01. 安卓逆向基础、环境搭建与授权

边界说明：本文只面向自研 Demo、开源靶场或已获得书面授权的 App。所有操作目标都是理解 Android 应用结构、验证安全风险、建设防护能力，不用于未授权破解、盗号、绕过付费或攻击第三方服务。

1. 本章目标

学完本章后，应能完成四件事：

安卓逆向学习最常见的问题是直接上工具，但不知道工具结果说明什么。本章先把 Android 应用的运行模型、工程产物和实验环境讲清楚，后续静态、动态、Native、防护章节都围绕同一个 Demo 进行。

2. Android 逆向必须先懂的基础

2.1 APK 是什么

APK 本质上是一个带签名的 ZIP 包。它不是单个可执行文件，而是由多个层次组成：

逆向时不要只看 Java 反编译结果。很多关键逻辑会拆散在 Manifest、资源、Java/Kotlin、Native、网络请求和服务端校验之间。

2.2 Android 安全边界

Android 的基础安全模型包括：

• 应用沙箱：每个 App 默认拥有独立 UID，私有目录通常在/data/data/<package>。
• 权限模型：危险权限需要运行时申请，组件导出需要额外权限或身份校验。
• 签名模型：同签名 App 可共享能力，升级安装依赖签名一致。
• 进程模型：Java 层、Native 层、系统服务通过 Binder、JNI、系统 API 协作。
• 网络模型：App 通过 OkHttp、Retrofit、HttpURLConnection、WebView 等发起请求。

逆向分析就是在这些边界上找证据：哪里把秘密放在客户端，哪里只做本地判断，哪里能被抓包重放，哪里缺少签名或完整性验证。

3. 工具链安装与验证

3.1 基础工具清单

3.2 adb 基础命令

adb devices adbinstallapp-debug.apk adb shell pm list packages|grepreverse adb shell dumpsys package com.example.reversedemo adb shell am start-ncom.example.reversedemo/.MainActivity adb logcat|grepReverseDemo adb shell run-as com.example.reversedemolsfiles

关键理解：

• adb install用于安装未上架测试包。
• dumpsys package能看到 Activity、Service、Receiver、Provider、权限和签名摘要。
• logcat是动态分析的第一手证据，但正式包不应输出敏感日志。
• run-as只对 debuggable 应用可用，正式包不能依赖这个能力。

3.3 Frida 设备验证

Frida 需要电脑端版本和设备端frida-server主版本一致。

frida--versionadb shell getprop ro.product.cpu.abi adb push frida-server /data/local/tmp/frida-server adb shellchmod755/data/local/tmp/frida-server adb shell /data/local/tmp/frida-server frida-ps-Uai

验证标准：

4. 授权 Demo 工程设计

建议创建一个ReverseDemo，故意包含学习用的风险点和后续修复点。不要直接拿第三方商业 App 当练习目标。

4.1 Demo 功能清单

4.2 Kotlin 示例：本地会员判断

packagecom.example.reversedemoobjectUserCenter{privateconstvalLOCAL_USER="demo"privateconstvalLOCAL_PASSWORD="123456"funlogin(user:String,password:String):Boolean{returnuser==LOCAL_USER&&password==LOCAL_PASSWORD}funisVip(userId:String):Boolean{returnuserId=="10001"}funfeatureName():String{returnif(isVip("10002"))"vip-video"else"free-video"}}

这个 Demo 故意把账号、密码和会员判断放在客户端。后续章节会证明：只要关键权益依赖客户端判断，就可以被静态修改或动态 Hook 影响。

4.3 Kotlin 示例：网络签名函数

objectSigner{privateconstvalCLIENT_SECRET="demo-client-secret-change-me"funsign(path:String,timestamp:String,nonce:String,body:String):String{valraw="$path|$timestamp|$nonce|$body|$CLIENT_SECRET"returnsha256(raw)}privatefunsha256(value:String):String{valdigest=java.security.MessageDigest.getInstance("SHA-256")returndigest.digest(value.toByteArray()).joinToString(""){"%02x".format(it)}}}

这个写法也故意不安全：只要密钥在客户端，就可能被静态搜索、动态打印或从内存里定位。真正的核心鉴权应由服务端掌握，客户端只能持有短期凭证。

4.4 Native 示例：JNI 检测

#include<jni.h>#include<unistd.h>extern"C"JNIEXPORT jboolean JNICALLJava_com_example_reversedemo_NativeGuard_nativeCheck(JNIEnv*,jobject){returnaccess("/system/bin/su",F_OK)!=0;}

这个 Native 方法用于练习：

• 用 jadx 找到System.loadLibrary。
• 用readelf、nm或 Ghidra 找 JNI 函数。
• 用 Frida Hook Java 层或 Native 层返回值。
• 把检测结果从“可绕过”改造成“只作为风险信号，不作为唯一安全判断”。

5. Demo 构建与运行

5.1 Debug 包

./gradlew assembleDebug adbinstall-rapp/build/outputs/apk/debug/app-debug.apk adb shell am start-ncom.example.reversedemo/.MainActivity adb logcat|grepReverseDemo

Debug 包适合学习调试，但不代表真实防护状态。它通常包含调试符号、日志、未混淆类名，攻击成本很低。

5.2 Release 包

./gradlew assembleRelease apksigner verify--verboseapp/build/outputs/apk/release/app-release.apk adbinstall-rapp/build/outputs/apk/release/app-release.apk

Release 包要重点检查：

• 是否关闭debuggable。
• 是否启用 R8/ProGuard 混淆。
• 是否删除敏感日志。
• 是否启用签名校验和完整性校验。
• 是否启用 Network Security Config。

6. 本章 Demo：环境验收实验

6.1 实验任务

1. 编译并安装ReverseDemodebug 包。
2. 用adb shell dumpsys package记录包名、版本、Activity 和签名摘要。
3. 用 jadx 打开 APK，找到UserCenter.isVip()。
4. 用 apktool 反编译 APK，找到 Manifest 和 Smali 目录。
5. 用 Burp/mitmproxy 抓到 Demo 的一次接口请求。
6. 用frida-ps -Uai确认能看到 Demo 进程。

6.2 验证表

6.3 常见问题

7. 本章交付物

完成本章后，建议产出：

case-reversedemo/ 01-env/ 01-install.txt 02-package.txt 03-jadx-screenshot.png 04-apktool-log.txt 05-http-sample.txt 06-frida-list.txt case-notes.md

case-notes.md至少包含：实验环境、工具版本、APK 信息、已完成步骤、未完成原因、下一步计划。

8. Android 运行模型

8.1 从源码到 APK 的完整链路

Android 逆向要先理解“源码不是 APK 的最终形态”。一个普通 Kotlin/Java 项目从源码到安装包大致经历：

学习时要把 jadx、apktool、adb、Frida 分别放在这条链路里理解。jadx 更接近 DEX 反编译，apktool 更接近资源和 Smali，adb 更接近运行环境，Frida 更接近运行时行为。

8.2 Android 进程和沙箱

每个 Android App 默认运行在自己的 Linux UID 下。这个 UID 决定了它能访问哪些文件、能否读写其他应用目录、能否通过 Binder 调用系统服务。

逆向时常见误判是：在 root 设备上能看到的文件，不代表普通设备也能看到；debug 包能run-as，不代表 release 包也能。

8.3 Activity、Service、Receiver、Provider 的逆向意义

Demo 中可以故意放一个导出 Activity，再在后续章节验证：外部命令能否直接启动，页面是否校验登录态。

adb shell am start-ncom.example.reversedemo/.DebugPanelActivity adb shell am broadcast-acom.example.reversedemo.DEBUG_ACTION adb shell content query--uricontent://com.example.reversedemo.provider/user

8.4 Intent 与 Deep Link

Deep Link 风险不是“能打开页面”本身，而是打开后是否能执行敏感操作。

<activityandroid:name=".DeepLinkActivity"android:exported="true"><intent-filter><actionandroid:name="android.intent.action.VIEW"/><categoryandroid:name="android.intent.category.DEFAULT"/><categoryandroid:name="android.intent.category.BROWSABLE"/><dataandroid:scheme="reversedemo"android:host="open"/></intent-filter></activity>

验证命令：

adb shell am start-aandroid.intent.action.VIEW-d"reversedemo://open/vip?userId=10002"

检查点：

• 页面是否要求登录。
• 参数是否做白名单校验。
• 是否允许跳转到任意 URL。
• 是否触发支付、提现、绑定账号等敏感动作。
• 错误参数是否导致崩溃或信息泄露。

9. Demo 工程细化

9.1 推荐 Demo 模块划分

ReverseDemo/ app/ src/main/java/com/example/reversedemo/ MainActivity.kt LoginActivity.kt DebugPanelActivity.kt UserCenter.kt Signer.kt ApiClient.kt NativeGuard.kt RiskDetector.kt StorageLab.kt src/main/cpp/ native_guard.cpp src/main/res/xml/ network_security_config.xml

每个类负责一个学习主题：

9.2 Demo 风险开关设计

为了方便对比，可以把风险点做成可切换模式：

objectLabSwitch{constvalUSE_LOCAL_VIP_CHECK=trueconstvalUSE_CLIENT_SIDE_SECRET=trueconstvalPRINT_SENSITIVE_LOG=trueconstvalENABLE_EXPORTED_DEBUG_PAGE=trueconstvalENABLE_NATIVE_ROOT_CHECK=true}

实验方式：

9.3 Demo 后端最小设计

即使是 Android 逆向学习，也建议准备一个最小后端。否则只能验证客户端现象，不能证明服务端是否安全。

接口建议：

服务端最小校验：

• token 必须有效。
• userId由 token 推导，不能信任客户端传入。
• 签名必须覆盖 path、method、timestamp、nonce、body hash。
• nonce 只能使用一次。
• 高风险操作需要服务端二次校验。

10. 工具验证深水区

10.1 adb 深入命令

10.2 jadx 使用细节

10.3 apktool 使用细节

apktool d-fapp-debug.apk-odecoded-debug apktool b decoded-debug-orebuilt.apk

常见参数：

apktool 成功反编译不代表能成功重打包。资源异常、签名差异、版本差异都可能影响安装。

10.4 Frida 环境排错清单

11. 实验记录规范

11.1 每次实验必须记录的字段

# 实验记录 ## 基本信息 - 实验名称： - 实验日期： - 操作人： - App 包名： - App 版本： - APK 哈希： - 设备型号： - Android 版本： - 是否 root： ## 工具版本 | 工具 | 版本 | 用途 | ## 操作步骤 1. 2. 3. ## 证据 | 证据 | 文件 | 说明 | ## 结论 - 已验证： - 未验证： - 限制： - 下一步：

11.2 APK 哈希记录

shasum-a256app-debug.apk shasum-a256app-release.apk

为什么要记录哈希：

• 保证报告和样本对应。
• 避免 debug/release 混用。
• 复测时确认是否同一版本。
• 多人协作时减少证据争议。

11.3 证据命名规范

12. 阶段练习

12.1 入门练习

12.2 进阶练习

12.3 专项练习

13. 验收考试

最终验收要求：

1. 在本机完成 Demo 编译和安装。
2. 用不少于 8 条 adb 命令完成设备、包、组件、日志、代理检查。
3. 用 jadx 定位 3 个关键类：登录、签名、Native 声明。
4. 用 apktool 反编译并找到 Manifest 和 Smali。
5. 用 Frida 完成进程枚举。
6. 用 Burp/mitmproxy 完成至少一次授权 Demo 抓包。
7. 输出完整case-notes.md。

评分表：

14. 基础、环境与 Demo 工程

本节补充真正的知识点说明。每个知识点都包含需要理解的核心、Demo 中的验证方式和常见误区。

Android 应用基础

工具与环境

Demo 工程设计

使用方式

每个知识点都要落到三件事：能解释原理，能在ReverseDemo或授权样本里找到证据，能写出验证结果和修复边界。