Android App 脱壳方案完整报告（2025–2026）

作者/整理：安全研究团队
更新时间：2026-08-28
适用场景：移动安全研究、漏洞挖掘、恶意样本分析、授权合规渗透测试

一、背景概述

1.1 加固现状

1.2 主流加固厂商

二、加固壳分类与技术演进

2.1 壳的代际分类

2.2 壳的通用运行流程

flowchart TD
    A[APK 启动] --> B["壳 Application.attachBaseContext() 触发"]
    B --> C["加载壳 Native SO (libshell.so / libprotect.so)"]
    C --> D["执行反调试/环境自检并解密 DEX 或函数体"]
    D --> E["通过 DexClassLoader / InMemoryDexClassLoader 加载目标类"]
    E --> F["替换 Application 上下文 / 修复 ClassLoader"]
    F --> G[执行原始业务代码逻辑]

三、脱壳方案总览（按技术路线分类）

方案一：免 Root 自动脱壳工具

操作流程（以 BlackDex 为例）：

1. 安装 BlackDex APK。
2. 打开应用，选择目标应用（支持已安装或未安装的 APK 安装包）。
3. 点击 「脱壳」。

4. 等待数秒，生成脱壳 DEX 文件：

   输出路径: /sdcard/BlackDex/output/

5. 获取 classes.dex, classes2.dex ...
6. 使用 jadx-gui 或 JEB 打开验证反编译代码。

方案二：Frida 动态插桩脱壳（主流方案）

2.1 基础架构

PC 端 (控制端)                                手机端 (目标端)
┌───────────────────────┐      USB / WiFi      ┌───────────────────────┐
│ • frida CLI           │ <══════════════════> │ • frida-server        │
│ • Python 控制脚本     │      (TCP:27042)     │   (需 Root 权限)      │
│ • 动态注入 JS 脚本    │                      │ • 注入到目标 App 进程 │
└───────────────────────┘                      └───────────────────────┘

2.2 核心工具链

2.3 典型脱壳脚本（多阶段 Hook 示例）

// 阶段 1：捕获 DexFile 构造加载
Java.perform(() => {
    const DexFile = Java.use("dalvik.system.DexFile");
    DexFile.init.overload('java.lang.String', 'java.lang.String', 'int')
        .implementation = function(cookie, path) {
            console.log("[+] DexFile loaded: " + path);
            return this.init(cookie, path);
        };
});

// 阶段 2：Hook InMemoryDexClassLoader（二代内存不落地壳关键点）
Java.perform(() => {
    const InMemoryDexClassLoader = Java.use("dalvik.system.InMemoryDexClassLoader");
    InMemoryDexClassLoader.init.overload('java.nio.ByteBuffer', 'java.lang.ClassLoader')
        .implementation = function(buf, parent) {
            console.log("[+] InMemoryDex size: " + buf.remaining());
            // 可在此将 buf 二进制内容直接写出为 dump.dex 文件
            return this.init(buf, parent);
        };
});

// 阶段 3：遍历内存只读段搜索 DEX 魔数 (dex\n035)
Process.enumerateRanges('r--').forEach(range => {
    try {
        const buf = range.base.readByteArray(4);
        if (buf && new Uint8Array(buf).join(',') === '100,101,120,10') { // "dex\n"
            console.log("[Found DEX] Base: " + range.base + ", Size: " + range.size);
        }
    } catch(e) {}
});

2.4 反检测与对抗策略

方案三：FART（ART 环境主动调用脱壳）

3.1 原理

FART (Frida Android Repackaging Tool) 通过修改 AOSP 系统的 ART 运行时源码，在 ART 虚拟机执行方法或加载类时，主动遍历并触发所有方法的调用执行，诱使抽取壳将函数体解密回填到 CodeItem 中，再将完整的 DEX 内存写出到磁盘。

3.2 适用场景

• 二代壳（函数抽取/代码填空型）：主流解决方案，效果极佳。
• 360 加固、腾讯乐固、爱加密等主流企业抽取壳。
• 需 Root 环境，推荐配合定制 ROM（Pixel 3/4/6 系列）或 Magisk/KernelSU 模块。

3.3 操作流程

1. 刷入基于 AOSP (Android 9/10/11) 编译的 FART 定制 ROM，或挂载 FART 模块。
2. 安装并启动目标 App。

3. 执行 fart 脱壳脚本：

   adb shell
   su
   cd /data/fart/
   chmod +x fart.sh
   ./fart.sh <target_package_name>

4. 提取脱壳数据：

   输出目录: /sdcard/fart_output/

5. 获取修复后的 *_dex_fix.dex。
6. 使用 010 Editor 检查 DEX Header，使用 jadx 验证函数体是否还原。

3.4 Native 版 FART (frida-fart)

无需刷写整机 ROM，通过 Frida 脚本直接在 Native 层 Hook art::ArtMethod::Invoke，遍历 Class 列表并强行调用以触发解密，将解密后的内存 Dump 回写。

方案四：内核态方案（2025–2026 演进趋势）

4.1 KernelSU / APatch + 脱壳模块

核心优势：

• 用户态无 /proc/self/maps、/data/local/tmp 挂载痕迹。
• 不占用 ptrace，规避多进程互相 ptrace 保护。
• 完美过掉绝大多数商业壳的用户态反调试。

4.2 eBPF 方案架构

内核态 (Kernel Space)                          用户态 (User Space)
┌─────────────────────────────────┐           ┌─────────────────────────────────┐
│ eBPF 探针程序                   │           │ 用户态收集服务                  │
│ • kprobe/sys_enter_mmap         │ ────────> │ • 监听 ring buffer 事件         │
│ • kprobe/sys_enter_openat       │  perf /   │ • 捕获 DEX 映射基址与长度       │
│ • tracepoint/sys_enter_execve   │  ring_buf │ • 读取进程内存并写入磁盘        │
│ • tracepoint/sys_enter_write    │           │ • 自动完成 DEX/SO Dump          │
└─────────────────────────────────┘           └─────────────────────────────────┘

适用场景：

• 具有超强反调试能力的加固壳（任何用户态 Hook 均会被检测崩溃）。
• 无感知的取证分析与行为链路监控。
• 捕捉加固壳动态生成或解密写入临时文件的精确瞬间。

方案五：针对 VMP / Dex2C 的专项方案

5.1 VMP（虚拟机指令级保护）

5.2 Dex2C / Java2C

方案六：SO 加壳与内存 Dump

四、工具对照表（按壳类型选择）

五、实验环境搭建推荐

5.1 硬件与测试机选择

5.2 推荐软件与工具链配置

安全分析工作台
├── 权限框架: KernelSU / APatch（首选）/ Magisk（次选）
├── 模块框架: ZygiskNext + LSPosed
├── 动态插桩: Frida 16.x（hluda 定制去特征版）
├── 脱壳工具: FART / frida-dexdump / BlackDex
├── 静态反编译: jadx-gui / JEB 4.x / GDA
├── Native 逆向: IDA Pro 8.x + Hex-Rays / Ghidra
├── 模拟执行: Unidbg / Unicorn Engine
├── 流量抓包: mitmproxy / Burp Suite + Frida SSL Unpinning 脚本
└── 辅助分析: 010 Editor (DEX/ELF 模板) / MT 管理器 / adb 命令行

六、实战分析标准流程（SOP）

flowchart TD
    S1["Step 1: 侦察与资产识别<br/>• 解包查看 APK 结构与 assets 资源<br/>• MT 管理器 / PKID 查壳特征<br/>• jadx 尝试反编译初步定性"] --> S2["Step 2: 匹配脱壳方案<br/>• 一代整体壳 → BlackDex / frida-dexdump<br/>• 二代抽取壳 → FART / frida-fart<br/>• 三/四代 VMP/Dex2C → Unidbg + IDA"]
    S2 --> S3["Step 3: 运行环境准备<br/>• 配置 KernelSU / Magisk 隐身环境<br/>• 启动定制版 frida-server / FART ROM<br/>• 配置反反调试规则"]
    S3 --> S4["Step 4: 执行脱壳与 Dump<br/>• 启动目标 App 并触发关键页面<br/>• 运行动态 Hook 脚本抓取内存<br/>• 收集并归类 Dump 文件"]
    S4 --> S5["Step 5: 验证与文件修复<br/>• 010 Editor 校验 DEX Header 与 Magic<br/>• jadx 反编译排查是否存在空函数桩<br/>• 必要时借助 smali 工具回填 CodeItem"]
    S5 --> S6["Step 6: 深度业务逆向<br/>• 还原核心业务调用链<br/>• 加密算法定位与 RPC 调用<br/>• 输出安全评估与分析报告"]

七、2025–2026 技术演进趋势

八、合规声明与法律提醒

[!WARNING]

⚠️ 重要合规与法律声明

1. 合法研究范围：本文所涉及的技术与工具仅可用于正当安全学术研究、软件漏洞挖掘、恶意样本分析、经授权的渗透测试与自有应用安全防护评估。
2. 严禁非法利用：严禁利用上述技术对未授权的商业软件实施逆向破解、盗版分发、外挂制作或侵犯他人知识产权。
3. 数据隐私合规：在逆向分析过程中如涉及个人敏感信息或未脱敏数据，应严格遵守国家网络安全及数据保护法规。
4. 隔离测试环境：针对未知来源或恶意软件样本，务必在沙箱或隔离网络环境中运行，避免样本恶意逃逸。

九、开源项目与参考资源

本文仅供技术研究与学习交流。