昨天收到一份安全檢測報告，其中就有一個代碼保護不足的問題，簡單描述就是：通過反編譯得到程序代碼以后，惡意修改后重新編譯再簽名安裝。針對這個問題簡單的查了一些資料做一些記錄。但這些處理也不是很好，只是讓惡意破解麻煩了一點罷了（并未進行實踐，有時間要試驗一下）。
ToolBar+DrawerLayout使用
Android 自定義側滑菜單效果(ViewDragHelper)
一站式CoordinatorLayout+ToolBar聯動使用
多布局之RecyclerView與Json數據（GridLayoutManager實現）+多選
簽名校驗
反編譯 dex，修改重新打包簽名后 apk 的簽名信息肯定會改變，所以可以在代碼中判斷簽名信息是否不一致，不一致就不進入程序。
public static String getSignature(Context context) {
PackageManager pm = context.getPackageManager();
PackageInfo pi;
StringBuilder sb = new StringBuilder();
try {
pi = pm.getPackageInfo(context.getPackageName(), PackageManager.GET_SIGNATURES);
Signature[] signatures = pi.signatures;
for (Signature signature : signatures) {
sb.append(signature.toCharsString());
}
} catch (PackageManager.NameNotFoundException e) {
e.printStackTrace();
}
return sb.toString();
}
拿到字符串以后，可以對字符串進行MD5加密等加密手段，然后與存放在本地的加密字符串作比較，不相等則不進入APP。originalSign為自己打包簽名文件所得到的字符串。
public static boolean verifySignature(Context context, String originalSign){
String currentSign = getSignature(context);
if (originalSign.equals(currentSign)) {
return true;//簽名正確
}
return false;//簽名被篡改
}
對classes.dex文件完整性校驗
DEX文件打包在APK文件中，針對APK代碼的篡改攻擊就是針對該文件，比如使用apktool工具反編譯文件，修改smali代碼。以下就是通過檢查classes.dex文件的CRC32值來判斷文件是否被篡改。
其中R.string.str_code是存放在本地的crc加密后的值，string.xml文件是不在dex文件中的，所以修改string.xml文件是不會造成crc值的變化（親測），其實也可以把這個值存放在后臺，通過請求網絡來獲取。（感覺沒必要，為什么，往下看哈）
private void checkCRC() {
String orginalCrc = getString(R.string.str_code);
ZipFile zf;
try {
zf = new ZipFile(getApplicationContext().getPackageCodePath());
ZipEntry ze = zf.getEntry("classes.dex");
String strCrc = String.valueOf(ze.getCrc());
String MD5Crc = MD5Util.GetMD5Code(strCrc);
Log.e("checkcrc", MD5Crc);
if (!orginalCrc.equals(MD5Crc)) {
//ActivityManagerUtil.getScreenManager().removeAllActivity();
Process.killProcess(Process.myPid());
}
} catch (IOException e) {
e.printStackTrace();
}
}
還有其它幾種方法，比如校驗APK包的完整性、對簽名文件中classes.dex哈希值的校驗等。其實都大同小異。
把這些手段用在了程序中，但是通過多次反編譯，都很容易確認程序在什么地方做了這些處理（可全局搜索關鍵詞），惡意破解的話直接將修改返回值true或false,或者修改接收這個函數的if-else語句條件取個反，直接就繞過了判斷。
比較科學一點的辦法就是放在NDK層去校驗了，這種校驗稍微安全點，畢竟能逆向 C 和 C++ 的少一點。這里就要借鑒大佬的博客了(→點我←)，里面有講到如果在NDK層來做校驗。
