一、Android 勒索软件概述WannaCry 在 PC 端的破坏力令人震惊，Android 平台上同样存在大量仿冒 WannaCry 的勒索软件。它们通常伪装成刷机工具、成人内容播放器或系统优化应用，诱导用户授予大量敏感权限，随后在后台加密用户文件并索要赎金。 Android 勒索软件的两大类型 ...

一、导出组件漏洞Android 四大组件（Activity、Service、BroadcastReceiver、ContentProvider）若设置 android:exported="true" 且未做权限保护，可能被第三方应用恶意调用。 组件导出规则（Android 12+ ...

一、加固原理概述Android 应用加固（壳）的核心思路：将原始 DEX 文件加密后打包进 APK，类加载时由壳代码动态解密 DEX，并通过自定义 ClassLoader 加载到 ART 虚拟机中。常见加固厂商包括：腾讯乐固、360 加固保、梆梆安全、阿里聚安全等。 加固层次分为：DEX 整体加密 ...

一、为什么需要调试 Native 层许多应用将核心逻辑放在 Native 层（.so 文件），包括加密算法、签名校验、反调试检测等。Java 层只做简单调用，真正的安全防护逻辑都在 C/C++ 代码中。要深入分析这些逻辑，必须掌握 IDA Pro 调试 so 文件的技术。 IDA Pro ...

一、为什么需要 Smali 动态调试静态分析有其局限性——混淆严重的代码难以阅读，加密字符串在静态视角下不可见，分支逻辑的走向难以判断。Smali 动态调试允许你在运行时设置断点、查看寄存器值、单步执行指令，让程序的执行流程一览无遗。 动态调试与静态分析的协同工作流： ┌────────────── ...

一、静态分析概述静态分析是在不运行应用的前提下，通过反编译工具对 APK 文件进行解析的过程。相比动态调试，静态分析更安全（不触发反调试机制），是逆向工程的第一步。 核心流程为：APK 解包 → DEX 反编译 → Manifest 审查 → 敏感 API 追踪 → 硬编码搜索 → Smali 关键 ...

一、加固壳的原理回顾在深入脱壳之前，先理解壳是怎么保护 DEX 的。 一.1 壳的分类体系Android 加固技术经历了多代演进，每一代都提升了脱壳的难度： 第一代：整体型加固（DEX 整体加密）├── 代表：梆梆加固、早期爱加密、早期360加固├── 原理：整个 DEX 加密存放在 assets/ ...

一、Cydia Substrate 简介Cydia Substrate（http://www.cydiasubstrate.com/）是 saurik 开发的跨平台 Native 层 Hook 框架。在 Android 上，它提供了类似 Xposed 的模块化 Hook 能力，但作用在 C/ ...

一、Xposed 框架原理Xposed 是目前最强大的 Android Java 层 Hook 框架。其核心原理是劫持 Zygote 进程 —— 在 Android 启动过程中，Zygote 是所有应用进程的父进程，Xposed 向 Zygote 注入自己的 app_process，使得每个新应用进 ...

一、apktool 深度解析apktool（https://github.com/iBotPeaches/Apktool）是 Android 逆向的基石工具，主要功能是对 APK 进行解码（decode）和重构建（rebuild）。 一.1 APK 文件结构回顾理解 apktool 的工作原理需要先 ...