安全搜 AQSOU.COM

网站名称

GitHub - index-login/MobileRE-Skill: AI Agent 驱动的移动端逆向技能集

网址 https://github.com/index-login/MobileRE-Skill/

分类 AI智能 / AI工具预判分类开发工具/安全工具

网站介绍

该项目是托管在 GitHub 上的开源技能集（index-login/MobileRE-Skill），由 AI Agent 驱动，面向移动端逆向工程场景。主要能力包括：Frida hook 脚本与自动化注入、一键脱壳、反检测与反调试绕过、内存 DEX dump，以及通过 Ghidra MCP 实现符号与结构恢复。适合安全研究者、逆向工程师和渗透测试人员用于 App 加固分析与漏洞研究。使用时需遵守相关法律法规与授权范围。

备注说明

MobileRE-Skill — 综合移动端逆向分析 Agent 技能集

<div align="center"> 一个让 AI Agent（Kilo）真正"会逆向"的完整技能系统 —— 不只是 Frida 脚本，而是覆盖静态分析、动态分析、脱壳、反检测、Native 逆向、安全合规的完整逆向工作流。 License Version Android Frida Python Jadx Ghidra Kilo English README · English 如果这个项目对你有帮助，欢迎 ⭐ Star 支持！ </div> ---

使用场景

你只需要用一句话描述需求，AI 按决策树自动完成整个分析流程： | 场景 | 一句话需求示例 | AI 会做什么 | |------|---------------|------------| | 🎯 加固脱壳 | "帮我脱壳这个 App" | 多种方式按场景选择：一键脱壳（默认回填/修复/去重/方法体标记）；或内存 DEX dump（panda/mem 双 dumper，ptrace-free，反调试下更隐蔽） | | 🔐 加密分析 | "看下这个 App 的加密算法和密钥" | Java + Native 双层加解密自吐：算法/密钥/IV/明文；签名/自研/魔改算法也能还原并离线复算 | | 🛡️ 反检测绕过 | "挂上 Frida 就闪退，帮我绕过" | 6 阶段 Pipeline：定位检测 SO → 抢 init_array → 保活 → NOP 闪退函数 | | 🔍 行为摸底 | "这个 App 偷偷干了什么" | 文件/网络/线程/进程/Intent 全程监控，输出行为画像 | | 🧩 Dex2C/VMP 分析 | "这个加密是 native 的，帮我分析逻辑" | 定位 so+offset，hook 优先 / unidbg 复现 / Ghidra 伪代码 | | 🧬 静态攻击面 | "帮我审计这个 App 的攻击面" | 从 Manifest 枚举 exported 组件/Provider/WebView，source→sink 追踪 | | 🧪 安全合规测试 | "帮我检查这个 App 的安全合规" | 自动运行合规检测（注入/调试/WebView SSL/元数据），出具结果 | | 🧷 SO 符号/结构恢复 | "这个 so 去符号了，帮我还原函数名和结构体" | 离线 SO 静态分析（so.py info/strings/strref/callers）→ Ghidra MCP 交叉引用推理 → 重命名 + 结构定义 | | 🦄 离线模拟执行 | "不跑真机，帮我模拟这个 native 函数" | Unicorn 加载 .so，JNI/libc/syscall 打桩，直接跑目标函数拿结果 | > 所有操作由 AI 完成，你不需要手敲命令或运行脚本。 ---

这是什么

一个 AI 逆向分析 Agent 的完整技能系统，不是脚本合集：

🧠 Agent 大脑（.kilo/agent/reverser.md）— 逆向分析角色定义，按决策树自动选模块
📚 领域知识（references/ 项目级 wiki + .kilo/skill/）— 9 大技巧域手册（全量索引 _index.md）+ 动态分析总控 + Native 深度能力（符号/结构恢复、离线模拟执行、内存 DEX 脱壳）
🔧 能力单元（scripts/）— 24 个 Frida 模块（monitors 15 + bypass 9）+ 21 个独立工具 + 检测清单
🛠️ 合规检测 — 注入、调试、WebView SSL、APK 元数据/签名
🔌 MCP 集成（kilo.json）— jadx-mcp（Java 反编译）+ ghidra-mcp（二进制分析）

与传统工具箱的区别

| 维度 | 传统逆向工具箱 | 本 Skill | |------|---------------|----------| | 使用者 | 人类工程师 | AI Agent（Kilo 等） | | 交互方式 | 手敲命令 | 一句话描述需求 | | 核心交付 | 脚本/工具 | Skill 文档 + Agent 定义（.kilo/） | | 决策依据 | 人的经验 | SKILL.md 决策树 | | 反馈闭环 | 无 | Feedback 机制自动记录失败路径 | | 静态分析 | 手动开 JADX | jadx-mcp 让 AI 直接读类源码 | ---

架构

┌────────────────────────────────────────────────────────────┐
│                 AI Agent (Kilo)                             │
│  .kilo/agent/reverser.md  — Agent 角色定义                  │
│  .kilo/skill/.../SKILL.md — 任务路由 + 决策树 + 模块索引    │
│  feedback/FEEDBACK.md     — agent 级反馈闭环（项目根）              │
├────────────────────────────────────────────────────────────┤
│               Frida 动态 Hook 模块（skill scripts/）        │
│  monitors/ (15 个) — 纯观察，不修改行为                     │
│  bypass/   (9 个)  — 主动干预，修改 app 行为                │
│  utils/            — 内存 dump / 运行时 JS 工具             │
├────────────────────────────────────────────────────────────┤
│               独立工具（项目根 tools/）                      │
│  so.py · unpack · dex* · fridarun · device_ui             │
│  emurun · tracerecon · cipherlab · fixelf · 检测        │
├────────────────────────────────────────────────────────────┤
│               MCP 集成（kilo.json 配置）                    │
│  jadx-mcp  — AI 直接读 Java 源码反编译                      │
│  ghidra-mcp — AI 直接反汇编/调试二进制                      │
├────────────────────────────────────────────────────────────┤
│              合规检测能力                                    │
│  注入检测 · 调试检测 · WebView SSL · APK 元数据/签名验证    │
└────────────────────────────────────────────────────────────┘

关键技术

一键脱壳：unpack.py 6 步线性流水线（默认回填 → 补充扫描 → 自动 pull → 修复 checksum → 去重 → 方法体标记），一代/抽取壳通吃，产物直接拖 jadx
反检测 Pipeline：6 阶段自动递进（定位检测 SO → 抢 init_array → 追踪符号 → 保活 → 检测 shellcode → NOP 闪退函数）
分层下钻：Java → JNI → Native → libc → syscall → SVC，上层 hook 被绕过自动降级到更低层
Dex2C/VMP 分析：hook 优先拿数据 → unidbg 复现算法 → Ghidra 伪代码，不需要 IDA 重工具
Native 深度逆向：无符号函数/结构恢复（离线 ELF 侦察 + Ghidra 交叉引用推理）、Unicorn 单函数模拟执行（JNI/libc/syscall 打桩）、内存 DEX 脱壳（双 dumper 交叉验证，ptrace-free）

...