因为反编译工具的存在， 安卓 APP 理论上是不是代码相当于裸奔？

[xiaoyanbot]

如题

http://blog.csdn.net/u010696783/article/details/51611532

[billlee]

客户端程序理论上都是裸奔

[seeker]

还有反汇编呢

[XiaoFaye]

大局域网内谁不是裸奔？

[kokutou]

混淆。。。

我在哪看到过说 bat 3 家的 app 混淆很恶心之类的。

[yidinghe]

混淆

[GoldenLee]

混淆，加壳，修改 zip ，加 kotlin 反编译异常代码等等。

这些只是增加了被反编译的成本，预防住了一大部分。
相当于穿了防护衣，别人在不了解的情况下要扒光你是需要很大成本的。

[KNOX]

加固过的 app 怎么反编译都是徒劳

[LeeSeoung]

@KNOX 加固过的 app 只是增加了反编译难度 并非徒劳

[KNOX]

@LeeSeoung 加固了还能找到 dex ？我用的 360 加固不能，只剩下 360 的 smali 代码。

[hahiru]

@KNOX 一般来讲不要把话说的太死比较妥当。

[KNOX]

@hahiru 我是针对楼主的问题来说的，当然以后有更牛逼的砸壳方法那就另说了。

[LeeSeoung]

@KNOX 360 的加固原 apk 里的 classes.dex 只是壳的加载入口，真正的 dex 被加密压缩放到其他地方了，可以动态调试脱壳（较为方便）或者写静态脱壳机（老 360 版本的加固 rc4 加密+lzma 压缩，现在静态已经不好搞了）

[choury]

@KNOX 你再加固也得在机器上能运行吧，我直接看汇编代码你怎么防

[KNOX]

@LeeSeoung soga ，我还是 too young 了，多谢回复。

[ijiami]

@GoldenLee 爱加密就是干这个的，赫赫

[KNOX]

@choury 哦？那你很棒棒哟

[ydxred]

@ijiami 就猜到你会来这儿!待会儿梆梆啊比戈啊这些我猜也会来的 哈哈

[ijiami]

@ydxred 我感觉他们不会来。。

[ovear]

http://ovear.info/post/154

很久之前坑掉的一篇文章

带虚拟机的语言都不是事，直接做 memory dump ，拿出来就行。

[ovear]

@ovear 至于说加密原程序的，那类壳 C#上一大堆。。还不是一键脱，看懂 360 那段代码在做什么就好，当一次人肉 CPU 。
偷懒的就直接上 memory dump

[yankebupt]

楼主估计想说，只有在线热补丁 hotfix 的代码比较安全......没运行过的都不下载，还能怎么安全
不过 hotfix 差点被各家(目前好像只有苹果)市场禁掉，因为反过来对用户不够安全......

[Pastsong]

写前端从来都是裸奔...

[fuxkcsdn]

@ovear 所以 3 年过去了，还不打算填坑吗

[est]

webpack 出来一个 10M 的 .min.js 去分析吧。

[yushiro]

@est 先找一个实际生产环境中，有 10M 大小的单个 js 文件的网站来。这种大小的 js 部署上线不会被领导骂？

[maomaomao001]

混淆过的 js 代码扔给你你也不想看了～～～(虽然它也是源代码，但是， 1 不能二次开发， 2 不能学习(除非是算法类),不然没多少意义)

[UnixCRoot]

你得看他会不会用……

[humgy]

成本，一切都是成本问题

[humgy]

就像黑客一样

[Chrisplus]

理论上来说是裸的……
混淆加固加壳各类工具本质上只是增加了反向的成本

但是裸奔也不一定意味着非安全，比如核心秘密关键操作依赖于网络可信第三方或者本机专用安全硬件等……

[phithon]

网上那些使用开源程序的网站和服务，不能算裸奔吧，关键还是代码质量和通信过程的安全。

[hhh]

360 加固好像会夹带私货？

[debye]

裸奔就裸奔也无所谓啊
大部分业务逻辑基本都在 server 端，客户端只是少量的体验性功能，有的 app 甚至是空壳

[cwek]

简单可以用混淆和加壳。
复杂就是将业务代码全部放在服务端处理，客户端就是收发界面。

[jccg90]

是的。。。只要有足够的利益，客户端都是可以破的，参考腾讯的微信，安全算是顶级的了，也照样搞出各种插件和修改版来。。。

[changwei]

@yushiro 大项目多页面路由的情况下，在没做异步模块，懒加载之前有 10m 一点也不夸张，毕竟图片， css 都打包进了 js 里面呢。

[kenX]

@yushiro

https://www.v2ex.com/t/311441
https://kyfw.12306.cn/otn/resources/js/query/train_list.js

[Lostars]

http://www.mottoin.com/89035.html
再怎么加固， dex 还是要加载到内存中运行的，可以通过各种手段 dump 出内存中的 dex 。
其实苹果的 app 才是裸奔的，它只有 appStore 一层弱弱的保护。

[zongren]

混淆就可以了，还想咋的

[zhihaofans]

@yankebupt 谷歌好像也是

[102errors]

@kenX 搞事情了😂

[introom]

有些人眼里它是穿底裤的，有些人眼里它什么都没穿。还有些人压根就没看到它。
纯粹看你是谁。

[pwcong]

@ovear 我记得我前年看过这篇文章 （微笑）



所以你不打算填坑了是吗 (╯▔皿▔)╯

[diefishfish]

所以才有服务端存在呀

[boolean93]

@yankebupt 我记得 Google Play 也是不允许 hotfix 的

[boolean93]

其实都是裸奔，读懂只是成本的问题。
只能说，我们需要尽量地提高反编译成本，让做这件事变得不值得即可。

[FrankHB]

看你定义什么叫裸，或者说想裸到什么程度。
比如我还没有见到会（无聊到）能逆向出源码中的 ASCII art 的反编译工具。