【技术交流帖】一张表格看懂：五代加固技术发展历程及优缺点比较

JimmyJLNU

cacorot 发表于 2022-1-29 09:52
所谓的“第五代” 其实在数字壳就有了。

难道现在大数字已经直接开搞VMP了吗？@涛之雨

n1598k

好家伙

JimmyJLNU

cacorot 发表于 2022-1-29 09:52
所谓的“第五代” 其实在数字壳就有了。

怪不得现在大数字的壳根本没法拖，即使脱掉了也没法恢复原状，你可以拿这个样本试一下。

Hasky

JimmyJLNU 发表于 2022-1-29 10:38
怪不得现在大数字的壳根本没法拖，即使脱掉了也没法恢复原状，你可以拿这个样本试一下。 ...

有啥难度

cacorot

Hasky 发表于 2022-1-29 12:46
有啥难度

对大佬来说没啥难度。我只是表达 这里所谓的 “第五代”跟脱修没啥关系。只是LLVM IR VMP是对c++代码的处理。跟dex vmp没毛关系。楼主明显是混淆视听，居心叵测

q28256445

学一下？，

【暗★夜】

学习一下

JimmyJLNU

全网最全安卓应用加固特征库

完整版列表

（2022年2月6日更新）

查看高清版大图

（文字版详见附件哦~）

猛戳这里下载电脑端查壳工具！！！
2022 重磅更新 崭新上线 精准查壳！！！

迎冬奥，贺新春！

为感谢各位亲们的支持

特别附赠9款本人自用已经加固的实用精品APP

完全汉化，无广告骚扰

MT论坛用户专享！

（下载链接见该帖子的置顶楼层哦~）

托马斯

看看大佬

怜渠客

这上面的三代加固，指令抽取就是啊

JimmyJLNU

怜渠客 发表于 2022-1-31 14:52
这上面的三代加固，指令抽取就是啊

三代的指令抽取和四代的指令转换是有区别的，我发的那个案例很明显就是把java转换成了native【强制调用SO文件】，说明这应该是大数字的第四代壳，因此不能完全把壳脱掉。前三种壳从理论上来说是可以完全脱掉的，一旦完全脱掉后，就可以彻底摆脱对SO文件的依赖关系，而四五代壳则必须要保留SO文件，所以不能完美脱壳，只能搞PMS HOOK，也就是强制返回原始包的正确签名数据欺骗，但是这种方法也被最新版的加固给破解了（不再信任常规系统函数，而是照抄安卓源码自己实现），所以就有了这则帖子。所以大家就理解大数字和爱加密的防打包签名效验不好过的真实原因了。
但从广义来说，第四代壳实际上建立在第三代壳的基础之上的，也就是说，指令转换实际上也是进行了抽取，也就是先抽取再转换。
用一句话总结，就是：三四代壳的判断标准就是被抽取的指令是否与SO文件有关联，没有关联就是第三代壳，反之就是第四代壳。

@怜渠客 毕竟你自己也在那则帖子当中提到了：你也看到了 主界面都native oncreate了，里面代码都空了，无法运行

MT杏徒

谢谢大佬分享

JimmyJLNU

怜渠客 发表于 2022-1-31 14:52
这上面的三代加固，指令抽取就是啊

大家都知道DEX文件实际上就是class（类）文件的集合（所以大家就明白为什么叫classes.dex了，class的复数形式难道还不懂吗），而.class文件，其实就是java源代码，DEX反编译出来的是smali没错，但后者是可以转换成java的，java也可以转为smali，我之前给大家分享的这个小工具就可以做到自由转换，而且AS上也有JAVA转smali的第三方插件。但是java码转native码却是一个不可逆的操作，特别不方便后期代码维护（code review）。所以我一直反对这样搞，当年华为推出方舟编译器的时候，我就曾在知乎上发长回答实名反对过。如果以后我去写小程序的话，能尽量不用so库就不要用so库，否则出现啥问题都不好排查(╥ω╥`)。更何况不用so也能做出好软件，比如我到现在为止一直还在使用的VIA浏览器。

Hasky

JimmyJLNU 发表于 2022-1-29 10:38
怪不得现在大数字的壳根本没法拖，即使脱掉了也没法恢复原状，你可以拿这个样本试一下。 ...

没多大难度 一样修复了native onCreate

涛之雨

之前看到过个很奇怪的app，
有flutter的标志，
apk显示乐固加固，
声明没有乐固特征，
（乐固只加固了so）
但是主要的算法都在java层，
so只做了一个aes的解密，
（so里调用的是系统aes算法，一hook就hook到了）

（加固了个寂寞。。。）