用途：对可疑或已被标记为恶意的 Android APK 进行逆向工程，借助 JADX 将 DEX 字节码反编译为 Java/Kotlin 源码，识别恶意功能、被窃数据类型、外传目标与滥用权限。适用于分析银行木马、间谍软件、短信窃取器与广告软件，提取 C2 地址、密钥与配置。不适用于 APK 内混淆的原生 .so 库分析，此类应使用 Ghidra 或 IDA。
前提条件：JADX 1.5+（https://github.com/skylot/jadx/releases）、含 aapt2 和 adb 的 Android SDK、apktool、Python 3.8+ 与 androguard、可选的 Frida，以及不装 Google 服务的隔离模拟器。
主要流程：先用 aapt2 dump badging malware.apk、apktool d malware.apk -o apk_extracted/ -f 与 androguard 提取元数据、权限和组件；再用 jadx-gui malware.apk 或 jadx -d jadx_output/ malware.apk --show-bad-code 反编译（可加 --deobf 等去混淆选项）；用 grep 搜索网络、短信、覆盖窗口、无障碍服务、数据外传、加密与动态加载等代码模式；正则提取 URL、IP 与 Base64 字符串并解码；用 unzip -l malware.apk | grep ".so$" 检查原生库；最后按模板记录 APK 元数据、权限风险、恶意组件、C2 协议、外传方式、持久化与规避技术，输出 IOC。
关键概念：覆盖攻击、无障碍服务滥用、Smali、动态代码加载、设备管理员滥用。常见陷阱包括未去混淆、遗漏安装后下载的 DEX、忽视原生 .so 与 assets/ 中的加密配置。