保护app组件
保护app组件的途径有两条：1.正确使用AndroidMenifest.xml文件 2.在代码层面上强制进行权限检查
AndroidManifest 文件加固
AndroidManifest文件中的 android:exported 定义是否允许组件被其它app调用，如果app中的组件不需要被其它app调用，或者需要明确的与android系统其它部分的组件的交互隔离开的话，应该在AndroidManifest文件中加入如下属性：
<[组件名]android:exported = false></组件名>
原理
通过AndroidManifest.xml文件进行权限检查对于不同类型的app组件，作用是不同的，因为它们是通过不同的进程间通信(IPC)机制进行交互的，不同的app组件，android:permission的作用是不同的
效果
Activity:使得外部app中的组件，不能成功使用startActivity或startActivityForResult运行相应的ActivityService：使外部app中的组件不能绑定(通过调用bindService())或启动(通过调用startService())相应的ServiceReceiver 限制能向该receiver发送广播intent的外部app组件的数量Provider 对能通过该content provider访问的数据进行访问限制
通过定制权限保护组件
Android平台定义了一系列用于保护系统服务和app组件的默认权限，可以对权限进行调整和定制
做法
在string.xml中声明表示permission标签的字符串
<
string name=
"custom_permission_label">
Custom Permission</
string>
在app中添加保护级别为normal的定制权限
在AndroidManifest
.xml中
<permission android:name =
"android.permission.CUSTOM_PERMISSION"
android:protextionLevel =
"normal"
android:description =
"My custom permission"
android:label =
"@string/custom_permission_label"
>
在组件中使用，为了让这个权限能和其他权限一样工作，需要将它添加到app中某个组件的android:permission属性中去
activity <activity ... android:permission = "android.permission.CUSTOM_PERMISSION"> </activity> content provider <provider ... android:permission = "android.permission.CUSTOM_PERMISSION"> </provider> *service <service ... android:permission = "android.permission.CUSTOM_PERMISSION"> </service> 也可以通过声明user-permission的方式让其它app也能请求这一权限
<uses-permission android:name="android.permission.CUSTOM_PERMISSION"/>
定义权限组
定制的权限还可以在逻辑上分组，可以通过分配语法，告知请求一个给定权限的app或者请求某几个权限的组件，
做法
添加一个表示权限组的标签(label)的字符串，可以在string.xml中添加
<
string name =
"my_permissions_group_label">Personal Data
Access</
string>
2.在AndroidManifest.xml中添加
<permission-group
android:name =
"android.permissions.personal_data_access_group"
android:label =
"@string/my_permissions_group_label"
android:description =
"Permissions that allow access to personaldata"
>
分配定义的权限到组中
<permission
...
android:permissionGroup =
"android.permission.personal_data_acess_group"/>
标签解释
android:name 定义名称androidprotectionLevel:定义权限的保护级别
normal:定义非危险级别dagerous:定义那些会使用户暴露在财务、名誉、或法律风险下权限signature:自动赋予那些由定义该权限的app相同签名的appsignatureOrSystem:该权限会被自动赋予那些作为系统镜像的一部分或者有定义该权限的app相同签名的app
保护content provider路径
确保已经为之注册了适当权限
做法
需要设置一个用于管理所有与你的认证相关路径的读和写权限的permission，在AndroidManifest 添加provider元素
<provider android:enabled =
"true" android:exported =
"true" android:authorities =
"com.android.myAuthority android:name = "com.myapp.provide
r"
android:permission="[permission name]
"
>
permission name 是其他app在读或写任何content provider路径时必须拥有的权限。把相关权限添加在这一级别
可以要求提供读写权限
<provider android:writePermission =
"[write permission name]"
android:
readPermission =
"[read permission name]"
>
</provider>
还可以加入元素
<provider
...>
<path
-permission android:path
= "/[path name]"
android:permission
= "[read/write permission name]"
</provider
>
可以使用URI授权
<provider...>
<grant-uri-permission android:path="[path name]"/>
</provider>
防御SQL注入攻击
避免使用SQLiteDatabase.rawQuery() 改用一个参数化的语句，将参数转换
INSERT VALUES INTO [
table name](
?,?,?,?,....)
验证App签名 (防篡改)
*通过获取keytool工具签名时的证书指纹 SHA1，与app中读取出来的指纹进行比较。
* 获取当前运行的app的指纹代码：
public String
getCertificateSHA1Fingerprint(Context context) {
PackageManager pm = context.getPackageManager();
String packageName = context.getPackageName();
int flags = PackageManager.GET_SIGNATURES;
PackageInfo packageInfo =
null;
try {
packageInfo = pm.getPackageInfo(packageName, flags);
}
catch (PackageManager.NameNotFoundException e) {
e.printStackTrace();
}
Signature[] signatures = packageInfo.signatures;
byte[] cert = signatures[
0].toByteArray();
InputStream input =
new ByteArrayInputStream(cert);
CertificateFactory cf =
null;
try {
cf = CertificateFactory.getInstance(
"X509");
}
catch (Exception e) {
e.printStackTrace();
}
X509Certificate c =
null;
try {
c = (X509Certificate) cf.generateCertificate(input);
}
catch (Exception e) {
e.printStackTrace();
}
String hexString =
null;
try {
MessageDigest md = MessageDigest.getInstance(
"SHA1");
byte[] publicKey = md.digest(c.getEncoded());
hexString = byte2HexFormatted(publicKey);
}
catch (NoSuchAlgorithmException e1) {
e1.printStackTrace();
}
catch (CertificateEncodingException e) {
e.printStackTrace();
}
return hexString;
}
private String
byte2HexFormatted(
byte[] arr) {
StringBuilder str =
new StringBuilder(arr.length *
2);
for (
int i =
0; i < arr.length; i++) {
String h = Integer.toHexString(arr[i]);
int l = h.length();
if (l ==
1)
h =
"0" + h;
if (l >
2)
h = h.substring(l -
2, l);
str.append(h.toUpperCase());
if (i < (arr.length -
1))
str.append(
':');
}
return str.toString();
}
通过检测安装程序、模拟器、调试标志位反逆向
检查发布渠道是否正常检查自己是不是运行在一个模拟器中检查app的可调式标识位是否被打开
用ProGuard 删除所有日志信息
ProGuard是一个开源的java代码混淆器，Android SDK自带这个工具Android studio 环境中设置
minifyEnabled
true
proguardFile
file(
'proguard-rules.pro')
proguardFiles getDefaultProguardFile(
'proguard-android.txt'),
'proguard-rules.pro'
用GexGuard进行高级代码混淆
GexGuard要比ProGuard的可维护性和可测试性更多，编译和输出则是经过优化和加固的。使用GexGuard可以获得更多的安全性，同时，它还具有：API隐藏和字符串加密的特性
API隐藏：使用API的反射机制对敏感API和代码的调用。字符串加密：把源代码中的字符串加密，增加逆向的难度
DexGuard是收费的，但是对于一个公司来说是可以承受的
DexGuard要比Proguard要强大，提供资源文件的混淆，和代码修改的检测
