🔖安卓逆向

乐固的特点：懒加载与分片解密腾讯乐固（legu）的识别特征：入口 com.tencent.StubShell.TxAppEntry，assets 里有 libshell.so、libshella-x.so 等。它和 360/梆梆最大的不同是解密策略：乐固不是启动时一次性解密全部 dex，而是按需解密、分片加载——用到哪个类才解密哪部分。这个差异决定了脱壳策略：启动后立刻 dump，只能拿到不完整的 dex；必须把 App 的主要功能都点一遍，触发所有类的加载，再 dump。正确的脱壳流程第一步：spawn 启动，绕过反调试frida -U -f com.target.app -l dump.j

梆梆的特征与防护思路梆梆加固（bangcle）的识别特征：入口是 com.secneo.apkwrapper.ApplicationWrapper 或 MyWrapperProxyApplication，assets 里有 libsecexe.so / libsecmain.so。它的防护比 360 更"黏"一点——除了 dex 加密，还有反调试、模拟器检测、dex 加载点混淆的组合拳。脱壳前先过反调试，否则 Frida 一 attach 就闪退。姿势零：先绕过反调试梆梆的反调试常见手段：检测 TracerPid、检测 frida 端口（27042）、检测 frida-agent 的内存特征。

混淆后的代码为什么难读ProGuard/R8 混淆后，类名方法名全变成 a.b.c、a.a.a——不同类同名、同类不同方法同名，全局搜索基本报废。但混淆只改名字，改不了结构：字符串常量、API 调用关系、继承体系都还在。反混淆的核心思路就是用结构特征替代名字特征。技巧一：字符串是永不混淆的路标无论怎么混淆，字符串常量必须保留（运行时要真用）。逆向第一步永远是搜字符串：# 在 jadx 里全局搜（Text search） "sign" → 找签名相关 "token" → 找鉴权相关 "AES/CBC/PKCS

先认清壳的结构360 加固（jiagu）的核心思路：原 dex 加密后藏在壳 dex 的资源/资产里，运行时壳先启动，解密原 dex 并通过自定义 ClassLoader 加载。脱壳的本质就是等它解密加载完成后，从内存里把明文 dex 抠出来。判断是不是 360 加固：jadx 打开 APK，入口 Application 是 com.stub.StubApp，assets 里有 libjiagu.so / libjiagu_a64.so，基本实锤。脱壳时机：等"解密完成"这个窗口壳的工作流程：StubApp.attachBaseContext → 解密 dex → 替换 ClassLoader

为什么 Android 7 之后抓包变难了Android 7（API 24）改了网络安全模型：App 默认只信任系统证书，不再信任用户证书。你在设置里装的 Charles 证书进的是用户证书区，App 直接无视——这就是"证书装了但抓不到包"的原因。解决思路只有一个：把抓包证书塞进系统证书区 /system/etc/security/cacerts/。Android 10+ 的 system 分区是只读的（动态分区+dm-verity 校验），直接 remount 会失败，这就是本文要解决的完整链路。前置条件已 root（Magisk）Charles/mitmproxy 的 CA 证书（pem