首页
论坛
课程
招聘
[原创]主流安卓APP反作弊及反反作弊的一些思路和经验汇总
2020-11-4 00:06 14812

[原创]主流安卓APP反作弊及反反作弊的一些思路和经验汇总

2020-11-4 00:06
14812

作弊检测

基于设备

1.检测是否存在危险APP包名

主要检测hook框架,模拟点击工具,magisk,supersu等root工具

2.检测是否存在危险Class

主要检测hook框架的安卓框架层包

3.检测是否存在root权限

一般通过是否存在bin、sbin目录里的su文件,kingroot权限管理apk

4.检测是否有调试状态

default.prop文件的ro.secure=1、ro.debuggable=1状态,/proc/self/status文件的TracerPid值

5.检测是否设备是否出厂ROM

一般通过android.os.Build的各类参数值来判断,如Build.fingerprint

6.一些设备常规信息,比如电量状态,usb状态,屏幕亮度,地理位置,wifi或者sim卡信息,ip,mac等。

一般批量操作或者抹机操作的时候这些值更改难度和成本比较大,所以这些指标能伪造会大大降低被风控

基于行为

1.Log日志搜集

开发时有Log.i Log.e等运行日志,大部分APP用这个来调试或者检测APP的运行情况,并且release版本一般有个boolean值来开关,如果能hook掉这个开关就容易检测APP。

2.Exception栈信息搜集

大部分APP的日志会搜集Exception,如果栈里有hook框架的包路径就会把自己给杀死,让hook难以长久执行,怕APP变成一个微型服务器抓包工具。

3.统计sdk的信息,如talkingdata、umeng等

一般阿里系的会用umeng来做统计工具,一般这些sdk都有自己的唯一编号,有些app引用这个编号来做一个指标去判断app的安装唯一性,有的会通过统计数据来判断批量作弊行为,因为这些sdk会搜集一些设备指纹并且技术和破解还原难度比较大的。

4.异常上报sdk,比如buggly等

异常上报sdk一般记录运行时所有的异常情况,并且会记录设备指纹,通过这些也能检测到作弊的一些设备。

反反作弊方法及思路

当前主流APP的反作弊策略

1.搜集设备指纹

如数美易盾或者一些大的app都会内嵌搜集设备指纹的模块,通过设备指纹来确定设备的唯一性,如imei、android_id、mac、其他设备信息结合起来就能变成一个唯一的标志。

2.搜集IP、MAC地址、蓝牙MAC、WIFI等网络指纹

大量的搜集后跟其他搜集的信息结合并且不断地完善代理ip和黑ip、mac库,就能不断地能识别作弊源头。

3.地理位置、下载渠道、授权登录

地理位置和ip是否对应、基站信息是否对应、或者设备型号跟下载渠道对应、一般小米手机的软件大部分应该小米商城下载的,比如微信授权登录,QQ授权登录等、如果模拟授权登录需要破解其他给权的APP的一些协议。

4.参数签名、参数加密

一般APP会把get或者post的参数通过某种算法去签名,并且这个签名难还原。比如抖音的x-gorgon,有的把post或者get参数直接加密,一般通过aes、rsa、des等

5.私有网络协议、protobuf等协议、私有网络证书、反代理抓包

目前比较流行protobuf协议替代json,还有一些私有TCP/Socket协议,这些协议不可直接读,需要一个解析工具或者分析还原。私有网络证书需要证书密钥配合代理抓包工具才能抓包分析,这种其实难度在于找到证书密钥和判断是否用了私有证书,一般聊天APP的IM协议常用。还有反代理抓包,比如集成OkHttp框架等的时候用Proxy.NO_Proxy来防止抓包。

6.dex代码混淆,native层ollvm编译、webview的js混淆

其实dex代码混淆还原或者分析难度比较容易,并且各种反编译软件来分析难度不是那么大,主要难度在于rxjava等异步框架,接口实现类查找上。native层的话主要难度是还原基于ollvm的各种混淆的代码,其他还原或者理解难度其实并不大,并且大部分APP把一些加解密和签名等算法用native方式实现并用ollvm混淆,其他的native层的都是一些媒体或者网络等库。webview一般用在验证码上,并且用js的java层接口一起使用,把滑动或者图片顺序识别之类的路径日志通过贾母方式网络提交的,javascript代码一般混淆的比较厉害,不过AST反混淆等方法或者下载后nginx本地搭建并chrome自行调试归纳后通过脚本也能还原,如极验、易盾等验证码插件。

7.APP加壳、安全sdk、私有安全插件

加壳其实纸老虎,安卓里dex文件总能运行内存中dump出来的,除非操作系统从底层设计上更改了,所有hook或者fart等修改的ROM都能搞定。360,腾讯,棒棒等等好多。安全sdk也可以纸老虎这么说,不过安全sdk一般跟机器学习,大数据匹配等相关,越来越有难度去应付,不过一般在社交电商类的反虚拟登录时用,这些SDK搜集指纹设备,并保存到自己的服务器,会识别代理IP,打码平台的卡号,风险设备,不过把加解密算法还原后可以伪造设备和其他数据,能绕过。还有一些大APP有自己开发的安全相关的模块,这些其实跟安全sdk类似,主要还是设备信息伪造和加解密算法破解后都能绕过。数美、易盾等。

反反作弊工具和策略

1.逆向工具

  • java:dex2jar,jadx,jeb,android-killer等等很多
  • so文件:IDA,jeb,Gidra
  • js:其实nodejs加谷歌或者火狐就能搞定
  • 其他:unicorn,unidibug等基于qemu虚拟机的工具

2.抓包工具

  • Charles、Fillder:这两个其实差不多,用于http、websocket等应用层抓包
  • WireShark:各种协议都能支持,需要更深入的网络协议技术基础
  • BurpSuite:可以开发一些插件,会开发就各种神操作把。

3.hook框架

  • xposed:用户比较多,尤其云控、群控、那些化妆品,教育类、保险等销售类的都在用,市场规模大。
  • frida:一般开发者使用的多,快,无需重启,会js就会玩吧。
  • cydia:hook Native层的时候多一点,老开发者用的多。
  • inlinehook,xhook:这两个类似,inlinehook多用于hook b跳转的,xhook多用于系统函数。
  • magisk:安卓8以上xposed或者其他一些证书安装等工具都基于这个,这个其实未来深入研究的东西。

    4.模拟点击

  • uiautomator :很多模拟点击软件基于这个,跟xposed结合开发比较合适,理解安卓开发的入门比较简单。

5.行业难度

  • ollvm混淆:逆向行业目前应该最头疼的就这个吧,主要原理时if-else改成while(true){switch() case:}了,但是逆向成本变高了,并且各种延申的东西越来越多,需要经验和技术积累才能100%还原或破解。
  • 机器学习风控策略:这个没有多年经验或者没有相当长的时间去摸索或者没跟班一个APP的成长的话很难对应,并且大部分都是通过养号,养设备等方式去对应,还有的是破解协议,并且伪造大量的设备信息,通过IP代理池,卡商和打码平台等第三方服务来维持。不过随着法律的完善和APP自身的风控体系健全对应成本越来越高,现在很难实现大批量账号登录注册。

结尾

总结的一些经验,有些没写,有些漏了,后期一个个细说。


恭喜ID[飞翔的猫咪]获看雪安卓应用安全能力认证高级安全工程师!!

最后于 2021-1-16 11:14 被AyonA333编辑 ,原因:
收藏
点赞10
打赏
分享
最新回复 (30)
雪    币: 8
活跃值: 活跃值 (44)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
MRRighter 活跃值 2020-11-4 01:44
2
0
还有传感器数据呢
雪    币: 2621
活跃值: 活跃值 (1242)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
Vn小帆 活跃值 2020-11-4 08:38
3
0
看了几个 app  会去检测senor   重力感应检测
雪    币: 614
活跃值: 活跃值 (636)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
mb_foyotena 活跃值 2020-11-4 08:42
4
1
法律才是根本
雪    币: 146
活跃值: 活跃值 (324)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
学编程 活跃值 1 2020-11-4 10:06
5
0
MRRighter 还有传感器数据呢
这种传感器数据,从客户端收集去如何用呢,毕竟同一型号的机型,传感器数据都是一样的
雪    币: 891
活跃值: 活跃值 (591)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
活跃值 2020-11-4 10:14
6
0

安全SDK传感器都会采集。如果是游戏为了对付自动模拟作弊的话我想会实时采集上传传感器数据,后台对这些数据进行计算来判断是否是模拟。

最后于 2020-11-4 10:17 被什编辑 ,原因:
雪    币: 223
活跃值: 活跃值 (2184)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
AyonA333 活跃值 2020-11-4 11:35
7
0
学编程 这种传感器数据,从客户端收集去如何用呢,毕竟同一型号的机型,传感器数据都是一样的
通过重力感应数据判断在走路还是挤地铁还是开车后评估网贷额度,通过传感器信息判断真实设备还是改装过的、虚拟机或者抹机改不了这些,微弱重力感应变化语音识别 。。。。
雪    币:
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
mb_mnqvyswo 活跃值 2020-11-4 11:49
8
0
传感器校验出厂校验能判断设备唯一性。然后还有某些app会上传插入sim卡情况下一键登录的手机号。还有流量统计、端口统计、app列表、oaid、分区大小、androidO以后app路径、父进程id、app安装和更新时间。。。还有好多哎。。。还有灰产操作聚集性分析,满足一些大数据识别出的聚集性特征,无论是否检测出机器的违规行为都算违规。
雪    币:
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
mb_mnqvyswo 活跃值 2020-11-4 11:53
9
0
楼主 可以交流下啊。。
雪    币: 614
活跃值: 活跃值 (636)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
mb_foyotena 活跃值 2020-11-4 12:21
10
1
AyonA333 通过重力感应数据判断在走路还是挤地铁还是开车后评估网贷额度,通过传感器信息判断真实设备还是改装过的、虚拟机或者抹机改不了这些,微弱重力感应变化语音识别 。。。。
你这误判很严重,我宅在家里躺床上不是被判定恶意用户,而且,传感器权限正在被纳入隐私控制,以后肯定没有权限直接得到
雪    币: 223
活跃值: 活跃值 (2184)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
AyonA333 活跃值 2020-11-4 12:56
11
0
mb_mnqvyswo 传感器校验出厂校验能判断设备唯一性。然后还有某些app会上传插入sim卡情况下一键登录的手机号。还有流量统计、端口统计、app列表、oaid、分区大小、androidO以后app路径、父进程id、ap ...
现在大部分有规模性的APP能获取到的设备信息都会搜集,然后设备特征库越来越完善,作弊行为识别率和识别周期越来越短。
雪    币: 223
活跃值: 活跃值 (2184)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
AyonA333 活跃值 2020-11-4 13:00
12
0
传感器只是一项,判定恶意用户肯定会多方面的因素去判别的。传感器信息法律不让,但是技术上很容易搜集的。有些app会把这些敏感信息加密传输的。
雪    币: 6282
活跃值: 活跃值 (802)
能力值: ( LV4,RANK:156 )
在线值:
发帖
回帖
粉丝
月落之汀 活跃值 1 2020-11-4 13:42
13
0
AyonA333 传感器只是一项,判定恶意用户肯定会多方面的因素去判别的。传感器信息法律不让,但是技术上很容易搜集的。有些app会把这些敏感信息加密传输的。
此言不虚,懂得都懂
雪    币: 241
活跃值: 活跃值 (288)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
hackevil 活跃值 2020-11-4 13:46
14
0
学习学习
雪    币: 948
活跃值: 活跃值 (627)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
seandong 活跃值 2020-11-4 16:24
15
1
mb_mnqvyswo 传感器校验出厂校验能判断设备唯一性。然后还有某些app会上传插入sim卡情况下一键登录的手机号。还有流量统计、端口统计、app列表、oaid、分区大小、androidO以后app路径、父进程id、ap ...
我们做过大量实验,传感器校验出厂校验能判断设备唯一性在Android上不可行。
雪    币: 1
活跃值: 活跃值 (468)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
saliey 活跃值 2020-11-4 18:52
16
0
雪    币: 1454
活跃值: 活跃值 (192)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
愤怒的平头哥 活跃值 2020-11-5 09:50
17
0
雪    币: 624
活跃值: 活跃值 (534)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
eastmaster 活跃值 2020-11-5 12:59
18
0
雪    币:
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
mb_mnqvyswo 活跃值 2020-11-5 14:05
19
0
seandong 我们做过大量实验,传感器校验出厂校验能判断设备唯一性在Android上不可行。
我没试验过,我只是看到过数字联盟有篇专利是讲这个的。
雪    币: 146
活跃值: 活跃值 (324)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
学编程 活跃值 1 2020-11-5 14:36
20
0
mb_mnqvyswo 我没试验过,我只是看到过数字联盟有篇专利是讲这个的。
专利地址在哪里哈
雪    币: 948
活跃值: 活跃值 (627)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
seandong 活跃值 2020-11-6 09:30
21
0
mb_mnqvyswo 我没试验过,我只是看到过数字联盟有篇专利是讲这个的。
人家外国团队的paper ,它拿来写专利也是醉了。这么不要脸的行为
雪    币:
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
mb_mnqvyswo 活跃值 2020-11-6 17:38
22
0
是的 ,IOS把这个行为当成漏洞修复了,android没有反应,而数字联盟直接写专利了。。。
雪    币: 2816
活跃值: 活跃值 (2100)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
caolinkai 活跃值 2020-11-9 10:43
23
0
mb_foyotena 你这误判很严重,我宅在家里躺床上不是被判定恶意用户,而且,传感器权限正在被纳入隐私控制,以后肯定没有权限直接得到

打开指南针。看看水平仪。你人能做到像支架那样 死板板的,你手指头不动的??死人?,就算放在桌子上。用手指点击屏幕那也是有震动的。可以感应到的。至于权限,不给就不让玩

最后于 2020-11-9 10:45 被caolinkai编辑 ,原因:
雪    币: 723
活跃值: 活跃值 (1375)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
库尔 活跃值 2020-11-9 11:14
24
0
没用的,安卓这种玩意,一个VM模拟器 + postmessage 模拟点击那可是相当安全。更有一些是物理作弊。
雪    币:
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
mb_mnqvyswo 活跃值 2020-11-13 09:21
25
0
做这种东西就要高看别人几眼,,,把别人想得比自己聪明
游客
登录 | 注册 方可回帖
返回