→ qrtt1:不過 hacker 根本不看 code，是直接改變局部的流程。 01/21 15:43
其實就是利用 proguard，對整個專案的程式碼做"混淆"，讓人無法輕易的解析。混
淆的意思是將程式碼中，原本有意義的變數或函數的名稱，代換成無意義的文字。
誠如就像版友之前所說，就算被混亂過，只要花時間，還是可以看出程式的架構。不
過假設你有一個擔心的老闆，還是可以將 proguard 的混淆結果拿來說嘴一下:)。
另外一個考量的是時間成本，花時間解析這份經過混淆的 code，搞不好所花得時間
就可以硬刻出相同的功能外加 debug 好幾回。就時間成本來考量，proguard 或許也有
些用處。
Android 從 ADT(Android Development Tools) 8.0.0 開始內建支援 proguard，
詳細資料請參考網頁。
http://developer.android.com/guide/developing/tools/proguard.html
而要將經過 proguard 的結果輸出，要用
File -> Export -> Android -> Export Android Application，這在網頁上沒有描
述的非常清楚，當初有稍微找了一下。
proguard 預設是利用英文字母來替換原來變數或函數的名字，但是可以利用參數的
設定，利用其他的"符號"來代替英文字母。參數如下：
-obfuscationdictionary dic.txt
dic.txt 是字典檔，存放我們希望替換的符號。之前在研究的時候，突然福至心靈，
用了神奇的字典檔（我自己覺的還蠻神奇的)
麤 龘 贔 驫 矗 毳
(其實還有蠻多字 ptt 無法打出來，其實就是一堆難念筆劃又多的中文字)
沒錯，就是利用這些我自己都不太會念的中文字，當初的想法很簡單，我就是要讓人
難以辨識，我知道中文是兩個字元，如果在不支援的雙 bytes 的電腦上，會顯示亂碼，
如果在支援的電腦上，會顯示難以念出的中文字。但是中文字經過編譯之後會變啥，程式
是否還能正常執行，我沒把握也沒概念，就抱著姑且一試的心情，反正 build 一次也兩三
分鐘而已。
結果比我預期的好，程式可以執行，混淆的結果也頗讓人滿意，節錄一小段反組譯之後
的 code：
http://pastebin.com/embed_iframe.php?i=35jiWneR
變數名稱的地方，肉眼辨識下都是同一個符號。不過我無法擔保你如果使用同樣的字
典檔，程式是否一樣可以正確無誤。或許這些複雜的中文字，在 progroud 處理的時候已
經是分開的字元了，這我就沒有仔細研究了。
proguard 的參數請參考 proguard 的網頁：
http://proguard.sourceforge.net/index.html#/manual/usage.html
小結:
android 已經將 prograd 內建了，透過適當修改混淆器的字典檔，可以加強混淆的
程度。
最後的心得:
在機會成本的觀念下，個人是覺的 proguard 還是有一點點的保護作用。想要做研究
深入了解，當然是可以好好的拆(猜)解別人的 code。但在金錢和時間考量下，這樣的逆向
工程似乎就不是最佳解了。
當初是上面的老闆擔心，將來程式放到 market 上，我們能有什麼保護措施？所以才
花了點時間研究這些東西。但是這些東西真的可以保護到程式碼嗎？我反而想問，我們的
程式真的需要這樣的保護嗎？還是只是敝帚自珍而已？
總之我花了點時間，玩了一些東西，就整理一下和大家分享:)
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 140.119.80.94