技能介绍

要解决什么问题

安卓应用黑盒测试常卡在几个固定环节：抓包时目标 App 拒绝你的 CA，因为证书被硬编码锁定；Frida 注入成功却不知道该 hook 哪些方法；测完前台界面，漏掉了导出组件、WebView 和 intent 跳转这条攻击面。这个技能把碎片化的技巧整理成一张攻击路线图，让模型在你没有贴具体代码时，也能给出有依据的 hook 点和方法清单。

核心能力与工作方式

SSL pinning 绕过：按库列出 hook 点——X509TrustManager.checkServerTrusted 覆盖标准 HTTPS，CertificatePinner.check 专打 OkHttp 的 pinning，WebViewClient.onReceivedSslError 针对 WebView 内的告警；也提供 Objection 快速方案，以及 LSPosed 模块（TrustMeAlready、SSLUnpinning）和 Magisk 模块（MagiskTrustUserCerts、ConscryptTrustUserCerts）这类系统级手段。

组件暴露审计：导出 Activity 直接调起；Content Provider 按类型区分攻击向量——数据库型可经 query() 的 selection/projection 注入，文件型可路径穿越读任意文件，Parcelable 型存在类型混淆导致代码执行；Broadcast Receiver 与导出 Service 的未授权调用同样覆盖。

WebView 利用：列出 setAllowFileAccessFromFileURLs、setAllowUniversalAccessFromFileURLs 等开关组合的触发条件与利用方式，以及 JS bridge XSS、shouldOverrideUrlLoading 校验缺失、evaluateJavascript 脏数据注入等现代攻击面，含 Deep Link 到 WebView 的链路。

Root 与完整性对抗：常见检测点（su 文件、Build.TAGS、Magisk 包名、RootBeer、SafetyNet/Play Integrity、异常系统属性）逐一给出 Frida hook 方案，并按 Magisk DenyList、Play Integrity Fix、Shamiko 分层说明适用范围。

其他：Intent Redirection 的三种典型模式、Tapjacking 各版本防护与绕过、备份提取、debuggable 应用利用、Drozer 组件测试、剪贴板嗅探，最后用一棵决策树串起整个测试流程。

适用边界与注意点

仅用于授权范围内的测试；部分技巧（如组件注入升级到代码执行）本身就是攻击手法，需有书面授权。
Play Integrity 的 Strong Integrity 依赖硬件 TEE，文档明确标注难度极高，不要指望通用 hook 绕过。
各 Android 版本防护不同：Tapjacking 在 12+ 已被系统拦截未信任触摸，需用部分覆盖或时序手段；对自实现 TrustManager 的应用，SSL 绕过可能需要定制 hook。
建议配合 mobile-ssl-pinning-bypass、ios-pentesting-tricks、api-sec 等关联技能使用；需要现成 Frida 脚本时加载 FRIDA_SCRIPTS.md。