[JS/TS] 运行时检测Android APK加固的通用行为识别思路与Frida脚本实践

在 Android 应用安全分析与逆向的实战中，你是否遇到过这样的困扰？当你尝试使用 frida 脚本去 HOOK 一个加壳的 APK 时，常常会抛出 ClassNotFoundException。这并非你的代码有问题，而是在你注册 HOOK 的那个时间点，加固壳可能尚未完成原始 DEX 的解包与加载，导致目标类在 Java 运行时中根本不存在。

为了解决这个在动态分析中反复出现的时机判断难题，我开发了一个小工具库，希望能为有类似需求的开发者或安全研究员提供一种通用的解决思路。项目地址为：https://github.com/poping520/frida-packing-detector。

核心原理

该方法的核心思路是，通过 Hook Android 应用启动流程中的几个关键节点（如 android.app.LoadedApk.makeApplication、自定义 Application.attachBaseContext/onCreate 等），在应用生命周期的早期尝试去访问应用自身的某个 Activity 类（通常是启动 Activity）。

• 如果在 Application.attachBaseContext 阶段，无法通过 Java.use() 成功获取到目标 Activity 类，这通常意味着原始应用的类尚未被加载，此时倾向于判定 APK “存在加固或加壳保护”。
• 当在后续的某个时间点（例如在 Application.onCreate 或更晚的时机），目标 Activity 类能够被正常 Java.use() 加载，则认为“解包完成”或“原始应用加载完成”。

请注意：这是一种基于通用运行时行为的检测思路，并不能保证在 100% 的环境下都完全准确。例如，一些极端的类加载策略、复杂的多进程启动机制或特殊的插件化框架等，都可能对检测结果产生影响。

主要特性

• 通用性：不针对任何特定的加固厂商或特定的加壳方案。
• 非特征化：不依赖已知的加固特征库（即不做特定壳的 class、so 或字符串指纹匹配）。
• 运行时判定：纯粹通过观察类的装载时序和可用性行为，来判断“是否存在加固”以及“何时完成解包”，为后续的 HOOK 操作提供准确的时机参考。

已知局限性

• 不识别具体壳类型：该方案的目标是判断“是否有壳”和“何时脱壳”，而不是识别这是哪一种壳（如某盾、某爱等）。
• 复杂应用结构可能干扰：对于使用了插件化、热修复、多 dex 动态加载或拥有非常规多进程启动路径的应用，检测逻辑可能需要额外的调整或可能产生误判。

思路延伸与实践价值

这种方法的价值在于其 “时机感知” 能力。它绕过了对加固方案具体实现细节的依赖，转而监控一个几乎所有正常应用都会暴露的通用行为特征——主 Activity 类的加载。对于经常进行 Android/iOS 应用动态分析的工程师来说，掌握这种动态探测能力，可以让你在面对未知加固方案时不再盲目等待或反复尝试注入时机。

你可以基于此原理编写自己的脚本，在检测到“解包完成”事件后，自动执行后续的一系列 HOOK 操作，从而实现分析流程的半自动化。如果你对更多移动安全或 安全/渗透/逆向 的实战技巧感兴趣，欢迎在 云栈社区 交流讨论。