用途：在获得授权的红队或漏洞赏金评估中，对目标组织名下的 Android 应用做端到端逆向与信息收集。触发场景包括侦察发现目标开发者名下有移动应用、Web 站点直接托管 .apk、APK 包名从窃密日志泄露、客户应用或员工伴侣应用在范围内、赏金项目明确包含 Android。不适用于仅 iOS 目标、已由 JS bundle 分析覆盖的 React Native/Flutter Web 应用，以及纯服务端评估。
主要能力按阶段组织：阶段0清点组织应用，抓取 Play Store 开发者页并提取包名，交叉比对窃密日志与品牌变体猜测；阶段1获取 APK，优先 APKPure 直链，其次 APKMirror 搜索与 APKPure 网页搜索，注意 .xapk 为多 split APK 压缩包，需先解外层再解内层，截断文件可用 7z x 处理；阶段2用 jadx 反编译 DEX，或先用 strings 做快速扫描；阶段3按约60种模式 grep 密钥，包括 AWS、Google、GitHub、GitLab、Slack、OpenAI、Anthropic、Twilio、Stripe、Mailgun、SendGrid、JWT、Firebase 配置、OAuth client_secret 与硬编码口令；阶段4提取 assets 中的 .cer/.der/.pem 证书并用 openssl 查看 subject/SAN，可能发现未在被动侦察中出现的内部主机；阶段5枚举 AndroidManifest 中导出组件，检查 intent 注入、WebView 加载与深链 SSRF；阶段6检查 google-services.json，测试 Firestore、Realtime DB 与 Storage 是否公开可读；阶段7用 Frida 做运行时插桩，绕过证书固定并 hook OkHttp 请求，也可用 objection 提取 token；阶段8用 mitmproxy 抓包做 API 发现。
使用方式：一次性安装 brew install jadx p7zip、pip install --break-system-packages frida-tools objection，并准备已 root 的模拟器。资料提供了 download-apk shell 函数、jadx 反编译命令、各类 grep 正则、Frida 绕过脚本与 mitmproxy 配置步骤，均需按原样使用。
限制与注意：Frida 不得在生产设备上运行，应使用 root 模拟器或测试机；不要只 grep "password"，通用词噪声过大；不要跳过 XAPK 的 split APK；过期 JWT 仍含路径结构与端点情报；不要只逆向最新版本，旧版本可能保留服务端仍有效的密钥；Firebase 规则错误配置很常见，不应因应用简单而忽略。所有操作须在授权范围内进行，提取的密钥在写入报告前需做脱敏处理。