Android游戏不断被黑客入侵[关闭]

因此，我们已经经历了好几次了，我们发布了一款游戏（以便宜的价格出售），有人入侵了它并将其放在镜子上。我们为所有应用程序设置了Google快讯，因此我们每天都会被告知谁在进行黑客入侵。到目前为止，我们已经按照Google的建议实施了许可服务，每次使用唯一的设备ID发起许可时，我们都会随机生成盐。首次启动应用程序时，我们运行一次检查服务。然后，我们为密钥和存储的值生成一个512个字符的哈希，然后将其与SharedPreferences中的值进行比较。

现在，我知道检查一次可能是应用程序被阻止的地方。我们的字节码很可能已被查看并重新编译，而没有启动检查的行。

从这里开始，我不想混淆我们的代码，因为我以前看过它已损坏。我想要更坚实的东西，我也想学习如何正确地做到这一点。我现在对学习的兴趣要比赚钱更感兴趣，因为只有2％的人会寻找被黑客入侵的版本。

到目前为止，我自己提出了一个随机数生成器，该生成器放置在游戏的多个启动区域中。启动后（例如，每50次中的1次）许可证将被检查。我知道这会使黑客更难，因为破解者必须消除每种情况，进行编译，消除，编译。但是，这种方法仍然很容易破解...所以你们建议什么？同样，我对这个安全过程真的很感兴趣，所以请进行教育，不要将其变成关于混淆或基于时间戳定期检查的讨论。

谢谢

我的想法不是黑客证明，但可能会消除对游戏进行黑客攻击的兴趣。

免费增值模式

1）免费获得前5-10个级别，这样人们无需付费即可学习游戏并获得一些乐趣。更少的人希望入侵第一关，并且免费增值模式将使游戏进一步传播。

共享软件/集群级别包

2）让部分游戏关卡或逻辑保持在线状态。例如。当达到5级，10级或15级时，请下载游戏的小部件，然后每次从游戏提交进度日志，并根据可能的值+哈希码进行验证。这也许有可能自动关闭被黑客入侵的帐户。

隐形作弊者保护

3）您也可以只数出您在游戏中放置的“小警告标志”。不要在一开始就检查“验证”，也不要在游戏逻辑本身中建立这些标志。不要破坏游戏玩法，因为那样没人会去寻找它。然后，当用户到达关卡怪兽的尽头时，检查是否有任何已记录的警告标志。这些内容不会出现在游戏中，因此具有被黑版的不知情的用户可能玩了几个小时/天，突然意识到他/她无法完成游戏或前进到下一个级别，因为游戏存在“错误”。用户不知道的是，此错误仅发生在被黑的客户端上。

结论

比饼干更聪明。让他们以为工作已经完成了。进行复制保护，并知道更高级的破解程序将可以删除它。但是他们可能不想玩50个关卡来检查破解是否也一直有效。

一旦他们意识到了这个问题，他们可能也会开始解决它。但是，如果您将游戏分成多个等级包，则仍然可以在每次下载包之间进行验证。因此，一旦您收到被入侵的客户端哈希数据，就可以执行一次感知并使游戏在客户端崩溃。糟糕，游戏崩溃了。不要告诉它，因为它被黑了。可能会发生程序错误。:-)

同样，它不是黑客证明。但这可能会使他们烦恼到足以继续进行下一场比赛。最后，您还可以发布游戏的常规更新，并且只有最新版本才能“发布记录”等，因此活动用户将必须进行更新以保持循环。

我一段时间以来一直在进行一些apk反编译和黑客攻击（不是warez，而是主要针对google应用和android框架的mod和hacks，始终遵循xda-developers政策）。

一旦您学会了阅读smali，它几乎就像阅读原始的Java代码一样（但具有更多的LOC）。因此，可以找到并删除或替换您添加的用于检查密钥的任何代码。您甚至不需要每次都重新编译以消除一个以上的代码（某些搜索确实可以发现相似的代码段是奇迹），即使需要编译/重新编译周期来查找它们，也仅需一两分钟的时间反编译：一切由apktool自动化，甚至由apkmanager自动化。

话虽如此，我对您的建议是实施某种在线评分表或类似的评分表，当用户在线查看评分表时，您可以检查所实现的哈希码并将其与关联的gmail帐户进行比较。这样，您可以向Google报告该黑客行为，并向warez用户发送令人讨厌的消息，以解释为什么这是非法的。

当然，可以采用新的技巧来消除得分表，但这会降低对warez的兴趣。

祝好运。

更新资料

研究来回答这个问题后：把代码注入APK（实际上是关于亚马逊的DRM机制），我可以告诉亚马逊是如何保护应用程序一点点：包括方法检查安装的有效性无处不在（你可以看到一个例子在我对这个问题的回答中他们如何做到的）。这将使黑客入侵应用程序的任何尝试都不会非常困难，但会非常乏味。我认为这是一个优势：黑客不想花太多时间去做很多重复的任务：这不是挑战，它很无聊。我在这种方法中看到的主要缺陷是，可能会入侵Amazon应用程序本身，从而始终返回有效答案。但是，如果您将当前的哈希检查与散布在您的方法中的某种在线检查混合使用，我相信可能会大大降低其被黑客入侵的可能性。

取自本帖的解决方案避免apk破解

实施自己的许可库

我还请您从Google I / O 2011 YouTube录音中查看以下内容：

逃避海盗和制止吸血鬼

编辑：

该演讲稿，从规避海盗和停止吸血鬼

一些基本要点

• 修改LVL
• 实施LVL防篡改
• 使用混淆
• 添加反射

我知道您不是很迷惑，但是我真的需要对此做出反应：

从这里开始，我不想混淆我们的代码，因为我以前看过它已损坏。我想要更坚实的东西，我也想学习如何正确地做到这一点。

根据我的经验，ProGuard非常可靠，尽管我使用了一些高级功能，例如AIDL和一些调用Java方法的本机代码。。 ProGuard非常可靠，并且可以优化您的应用程序。

自定义安全性/加密技巧是很好的，但是如果不加混淆，就我的愚见而言，这就像在水中扔石头。

我已经在生产中使用ProGuard了许多个月，而且它运行得很好。

如果您正在学习，请仔细阅读ProGuard手册，进行试验，并检查其输出日志。

机会比您（适用于所有程序员）更多的才华程序员是100％。如果是这样，您将无法修复黑客。但是您可以花很多时间和精力使其破产。

如果您想赚大钱，则需要对目标用户群和行为科学进行一些研究。您需要让用户在玩中带来新的收益，仅此而已。

此外，您全都错了。黑客是用户群中最活跃的成员，您的举止以您不希望他们这样做的方式进行。

以Facebook上的Zynga游戏为例，您认为您被黑客入侵了吗？-当然，只有+100000个玩家在玩，因为您可以使用自动执行一切的机器人。

拥有大量实际用户的活跃用户基础僵尸网络，使存档类型的游戏玩家想玩该游戏-如果您的玩法看起来很酷，那么Avarage Joe也将想玩。如果阿瓦拉格·乔（Avarage Joe）玩，那么他的朋友可能会想玩，而您可能会不在乎其他任何东西，那么会比他/她的朋友更好，打发时间或闲聊。平均而言，乔的朋友很可能愿意为比乔做的更好而付出，但是您更愿意投资使自己变得更好的东西。

此外，如果真正的价值是免费玩游戏，那么使用免费黑版的用户很可能永远不会为此付费。但是您可能是Avarage Joes和他们的朋友。因此，这就像您可以拥有的最便宜的广告。如果您想通过庞大的用户群赚钱，则只需在关卡和图形上进行少量更改即可制作新版本的游戏。

盗版永远是一个问题。总体而言，比起开发人员，更擅长于玩此“ 安全性虽然晦涩”游戏。

多么有趣和令人不安的问题。:-)作为练习，您可以尝试通过Amazon发布应用程序；他们有自己的DRM机制；我想知道它是否比ProGuard更好。

我认为关键要素之一是扩展代码，以免将代码全部放在一个地方。如果您具有一个名为LicenseChecker.checkLicense（）的函数，该函数可检索许可证并进行检查，则可以确保立即将其禁用。

您拥有的一个优势是，破解者看不到代码的注释（如果混淆了方法/变量名，则看不到代码），所以想出了一些奇怪的东西。在一项活动的onCreate（）中，您将获得许可证ID。在onResume（）中，您将获得另一个值来对其进行检查。也许创建一个线程并在那里做一些检查。然后，其他一些不相关的代码段（可能是播放器控件）可能会获取值并进行比较，并将结果存储在某个位置。然后，其他三个不相关的代码段将全部独立地检查该值，并在该值不匹配时禁用您的应用程序。

现在，我应该预先说这会给您自己造成头痛-显然，凌乱，令人讨厌的代码更难调试且容易导致错误。最坏的情况是，您在合法购买的应用程序中会产生误报。

而且，当然，所有内容都可以进行反向工程-破解者找到禁用应用程序的位置后，它们便会回溯正在读取的值。然后，他们可以追溯到存储的位置，然后追溯到.....，或者，更简单的是，他们可以禁用最终检查（这就是为什么我建议3个不同的位置，所有这些都延迟触发）。安全仅与最薄弱的环节一样好。

您将无法停止盗版。最好的选择是延迟传播盗版副本，直到对应用程序的最初炒作平静下来。

首先，我不认为自己在SW安全领域的任何职业，但是：

我认为重要的是让应用程序在某些部分上依赖签名检查。不要让它立即生效，而要让它设置一些标志或更改某些值。稍后，使用这些标志，检查它们，让它们的不存在/不正确导致某种异常，该异常可能会终止应用程序。只要当前仅进行签名检查，就很容易绕过它，删除行，一旦它接触到代码中的更多区域，您的应用程序将变得更难（或更不容易...）被黑客入侵。同样，正如我所看到的，并不是所有的检查都应该调用相同的例程进行制裁，因为这也将使查找保护机制并终止它变得容易。

当然，对非法软件的制裁可能会有所不同，您可能希望在非法使用该应用程序时使其崩溃，但您也可能希望使其保持运行状态，并且仅发送要求用户购买合法副本的消息的应用程序。

如果这只是您不想听到的，那么对于您的时间很抱歉：)

Android用户将不得不接受不断使用电话回家的痛苦。唯一安全的Android应用是始终连接的Android应用。

这在很大程度上是由于Google像Apple一样拒绝锁定安装。在IOS上，您必须越狱电话。在Android上，您可以将任何APK加载到库存中，并进行出厂安装。

将部分/大部分/全部内容保存在服务器上；分批交付；在每次通话中验证许可证/会话。

抑制这种ov行为将非常困难。客户端处理的任何内容都可以通过APK反编译和修改，使用Game Guardian等软件进行内存编辑来破解。

我能看到的绕过它的唯一方法就是制作一个在线游戏。或者让某些功能在线处理。或者，如果曾经针对Android / iOS使用过像denuvo这样的防篡改加密。