“非虫”带你剖析Android软件安全漏洞

作为手机操作系统的大赢家之一，Android已经融入了我们的生活，从手机平台渗透到智能电视、智能家居甚至智能交通、智慧物流领域。但是，恶意软件的横行也对Android系统的发展带来了负面的影响。如何才能避免成为这些恶意软件的受害者？So easy！一本《Android软件安全权威指南》帮你搞定。

《Android软件安全权威指南》是何方神圣？

五年前，Android才刚刚开始普及；五年后，Android已经“雄霸天下”了。同时，随着Android被广泛地应用到我们生活的各个领域，如何保护自己公司或者甲方的软件，甚至如何有效地进行高强度的保护性开发，都已经成为安全技术人员必须直面的需求。

在这五年中，软件保护技术从第一代壳——DEX加密、字符串加密、资源加密、反调试及自定义DexClassLoader，进化到第二代壳——DEX抽取与so加固、DEX Method代码抽取、DEX动态加载及so加固，再进化到第三代壳——DEX动态解密与so混淆、DEX Method代码动态解密及so代码膨胀混淆，直至现在最流行的第四代壳——代码虚拟化保护，也就是《Android软件安全权威指南》主要与大家分享的基于LLVM编译器实现的Obfuscator-LLVM技术。

预读此书，修炼Android安全大法的读者，请先了解：

《Android软件安全权威指南》是一本工具实践书，讲解了工具的使用与原理，以及在实际分析过程中可能遇到的大部分问题。但是，这既不代表本书能够帮助读者解决所有的问题，也不代表读者仅通过阅读本书就可以完整地理解系统的安全机制及所有的软件攻防手法——单纯通过阅读一本书无法完全了解逆向工程这门深奥的学问。

逆向工程是一种特殊的技术，它就像一把利刃，使用得当可以保护自己，使用不当就会伤害别人。本书内容只用于探讨技术，不得用于任何非法目的。任何企图通过本书介绍的技术从恶的读者，都请好自为之。

• 内容特色

初入Android安全圈的读者不必担心读不懂这本书。

循序渐进的学习路线。本书对知识与技术要点的讲解是由浅入深逐步展开的，对工具的使用及原理的讲解符合国人的学习思路。读者可以按照本书的目录顺序阅读和学习。

大量的实例分析。为了让读者充分感受技术涉及的应用场景，本书在讲解不同的技术要点时，会辅以大量的实例。书中的所有实例均由笔者精心编写并反复调试，所有代码都遵循AGPLv3协议在GitHub上进行了开源。读者可以通过阅读这些实例的源码来加深对技术的理解。

实用工具的讲解。本书提倡多动手、多实践，而实践的内容之一就是掌握书中介绍的第三方工具。除了系统地介绍一些命令，本书在讲解过程中还使用了大量的第三方工具。这些工具大都是跨平台且免费开源的。掌握这些工具的使用方法，阅读并理解这些工具所产生的代码，了解这些工具的工作原理，有助于将实践与理论结合起来。

• 如何学习本书

《Android软件安全权威指南》共12章，系统地讲解了与Android软件安全相关的环境搭建、文件格式、静态分析、动态调试、Hook与注入、软件保护技术、软件壳等主题。环境搭建是学习本书内容的门槛，这部分内容主要针对没有Android开发基础的读者，之后的每一个技术点都是既独立又相辅相成的。虽然有一定基础的读者可以跳过一些自己已经掌握的章节，直接阅读后续内容，但笔者并不鼓励大家这么做。

在本书中，对命令行工具会以直接展示终端命令和输出结果的形式讲解，对GUI工具会以截图展示操作步骤及操作结果的形式讲解。读者可以按照书中的指引一步步地进行操作。

• 读者定位

《Android软件安全权威指南》主要讲解与Android平台软件安全相关的技术，因此在读者的定位上自然离不开“软件”与“安全”这两个领域。

在“软件”领域，适合阅读本书的读者包括：

• 高校软件开发相关专业的学生；
• Android软件开发工程师；
• 系统底层开发人员。

在“安全”领域，适合阅读本书的读者包括：

• 高校信息安全相关专业的学生；
• 软件安全研究员；
• 逆向工程师；
• 病毒分析师。