如何做好iOS应用安全?这有一把行之有效的“三板斧”

Posted

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了如何做好iOS应用安全?这有一把行之有效的“三板斧”相关的知识,希望对你有一定的参考价值。

ios应用面临很多破解问题,常见的有IAP内购破解、山寨版本、破解版本等;大众应用上,微信抢红包、微信多开等;而在iOS游戏上,越来越泛滥的外挂问题也不断困扰着游戏厂商。

技术分享图片

网易云易盾资深安全开发工程师王桂林

3月17日,Cocoa社区CVP系列开发者沙龙在北京举办,网易云易盾资深安全开发工程师王桂林出席沙龙,并做《iOS游戏的破解以及防护》的演讲,分享了究竟该如何做好App的安全防护工作。

攻防,首先得知道他们是怎么破的

要想防护的好,必须要知道对手是怎么破解的,王桂林首先分享了两个破解分析实例。

技术分享图片

游戏加速分析过程

第一个实例就是加速器,“加速器原理都差不多,只是实现方式不一样。”王桂林说,它们的原理都是通过修改时间相关函数实现加减速功能,实现方式上主要是两大类,一类是U3D,另外一类是COCOS。如何做的呢?“通过有无UnityAppController来判断是否为Unity游戏。如果为Unity游戏的话,就会用Hook OC的方法;如果不是Unity游戏,就会采用常规的Hook Gettimeofday方式修改游戏。”

技术分享图片

修改参数

技术分享图片

破解效果

只要是手游,基本都被外挂侵害,《旅行青蛙》是当下非常火的佛系游戏,网易云易盾资深安全开发工程师于是就对它进行了分析:通过iOS和安装安装包联合分析,就可以发现iOS使用的是IL2CPP模式,C#脚本转成C/C++代码,使用II2CppDumper还原符号。王桂林说:“知道这些开发情况后,就可以搜索三叶草、抽奖券代码,通过修改对应的代码达到三叶草数目无限、抽奖券变成自己想要的效果等。”

不论是加速器,还是外挂,都会伤害正常玩家——包括付费玩家,同时也会影响游戏开发者的收入,面对这些情况时,我们该怎么办?

iOS游戏安全,行之有效的“三板斧”

那iOS游戏怎么才能做好相应的保护?面对现场大家期盼的眼神,王桂林分享了网易云易盾行之有效的“三板斧”:

·         第一板斧是防静态分析,这里包括字符串加密、符号混淆、代码逻辑混淆和游戏存档加密;

·         第二板斧是防动态调试、反调试和通信安全(数据加密);

·         第三板斧是外挂检测、加速挂、内存修改挂和自动任务挂等。

技术分享图片

字符串加密

技术分享图片

代码逻辑混淆

具体来看字符串加密、符号混淆、代码逻辑混淆。字符串加密,就是在编译器编译源码时,对程序中的字符串进行加密,运行的时候动态解密;符号混淆,则是将代码中使用的类名、方法名、属性替换成其他意义的名字;代码逻辑混淆,就是在编译器编译源码时,对代码结构进行变形,提高代码的复杂度和逆向分析难度,从而保护程序不被轻易破解,里面也可以加密算法逻辑和特定的验证逻辑,比如一开始的代码结构很简单,改了以后就会变得很复杂。

技术分享图片

反调试

王桂林说,上面的都属于放静态分析范畴,它都是对变量进行加密保护,让破解者无法搜索。外挂都会有反调试分析,因此静态分析之外还有防动态调试,比如说反调试,它使应用无法被调试、避免被动态分析的风险;同时,易盾还会做通信数据加密,防止被抓包工具抓包分析。

做好上面防护之外,易盾也采取主动出击,做外挂检测、加速挂、内存修改挂和自动任务挂等。

“这就是网易云易盾行之有效的三板斧——从防静态分析到防动态调试到最后的外挂识别,全方位保护iOS应用和游戏安全。”王桂林最后说。

技术分享图片

 “移动安全诊断室”活动

今天的北京,外面大雪纷飞,室内热情似火。易盾联合Cocos首次推出面向移动游戏的诊断室服务,搭配现场分享答疑,切实降低游戏开发者的破解外挂风险。有不少参与者称赞易盾的同学有侠之精神——因为帮助他们解决了不少实际问题。


以上是关于如何做好iOS应用安全?这有一把行之有效的“三板斧”的主要内容,如果未能解决你的问题,请参考以下文章

如何做好服务器安全防护?

主流域名解析库曝重大DNS投毒漏洞,应如何做好有效应对?

PHP安全三板斧:过滤篇Laravel底层SQL注入规避

别再用lscat命令了,这有一套全新升级版,简洁快速还易上手

Linux培训后可以做哪些工作

如何做好应用商店APP运营推广?