关于移动安全加固，大家也许会遇到各类问题，这里以q&a形式总结的一些android/ios/sdk/vmp加固保护的常见问题，希望对各位读者有所帮助。
1.为什么要进行sdk加固？
sdk加固非常重要，如果不加固，可能会产生以下安全隐患：
（1）易被竞品或恶意者窥视内部实现细节或内部调用流程，甚至有可能泄露隐私数据。安卓平台sdk绝大部分都是java语言编写，容易被反编译。如果只是简单的混淆，很容易被窥探到内部实现细节，泄露隐私数据。更重要的是，如果这些细节涉及到关键技术实现点的话，无异于泄漏核心技术。
（2）被恶意者通过字节码注入等手段植入恶意广告或恶意代码然后重打包发布。由于sdk的特殊性，不像app那样存在签名校验逻辑，因此一旦恶意者在你的sdk中植入了一些恶意代码或恶意广告然后重新发布的话将很难察觉，严重影响开发厂商的品牌形象与口碑。
（3）被破解者绕过关键逻辑造成经济损失。如果sdk存在支付功能，被恶意者分析找到付费逻辑，恰巧涉及付费相关逻辑也未很好的做服务端校验的话，一旦恶意者通过aop手段去除这些付费逻辑，意味着将可免费使用付费服务。
（4）sdk本身可能存在漏洞，易被恶意者利用。sdk开发者在开发中往往把开发重点聚焦在了功能的实现上，在安全性上一般不会过多重视，因此很难保证自己开发的sdk不存在任何漏洞。因此一旦sdk出现一些安全漏洞被恶意利用，不仅危及用户的数据及隐私安全，也会严重影响sdk开发厂商的口碑，甚至造成经济赔偿。
2.如何对sdk进行加固？
目前市面上绝大部分开发者使用的混淆的方式——proguard。proguard是安卓平台使用最广泛的混淆，通过抽象语法树从语法层面进行处理，使得处理后的代码难以阅读和理解。 不过将类名和方法名修改为一些无意义的随机字符串，比如“a,b,c”，虽然能够提高破解者阅读与理解成本，但是很显然作用是极其有限的。对于破解者而言，分析出代码的意图只是时间的问题。
建议采用专业第三方安全厂商的sdk加固服务，比如网易易盾的sdk加固至尊全讯大全官网的解决方案：
（1）易盾sdk加固vmp方案：将待保护类的方法进行抽空，并对抽取的指令加密处理，在运行时通过自定义虚拟机执行，从而使得破解者无法得到原始代码逻辑；
（2）易盾sdk加固java2c方案：该方案是将待保护类的方法native化，同时将原函数实现逻辑转为native层对应的c/c 代码，运行时直接执行对应的native函数。
3.ios代码保护的方法有哪些？
（1）字符串混淆：对应用程序中使用到的字符串进行加密，保证源码被逆向后不能看出字符串的直观含义。
（2）类名、方法名混淆：对应用程序的方法名和方法体进行混淆，保证源码被逆向后很难明白它的真正功能。
（3）程序结构混淆加密：对应用程序逻辑结构进行打乱混排，保证源码可读性降到最低。
（4）反调试、反注入等一些主动保护策略：这是一些主动保护策略，增大破解者调试、分析app的门槛。
添加以上的一些代码混淆措施后，ios app的安全性会获得很大的增强，大大提高了破解者破解的难度。
4.如何实现android so文件保护？
目前so文件保护方案大概可以分为有源保护和无源保护，有源保护分为自解密、混淆、源码vmp等，无源保护分为加壳、vmp保护。
有源保护中的自解密保护的原理是：先加密需要加密的函数或者段，然后再加载so文件，解密先前加密的函数和段。由于运行后需要解密相关的逻辑，因此破解者只需要在so文件运行后，dump内存，即可获取解密后的逻辑，破解门槛低，因此自解密的保护方式存在安全强度低、维护成本高的缺点。
还有一种常用的so源码保护就是基于llvm的混淆，通过指令替换、控制流扁平化和虚假控制流等角度去混淆源码。由于源码混淆的方案在安全强度方面不够，因而出现源码vmp的至尊全讯大全官网的解决方案。
相对基于llvm的混淆，vmp安全强度更高，并且对so文件的体积影响也较小。
但是以上基于源码的保护存在一个相同的问题：接入成本高，需要处理源码就需要有本地工具，特别有些游戏引擎非开源，那基于源码的保护则无法接入。
关于so文件保护可以点击以下文章了解更多：
4.vmprotect是什么意思？
vmprotect 是新一代的软件保护系统，将保护后的代码放到虚拟机中运行，这将使分析反编译后的代码和破解变得极为困难。使用 map 文件或内建的反编译引擎，您可以快速选择需要保护的代码。vmp核心的原理是基于 dalvik 的解释器实现自己定义的指令。
关于vmp加固的原理及如何实现可以通过以下文章了解更多：