[发明专利]应用文件的脱壳方法及装置

说明书

本发明公开了一种应用文件的脱壳方法及装置，该方法包括：监控待脱壳文件所运行的当前待脱壳方法，读取当前待脱壳方法对应的进程信息；根据当前待脱壳方法对应的进程信息，判断当前待脱壳方法对应的进程是否为满足预设脱壳条件的进程；若是，则将当前待脱壳方法的内存数据转换为第一结构体信息；根据第一结构体信息确定待脱壳文件对应的DEX文件的第二结构体信息；利用第一结构体信息对第二结构体信息进行修复处理，根据修复后的第二结构体信息生成待脱壳文件脱壳后的DEX文件。通过该方式，能够对加固后的应用文件进行有效脱壳，并且能够保证脱壳后的所得到的DEX文件的数据的完整性，提升了脱壳效果以及脱壳成功率。

技术领域

本发明涉及计算机技术领域，具体涉及一种应用文件的脱壳方法及装置。

背景技术

目前，随着反编译和逆向等技术的成熟，APP的安全问题日益严重。采取加固方案对APP进行加固保护，能够避免APP被破解或者被二次打包等问题，例如，对APP的apk(AndroidPackage，Android安装包)文件进行加固处理。然而，一些恶意APP或者恶意代码往往也会使用加固技术对APP进行保护，以对抗木马查杀等检测，因此，为了能够检测到并查杀恶意APP或者恶意代码，往往采取首先对加固后的APP先进行脱壳处理，进而检测脱壳后的APP是否为恶意应用的方式。

现有技术中，采用脱壳工具对待脱壳文件(加固后的应用文件)进行脱壳，例如DexHunter，将待脱壳文件中的DEX文件分为class_defs之前的数据、class_defs数据以及class_defs之后的数据，先将class_defs之前的无用自定义数据以及class_defs之后的数据先从内存中拷贝出来，然后主动一次性加载并初始化class_defs中的所有类文件，再将这些加载后的类文件进行内存拷贝，分别将拷贝加载出的三部分文件进行拼装，从而实现脱壳。再如，利用Indroid脱壳工具对待脱壳文件进行脱壳。

但是，在实现本发明的过程中，发明人发现：首先，待脱壳文件中部分类文件所指向的真实原始文件的数据内容不在DEX文件所在的内存范围内，而被修改映射到了DEX文件连续内存以外的存储区域内，因此所得到的脱壳后的DEX文件在相应的抽取处为空。由此可见，现有技术中缺少一种能够很好地解决上述问题的方法。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的应用文件的脱壳方法及装置。

根据本发明的一个方面，提供了一种应用文件的脱壳方法，该方法包括：

监控待脱壳文件所运行的当前待脱壳方法，读取当前待脱壳方法对应的进程信息；

根据当前待脱壳方法对应的进程信息，判断当前待脱壳方法对应的进程是否为满足预设脱壳条件的进程；若是，则将当前待脱壳方法的内存数据转换为第一结构体信息；

根据第一结构体信息确定待脱壳文件对应的DEX文件的第二结构体信息；

利用第一结构体信息对第二结构体信息进行修复处理，根据修复后的第二结构体信息生成待脱壳文件脱壳后的DEX文件。

根据本发明的另一方面，提供了一种应用文件的脱壳装置，该装置包括：

监控模块，适于监控待脱壳文件所运行的当前待脱壳方法；

读取模块，适于读取当前待脱壳方法对应的进程信息；

判断模块，适于根据当前待脱壳方法对应的进程信息，判断当前待脱壳方法对应的进程是否为满足预设脱壳条件的进程；

转换模块，适于若判断出当前待脱壳方法对应的进程为满足预设脱壳条件的进程，则将当前待脱壳方法的内存数据转换为第一结构体信息；

第二结构体信息确定模块，适于根据第一结构体信息确定待脱壳文件对应的DEX文件的第二结构体信息；