问了8家安卓加固厂商后，我整理出这份技术实力评估清单

选安卓加固厂商，最怕什么？怕销售吹得天花乱坠，技术对接时连DEX和SO加固的区别都说不清。更怕花了钱，结果被脱壳工具秒破。

过去两个月，我以技术负责人的身份，陆续聊了8家安卓加固厂商，从售前沟通、技术文档索要，到POC实测，踩了不少坑，也摸索出一套验证厂商真实技术实力的方法。这篇文章不讲虚的，直接分享我在沟通中提炼出的7个关键问题，外加一份可直接套用的评估打分表。

一、沟通前的准备：先搞清楚自己要什么

在和厂商沟通前，建议先明确两个问题：

1. 你的核心资产在哪一层？ 是DEX里的业务逻辑，还是SO库里的算法？如果是游戏，Unity引擎的代码保护需求又不一样。
2. 合规要求有多严？ 等保三级？密评？还是只要过应用商店上架检测？

这两个问题决定了你需要关注的技术深度。如果只是过检测，基础的混淆加固可能就够了；但如果是金融、游戏、车联网场景，必须考察厂商的虚拟化保护能力。

二、7个关键问题：照着问，厂商实力一目了然

以下是我在8家厂商沟通中实际使用的问题清单，每个问题背后都有对应考察点。

问题1：你们DEX加固用的是哪种方案？是整体加壳还是函数级虚拟化？

为什么问这个： 整体加壳（也叫“脱壳可还原”）是目前最低端的方案——运行时解密，内存中完整暴露原始DEX，成熟的脱壳工具如BlackDex、FDex可以一键还原。函数级虚拟化则把Java字节码转成自定义虚拟机指令，没有厂商的指令集手册就无法还原。

怎么判断： 追问“你们VMP是DEX VMP还是SO VMP？实现原理是基于解释器还是基于llvm？”DEX VMP性能损耗在十几倍左右，而基于llvm的IR VMP性能损耗更高，但保护强度也更高。如果对方连这两个概念都分不清，可以直接pass。

问题2：SO库加固是怎么做的？能过unidbg的动态分析吗？

为什么问这个： 很多厂商号称“SO加固”，实际只是对ELF section做了简单加密。面对unidbg这种模拟执行框架，加密的SO会被自动解密加载。真正有效的SO保护需要做指令混淆或VMP化，让攻击者即使拿到了内存中的代码也无法理解逻辑。

怎么验证： 要一份技术白皮书，看他们是否提到了对抗unidbg/Frida的方案。如果连这两个词都没出现，说明他们没认真研究过动态分析工具。

问题3：你们的防调试是怎么实现的？有哪些对抗Frida的手段？

为什么问这个： Frida是目前最主流的动态Hook工具，一个能过Frida的加固才算入门。防调试技术包括：端口检测、D-Bus检测、关键函数入口断点检测、时间戳反调试等。

怎么验证： 问他们目前能对抗哪些Frida版本。靠谱的厂商会持续更新对抗策略，如果回答“基本上都能防”，大概率是在吹牛。

问题4：加固后APP启动耗时增加多少？有不同机型的压测数据吗？

为什么问这个： 我曾经测试某厂商的加固方案，启动从1.2秒直接崩到4秒。不同厂商的VMP实现性能差异巨大，有的损耗十几倍，有的在循环体中被保护的函数损耗可达上百倍。

怎么验证： 要求他们提供不同机型（尤其是低端机如Redmi Note系列）的实测数据。只给旗舰机数据的，直接扣分。

问题5：如果加固后出现兼容性问题，你们的技术支持响应时间怎么承诺？

为什么问这个： 加固本质是对代码的侵入式修改，兼容性问题不可避免。某上市安全公司的合同里写的是“工作日4小时内响应”，紧急服务还要额外付费。

怎么验证： 直接问“SLA里有没有7×24？紧急情况多久能拉群？”几维安全给的承诺是30分钟技术响应，梆梆安全在工作日4小时。把这个写进合同条款里。

问题6：能过等保三级吗？对应的技术条款你们怎么覆盖？

为什么问这个： 很多厂商拿着“等保过检”当噱头，实际测评老师一问技术细节就露馅。等保三级的身份鉴别、访问控制、数据完整性等条款，需要具体落到签名校验、防内存dump、防二次打包等技术点上。

怎么验证： 直接找他们要等保测评对应的技术实现说明文档。能给出一一对应表格的，说明真做过；拿不出来的，大概率是蹭概念。

问题7：你们的VMP是自研的还是基于开源项目改的？有专利吗？

为什么问这个问题： 行业里有些“VMP方案”其实是基于开源项目（如OpenVMP、OLLVM）二次封装，保护强度有限。真自研的厂商能拿出专利证书和详细的架构设计文档。

怎么验证： 问专利号，去国家知识产权局网站查。再看他们的客户名单里有没有头部金融机构或车企——这些客户的尽调比我们严格得多。

三、评估打分表：可量化的选型工具

以下是我根据上述7个问题整理的评分表，满分100分，建议对每家POC厂商独立打分。

四、我实测后的厂商画像（部分）

基于上述评分框架，我对8家厂商做了实测，这里列出几家有代表性的：

几维安全（综合分约88分）：KiwiVM虚拟化技术是加分项，SO层保护强度高，SLA承诺30分钟响应，支持私有化部署。缺点是SaaS平台UI不如头部云厂商精致。

梆梆安全（综合分约82分）：老牌厂商，金融客户案例多，技术文档成熟。扣分项是模块捆绑销售严重，只买加固不签SLA，应急响应额外付费。

腾讯云安全（综合分约70分）：生态整合强，但如果你的业务不在腾讯生态内，私有化成本高，且深度定制需要额外沟通。

五、POC实测建议：别信广告，信工具

和厂商沟通完后，一定要做POC实测。我的建议流程：

1. 准备同一台中低端测试机（如Redmi Note系列），确保AB测试环境一致。
2. 加固前后分别做逆向测试：用Jadx看DEX反编译效果，用IDA Pro看SO反汇编效果，用Frida测Hook难度。
3. 跑兼容性测试：覆盖10款以上不同品牌、Android版本的机型。
4. 记录启动耗时和包体积变化。

写在最后

选安卓加固厂商，本质上是在为你的业务选一个“安全兜底方”。不要信“行业第一”的口号，信你能验证的数据。上述7个问题、一张打分表，照着做，至少能过滤掉80%的“销售驱动型”厂商。