Android

关注公众号 jb51net

关闭
首页 > 软件编程 > Android > Android 资源混淆

Android 资源混淆的方案及注意事项

作者：TokenYc

资源混淆有助于减小包体积，也可以提高被反编译后阅读代码的难度。还可以应对一些安全检测机构对于资源混淆要求。本文基于微信的Android资源混淆工具，实现资源混淆

原理

Android的资源类型是很多的，比如说drawable，string，layout等，aapt在打包时，会将这些资源的名称，id和位置打包进一个resources.arsc包。 通过AndroidStudio可以查看resouces.arsc文件的内容。

AndResGuard大致上做的就是修改资源的名称和路径，修改为a b c这种简短的名称。​

注意事项

如果你的资源，存在使用插件化的方式加载的，即：使用名称去找id，再用id去加载资源，由于资源的名称已经修改过了，所以会无法找到id。这种情况不能混淆。框架中提供了添加白名单的方法。 但是三方sdk中隐藏的插件化方式有点防不胜防。官方提供了常见的sdk白名单​

使用方法

我使用的是gradle集成的方式

1.添加gradle配置
2.设置白名单，我设置了除了layout以外所有的资源不进行混淆，因为我的需求是应付安全监测，并且我们的项目中存在图片插件加载，为了降低后期维护成本，就不进行混淆了。
3.执行命令：resguardRelease 与assemble类似
具体可以参考github

一些细节

附：美团的资源混淆方案

Android查找资源的流程

在Android系统中，每一个应用程序一般都会配置很多资源，用来适配不同密度、大小和方向的屏幕，以及适配不同的国家、地区和语言等等。这些资源是在应用程序运行时自动根据设备的当前配置信息进行适配的。这也就是说，给定一个相同的资源ID，在不同的设备配置之下，查找到的可能是不同的资源。
 这个查找过程对应用程序来说，是完全透明的，这个过程主要是靠Android资源管理框架来完成的，而Android资源管理框架实际是由AssetManager和Resources两个类来实现的。其中，Resources类可以根据ID来查找资源，而AssetManager类根据文件名来查找资源。事实上，如果一个资源ID对应的是一个文件，那么Resources类是先根据ID来找到资源文件名称，然后再将该文件名称交给AssetManager类来打开对应的文件的。
 基本流程如下图：

通过上图我们可以看到Resources是通过resources.arsc把Resource的ID转化成资源文件的名称，然后交由AssetManager来加载的。
 而Resources.arsc这个文件是存放在APK包中的，他是由AAPT工具在打包过程中生成的，他本身是一个资源的索引表，里面维护者资源ID、Name、Path或者Value的对应关系，AssetManager通过这个索引表，就可以通过资源的ID找到这个资源对应的文件或者数据。

AAPT

AAPT是Android Asset Packaging Tool的缩写，它存放在SDK的tools/目录下，AAPT的功能很强大，可以通过它查看查看、创建、更新压缩文件(如 .zip文件，.jar文件, .apk文件), 它也可以把资源编译为二进制文件，并生成resources.arsc, AAPT这个工具在APK打包过程中起到了非常重要作用，在打包过程中使用AAPT对APK中用到的资源进行打包，这里不对AAPT这个工具做过多的讨论，只看一下AAPT这个工具在打包过程中起到的作用，下图是AAPT打包的流程：

 AAPT这个工具在打包过程中主要做了下列工作：

  1. 把”assets”和”res/raw”目录下的所有资源进行打包（会根据不同的文件后缀选择压缩或不压缩），而”res/”目录下的其他资源进行编译或者其他处理（具体处理方式视文件后缀不同而不同，例如：”.xml”会编译成二进制文件，”.png”文件会进行优化等等）后才进行打包；
  2. 会对除了assets资源之外所有的资源赋予一个资源ID常量，并且会生成一个资源索引表resources.arsc；
  3. 编译AndroidManifest.xml成二进制的XML文件；
  4. 把上面3个步骤中生成结果保存在一个*.ap_文件，并把各个资源ID常量定义在一个R.java中；

资源混淆

我们知道在系统的Proguard中，对APK中资源文件名使用简短无意义名称进行替换，给破解者制造困难，从而做到资源的相对安全。通过阅读AAPT编译资源的代码，我们发现修改AAPT在处理资源文件相关的源码是能够做到资源文件名的替换，下面是Resource.cpp中makeFileResources()的修改的代码片段：

static status_t makeFileResources(Bundle* bundle, const sp<AaptAssets>& assets,
                                      ResourceTable* table,
                                      const sp<ResourceTypeSet>& set,
                                      const char* resType)
    {
        String8 type8(resType);
        String16 type16(resType);

        bool hasErrors = false;

        ResourceDirIterator it(set, String8(resType));
        ssize_t res;
        while ((res=it.next()) == NO_ERROR) {
            if (bundle->getVerbose()) {
                printf("    (new resource id %s from %s)\n",
                       it.getBaseName().string(), it.getFile()->getPrintableSource().string());
            }
            String16 baseName(it.getBaseName());
            const char16_t* str = baseName.string();
            const char16_t* const end = str + baseName.size();
            while (str < end) {
                if (!((*str >= 'a' && *str <= 'z')
                        || (*str >= '0' && *str <= '9')
                        || *str == '_' || *str == '.')) {
                    fprintf(stderr, "%s: Invalid file name: must contain only [a-z0-9_.]\n",
                            it.getPath().string());
                    hasErrors = true;
                }
                str++;
            }
            String8 resPath = it.getPath();
            resPath.convertToResPath();

            String8 obfuscationName;
            String8 obfuscationPath = getObfuscationName(resPath, obfuscationName);

            table->addEntry(SourcePos(it.getPath(), 0), String16(assets->getPackage()),
                            type16,
                            baseName, // String16(obfuscationName),
                            String16(obfuscationPath), // resPath
                            NULL,
                            &it.getParams());
            assets->addResource(it.getLeafName(), obfuscationPath/*resPath*/, it.getFile(), type8);
        }

        return hasErrors ? UNKNOWN_ERROR : NO_ERROR;
    }

上述代码是在ResourceTable和Assets中添加资源文件时， 对资源文件名称进行修改，这就能够做到资源文件名称的替换，这样通过使用修改过的AAPT编译资源并进行打包，从而达到保护资源的目的。

以上就是Android 资源混淆的使用及注意事项的详细内容，更多关于Android 资源混淆的资料请关注脚本之家其它相关文章！

您可能感兴趣的文章:
阅读全文