360加固与脱壳流程
360整体加固classes.dex后的apk程序的特点，以超信1.1.4版本为例。360加固以后，会在apk的assets文件的路径下增加两个文件libjiagu.so和libjiagu_x86.so以及修改原apk的AndroidManifest.xml文件的application标签增加两个元素。
360加固脱壳需要完成两个任务，一个任务是过掉360加固的反调试，另外一个是获取原apk的classes.dex文件。下面写一下具体的脱壳步骤，完成这两个任务。为了脱壳成功，在动态调试加固apk程序前，需要将android_server调试程序的名字修改一下，因为360加固会通过查询/proc/pid/cmdline文件获取程序的名称来对android_server、gdb、ltrace、strace调试器进行反调试。
在动态调试加固apk程序的时候，需要在几个关键点函数 open、strtol、mmap、memcmp处下断点，后面具体的分析。由于android系统是由Linux系统修改而来，因此Android系统上很多的属性和Linux系统下的属性。Linux下进程和线程的信息是保存在文件中的，因此要查询进程或者线程的信息必须通过open或者fopen等方式操作文件来完成。
Android的so调试的步骤略过，已经在上面提到的4个函数处下断点，注意下断点的技巧，下断点的时候，要在一个函数的第1条指令和最后一条指令的地方下断点。
F9运行程序，当看到下图的状态，调用open函数打开文件/proc/self/status时，可以确实是加固外壳apk程序通过TracePid的反调试。
过掉通过TracePid方式的反调试的方法是在strtol函数处下断点，在strstol函数的最后一行指令的地方，修改该函数的返回值R0的值为0即可，然后F9运行程序。
360加固的外壳程序apk还会通过文件/proc/net/tcp的本地套接字进行反调试，一旦检测到程序有23946端口的本地连接的套接字，他就会结束当前程序，其实过这个方式的反调试的方法很多，修改远程调试的端口号就可以过掉反调试。
过掉通过/proc/net/tcp文件的本地套接字的反调试的方法是在open函数处下断点，然后F8单步调试发现strstr函数，加固的外壳apk程序就是通过strstr函数进行判断当前进程是否存在本地连接的套接字，一旦检测到，就结束当前进程。
发现程序循环调用strstr函数进行判断，当strstr函数的返回值不为0为字符串“sl local_address rem_address”时，需要注意，说明当前进程已经检测到了本地连接的套接字，因此需要修改strstsr函数的返回值为0即可。
加固apk程序还会通过"/proc/pid/mdline"对android_server、gdb、strace、ltrace调试器进行反调试，但是只要向前文提到的修改android_server的名称即可过掉该反调试。
