为啥不利用修改 apk 的 manifest 来控制软件行为？

现有控制软件行为的方案，绿守 /黑域 /写轮眼 /xposed 无一不是入侵式的，对 root/adb 要求很高效果却不完美，为啥没大神做基于 manifest 编辑+自签名打包来做到免 root 限制流氓呢？

Manifest 就像是 apk 和 android 系统签订的一份合约，其内容完全决定了 android 沙盒如何限制 apk 的行为。Google 目前的做法是让用户无条件接受这份合约（ 6.0 之前）或者只有极小协商空间(就是 6.0 的可选权限)。如果能修改 manifest,用户可以达到这些效果(从简单到难):
1. 修改 targetSdkVersion 很多新系统对流氓的控制，流氓都会通过 target 老旧的 sdk 来应付，如果能自己改 targetSdkVersion，流氓们只能在 8.1 下面乖乖睡觉，在 6.0 下面乖乖把部分敏感权限选择权交给用户
2. 直接删除 /添加权限申明。6.0 下面的权限只有部分是可选的，通过修改 manifest，所有权限用户都能控制
3. 直接修改 /删除四大组件的申明让 broadcastreceiver 再也收不到“开机 /网络变更 /摄像头开启”之类的唤醒，直接禁用 service/content provider，或者使其无法向第三方开放。

如此以来，再也不需要在运行时控制自启动 /切断唤醒路径，因为新合约让流氓无路可走。还有 Oreo 对 bound service/content provider 没有约束的情况，manifest 也可以弥补。只要限制得当，这个沙盒能比 iOS 更加给力。
改完后重新打包，尽量做到每个 apk 单独签名。还有就是最好把 apk 的原始签名加入 manifest 中，这样升级的时候可防止下载到一个已经被人动过手脚的 apk。

如果要做这种修改软件，界面可以像写轮眼那样非常清晰明了。如果能借绿色守护的处方语法就更好了，那样小白就可以利用网上现成的处方来决定哪些权限 /组建可删可改以及怎么改。免 root，流程简单，效果超过现有方案，为啥没人做呢？

s82kd92l

2018-01-19 15:18:13 +08:00

@skylancer 试了试改高德地图，配合这个补丁 https://github.com/Lanchon/haystack，有效运行。

@yuriko 反射只能对自身进程有效，哪怕是对同一个 app 下的另一个进程都无效，更何况是对不同 UID 下的进程。

@imcczy 应用安全 apk 加壳我不熟，但系统安全，包括 linux 内核 /selinux/binder/permission 机制我都很熟，aosp 各种系统服务源代码也没少看。

还有最近有了免 root 的 xposed 的方案:https://github.com/haygcao/VAExposed，这个是一个薄容器，里面甚至自带签名伪造功能，无需 xposed: https://github.com/haygcao/VAExposed/blob/master/VirtualApp/lib/src/main/java/com/lody/virtual/server/pm/parser/PackageParserEx.java#L53
当然，这个东西既然与 apk 本身运行与同一个进程中，那么就容易利用反射来针对。

imcczy

2018-01-19 16:04:48 +08:00

@s82kd92l #58 既然你接触过这些那也应该了解你的方法只对部分应用有效嘛。。你提到的方法，以及类似 VA 这样的沙盒这块学术界目前已经有非常多的研究了，其实就是权限隔离，方法五花八门，但是我目前还没有看到比较好的能用实际运用的方案。主要是，修改应用以及签名欺骗这些太容易被针对了。