腾讯乐加固工具包：APK加密、重签名与防逆向实战指南

简介面向安卓平台的腾讯乐加固工具包主要服务移动端开发、安全测试及需要对APK进行加固保护的工程技术人员用于解决应用上线前防逆向、防篡改等基础安全加固需求。压缩包共190个文件大小约141.54MB主要以dll动态库、jar归档包、properties配置项、exe可执行程序及qm界面资源等形式组织并配有理证书、安全策略及版本信息等辅助文件基本覆盖工具运行所需的环境组件结构上便于按功能模块查找与部署。已有325人学习浏览适合刚接触安卓加固的开发者快速获得完整工具链也适合在本地搭建加固环境时参考其目录组织与依赖配置。资源包内附工具主程序及配套库文件可直接用于安卓应用加固操作同时保留了若干配置模板与运行依赖清单方便后续排查环境问题或进行二次封装集成。1. 加固是上架前的最后一道闸这份腾讯乐加固工具包解决的是什么做安卓交付这几年最怕的就是把 release 包交出去之后被人一个月内逆向出全套逻辑。某开发者去年接到一个模拟项目X的维护单前任留下的 APK 用 jadx 一拖支付、渠道统计、内部接口全部明文躺在 assets 里连混淆都没开平台审核直接不给过。反过来的情况也很常见自己写完功能上架就被拒平台提示“检测到未加固的接入包”当场就得返工。这份基于腾讯乐加固方案的工具包解决的就是发布前这一道工序把 APK 里核心的 classes.dex 和 so 加密处理给反编译留一个空壳同时完成防调试、防篡改和重新签名。它不改业务代码只需要在出包机上跑命令行适合外包交付、自研上架和渠道分发三种场景。下文按照从原理到实操的顺序把参数、踩坑和验证一次讲清楚读完你就能在十分钟内完成一个包的加固和验签。2. 原理与选型为什么是腾讯乐加固而不是自己写壳2.1 先分清三类“加固”概念Android 加固这个词在外包交付里被用滥了有的人把 ProGuard 混淆也叫加固有的人把资源压缩也叫加固。实际上它们解决的层面完全不同。ProGuard 做的是代码层面的改名和裁剪比如把com.example.pay.PayActivity改成a.b.c但类结构、方法调用关系还在跟踪一下入口就能恢复大半。资源压缩只是把 res 目录里的图片和布局抽稀对逻辑保护基本没有贡献。真正的加固是加壳运行时不直接加载原始 dex而是先加载一个壳 dex由壳在内存里解密并动态加载真正的业务 dex。这样静态反编译看到的只是一段壳代码业务逻辑以一种加密形态躺在文件里。腾讯乐加固属于这一类方案它在壳的基础上还叠加了 so 加密、反调试和防篡改校验逻辑上更接近“整包防护”而非单纯的加密。理解这层区别很重要因为后面配置参数的时候dex-mode决定的是壳的强度so-encrypt决定的是 native 层是否参与anti-debug决定的是是否拦截调试器。这三个开关各自独立很多人以为开了加固就等于全部防护都开了实际上默认配置通常只开 dex 加密so 和反调试要自己按需打开。2.2 工具包里的四个组件各自负责什么这份工具包解压之后按功能可以归成四块分别是命令行主程序、配置文件、native 防护库和操作文档。命令行主程序负责读取 APK、解析 dex、执行加密、回写生成新包整个流程是黑匣子式的一键处理不需要手动干预内部步骤。配置文件里暴露的是那些需要按项目调整的开关比如 dex 加密等级、so 是否参与、是否保留某些类不混淆。native 防护库是加固后运行时要用到的 so 文件它会被注入到新 APK 的 lib 目录中负责启动时的解密、完整性校验和反调试。操作文档里则记录了 JDK 版本要求、命令行格式以及常见报错对照表实际排查问题的时候优先翻这份文档而不是去搜索引擎碰运气。这套工具包的组装逻辑是“原包进新包出”输入的是你签名好的 release APK输出的是加密后的新 APK整个过程在你自己的出包机上完成源码和 keystore 都不会离开本地。这一点对需要交付源码的外包项目尤其关键客户拿着加固后的包去上架你不需要把私钥暴露给对方。2.3 和自研壳、开源壳的横向对比自己写壳是最折腾的路。壳要处理的异常点非常多多 dex 分包、annotation 保留、资源 ID 重映射、系统版本对 dex 加载方式的差异任何一个环节没考虑到位线上就是闪退。某公司自研壳做了半年最终只覆盖了 Android 8 到 11 的部分机型Android 12 上启动必崩最后又换回商业方案。开源壳的问题不在功能而在特征暴露。市面上流传的加壳源码就那几套特征字符串和加载流程早就被安全检测工具和逆向工具内置识别了。你用开源壳加固出来的包平台扫描一下特征就能判断出是哪个壳针对性剥离并不难。腾讯乐加固这类商业方案的更新频率更高对新型逆向手段的响应更快但代价是需要信任它的命令行工具在你机器上做的所有操作。从日常工作流来看选型的核心就三点加固强度够不够挡住常规逆向、对系统新版本的适配是否及时、操作成本是否低到每个版本都能跑一遍。自研壳在前两点上很难达标开源壳在第二点上存在先天劣势这份腾讯乐加固工具包则基本满足了三个条件。提示商用加固服务大多有在线请求和鉴权流程而这套工具包是本地直接执行的适合无法连接外部服务的隔离构建环境。3. 实操路径把 APK 跑完加固、重签名的五个步骤3.1 环境准备JDK 版本、路径与校验加固工具本质上是 Java 程序依赖 JDK 环境运行。我一般建议使用 JDK 1.8 或 11版本太新可能出现反射访问限制版本太老则可能不支持高版本 targetSdk 编译出来的包。先确认机器上的 Java 环境再确认签名工具链是否可用。java -version zipalign -h apksigner --version三条命令依次执行第一条确认 JDK 位数和版本后两条确认 Android SDK 构建工具是否已经被加入 PATH。如果zipalign -h提示命令不存在说明你只装了 Android Studio 没装 SDK 命令行工具需要先补齐 build-tools 目录。一个常见的做法是在 Android Studio 的 SDK Manager 里勾选最新版 build-tools然后把$ANDROID_HOME/build-tools/xx.x.x加入 PATH。环境检查这一步看似简单但能提前过滤掉一半的莫名报错。很多人在加固时报错说“无法解析输入文件”最后发现根本不是文件损坏而是 JDK 版本和工具链不匹配。3.2 执行加固命令行调用与关键参数先把需要加固的 release 包放到一个独立目录不建议放在中文路径或带空格的路径下工具包对路径解析比较敏感。然后打开终端进入工具包目录执行命令行主程序。java -jar ./sec-tool.jar \ --apk ./input/app-release.apk \ --out ./output/ \ --dex-mode 2 \ --so-encrypt true \ --anti-debug false \ --config ./sec.ini--dex-mode控制 dex 加密等级0 表示不加密1 表示只加密代码段2 表示整 dex 加壳日常发布我建议直接开到 2。--so-encrypt决定是否对 so 文件加密如果你的 APP 里没有自己编写的 so可以先关掉避免引入兼容性变量。--anti-debug默认我保持 false等线上稳定之后再开启因为它在某些定制 ROM 上会拦截正常调试流程真机调试时会很难受。--config指向配置文件里面可以写白名单类、保留类、资源混淆开关等进阶项。执行完成后会在--out指定的目录下生成一个新的 APK文件名通常带_secured后缀。这个过程耗时从几十秒到几分钟不等取决于 dex 大小和机器性能耐心等它跑完中途不要 CtrlC 强行中断否则输出目录会残留半成品文件下次跑的时候可能被错误复用。ls -lh ./output/看到_secured.apk之后就进入下一步。如果你发现输出目录里同时存在多个历史 APK建议先清空输出目录再跑否则很容易分不清哪一次才是最新产物。3.3 加固后的关键一步重新签名与对齐加固会重写 APK 内部的 dex 并注入新的 so 文件原有的签名信息在这个过程之后已经失效。如果你直接把加固后的包拿去安装系统会提示“应用未签名”或“签名证书不一致”。所以加固之后必须重新签名签名用的 keystore 就是你平时打 release 包用的那个。zipalign -v 4 ./output/app-release_secured.apk ./output/app-aligned.apk apksigner sign \ --ks ./keystore.jks \ --ks-key-alias release \ --ks-pass pass:yourpassword \ --key-pass pass:yourpassword \ --v1-signing-enabled true \ --v2-signing-enabled true \ ./output/app-aligned.apk先执行zipalign让 APK 内的未压缩数据按 4 字节对齐减少运行时内存占用再执行apksigner签名。--v1-signing-enabled和--v2-signing-enabled建议都开启v1 兼容 Android 7 以下设备v2 在 Android 7 及以上能更快校验。如果你的 targetSdk 是 30 以上v2 是强制要求只签 v1 会直接安装失败。签名完成后立即做一次验签确认签名确实写进去了。apksigner verify --verbose ./output/app-aligned.apk看到Verified using v1 scheme: true和Verified using v2 scheme: true才算完成。这一步是我的固定动作不验签就直接发出去很容易出现测试机装不上、上架被拒的情况。3.4 配置文件里的白名单与保留项命令行参数控制的是粗粒度开关真正精细的配置都在sec.ini里。重点看三个小节反射调用类白名单、log 开关和资源混淆。[KEEP] classescom.business.pay.PayService,com.business.push.PushReceiver methodscom.business.common.Util#getToken [LOG] levelerror [RES] obfuscatefalseclasses这一项很关键。如果你的代码里存在反射调用某些类而加固把类名改了反射就找不到目标。常见的支付 SDK、推送 SDK 内部大量使用反射需要把业务侧的入口类加进白名单。methods精细到方法名。obfuscate不建议随便开资源混淆虽然能增加逆向难度但也会影响动态资源 ID 引用的场景比如某些第三方 SDK 通过资源 ID 做回调。配置文件改完重新跑一遍 3.2 的加固命令即可。4. 避坑与排查五条真实翻车记录与现场处理4.1 启动瞬间闪退只报 native 层 offset没有业务堆栈某次给某图像处理 Demo 做加固本地测试正常客户发来反馈说安装后一打开就闪退。抓 logcat 看到一个SIGSEGV信号崩在libshell.so的某个偏移地址看不到任何 Java 层堆栈整个黑匣子状态。原因定位在 so 兼容性上那台测试机是 armeabi-v7a 的老机型而我的 release 包只打了 arm64-v8a 的 so加固工具对缺失 so 架构的处理逻辑不够宽容运行时直接崩溃。解决方式是先关掉 so 加密开关让 APK 保留原始 so 文件确认 Java 层壳逻辑能跑通同时把 arm64-v8a 和 armeabi-v7a 两套 so 都放进工程。如果项目只打算支持 64 位设备那就要在应用配置里显式声明避免个别渠道分发时匹配到错误架构。adb logcat -s AndroidRuntime:E libshell:E *:S过滤这两个 tag 是最快的定位入口。如果看到dlopen failed或者library not found基本可以确定是 so 架构或依赖缺失问题。4.2 支付回调失效包名和签名都被校验接入渠道支付 SDK 的 APP 在加固后经常出现“支付成功但客户端收不到回调”的现象。服务端查询订单状态是正常的但 APP 内始终没有跳转结果页。原因是部分支付 SDK 在初始化时会对 APK 的签名信息做校验加固后签名虽然重新签过了但 SDK 内置的白名单签名哈希是原包的校验自然不通过。解决方法是把支付 SDK 相关的包加入classes白名单阻止加固对它进行类名混淆同时检查 SDK 初始化代码里是否传入了正确的包名。另一个隐蔽点某些聚合支付库会读取META-INF下的渠道文件来做回调判断加固过程可能重排了这部分内容需要检查--out生成的新包是否保留了原渠道信息。4.3 热修与反射全部失效加固打乱了类引用某跨平台系统的项目里集成了热修复框架线上发过一次补丁结果加固后的版本补丁完全不起作用发布平台也不报错但代码就是没执行。排查后发现是加固把目标类改写了热修复框架按原类名去查找替换时找不到对应入口。这类问题在反射场景几乎是必然出现的。任何依赖类名和方法名的动态调用在加壳之后都可能失效。解决思路是在sec.ini的[KEEP]小节里把热修复框架涉及的全部类加进白名单并且把框架初始化时机提前到壳加载之后。如果你用的是常见的类加载方式还需要测试一下加固后 ClassLoader 的父委托链是否还正确这一步很容易被遗漏。4.4 渠道包直接改包名发布资源路径全乱有一个外包项目交付后客户自己用脚本改了包名直接发渠道结果安装没问题一点击图标就闪退。看日志是Resources.NotFoundException找不到启动 Activity 对应的布局资源。原因是加固后的 APK 资源索引被重新构建过手动改AndroidManifest.xml里的包名会导致资源映射错位而加固工具自动生成渠道包的方式是通过META-INF目录下的空文件标记不触碰资源索引。解决方式是不要手动改包名。如果工具包支持渠道配置项就在命令行里把渠道参数传进去重新生成如果不支持就保留原包名通过渠道文件方式区分。unzip -l ./output/app-aligned.apk | grep META-INF这条命令能看到最终包里的渠道标记文件是否存在发渠道覆盖前先跑一遍确认。4.5 加固后包体膨胀so 文件翻倍加固后的 APK 体积比原包大 50% 到 100%有时会让渠道包超过平台限制。原因是加固过程会注入壳 so 和解密逻辑 so同时原始 dex 加密后无法被压缩体积自然上涨。如果体积敏感可以把 dex 加密等级从 2 降为 1只处理代码段而不是整 dex。还可以开启 APK 拆分架构支持把不同 ABI 的 so 分到不同包避免一个包内同时携带多套架构。5. 验证与进阶怎么确认壳没白加5.1 加固结果自检清单加固完不能只看“能安装、能启动”就验收。我用一套固定流程确认壳是否真正生效。先用反编译工具打开加固后的 APK。如果看到入口 dex 里只有极少数类且找不到业务代码说明是壳在运行原始 dex 被藏起来了。如果业务代码还在明文里说明配置没生效检查--dex-mode是否真的为 2。然后检查META-INF下是否存在壳的特征文件原包签名信息是否已经被替换。最后用真机跑一次安装确认系统没有弹出“应用未签名”提示。5.2 兼容性回归模板加固后的代码路径和原包不一样必须做一轮真机回归重点覆盖五个维度。维度验证项预期结果系统版本Android 8 / 11 / 14 各跑一遍启动正常无闪退网络权限首次启动弹窗授权授权后网络请求正常后台恢复切后台再切回不重复启动不崩溃存储权限读写外部存储数据读写正常支付回调真实支付流程走一遍回调正常页面跳转正常这套模板适合每个版本发布前都跑一遍。我第一次做加固验收时漏了支付回调结果上线当天就收到客诉只能连夜回滚从那以后我每次发布前都强制走一遍“加固 → 重签名 → verify → 真机回归”四件套全程大约二十分钟却能拦下九成以上的发布返工。希望帮到你。本文还有配套的精品资源点击获取