Android安全-資料安全1-代碼中的字串安全

標籤：

Android安全-資料安全1-代碼中的字串安全

Android 應用程式開發中難免會使用到字串，如伺服器的地址等一些敏感資訊，對於
這些字串如果使用硬式編碼方式，容易通過靜態分析擷取，甚至可以使用自動化分析工具
批量提取。例如若在 Java 原始碼中定義一個字串如下：

代碼:

1. String str = "I am a string!";

則在反編譯的.smali 代碼中對應的代碼如下(寄存器可能會有區別)：

代碼:

1. const-string v0, "I am a string!"

對於自動化分析工具，只需要掃描到 const-string 關鍵字就可以提取到字串值。因此應該
盡量避免在原始碼中定義字串常量，比較簡單的做法可以使用 StringBuilder 類通過 append
方法來構造需要的字串，或者使用數組的方式來儲存字串。使用 StringBuilder 構造字元
串反編譯後的代碼如下，使用這種方式可以增加自動化分析的難度，如果想要完整提取一個
字串，如果僅僅採用靜態分析方法就必須要進行相應的詞法文法解析了。

另外也可以對字串進行加密處理，例如一些具有重要功能的代碼會將伺服器位址等重要訊息進行加密處理，運行時再進行解密。

Android安全-資料安全1-代碼中的字串安全