用途：面向漏洞赏金的移动应用渗透测试技能，覆盖 Android APK 与 iOS IPA，思路是先跑运行时、再考虑逆向。核心前提是 App 会与 Web 相同的后端通信，但暴露 Web 侦察看不到的 base URL、API 端点、请求头方案与硬编码密钥。
主要能力与流程：启动前先用 /scope 核对范围，注意 App 包名与仅列 *.target.com 时的差异，第三方 SDK 通常不在范围内。默认顺序为：在设备或模拟器安装 App，将其流量指向 Burp 或 mitmproxy，手工驱动登录、支付、改资料等真实业务流程，逐步观察代理中的请求是否可见且可重放；若可见可重放即停止逆向，按 Web 目标测试 API；若流量被绑定、加密或缺失，再升级到 apktool、jadx、Frida。
静态检查用于找 Web 侦察遗漏的端点与密钥：用 apktool 反编译、grep 搜索 api_key、secret、token 等，并检索 https:// 与 Firebase、S3 等云地址；也可用 jadx 输出 Java 提高可读性，或用 apkleaks 一次抓取端点与密钥模式。发现内部或 staging 域名可继续 httphttpx、爬取与 /recon。
网络层测试与 Web API 测试一致：先建立干净基线请求，原样重放确认稳定，再最小改动单字段，比较状态码、响应体、耗时与服务端状态，重点测试认证会话伪造、IDOR、业务逻辑、支付重放、注入、GraphQL 与 WebSocket 等。
当流量为空时处理证书绑定：可用 objection patchapk 打包并执行 android sslpinning disable、ios sslpinning disable；也可使用针对 OkHttp CertificatePinner 与 TrustManagerImpl 的 Frida 脚本。绑定绕过只是支持步骤，不是发现本身。
还包含导出组件与深链测试：检索 AndroidManifest.xml 中 exported="true" 与 BROWSABLE 深链，用 adb am start 探测 WebView 加载与开放重定向；以及 WebView 的 addJavascriptInterface 桥接风险，检查 setJavaScriptEnabled、loadUrl 与 @JavascriptInterface 暴露的方法。另有请求签名恢复思路：在 jadx 中定位 OkHttp 拦截器与签名逻辑，用 Frida 挂钩打印签名输入输出，native 签名器优先做边界证明而非直接重写算法。
适用场景：有明确赏金范围、允许测试移动 App 与其 API 的项目。
限制与注意事项：不要把「可调试」「无 root 检测」「无混淆」「无证书绑定」「可反编译」等单独提交；公开设计用途的密钥除非能证明未受限的特权访问，否则无效；所有发现都应能回答远程攻击者无需物理接触设备即可造成真实影响。