简介安卓逆向助手是一款面向Android应用开发者与安全研究人员的图形化逆向工具旨在降低APK反编译与分析的门槛。它将dex转jar、jar反编译Java源码、资源文件提取、Java视图转换等流程集成于一体用户无需记忆DOS命令拖放APK即可完成操作适合初学者快速上手也能满足安全审计与故障排查需求。资源包共69个文件以18个jar、17个bat、14个sh、8个exe及若干txt说明为主涵盖反编译、签名、对齐、混淆还原等环节所需组件压缩包约15.18MB结构紧凑便于按需调用。目前已有216人学习下载。借助该工具读者可查看XML布局、图片与字符串资源检查权限使用与潜在数据泄露风险并借助反混淆能力理解混淆代码是学习Android内部机制与开展移动安全分析的实用辅助套件。1. 安卓逆向助手从抓包到反编译一套工具链把 APK 拆开看刚入行做安卓安全那会儿我接了个活儿分析一个竞品 App 的接口签名逻辑。当时手里只有一台真机和一个 APK 安装包连它用了什么网络库、签名参数怎么拼的都不知道。硬啃了三天 smali 代码才把签名算法从混淆过的类里扒出来。后来同事扔给我一个整合包里面把抓包、反编译、动态调试、脱壳的工具全串好了我才意识到——安卓逆向助手这类资源核心价值不是某个单点工具而是把「拆包→看代码→抓流量→验逻辑」这条链路打通让你不用在十几个 GitHub 仓库之间来回折腾环境。它适合谁做 App 安全评估的、搞协议分析的、想研究加固与反加固对抗的以及被混淆代码折磨过的安卓开发。下面我按实际拆包顺序把这份资源里的工具链和踩坑点讲透。2. 环境搭建与工具链选型为什么这套组合能跑通2.1 核心工具的分工与版本匹配安卓逆向助手本质上是一个工具集合不是单一软件。它把几类工具按逆向流程串起来静态分析用 jadx 或 apktool 把 dex 转成 Java 或 smali动态调试用 Frida 或 Xposed 挂钩运行时抓包用 Charles 或 mitmproxy 看网络请求脱壳用 FART 或 BlackDex 对付加固。这几类工具对安卓版本、CPU 架构、Python 版本都有要求版本对不上就是各种玄学报错。我一般会先确认三件事目标 APK 的最低 SDK 版本、手机是否 root、电脑上 Python 是 3.8 还是 3.11。比如 Frida 15 以上对 Python 3.11 支持更好但某些老模块只兼容 3.8。资源包里通常会带一个requirements.txt或版本说明照着装能省很多事。工具用途常见版本要求jadxdex 转 Java1.4.7 以上JDK 11apktool资源与 smali 反编译2.7.0 以上Frida动态 Hook16.xPython 3.8~3.11mitmproxy抓包与改包9.x 以上BlackDex脱壳支持安卓 5~12注意不要混用不同来源的 Frida server 和客户端版本号必须一致否则连不上。2.2 从零把工具跑起来的步骤假设你拿到资源包里面有一个setup.sh和几个工具目录。我习惯先建一个独立 Python 虚拟环境避免污染系统包。下面是我常用的初始化流程# 创建虚拟环境指定 Python 3.10兼容性最好 python3.10 -m venv venv_re source venv_re/bin/activate # 安装基础依赖资源包里的 requirements 通常包含 frida-tools、mitmproxy 等 pip install -r requirements.txt -i https://pypi.tuna.tsinghua.edu.cn/simple # 检查 frida 版本确保与手机端 server 一致 frida --version逻辑说明虚拟环境隔离是为了防止不同项目的依赖打架尤其是 Frida 和 mitmproxy 对cryptography库的版本要求经常冲突。-i指定国内源是习惯下载快很多。最后一步输出版本号后去手机端下载对应版本的frida-server推送到/data/local/tmp/并赋予执行权限。# 推送 frida-server 到手机并启动 adb push frida-server-16.1.4-android-arm64 /data/local/tmp/fs adb shell chmod 755 /data/local/tmp/fs adb shell su -c /data/local/tmp/fs 参数说明frida-server-16.1.4-android-arm64要换成你实际下载的文件名架构根据手机 CPU 选 arm64 或 x86_64。su -c表示用 root 权限执行没 root 的手机跑不起来。启动后可以用frida-ps -U看能不能列出进程能列出就通了。2.3 抓包环境的证书配置抓 HTTPS 流量是逆向里绕不开的一步。mitmproxy 装好后手机需要装它的 CA 证书。安卓 7 以上默认不信任用户证书所以要么把证书塞进系统目录要么用 Frida 绕过 SSL Pinning。资源包里一般会带一个ssl_bypass.js直接注入就行。// ssl_bypass.js 核心逻辑Hook SSLContext 的 checkServerTrusted Java.perform(function() { var X509TrustManager Java.use(javax.net.ssl.X509TrustManager); var TrustManager Java.registerClass({ name: com.example.TrustAll, implements: [X509TrustManager], methods: { checkClientTrusted: function(chain, authType) {}, checkServerTrusted: function(chain, authType) {}, getAcceptedIssuers: function() { return []; } } }); // 替换所有 TrustManager 实现 var SSLContext Java.use(javax.net.ssl.SSLContext); SSLContext.init.overload([Ljavax.net.ssl.KeyManager;, [Ljavax.net.ssl.TrustManager;, java.security.SecureRandom).implementation function(km, tm, sr) { this.init(km, [TrustManager.$new()], sr); }; });逻辑说明这段脚本把所有证书校验都放行让抓包工具能解密 HTTPS。参数上Java.perform确保在 JVM 加载后执行registerClass动态注册一个信任所有证书的 TrustManager。注入命令是frida -U -f 包名 -l ssl_bypass.js --no-pause-f表示启动应用并挂起--no-pause让脚本加载后自动恢复运行。3. 静态分析实战从 dex 到可读 Java 的完整路径3.1 jadx 反编译与混淆代码的阅读策略拿到 APK 后第一步通常是拖进 jadx-gui 看个大概。jadx 会把 dex 转成 Java虽然变量名可能是a、b、c但控制流和字符串常量还在。我一般先搜关键词比如sign、token、encrypt定位到关键类后再看调用链。资源包里如果带了命令行版 jadx可以批量导出# 反编译 APK 到指定目录--show-bad-code 显示反编译失败的代码 jadx -d output_dir --show-bad-code target.apk # 只导出特定包名的类减少干扰 jadx -d output_dir --single-class com.example.app.SignUtil target.apk参数说明-d指定输出目录--show-bad-code让 jadx 尽量输出伪代码而不是直接跳过方便看个大概逻辑。--single-class适合已经定位到具体类的情况导出快很多。反编译结果里如果看到大量native方法说明核心逻辑在 so 层得换 IDA 或 Ghidra 上场。3.2 apktool 解包与 smali 修改重打包有些场景 jadx 反编译不完整比如资源文件被混淆、AndroidManifest 被改过这时候用 apktool 更稳。apktool 能把 APK 拆成 smali、资源、manifest 三部分改完再打包回去。# 解包 apktool d target.apk -o target_dir # 修改 smali 后重新打包 apktool b target_dir -o modified.apk # 签名没签名的 APK 装不上 keytool -genkey -v -keystore my.keystore -alias mykey -keyalg RSA -keysize 2048 -validity 10000 jarsigner -verbose -keystore my.keystore modified.apk mykey逻辑说明apktool d解包后smali 目录里是 Dalvik 字节码对应的汇编改逻辑就是改这里。重打包用apktool b但生成的 APK 没签名必须用jarsigner签一下。keytool生成密钥库时密码和别名自己记住后面签名要用。签完可以用adb install -r modified.apk覆盖安装-r表示保留数据。注意有些 App 有签名校验重打包后签名变了会闪退得用 Frida 把校验函数 Hook 掉或者把原签名信息写回 manifest。3.3 定位关键逻辑的搜索技巧混淆后的代码里字符串常量是最可靠的线索。jadx 支持正则搜索我常用这几组# 在 jadx-gui 里搜索以下模式 sign|token|encrypt|decrypt|md5|sha1|hmac https?://[^\] Ljava/security/MessageDigest逻辑说明第一组搜加密相关的方法名或变量名第二组搜硬编码的 URL第三组搜 Java 加密库的调用。找到可疑类后右键「Find Usages」看谁调用了它顺着调用链往上追通常能追到网络请求的组装处。如果字符串被加密了就得先找解密函数常见做法是搜AES、DES、Base64的调用点。4. 动态调试与脱壳让加固的 App 现出原形4.1 Frida Hook 常用脚本与参数静态分析看不到运行时才生成的参数比如签名、时间戳、随机数。Frida 能在方法执行前后插桩把参数和返回值打出来。资源包里一般会带几个通用脚本我挑两个最常用的讲。// hook_method.jsHook 指定类的指定方法打印参数和返回值 Java.perform(function() { var targetClass Java.use(com.example.app.SignUtil); targetClass.getSign.overload(java.lang.String, java.lang.String).implementation function(a, b) { console.log([*] getSign 入参: a a , b b); var result this.getSign(a, b); console.log([*] getSign 返回值: result); return result; }; });逻辑说明overload指定参数类型避免方法重载时找错。implementation里先打印入参再调用原方法拿返回值最后打印并返回。注入命令frida -U -f 包名 -l hook_method.js。如果方法在 so 层得用Interceptor.attach配合Module.findExportByName来 Hook native 函数。// hook_native.jsHook native 函数 var funcAddr Module.findExportByName(libnative.so, Java_com_example_app_SignUtil_getSign); Interceptor.attach(funcAddr, { onEnter: function(args) { console.log([*] native 入参: Memory.readUtf8String(args[2])); }, onLeave: function(retval) { console.log([*] native 返回值: Memory.readUtf8String(retval)); } });参数说明findExportByName第一个参数是 so 文件名第二个是导出函数名。args[2]对应 JNI 函数的第三个参数通常是 jstring。Memory.readUtf8String把指针转成字符串。onEnter 和 onLeave 分别对应函数进入和返回。4.2 脱壳工具的选择与操作加固后的 APKdex 文件被加密或隐藏jadx 直接反编译只能看到壳代码。脱壳就是把运行时的真实 dex 从内存里 dump 出来。BlackDex 和 FART 是两种常见方案前者免 root 但兼容性一般后者需要 root 但成功率高。# BlackDex 用法安装 APK 后打开选择目标应用点击脱壳 # 脱出的 dex 在 /sdcard/Android/data/com.blackdex/files/ 下 # FART 用法刷入 FART 镜像后启动目标应用自动 dump 到 /sdcard/fart/ adb pull /sdcard/fart/ ./dumped_dex/逻辑说明BlackDex 利用系统漏洞在应用启动时 dump 内存适合没 root 的环境。FART 是修改了 ART 虚拟机在类加载时主动 dump覆盖更全。脱出来的 dex 可能不完整需要用dex2jar或 jadx 再转一次多个 dex 要合并处理。4.3 反调试与反 Hook 的对抗有些 App 会检测 Frida 或调试器常见手段是检查/proc/self/maps里有没有 frida 相关字符串或者检测端口 27042。资源包里如果有anti_anti.js可以绕过一部分检测。// 绕过 Frida 检测替换 open 函数隐藏 frida 相关文件 var open Module.findExportByName(libc.so, open); Interceptor.attach(open, { onEnter: function(args) { var path Memory.readUtf8String(args[0]); if (path path.indexOf(frida) ! -1) { this.hide true; } }, onLeave: function(retval) { if (this.hide) { retval.replace(-1); // 返回 -1 表示文件不存在 } } });逻辑说明这段脚本拦截open系统调用如果路径里包含frida就返回 -1让检测逻辑以为文件不存在。参数上args[0]是文件路径指针retval.replace(-1)修改返回值。类似地还可以 Hookstrstr、strcmp来绕过字符串检测。5. 避坑与常见问题那些让我熬夜的报错5.1 现象Frida 连不上手机报unable to connect to remote frida-server原因frida-server 没启动、版本不匹配、端口被占用或者手机没 root。解决先adb shell ps | grep fs看进程在不在不在就重新启动版本用frida --version和fs --version对一下必须一致端口冲突就换一个启动时加-l 0.0.0.0:1234。5.2 现象jadx 反编译后大量代码显示// decompilation failed原因代码被混淆或用了 jadx 不支持的字节码特性。解决换 apktool 看 smali或者用--show-bad-code参数强制输出伪代码。如果关键类在 so 层直接上 IDA。5.3 现象重打包后安装失败报INSTALL_PARSE_FAILED_NO_CERTIFICATES原因apktool 打包后没签名或者签名用的 keystore 不对。解决用jarsigner签确保 keystore 密码正确。如果还不行用apksigner签它支持 v2 签名方案兼容性更好。5.4 现象抓包时 App 提示网络异常但浏览器能上网原因App 做了 SSL Pinning不信任用户证书。解决用 Frida 注入ssl_bypass.js绕过校验或者把证书装到系统目录需要 root 和 remount。5.5 现象脱壳出来的 dex 用 jadx 打开报Invalid dex file原因dump 不完整或者 dex 头被修改过。解决换 FART 重新脱或者用dexfixer修复 dex 头。多个 dex 要按顺序合并别漏了。6. 进阶技巧把逆向结果变成可复用的验证脚本逆向的终点不是看懂代码而是能复现它的逻辑。我一般会把分析出来的签名算法用 Python 重写一遍然后跟抓包结果对比验证是否正确。这一步能帮你确认有没有漏掉隐藏参数。# 复现签名逻辑假设逆向发现是 md5(参数按 key 排序 salt) import hashlib def gen_sign(params, salt): # 按 key 字典序排序 sorted_keys sorted(params.keys()) # 拼接成 keyvaluekeyvalue 形式 raw .join([f{k}{params[k]} for k in sorted_keys]) # 加上 salt 后 md5 raw_with_salt raw salt return hashlib.md5(raw_with_salt.encode(utf-8)).hexdigest() # 用抓包得到的参数测试 params {user: test, timestamp: 1690000000, nonce: abc123} salt x7k9p2 # 从 smali 或 so 里扒出来的 print(gen_sign(params, salt))逻辑说明这段脚本把逆向得到的签名规则用 Python 实现sorted_keys保证参数顺序一致raw_with_salt拼接 salt 后做 md5。跑出来的结果跟抓包里的sign字段对比一致就说明逻辑对了。不一致就检查 salt 是不是动态生成的或者有没有漏掉某个参数。验证通过后我会把这个脚本封装成命令行工具支持传入不同参数方便批量测试。从那以后我每次分析完一个 App都会强制走一遍「抓包→逆向→复现→对比」的闭环不然总觉得心里没底。希望帮到你。本文还有配套的精品资源点击获取