隨著數字化的普及，各類App的功能愈加豐富，相關的風險事件和違規現象也越來越多。監管部門對保障App使用者合法權益非常重視，自2019年來，聯合開展App專項整治工作，與App治理相關的法律檔案也相繼出臺。違法違規的App不僅收到監管機構的通報批評，還面臨被下架等監管處罰，因此App開發者和運營者必須加強App安全和合規的重視。

安全與合規是App的關鍵

針對App安全與合規性要求，《網路安全法》、《個人資訊保護法》、《App違法違規收集使用個人資訊行為認定方法》、《移動網際網路應用程式資訊服務管理規定》等均有明文規定。在具體操作層面來看，主要涉及到App五個方面：個人隱私安全、敏感許可權安全、資料儲存安全、App應用安全和App基礎安全。

其中，App基礎安全方面需要具有五大能力：

能夠對虛擬機器、模擬器和Root環境進行檢測的能力。

能夠防止IDA、JDB等工具除錯的能力。

能夠防止程式碼動態注入的能力。

能夠防止App被篡改並二次打包的能力。

能夠防止脫殼工具的能力。

在App應用安全方面，需要能夠保障程式、環境、資訊、儲存、元件的安全，並能夠防範惡意攻擊。

程式安全：是否存在惡意程式碼、病毒木馬、惡意行為等風險。

環境安全：App執行環境安全評估，是否存在反除錯、注入、記憶體durmp、加速、二次打包等風險。

資訊保安：是否存在敏感資訊被攔截監聽的風險。

儲存安全：是否存在本地儲存明文密碼、SQL隱碼攻擊、資訊殘留的風險。

元件安全：是否存在動態元件、元件匯出、被系統或三方直接呼叫的風險。

防範惡意攻擊：是否存在動態注入、遠端程式碼執行、漏洞利用等風險。

三方面助力App安全與合規

頂象端加固為App提供安全加固、風險預警及全生命週期風控保障，滿足安全和合規要求。

全方位保障App安全

安全威脅與駭客攻擊主要透過程式碼的脆弱性實現的。針對程式碼安全，頂象端加固能夠針對已有應用進行安全性檢測，發現應用存在的風險漏洞並針對性進行修復整改，對敏感資料、程式碼混淆、程式碼完整性、記憶體資料等進行保護，從源頭上避免系統漏洞對於應用本身造成的安全影響。

頂象端加固能有效防禦記憶體注入、Hook、除錯、注入、多開、記憶體Dump、模擬器、二次打包和日誌洩露等攻擊威脅，防止App遭入侵、篡改、破解、二次打包等惡意侵害，其獨有“蜜罐”功能、保護Android 16種資料和檔案，提供7種加密形式，率先支援對iOS免原始碼加固。並能夠對金鑰儲存檔案、配置類檔案的進行加密，保障原始碼和資料安全。

為App提供實時風險預警

作為頂象防禦雲的一部分，頂象端加固支援安卓、iOS、H5、小程式等平臺，獨有云策略、業務安全情報和大資料建模能夠力。

基於防禦雲，頂象端加固能夠為App提供移動應用執行是進行安全監測，對移動應用執行時終端裝置、執行環境、操作行為進行實時監測，幫助App建立執行時風險的監測、預警、阻斷和溯源安全體系。

為App建立全生命週期防控體系

App 應用安全加固呈現常態化、泛邊界化和專業化的趨勢，這意味著企業自身簡單的防護已經無法滿足當前網路安全防護的新趨勢，亟待建立更為全面的安全防禦體系。

頂象端加固從App的設計、開發、釋出、維護等全生命週期環節解決移動應用在核心程式碼安全、邏輯安全、安全功能設計、資料傳輸鏈路安全等多個維度的問題，助力築牢安全防線。

頂象端加固的獨有特性

作為基於第五代虛擬機器原始碼保護技術的頂象端加固，透過利用虛擬機器技術保護App中的所有程式碼，包括java、Kotlin、C/C++等多種程式碼，虛擬機器技術主要是透過把核心程式碼編譯成中間的二進位制檔案，隨後生成獨特的虛擬機器原始碼，保護執行環境和只有在該環境下才能執行的執行程式。透過基於llvm工具鏈實現ELF檔案的vmp保護。透過虛擬機器保護技術，讓ELF檔案擁有獨特的可變指令集，大大提高了指令跟蹤，逆向分析的強度和難度。

經過頂象端加固後的App，安全性大幅提升，有效對抗各類攻擊威脅。

1.字串加密。將App的原始碼中敏感字串做隨機加密處理。在執行時進行對字串動態解密，這樣就可以避免攻擊者，透過利用工具進行靜態逆向分析發現關鍵字串資訊，從而快速定位到應用中的業務程式碼。

2.控制流平坦化。將so檔案中C\C++程式碼中的執行控制邏輯變換為平坦的控制邏輯，從抽象語法樹層面進行深度混淆，使得其在常用反編譯工具中，極大的降低反編譯逆向程式碼的可讀性，增加逆向程式碼的分析難度。

3.指令替換。對程式碼中的運算表示式進行等效轉換，使其在常用反編譯工具中，提高破解者逆向分析門檻，有效的保護核心演算法的原始邏輯。

4.區域性變數名稱混淆。對原始碼中的變數名稱進行做混淆操作，混淆後變數名稱變成無任何意義的名稱。這給分析者加大了分析強度。

5.符號混淆。對App應用中的類名稱、函式名稱進行混淆操作，增大直接用工具分析難度，讓反編譯逆向工具，無法直接透過類名稱、函式名稱進行快速定位App的核心程式碼。

6.混淆多樣化。採用在混淆過程中引入隨機性技術，在相同的混淆策略下，每次混淆後的程式碼均不一致，進一步提升攻擊者透過利用工具進行靜態分析的難度。

7.不透明謂詞。將程式碼中分支跳轉判斷條件，由原來的確定值變為表示式，增加程式邏輯的複雜性、降低程式碼的可讀性。

8.防動態除錯。對App應用進行防除錯保護、檢測到配置防動態除錯功能的類、方法、函式被IDA逆向工具進行動態除錯時候，App應用進行自動退出執行操作，有利於保護App應用直接被動態除錯，從而提高攻防對抗的門檻。

9.防動態注入。對App應用進行防動態注入保護，當利用zygote或ptrace技術進行App應用的注入操作時，App應用進行自動退出執行操作，以此進行防禦攻擊方對App應用的非法操作，避免動態分析執行程式碼，從而達到動態保護App應用安全。

10.HOOK檢測。對App進行防HOOK保護，檢測到配置防hook保護功能的類名、方法名、函式名在被frida、xposed等工具動態hook時候，App進行自動退出操作，以此進行提高防禦App安全性，保護App不被注入攻擊，抵禦惡意侵入。

11.程式碼段檢驗。對App應用中的程式碼段進行完整性校驗，發現程式碼段被篡改，App應用進行自動退出執行，防止App應用中的程式碼邏輯被篡改，以此進行動態保護App的原始碼安全性。

12.完整性校驗。對App中指定的函式級進行完整性校驗，當應用被重新簽名和程式碼的完整性遭到破壞時候，檢測點進行觸發App程式閃退，以此抵禦主流的偵錯程式除錯分析，從而達到動態保護程式安全。

頂象端加固已為政務、電商、物流、家居、新能源、網際網路的領域的App安全與運營合規服務，進一步提升了機構和企業的業務安全防護能力。

——————
業務安全產品：免費試用