并做了学习、尝试和总结。因此,这本书将具有几乎和论文一样的时效性。

  深度和广度适当。这本书涉及的面很广,实际上,仅仅是目录本身,就是一份极好的自学参考大纲。而其中最实用的那些话题,例如常见C/C++代码结构的ARM目标程序反汇编特点,没有源码情况下对Android软件的调试技术等,都有深入的介绍。

  此前,我曾写过一本叫amatutor的Android恶意代码分析教程,并通过网络分享,后来由于时间和精力暂停了更新。这段经历让我尤其深刻地体会到在这样一个新的领域写出一本好书的不易。一直有人来信希望我能继续写,但自从了解到生强的这些工作,我就松了一口气,并向他们大力推荐这本书。同时,我也向周边的同事、同行推荐,我相信这本书的内容可以证明它的价值。

 

肖梓航(Claud)

安天实验室高级研究员

secmobi.com创始人