用途：当目标 API、类、符号或调用路径未知时，用该技能先做广泛探测，再逐步收窄，定位可用的 Frida hook 点。
主要能力：frida-trace 命令行追踪；Java 类与方法枚举；模块导出、导入与符号发现；栈回溯；Stalker；探针收窄。
基本流程：先证明目标行为在不使用 Frida 时也会发生；选择信号最强的边界（网络、加密、文件、IPC、WebView、类加载、原生库加载或 UI 操作）；围绕该边界追踪或枚举；加入栈回溯识别应用自身的调用方；用窄 hook 替代宽探针。
CLI 追踪示例： frida-trace -U -f com.example.app -j 'java.net.URL!*' --no-pause frida-trace -U -f com.example.app -i 'open' -i 'connect' --no-pause frida-trace -U -n target -m 'Module!pattern'
生成的处理器应视为临时探测产物，验证后再将逻辑移入经过审查的脚本。
Android 发现：可用 Java.enumerateMethods("crypto!*/isu") 枚举方法并打印分组；类加载器排查可遍历 Java.enumerateClassLoaders，逐个尝试设置 Java.classFactory.loader 并加载目标类。
原生发现：可用 Process.getModuleByName("libtarget.so") 后遍历 enumerateExports 筛选 SSL、crypto 等名称；或在通用边界上使用 Interceptor.attach 与 Thread.backtrace(this.context, Backtracer.ACCURATE) 配合 DebugSymbol.fromAddress 打印调用栈。
适用场景：逆向分析、动态插桩调试、接口与调用链定位。限制：需先确认行为可在无 Frida 环境下复现；具体平台差异、版本兼容性与权限要求原文未提供。