Android APP 加固横评记录：爱加密、梆梆、网易易盾与腾讯 ACE

最近把四份 APK 的静态分析结果放到一起复查。这篇记录四家品牌相关样本的差别，也把容易误读的统计口径留在表旁边。

测试记录

本次分析使用 ChatGPT 中的 Codex，模型为 GPT-6.1 Sol，推理档位为 高。四个原始 APK 一起上传，口令如下：

分析四个包体的加固强度并进行对比

模型调用本地工具解析 Manifest、DEX 和 ARM64 ELF，交叉核对入口及厂商特征，再检查载荷。

品牌特征／样本版本	标准 DEX 数	主包类／带指令方法	静态特征指数
爱加密／墨迹天气 9.0948.04	37	0 / 0	90
梆梆／万年历 7.5.6	1	0 / 0	85
网易易盾／有道翻译官 4.3.47	1	0 / 0	85
腾讯 ACE/TP 特征／233 乐园 4.88.0.0-4888767	12	18,676 / 84,854	10

只统计 APK 根目录标准 DEX，主包按应用自身包名前缀识别，不能等同于全部自研代码。表中方法数指带指令方法，区别于 method_ids 引用数。

爱加密样本：类表与载荷分开核对

墨迹天气入口为 s.h.e.l.l.S。37 个标准 DEX 合计约 62.91 MiB，主包类定义为 0，所查 80 个主包 Activity/Provider 也未找到定义。这一步要确认代码归属，不能拿总类数代替业务暴露量。

assets/ijiami.dat 为 26,374,884 B，熵约 7.994，未检出所查 Lcom/moji/ 描述符。它的业务名称在本轮扫描范围内暴露较少，高熵则不能单独作为强加密证据。

ARM64 libexec.so 的节结构受过处理，但动态段仍可枚举符号。主载荷与加载器的结果要分别记录。

梆梆样本：名称线索留在业务容器内

万年历入口 com.secneo.apkwrapper.AW 与 libDexHelper.so、libdexjni.so 等文件相互印证。标准 DEX 只有 17,624 B、5 个壳类，64 个所查主包组件定义均未出现。

继续检查约 59.03 MiB 的 libdatajar.so，能找到 3,617 个 Lcom/youloft/calendar/ 描述符。类表已经隔离，业务类型名称仍有暴露；这能辅助定位，尚不等于恢复方法体。

壳 ELF 元数据经过处理，常规动态符号枚举受阻。原始检测记录应保留失败状态，不能填一个“0”就当作没有导出。

网易易盾样本：DEX 尾部需要单独检查

有道翻译官入口为 com.netease.nis.wrapper.MyApplication。classes.dex 实际 67,391,740 B，头部 data_off + data_size 为 63,964 B，尾部另有 67,327,776 B 数据。

可解析类表只有 30 个类，主要是壳代码，57 个所查主包组件定义均未出现。但尾部检出 10,878 个 Lcom/youdao/ 描述符，不能因为类表干净就结束检查。

libnesec.so 的主要可执行区域经过重组，包内还可见 libdexvmp.so、nedata.db 等 VMP 相关文件。

腾讯 ACE/TP 样本：入口链与业务可见性同时存在

233 乐园能确认到这条关系：

com.meta.box.MetaApp
  → com.ace.gshell.AceApplication
  → System.loadLibrary("tprt")
  → native initialize(...)

com.meta.box 下仍有 18,676 个类定义、84,854 个带指令方法，指令数组约 6.07 MB。所查 88 个组件中，87 个定义可直接找到，后续业务分析有现成入口。

这份样本的主业务静态隐藏程度最低，核心壳 ELF 结构较常规。

评分与结论

下面是基础分析后追加的自定义评分，合计对应前表的静态特征指数：

样本	代码隔离 / 40	元数据隐藏 / 30	壳结构 / 30
墨迹天气	40	30	20
万年历	40	15	30
有道翻译官	40	15	30
233 乐园	0	0	10

业务大量可读记 0；主包及所查组件定义均移出标准 DEX，并有壳与载荷证据，记 40。元数据直接可读、载荷仍有明文、所查载荷未检出指定业务前缀，分别记 0、15、30。壳结构常规、部分受处理、关键结构受处理，分别记 10、20、30。

这轮看下来，墨迹天气、万年历和有道翻译官的主包定义都没有出现在标准 DEX 中，区别在载荷：后两份仍能找到大量明文业务类型名称，墨迹天气的所查主载荷未检出指定前缀。233 乐园的情况最直观，壳入口和 84,854 个带指令的主包方法同时存在，业务代码在标准 DEX 中就能直接读取。