用途：在获得授权的红队或漏洞赏金评估中，对目标组织名下的 Android 应用做端到端静态与动态分析。触发场景包括侦察发现目标开发者名下有移动应用、Web 应用直接托管 *.apk、APK 包名从窃密日志泄露、客户应用或员工伴侣应用在范围内、赏金项目将 Android 列入范围。不适用于仅 iOS 目标、已被 JS bundle 分析覆盖的 React Native/Flutter Web 应用、纯服务端评估。
主要能力与流程：Stage 0 通过 Play Store 开发者页抓取与窃密日志交叉比对清点包名；Stage 1 从 APKPure、APKMirror 等渠道获取 APK，并处理 XAPK 拆分包；Stage 2 用 jadx 反编译 DEX，或先用 strings 做快速扫描；Stage 3 用高信号正则匹配 AWS、Google、GitHub、Slack、OpenAI、Stripe、SendGrid 等密钥及 JWT、Firebase 配置；Stage 4 提取 assets 中的固定证书并读取 subject/SAN；Stage 5 枚举 AndroidManifest 中导出组件；Stage 6 检查 google-services.json 并测试 Firestore/RTDB/Storage 公开可读性；Stage 7 用 Frida 绕过证书固定、Hook OkHttp 请求；Stage 8 用 mitmproxy 捕获流量。
使用方式：需安装 jadx、p7zip、frida-tools、objection，并准备已 root 的模拟器或测试设备。示例命令如 jadx -d decompiled_<package>/ <package>.apk、frida -U -l frida-script-pinning-bypass.js -f <package_id> --no-pause。技能内含自检脚本验证获取、反编译、密钥匹配、XAPK 处理与 Firebase 解析。
限制与注意：仅限授权测试；不要在production设备上运行 Frida；APKPure 存在 CDN 限流导致下载截断，需轮换 IP 或改用 7z；大 APK 可能使 jadx 内存溢出，可加 -Xmx4g 或先做 strings 扫描；多数 APK 经 ProGuard/R8 混淆，类名不可信但密钥模式仍有效；需检查多 dex 与 assets 中的 keystore/SQLite 文件；过期 JWT 仍可能提供端点结构情报。具体收费、平台支持与效果资料暂未提供。