安卓应用渗透测试 Skill

针对安卓应用的专项渗透测试，遵循 runtime-first 原则：先运行态驱动、先抓包，最后才逆向。

需要更深入的客户端逆向知识？ 使用 -client-reverse Skill，包含完整的签名恢复、加密还原、Burp 重放工作流。

核心原则

不要先逆向 APK。默认操作顺序：

1. 确认目标 App 已安装在连接设备上
2. 准备好 Burp 或 Charles 抓包
3. 用 scrcpy_vision 驱动真实业务流程
4. 每个关键动作后检查抓包状态
5. 包可见且可重放 → 直接做 Web/API 安全测试
6. 只有抓不到包/包被加密时 → 升级到 jadx/frida/ida

1. 环境准备

• 通过 adb-mcp 连接设备/模拟器
• 通过 jadx 反编译目标 APK
• 通过 burp-mcp 配置代理抓包

2. 自动化探索

• 启动 APP，通过 adb-mcp 自动截图
• 通过 frida-mcp Hook 关键函数
• 通过 burp-mcp 捕获和分析数据流
• 自动点击 UI 元素，遍历功能点
• 模拟用户行为，识别敏感数据流

3. 深度分析

• 通过 jadx 审计源码（硬编码密钥、弱加密等）
• 通过 frida 动态 Hook（SSL Pinning 绕过、参数篡改）
• 通过 burp 修改重放请求（鉴权绕过、越权测试）

4. 漏洞验证

• 构造恶意输入，验证漏洞
• 截图记录漏洞证据
• 生成 PoC

5. 输出

• 安卓专项渗透报告
• 包含截图、流量、代码审计结果

参考文档

• references/android-authorized-app-pentest-sop.md — 安卓 App 渗透 SOP
• references/android-external-url-runtime-first-workflow.md — 安卓外部 URL 测试
• references/android-ui-driven-observation-and-packet-loop.md — UI 驱动观察循环
• references/android-network-layer-testing-quick-reference.md — 网络层测试速查
• references/android-signing-and-crypto-workflow.md — 签名与加密工作流
• references/android-static-triage-and-callflow.md — 静态分层与调用链
• references/android-dynamic-hooking-and-replay.md — 动态 Hook 与重放
• references/ionstack-browser-to-kernel-root-chain.md — IonStack (2026): Nebula Security 瀏覽器到核心完整 Root 漏洞鏈（CVE-2026-10702 + CVE-2026-43499），含漏洞架構、武器化障礙、原始碼結構、快速評估清單

Hermes 使用適配

• 來源為 專案技能，已匯入 Hermes 本地 skill。僅在已授權滲透測試、CTF、內部安全評估或防禦驗證範圍內使用。
• 原文若提到 fetch，在 Hermes 中優先使用 web_extract、browser 或 terminal(curl/HTTPie) 取得真實回應。
• 原文若提到 python_execute，在 Hermes 中使用 execute_code 或 terminal(python3 ...)；計算、編碼、hash、PoC 驗證必須用工具實測，不靠猜。
• 原文若提到 MCP/Burp/adb/frida/jadx/chrome_devtools 等外部工具：先確認本機是否安裝或可用；不可用時以 Hermes 現有 web、browser、terminal、file、vision 工具替代，並明確標註限制。
• 下一次滲透任務中，先載入 -pentest-flow 做總路由，再依場景載入本系列專項 skill（例如 -web-security-advanced、-osint-recon、-rapid-checklist）。

來源與維護

• 原始 skill 已保存於 references/upstream-skill.md；README/LICENSE 已保存於 references/。