爱加密安全清场SDK核心技术与原理 – 作者:爱加密123-安全小百科

如今，数字化、智能化时代，各种新技术，新应用层出不穷，带来的安全问题也层出不穷。网络安全问题不仅阻碍了移动互联网产业的健康发展，也极大地影响了用户的日常生活。新型网络犯罪、勒索病毒、网络攻击威胁等，严重威胁着社会安全和民生服务。

爱加密专注于移动应用安全，拥有安全防护、安全检测、安全管理、业务运营、威胁感知、安全监管、安全服务七大产品体系。其中移动应用安全清场SDK通过采集威胁行为数据和安全事件日志，帮助客户对终端上存在的危险环境以及危险行为进行预知判断，并将结果反馈给应用，由应用对终端环境的检测结果进行处理。

Android安全清场功能

框架攻击行为

爱加密Android安全清场SDK提供框架攻击行为检测，并囊括了已知的所有框架攻击行为检测，并且判断使用的攻击插件。Android系统支持多种框架APK安装，框架应用（如Xposed、Substrate框架、Frida框架、WSM框架、Magisk框架）支持随意修改系统信息与应用信息，可用于优化Android系统，提高系统使用率，同时黑客可利用框架进行应用进程修改、监控、获取App函数信息和数据。

注入攻击行为

爱加密Android安全清场SDK提供注入攻击行为检测，当攻击者注入so来劫持调用函数时，能检测该注入行为信息，并进行回调反馈。

调试攻击行为

爱加密Android安全清场SDK提供调试攻击行为检测，当攻击者通过gdb、ida等手段对程序进行调试时，能检测该调试行为信息，并进行回调反馈。

劫持攻击行为

爱加密Android安全清场SDK提供劫持攻击行为检测，当应用界面失去焦点被仿冒恶意界面进行劫持时，将此信息进行回调反馈。

模拟器攻击检测

爱加密Android安全清场SDK提供模拟器检测功能，通过虚拟设备和真实设备的硬件差别以及各模拟器的特征行为进行检测，并将检测结果进行回调反馈。

ROOT攻击行为

爱加密Android安全清场SDK提供ROOT检测功能，通过检测系统的特征信息以及特征行为来判断当前系统是否拥有ROOT权限，并将检测结果进行回调反馈，开发者可自定义进行提示、强制退出等响应。

应用多开检测

爱加密Android安全清场SDK提供应用多开检测功能，通过检测应用沙盒目录、应用列表、多开应用黑名单以及系统权限来判断当前应用是否作为多开应用启动，并将检测结果进行回调反馈，开发者可自定义进行提示、强制退出等响应。

iOS安全清场功能

越狱检测

爱加密iOS安全清场SDK针对这一问题开发了越狱检测功能，当集成SDK的程序启动时，对当前运行环境进行扫描识别，发现越狱相关特征时，可根据开发者预设场景进行提示、强制退出等响应，爱加密iOS安全清场SDK中的越狱检测接口，能够针对市面上已有的越狱插件，如：xCon、BreakThrough、tsProtector8等越狱绕过插件进行有效防御。

重签名检测

爱加密iOS安全清场SDK重签名检测技术目前采取Bundle+TeamID的双重校验方式。将签名信息从Mach-O文件中进行提取，能避免出现系统方法被拦截后检测失效的情况。

Cydia Substrate框架攻击检测

当应用越狱后，注入到目标应用中的动态库会默认安装在CydiaSubstrate目录下，爱加密iOS安全清场SDK通过对Cydia Substrate的检测，能及时发现潜在的安全风险。

逆向分析工具检测

iOS逆向分析的方法主要包括静态以及动态两种分析方法。爱加密iOS安全清场SDK能够检测市面上已有的逆向分析工具，如：Reveal，Flex，Flex 3，substrate、cycript等。当检测到逆向分析工具的进程时，开发者可自定义场景向用户示警或直接退出，以达到保护应用的目的。

调试器检测

爱加密iOS安全清场SDK提供检测接口对调试器状态进行获取，当应用被调试的时候，会将检测结果进行回调反馈，开发者可自定义场景向用户示警或直接退出，以达到保护应用的目的。

反调试器检测

单纯的使用一种方式来检测到程序被调试器附加是比较容易被绕过的，在实际项目中，使用多种反调试手段来对抗逆向分析效果会更佳。然而，一旦反调试的方法在网络上公开后，很快就会出现绕过的方法。爱加密iOS安全清场SDK采用自研反调试算法，对调试器检测进行双重保护。

代码段验证

破解者在动态调试的时候，会使用断点，内联hook，这些操作都会修改代码段。爱加密iOS安全清场SDK会检测代码段是否被修改了，来检测调试断点，内联hook等修改代码段的行为，以达到保护应用的目的。