C++实现APK数字签名提取与验证：一文读懂

在Android应用开发和安全检测中，数字签名是验证应用来源和完整性的关键机制。本文将介绍如何使用C++结合libzip和OpenSSL库，实现对APK文件数字签名的提取与验证。

APK数字签名的作用

APK文件的数字签名存储在META-INF/目录下的.RSA、.DSA或.EC文件中。这些签名文件采用PKCS#7格式，包含证书链和签名数据。通过解析这些文件，可以获取证书的主体、颁发者、序列号、有效期、签名算法、公钥信息以及指纹摘要等关键数据。这些信息对于验证应用的来源、确保应用未被篡改以及进行安全分析至关重大。

提取APK签名文件

为了提取APK中的签名文件，可以使用libzip库。libzip是一个用于操作ZIP文件的C库，它允许我们打开APK文件（APK文件本质上是一个ZIP文件），遍历其中的文件，并提取特定的签名文件。

实现步骤

打开APK文件：使用zip_open函数打开APK文件。
遍历文件条目：通过zip_get_num_entries获取文件条目数量，并使用zip_get_name获取每个文件的名称。
识别签名文件：检查文件名是否以META-INF/开头，并以.RSA、.DSA或.EC结尾。
读取签名文件内容：使用zip_stat_index获取文件大小，并通过zip_fopen_index和zip_fread读取文件内容到内存中。
关闭文件：读取完成后，使用zip_fclose关闭文件，并使用zip_close关闭ZIP文件。

解析签名数据

提取到签名文件后，可以使用OpenSSL库解析PKCS#7结构，提取证书信息。OpenSSL是一个强劲的加密库，提供了丰富的API用于处理数字证书和签名。

实现步骤

加载签名数据：使用BIO_new_mem_buf将签名数据加载到内存BIO中。
解析PKCS#7结构：使用d2i_PKCS7_bio函数将内存数据解析为PKCS#7结构。
提取证书链：通过PKCS7_type_is_signed判断是否为签名类型，并获取证书链。
遍历证书链：对于每个证书，提取证书的主体、颁发者、序列号、签名算法、公钥信息等。
计算指纹：使用X509_digest计算证书的SHA1和SHA256指纹。

实现代码

提取签名文件

cpp

复制

#include <zip.h>
#include <iostream>
#include <vector>

std::vector<uint8_t> extract_signature_from_apk(const std::string& apk_path) {
    zip_t* zip = zip_open(apk_path.c_str(), 0, nullptr);
    if (!zip) {
        std::cerr << "Failed to open APK: " << apk_path << std::endl;
        return {};
    }

    std::vector<uint8_t> signature_data;
    zip_int64_t num_entries = zip_get_num_entries(zip, 0);

    for (zip_int64_t i = 0; i < num_entries; i++) {
        const char* name = zip_get_name(zip, i, 0);
        if (!name) continue;

        std::string filename(name);
        if (filename.find("META-INF/") == 0 &&
            (filename.find(".RSA") != std::string::npos ||
             filename.find(".DSA") != std::string::npos ||
             filename.find(".EC")  != std::string::npos)) {

            zip_stat_t st;
            zip_stat_index(zip, i, 0, &st);
            zip_file_t* file = zip_fopen_index(zip, i, 0);
            if (file) {
                signature_data.resize(st.size);
                zip_fread(file, signature_data.data(), st.size);
                zip_fclose(file);
                break;
            }
        }
    }

    zip_close(zip);
    return signature_data;
}

解析签名数据

cpp

复制

#include <openssl/pkcs7.h>
#include <openssl/x509.h>
#include <iostream>

void analyze_signature_data(const std::vector<uint8_t>& signature_data) {
    BIO* bio = BIO_new_mem_buf(signature_data.data(), signature_data.size());
    PKCS7* p7 = d2i_PKCS7_bio(bio, nullptr);
    BIO_free(bio);

    if (!p7) {
        std::cerr << "Failed to parse PKCS7 signature" << std::endl;
        return;
    }

    if (PKCS7_type_is_signed(p7)) {
        STACK_OF(X509)* certs = p7->d.sign->cert;
        for (int i = 0; i < sk_X509_num(certs); i++) {
            X509* cert = sk_X509_value(certs, i);
            char subject[256], issuer[256];
            X509_NAME_oneline(X509_get_subject_name(cert), subject, sizeof(subject));
            X509_NAME_oneline(X509_get_issuer_name(cert), issuer, sizeof(issuer));
            std::cout << "--- Certificate " << i + 1 << " ---
";
            std::cout << "Subject: " << subject << "
";
            std::cout << "Issuer: " << issuer << "
";
        }
    }

    PKCS7_free(p7);
}