1.本地数据加密
对NSUserDefaults，sqlite存储文件数据加密，保护帐号和关键信息
将文件进行加密
// 获取需要加密文件的二进制数据
NSData *data = [NSData dataWithContentsOfFile:@"/Users/wangpengfei/Desktop/photo/IMG_5551.jpg"];
// 或 base64EncodedStringWithOptions
NSData *base64Data = [data base64EncodedDataWithOptions:0];
// 将加密后的文件存储到桌面
[base64Data writeToFile:@"/Users/wangpengfei/Desktop/123" atomically:YES];
将文件进行解密
// 获得加密后的二进制数据
NSData *base64Data = [NSData dataWithContentsOfFile:@"/Users/wangpengfei/Desktop/123"];
// 解密 base64 数据
NSData *baseData = [[NSData alloc] initWithBase64EncodedData:base64Data options:0];
// 写入桌面
[baseData writeToFile:@"/Users/wangpengfei/Desktop/IMG_5551.jpg" atomically:YES];
2.URL编码加密
对程序中出现的URL进行编码加密，防止URL被静态分析
2.1 ARC模式下
编码
+ (NSString *)encodeToPercentEscapeString: (NSString *) input
{
NSString *outputStr =
(__bridge NSString *)CFURLCreateStringByAddingPercentEscapes(
NULL, /* allocator */
(__bridge CFStringRef)input,
NULL, /* charactersToLeaveUnescaped */
(CFStringRef)@"!*'();:@&=+$,/?%#[]",
kCFStringEncodingUTF8);
return outputStr;
}
解码
+ (NSString *)decodeFromPercentEscapeString: (NSString *) input
{
NSMutableString *outputStr = [NSMutableString stringWithString:input];
[outputStr replaceOccurrencesOfString:@"+"
withString:@""
options:NSLiteralSearch
range:NSMakeRange(0,[outputStr length])];
return
[outputStr stringByReplacingPercentEscapesUsingEncoding:NSUTF8StringEncoding];
}
2.1 非ARC模式下
编码
+ (NSString *)encodeToPercentEscapeString: (NSString *) input { // Encode all the reserved characters, per RFC 3986 // ()
NSString *outputStr = (NSString *)CFURLCreateStringByAddingPercentEscapes(kCFAllocatorDefault,(CFStringRef)input,NULL,(CFStringRef)@"!*'();:@&=+$,/?%#[]",
kCFStringEncodingUTF8);
return outputStr;
}
解码
+ (NSString *)decodeFromPercentEscapeString: (NSString *) input {
NSMutableString *outputStr = [NSMutableString stringWithString:input];
[outputStr replaceOccurrencesOfString:@"+"
withString:@" "
options:NSLiteralSearch
range:NSMakeRange(0, [outputStr length])];
return [outputStr stringByReplacingPercentEscapesUsingEncoding:NSUTF8StringEncoding];
}
3.网络传输数据加密
对客户端传输数据提供加密方案，有效防止通过网络接口的拦截获取数据, 使用MD5加密。
把一个任意长度的字节串变换成一定长度的十六进制的大整数。
注意,字符串的转换过程是不可逆的,不能通过加密结果,反向推导出原始内容。
3.1 MD5特点
- 压缩性 : 任意长度的数据,算出的 MD5 值长度都是固定的。
- 容易计算 : 从原数据计算出 MD5 值很容易。
- 抗修改性 : 对原数据进行任何改动,哪怕只修改一个字节,所得到的 MD5 值都有很大区别。
- 弱抗碰撞 : 已知原数据和其 MD5 值,想找到一个具有相同 MD5 值的数据(即伪造数据)是非常困难的。
- 强抗碰撞: 想找到两个不同数据,使他们具有相同的 MD5 值,是非常困难的
3.2 MD5应用
- 一致性验证:MD5将整个文件当做一个大文本信息,通过不可逆的字符串变换算法,产生一个唯一的MD5信息摘要。
就像每个人都有自己独一无二的指纹,MD5对任何文件产生一个独一无二的数字指纹。
利用 MD5 来进行文件校验,被大量应用在软件下载站,论坛数据库,系统文件安全等方面(是否认为添加木马，篡改文件内容等).百度‘MD5’第一个网站进去，利用数据库伪解密,即反查询。 - 数字签名
- 安全访问认证
3.3 MD5使用
需要导入第三方框架: NSString+Hash
- 利用 MD5 对字符串进行加密
NSString *password = @"WangPengfei";
password = [password md5String];
NSLog(@"password1:%@", password);
- 加盐:可以保证 MD5加密之后更加安全
NSString *salt = @"234567890-!@#$%^&*()_+QWERTYUIOP{ASDFGHJKL:XCVBNM<>";
[password stringByAppendingString:salt];
password = [password md5String];
NSLog(@"password2:%@", password);
每一个公司都有自己的“盐值”，盐值越复杂，越安全
4.方法体，方法名高级混淆
对应用程序的方法名和方法体进行混淆，保证源码被逆向后无法解析代码。
使用hopper disassembler 反编译iPA之后不能得到相应的方法调用信息。
4.1 创建shell脚本：
TABLENAME=symbols
SYMBOL_DB_FILE="symbols"
STRING_SYMBOL_FILE="fun.list"
HEAD_FILE="$PROJECT_DIR/$PROJECT_NAME/codeObfuscation.h"
export LC_CTYPE=C
createTable(){
echo "create table $TABLENAME(src text, des text);" | sqlite3 $SYMBOL_DB_FILE
}
insertValue(){
echo "insert into $TABLENAME values('$1' ,'$2');" | sqlite3 $SYMBOL_DB_FILE
}
query(){
echo "select * from $TABLENAME where src='$1';" | sqlite3 $SYMBOL_DB_FILE
}
ramdomString(){
openssl rand -base64 64 | tr -cd 'a-zA-Z' |head -c 16
}
rm -f $SYMBOL_DB_FILE
rm -f $HEAD_FILE
createTable
touch $HEAD_FILE
echo '#ifndef Demo_codeObfuscation_h
#define Demo_codeObfuscation_h' >> $HEAD_FILE
echo "//confuse string at `date`" >> $HEAD_FILE
cat "$STRING_SYMBOL_FILE" | while read -ra line; do
if [[ ! -z "$line" ]]; then
ramdom=`ramdomString`
echo $line $ramdom
insertValue $line $ramdom
echo "#define $line $ramdom" >> $HEAD_FILE
fi
done
echo "#endif" >> $HEAD_FILE
sqlite3 $SYMBOL_DB_FILE .dump
4.2 声明要替换的方法名列表
//在上边脚本中提到了 STRING_SYMBOL_FILE="fun.list"，意思就是运行脚本的时候会到这个文件去读取需要替换的方法名，重新写入符号表中。
nameAction
refreshAction
4.3 生成对应的转义之后的无序字符串
5.程序结构混排加密
对应用程序逻辑结构进行打乱混排，保证源码可读性降到最低
6.借助第三方APP加固
例如：网易云易盾
