app.apk
├── AndroidManifest.xml      # 二进制 XML，描述组件、权限、版本等
├── classes.dex              # Dalvik 字节码（主 DEX）
├── classes2.dex             # 多 DEX 文件（方法数超 65536 时出现）
├── classes3.dex             # 更多 DEX 文件
├── resources.arsc           # 编译后的资源索引表
├── res/                     # 未打包进 resources.arsc 的资源
│   ├── layout/              # 布局文件（二进制 XML）
│   ├── drawable/            # 图片资源
│   ├── values/              # 字符串、颜色、样式等
│   └── ...
├── lib/                     # Native 库（ELF 格式 .so 文件）
│   ├── armeabi-v7a/
│   ├── arm64-v8a/
│   ├── x86/
│   └── x86_64/
├── assets/                  # 原始资源文件（不会被编译）
├── META-INF/                # 签名与元信息
│   ├── MANIFEST.MF          # 文件摘要列表
│   ├── CERT.RSA             # 签名证书（公钥 + 签名）
│   └── CERT.SF              # 签名字节码文件
└── kotlin/                  # Kotlin 元数据（Kotlin 项目特有）

# 解码 AndroidManifest.xml
androguard axml app.apk

# 解码 resources.arsc 中的字符串
androguard arsc app.apk --type string

# 根据 ID 查询资源
androguard arsc app.apk --id 7F040001

# AAPT2 转储资源表
aapt2 dump resources app.apk

# 列出所有资源类型
androguard arsc app.apk --list-types

# apksigner 验证
apksigner verify --verbose app.apk

# 查看证书信息
keytool -printcert -jarfile app.apk

# 图形界面模式
jadx-gui app.apk

# CLI 批量处理
jadx -d output_dir app.apk

# 带 ProGuard 映射文件的去混淆
jadx --deobf --deobf-mappings mapping.txt -d output_dir app.apk

# 导出为 Gradle 项目格式
jadx --export-gradle -d output_dir app.apk

# 解码 APK（默认行为：解码资源 + 反编译 DEX 为 Smali）
apktool d app.apk -o output_dir

# 仅解码资源，不解码 DEX（节省大量时间，关注资源分析时很有用）
apktool d -r app.apk -o output_dir

# 不解码资源文件（保持二进制，当资源解码出错时使用）
apktool d -s app.apk -o output_dir

# 仅反编译 DEX 为 Smali（不涉及资源解码）
apktool d -f app.apk -o output_dir

# 使用特定框架文件
apktool d -p framework_dir app.apk -o output_dir

# 匹配原始文件名的解码（防止 Smali 文件名冲突）
apktool d --match-original app.apk

output_dir/
├── AndroidManifest.xml          # 解码后的纯文本 XML
├── apktool.yml                  # Apktool 版本及重编译所需元数据
├── original/                    # 原 APK 的 META-INF 备份
├── res/                         # 解码后的资源文件
│   ├── layout/                  # 布局 XML（已恢复为可读格式）
│   ├── values/strings.xml       # 字符串资源
│   └── ...
├── smali/                       # classes.dex 对应的 Smali 代码
├── smali_classes2/              # classes2.dex 对应的 Smali 代码
└── unknown/                     # 未知/不被识别的文件

# 步骤1：DEX → JAR
d2j-dex2jar app.apk -o app.jar

# 步骤2：使用 CFR 反编译 JAR
java -jar cfr.jar app.jar --outputdir output_dir

# 使用 Procyon 反编译
java -jar procyon-decompiler.jar app.jar -o output_dir

<!-- 重点关注的安全属性 -->
<manifest>
    <!-- 1. debuggable 标志：生产环境应关闭 -->
    <application android:debuggable="false" ...>

    <!-- 2. allowBackup：控制是否允许 adb backup -->
    <application android:allowBackup="false" ...>

    <!-- 3. fullBackupContent：指定备份规则 -->
    <application android:fullBackupContent="false" ...>

    <!-- 4. networkSecurityConfig：网络安全配置 -->
    <application android:networkSecurityConfig="@xml/network_security_config" ...>
</manifest>

[A-Za-z0-9_-]{20,40}         # 通用 API Key
AIza[0-9A-Za-z_-]{35}        # Google API Key
sk-[A-Za-z0-9]{32,}          # OpenAI / 通用 Secret Key
ghp_[A-Za-z0-9]{36}          # GitHub Personal Access Token
AKIA[0-9A-Z]{16}              # AWS Access Key ID

https?://[^/]+\.(firebaseio|appspot)\.com   # Firebase
https?://[^/]+\.s3\.amazonaws\.com           # S3 Bucket
https?://[^/]+\.cloudfront\.net               # CloudFront
https?://[^/]+\.execute-api\.[^/]+\.amazonaws\.com  # API Gateway
wss?://[^\s"']+                               # WebSocket 端点

[a-fA-F0-9]{32,64}               # MD5/SHA1/SHA256 哈希
(?:AES|DES|RSA|RC4|Blowfish)     # 弱加密算法引用
public\s+static\s+final\s+String\s+.*KEY  # Java 硬编码密钥模式

# 基本用法
apkleaks -f app.apk

# 输出到文件
apkleaks -f app.apk -o output.txt

# 自定义正则规则
apkleaks -f app.apk -p custom_patterns.json

# 启动 MobSF Web 服务
docker run -p 8000:8000 opensecurity/mobile-security-framework-mobsf

# 或本地安装
python3 manage.py runserver 0.0.0.0:8000

# Jadx 加载 mapping 文件进行去混淆
jadx --deobf --deobf-mappings mapping.txt -d output app.apk

# retrace 工具还原栈追踪
java -jar proguard.jar retrace mapping.txt obfuscated_stacktrace.txt

# 1. 使用 Jadx 定位字符串解密函数
# 搜索包含 byte[] 类型参数且返回 String 的方法

# 2. 提取加密后的字节码
# 在 Jadx 中定位加密后的字节数组和调用解密函数的位置

# 3. 使用 Frida Hook 运行时解密
frida -U -l decrypt_strings.js com.target.app

# 4. 或静态还原：编写 Python 脚本模拟解密逻辑
python3 emulate_decrypt.py encrypted_strings.bin key

# 方法定义
.method public static hello(Landroid/content/Context;)V
    .registers 3                # 声明寄存器数量（3 个）
    .prologue                   # 方法开始

    # 打印日志
    const-string v0, "Hello from Smali!"
    invoke-static {v0}, Landroid/util/Log;->d(Ljava/lang/String;Ljava/lang/String;)I

    return-void
.end method

V  → void
Z  → boolean
B  → byte
S  → short
C  → char
I  → int
J  → long (64 位，占 2 个寄存器)
F  → float
D  → double (64 位，占 2 个寄存器)
Lpackage/name/ObjectName; → 对象
[I → int 数组
[[Ljava/lang/String; → 二维 String 数组

.method public isRooted()Z
    .registers 2
    .prologue
    const/4 v0, 0x1      # return true
    return v0
.end method

.method public isRooted()Z
    .registers 2
    .prologue
    const/4 v0, 0x0      # return false
    return v0
.end method

# 第1步：解码 APK
apktool d target.apk -o target_decoded

# 第2步：修改 Smali 代码
vim target_decoded/smali/com/example/app/MainActivity.smali

# 第3步：重编译
apktool b target_decoded -o target_repackaged.apk

# 第4步：创建签名密钥（仅第一次需要）
keytool -genkey -v -keystore mykey.jks -keyalg RSA -keysize 2048 \
        -validity 10000 -alias myalias

# 第5步：使用 apksigner 签名（推荐，支持 v1+v2+v3）
zipalign -v -p 4 target_repackaged.apk target_aligned.apk
apksigner sign --ks mykey.jks --ks-pass pass:yourpassword \
        --out target_signed.apk target_aligned.apk

# 第6步：验证签名
apksigner verify --verbose target_signed.apk

# 第7步：安装
adb install target_signed.apk

<!-- 高风险：任意外部应用可启动此 Activity -->
<activity
    android:name=".WebViewActivity"
    android:exported="true">
    <intent-filter>
        <action android:name="com.example.OPEN_URL" />
        <category android:name="android.intent.category.DEFAULT" />
    </intent-filter>
</activity>

# 使用 adb 启动导出的 Activity
adb shell am start -n com.target.app/.WebViewActivity \
    -d "file:///data/data/com.target.app/databases/secret.db"

<service android:name=".DataSyncService" android:exported="true" />

<receiver android:name=".SmsReceiver" android:exported="true">
    <intent-filter>
        <action android:name="android.provider.Telephony.SMS_RECEIVED" />
    </intent-filter>
</receiver>

<provider
    android:name=".UserDataProvider"
    android:authorities="com.target.user_provider"
    android:exported="true" />

adb shell content query --uri content://com.target.user_provider/users

<!-- 危险模式：protectionLevel 过低 -->
<permission
    android:name="com.target.permission.WRITE_DATA"
    android:protectionLevel="normal" />  <!-- 任何应用均可申请 -->

<!-- 建议：至少使用 signature 级别 -->
<permission
    android:name="com.target.permission.WRITE_DATA"
    android:protectionLevel="signature" />  <!-- 仅相同签名的应用可申请 -->

<activity android:name=".LoginActivity" android:exported="true">
    <intent-filter>
        <action android:name="android.intent.action.VIEW" />
        <category android:name="android.intent.category.DEFAULT" />
        <category android:name="android.intent.category.BROWSABLE" />
        <!-- 存在被劫持风险的自定义 Scheme -->
        <data android:scheme="myapp" android:host="login" />
    </intent-filter>
</activity>

<!-- 不安全配置示例 -->
<network-security-config>
    <base-config cleartextTrafficPermitted="true" />  <!-- 允许 HTTP -->
    <debug-overrides>
        <trust-anchors>
            <certificates src="user" />  <!-- 信任用户安装的证书 -->
        </trust-anchors>
    </debug-overrides>
</network-security-config>

<resources>
    <!-- 常见的硬编码端点 -->
    <string name="api_base_url">https://api.target.com/v1</string>
    <string name="ws_endpoint">wss://realtime.target.com/chat</string>
    
    <!-- 硬编码密钥（常见违规） -->
    <string name="encryption_key">aHR0cHM6Ly93d3cueDd</string>
    
    <!-- Firebase URL -->
    <string name="firebase_url">https://target-app.firebaseio.com</string>
    <string name="firebase_db_url">https://target-db-default-rtdb.firebaseio.com</string>
    
    <!-- 第三方服务凭证 -->
    <string name="aws_access_key">AKIAXXXXXXXXXXXX</string>
    <string name="bugsnag_api_key">xxxxxxxxxxxxxxxxxxxxxxxx</string>
    
    <!-- AppCenter / 遥测端点 -->
    <string name="appcenter_secret">xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx</string>
</resources>

# 检测到 Firebase URL 后，尝试未授权访问
# 检查数据库是否开放公共读权限
curl https://target-app.firebaseio.com/.json

# 检查 Firestore
curl https://firestore.googleapis.com/v1/projects/target-app/databases/(default)/documents

# AWS Access Key (20 位字母数字)
AKIA[0-9A-Z]{16}

# AWS Secret Key
[0-9a-zA-Z/+]{40}

# 检查 S3 Bucket 权限
curl -X GET https://target-bucket.s3.amazonaws.com/

// Java 端
static {
    System.loadLibrary("native-lib");
}
private static native String stringFromJNI();

# 查看导出的 JNI 函数
readelf -s libnative-lib.so | grep Java_

# 或使用 strings 搜索动态注册的函数名
strings libnative-lib.so | grep "RegisterNatives"

# 使用 readelf 检查 ELF 结构
readelf -h libnative-lib.so        # ELF 头
readelf -s libnative-lib.so        # 符号表
readelf -r libnative-lib.so        # 重定位表
readelf -d libnative-lib.so        # 动态段信息

# 使用 objdump 反汇编特定函数
arm-linux-androideabi-objdump -d libnative-lib.so | grep -A 50 "<Java_xxx>"

# 使用 strings 提取所有可打印字符串
strings libnative-lib.so | grep -iE "(http|secret|key|password|token|api)"

bundle.aab/
├── base/                        # 基础模块
│   ├── dex/                     # DEX 文件（与 APK 不同，放在独立目录）
│   │   ├── classes.dex
│   │   └── classes2.dex
│   ├── res/                     # 资源文件
│   ├── lib/                     # Native 库
│   │   ├── arm64-v8a/
│   │   └── armeabi-v7a/
│   ├── assets/
│   ├── manifest/
│   │   └── AndroidManifest.xml  # 独立于二进制 XML 的纯文本格式
│   └── root/                    # 移动到 APK 根目录的文件
├── feature1/                    # 功能模块（按需下载）
├── asset_pack_1/                # 资源包（游戏等大型资源）
├── BundleConfig.pb              # Protobuf 格式的 Bundle 配置
├── native.pb                    # Native 库元数据
└── resources.pb                 # 资源元数据

# 方法1：使用 bundletool 生成通用 APK
bundletool build-apks --bundle=bundle.aab --output=app.apks \
    --mode=universal --ks=mykey.jks --ks-pass=pass:password

# 解压生成的 .apks 文件（也是 Zip 格式）
unzip app.apks -d app_apks
# 在 app_apks/ 中找到 universal.apk，这就是通用 APK

# 方法2：Jadx 直接打开 base 目录中的 DEX
jadx bundle.aab/base/dex/classes.dex

# 方法3：Jadx 支持直接打开 AAB 文件（v1.4.0+ 支持）
jadx-gui bundle.aab

split_output/
├── base.apk                    # 基础 APK（必须）
├── split_config.arm64_v8a.apk  # ARM64 架构配置
├── split_config.hdpi.apk       # 屏幕密度配置
├── split_config.zh.apk         # 中文字体/资源
└── ...

# 同时打开 base APK 和所有 Split APK
jadx-gui base.apk split_config.arm64_v8a.apk split_config.hdpi.apk

# 或批量
jadx -d output_dir base.apk split_config.*.apk

# OBB 存储路径
/sdcard/Android/obb/<package-name>/
├── main.1.com.example.game.obb    # 主资源包
└── patch.1.com.example.game.obb   # 补丁资源包

# 分析 OBB 文件（本质是 Zip 格式）
file main.1.com.example.game.obb   # 输出: Zip archive
unzip -l main.1.com.example.game.obb

# 解压 XAPK
unzip app.xapk -d app_extracted

# 典型内容
ls app_extracted/
# base.apk  config.arm64_v8a.apk  Android/obb/  manifest.json

# 安装
adb install-multiple -r app_extracted/*.apk
adb push app_extracted/Android/obb/ /sdcard/Android/obb/

# 批量处理多个 APK
for apk in *.apk; do
    jadx -d "${apk%.*}_src" --deobf --show-bad-code "$apk"
done

# 输出为 Gradle 项目，方便在 Android Studio 中进一步分析
jadx --export-gradle -d project_dir app

# 安装框架文件
apktool if framework-res.apk

# 查看已安装的框架
apktool if --list

# 指定框架路径
apktool d -p ~/.local/share/apktool/framework app.apk

# 清除框架缓存
rm -rf ~/.local/share/apktool/framework/

# 强制解码（即使目录已存在）
apktool d -f app.apk -o output

# 仅解码 Dex，不处理资源（应对资源未编译的已知 bug）
apktool d -s app.apk -o output

# 合并多个 DEX 文件到一个 Smali 目录
apktool d --match-original app.apk

# 保留调试信息（默认不保留）
apktool d --keep-broken-res app.apk

# 仅解码 DEX 文件
apktool d -d app.apk -o output_smali

# 使用自定义 aapt2 路径
apktool b --aapt2 /path/to/aapt2 output -o rebuilt.apk

# 复制原始签名文件（仅用于调试，不可用于发布）
apktool b --copy-original output -o rebuilt.apk

# 输出为未签名 APK
apktool b output -o unsigned.apk

# 指定 API 级别（控制编译时的 target API）
apktool b --api 34 output -o rebuilt.apk

# 显示编译详细日志
apktool b --verbose output -o rebuilt.apk

# APK 摘要信息
apkanalyzer apk summary app.apk

# 文件大小分布
apkanalyzer apk file-size app.apk

# DEX 类和方法计数
apkanalyzer dex classes app.apk
apkanalyzer dex method-count app.apk

# 清单信息
apkanalyzer manifest application-id app.apk
apkanalyzer manifest version-name app.apk
apkanalyzer manifest min-sdk app.apk

# 第1步：解码 APK（确保 AndroidManifest.xml 中 debuggable=true）
apktool d target.apk -o target_src
# 如果原始 debuggable=false，在解码后的 AndroidManifest.xml 中手动修改为 true

# 第2步：重编译并签名
apktool b target_src -o target_debug.apk
# 创建调试密钥
keytool -genkey -v -keystore debug.keystore -alias debug -keyalg RSA \
        -keysize 2048 -validity 10000 -storepass android -keypass android
# 签名
zipalign -v -p 4 target_debug.apk target_aligned.apk
apksigner sign --ks debug.keystore --ks-pass pass:android \
        --out target_signed.apk target_aligned.apk

# 第3步：安装到设备
adb install target_signed.apk

# 第4步：在设备上以调试模式启动应用
adb shell am start -D -n com.target.app/.MainActivity