[发明专利]一种基于ELF感染的Android本地层指令编译虚拟化加壳方法

权利要求书

1.一种基于ELF感染的Android本地层指令编译虚拟化加壳方法，其特征在于，包括以下步骤：

查找so文件中需要进行保护的关键代码段，对关键代码段进行指令Hex抽取和映射虚拟，形成虚拟机so文件；对所述的需要保护的关键代码段进行加密处理，得到关键代码段被加密后的so文件；

利用虚拟机so文件对加密后的so文件进行ELF感染，形成感染后的so文件；利用CydiaSubstrate框架对加密后so文件进行Hook替换，使虚拟机so文件中的虚拟指令码替换加密后so文件中被加密的代码；

所述的查找so文件中需要进行保护的关键代码段，对关键代码段进行指令Hex抽取和映射虚拟，形成虚拟机so文件，包括：

根据开发者提供的标签进行查找，定位到关键代码段，对关键代码段进行Hex抽取，将抽取后的结果使用自定义的映射规则进行映射变换，使关键代码段中的每一个代码按照映射规则对应一个虚拟指令码；与此同时，自定义用于指令读取以及解释所述虚拟指令码的解释引擎，该解释引擎根据虚拟指令码调用相应的处理函数以等同实现虚拟指令码对应的关键代码段中代码的功能；将虚拟指令码、解释引擎加入到so文件中进行编译，形成虚拟机so文件；

利用Cydia Substrate框架对加密后的so文件进行Hook替换，使虚拟机so文件中的虚拟指令码替换加密后so文件中被加密的代码，包括：

在Cydia Substrate框架下，加载感染后的so文件，对该so文件中加密过的关键代码的方法名进行查找；利用框架提供的内联Hook机制，根据关键代码的方法的符号地址，在原so文件加载到内存中之后，在关键代码段的开始处完成跳转替换，跳转到虚拟机so文件中的虚拟指令码处；当执行完虚拟机so文件中虚拟指令码之后，跳回到原so文件。

2.如权利要求1所述的基于ELF感染的Android本地层指令编译虚拟化加壳方法，其特征在于，利用虚拟机so文件对加密后的so文件进行ELF感染，形成感染后的so文件，包括：

对于加密后的so文件，修改该so文件的字符串表，添加所述的虚拟机so文件；在so文件的程序头表中添加程序加载时的内存映射信息；修改so文件中程序段表和动态段，使二者指向虚拟机so文件。