android-reverse

Android Reverse Framework

这是面向真实 Android 应用逆向交付的工作流入口，不是要求每次加载全部资料的知识库。

边界

• 只处理用户有权分析的 Android 应用、样本、设备和流量。
• 普通 Android 开发、系统/ROM/TEE 逆向、iOS 逆向和未授权利用不属于本技能。
• 不主动触发真实短信、支付、生产账号流量、数据清除或不可逆安装操作；需要时先说明影响并取得确认。

两种工作模式

快速分诊

范围窄、只需静态回答且不涉及动态取证或修改目标时，直接完成最小反编译、关键词搜索和证据结论。不要为了一个“有没有壳”问题创建完整状态机。

完整任务

出现以下任一情况时创建 task-local：T2-T5 交付、多轮续跑、动态取证、patch/重签、协议迁移、跨 Java/JNI/Native 建链或保护绕过。

node <SKILL_BASE>/tools/task/task-start.mjs <task-id>

启动协议见 docs/reference/reverse-bootstrap.md，契约字段见 references/task-contract-protocol.md。

核心原则

1. Observe before change

先确定目标、运行环境和第一条可证伪假设，再选择工具。工具可用不等于当前路线正确。

2. Artifact before claim

将要支撑根因、patch 或交付的事实，先写入 run/fixtures.json 或对应日志，再更新 route-state。聊天里的推断不能自动升级为证据。

3. Bridge before deep native

涉及 JNI 时，先建立 System.loadLibrary → JNI_OnLoad/RegisterNatives → Java↔Native 映射。没有桥接证据，不把任意 SO 函数语义提升为业务结论。

4. Verify before declare

• T2：脚本独立运行并命中目标数据。
• T3：no-op 重签基线通过，业务 patch 通过安装、冷启动和任务特定回归。
• T4：协议字段、算法和来源可回指。
• T5：独立实现对至少两组不同输入/输出向量通过 task-verify，最终运行时不依赖原 SO/RPC/Frida/ADB。

5. Goal-lock and stop-loss

每个阶段检查当前动作是否推进用户原始 objective。相同工具和策略连续三次失败、连续 tombstone 或没有新增证据时，先 retrospective 再 pivot；不要用细微脚本变体伪装新路线。

完整任务强制执行循环

“执行轮”指一个可证伪假设及其直接的 probe、patch 或 verify，不按聊天轮数或工具调用数量计算。完整任务的每个执行轮都按以下顺序推进：

1. 回读 task.json::objective、当前 deliverable、相关 criteria 和 state/route-state.json::execution，确认本轮动作直接缩短交付路径。
2. 首次运行动态工具、连接设备或执行安装/重签/目标状态变更前，读取 references/environment-preflight.md，只检查当前路线和用户指定工具需要的能力；有清数据、真实账号流量或不可逆影响时先取得确认。
3. 在首次领域操作前读取一个直接匹配的 playbook；后续出现新信号时只补读新命中的协议，不遍历全部资料。
4. 写明可证伪假设、预期观察、失败判据和失败后的不同方向，再执行能区分假设的最小动作。
5. 动作结束后先把原始证据写入任务目录。每次 probe、patch、verify 和工具预检，无论 success / failed / invalid / inconclusive / blocked，都立即运行 task-record-attempt；聊天或 report.md 不能替代结构化尝试记录。
6. 运行 task-advance。状态为 ready-to-continue 时执行 nextExecutableAction，不要停在状态复述。
7. 同一工具和策略连续三次失败、动态测试连续失败、tombstone 累积或多轮没有新增验收证据时，读取 references/failure-protocol.md，先写 retrospective，再选择与失败历史实质不同的 pivot。
8. 在分诊/环境预检完成、获得改变路线的关键证据或 patch/verify 结果、pivot 前、暂停/上下文交接前更新 report.md；报告是阶段摘要，原始证据仍以 run/ 产物为准。