移动安全 / 逆向分析学习路线

定位：从"会用 Android"到"能分析、攻防、评审移动安全机制"的方向，是移动开发方向中抗替代性最强的分支之一。
适用对象：3 年以上 Android 开发，希望转向移动安全测试/研究方向。
抗替代性逻辑：安全领域天然是攻防对抗，训练数据稀少且持续变化（新漏洞类型没有历史语料），出错需要"自然人担责"（安全签字、漏洞评级），AI 只能辅助分析已知模式，无法独立完成 0day 挖掘和责任判断。
完整详细版：本文是精简导航版，完整分阶段路线（面向资深岗位，含 TEE/虚拟化/评审标准等）见 ../资深系统安全工程师-学习路线.md，两文档配合使用。

一、能力地图

能力域	内容
信任链与系统安全架构	Verified Boot、SELinux、沙箱、权限模型
静态/动态分析	APK 逆向、Hook 技术、协议分析
常见漏洞类型	组件暴露、权限绕过、Intent 劫持、注入类
加密与密钥管理	TEE、Keystore、常见密码学误用模式
安全评审与标准	威胁建模、SDL 流程、评审清单

二、学习路线总览（建议 12～20 个月，转型者节奏）

阶段 0：密码学与信任边界基础            → 1 月
阶段 1：Android 安全架构精讲            → 2～3 月
阶段 2：静态分析实战（逆向基础）        → 2 月
阶段 3：动态分析实战（Hook/调试）       → 2～3 月
阶段 4：常见漏洞类型与漏洞分析报告      → 2～3 月
阶段 5：进阶专题（TEE/内核保护，选修）  → 3～4 月
阶段 6：项目化与求职                    → 持续

三、阶段 0：密码学与信任边界基础（1 月）

3.1 必学概念

机密性、完整性、身份认证、不可抵赖 —— 四大安全目标
对称加密(AES) / 非对称加密(RSA/ECC) / 哈希(SHA-256) / HMAC / AEAD(GCM)
数字证书、证书链、根证书与信任锚

3.2 阶段产出

[ ] 写一页笔记：四大安全目标各用什么机制实现
[ ] 能画出证书链验证的基本流程

四、阶段 1：Android 安全架构精讲（2～3 月）

4.1 信任链（背诵级）

BootROM → Bootloader（验证下一阶段签名）
  → Verified Boot / AVB（验证系统分区完整性）
  → dm-verity（运行时验证系统分区未被篡改）
  → Kernel（SELinux 强制访问控制）
  → init → Zygote → SystemServer
  → 应用沙箱（UID隔离、SELinux domain）

4.2 核心机制

机制	作用
SELinux	强制访问控制(MAC)，限制进程能访问的资源
应用沙箱	每个应用独立 UID，默认互不可见
权限模型	安装时权限 + 运行时权限 + 特殊权限分级
Keystore/TEE	密钥硬件隔离存储，防止提取

4.3 阶段产出

[ ] 画一张完整信任链图，标注每层由谁验证
[ ] 能看懂 SELinux 拒绝日志（avc: denied）并定位原因
[ ] 默写 Verified Boot、dm-verity、SELinux、TEE、Keystore 的一句话定义

五、阶段 2：静态分析实战（2 月）

5.1 工具链

工具	用途
jadx	APK 反编译为可读 Java 代码
apktool	资源与 Manifest 反编译/重打包
MobSF	自动化静态扫描平台
Ghidra/IDA（进阶）	Native 层 So 库逆向

5.2 分析要点

1. AndroidManifest.xml：暴露的组件（exported=true）、权限声明
2. 关键字符串/常量：API Key、Base URL、加密密钥硬编码
3. 网络请求逻辑：是否有证书校验绕过风险
4. 加密实现：是否使用弱算法、密钥是否硬编码

5.3 阶段产出

[ ] 独立分析至少 3 个 APK（可用公开靶场应用，如 OWASP MSTG 提供的练习 App）
[ ] 输出《静态分析发现清单》：暴露组件、潜在硬编码密钥等

六、阶段 3：动态分析实战（2～3 月）

6.1 核心工具

工具	用途
Frida	运行时 Hook，动态修改行为、绕过校验
drozer	组件级攻击面测试（暴露的 Activity/Service/Provider）
Burp Suite / mitmproxy	网络流量分析与篡改测试
objection	基于 Frida 的免 root/简化操作工具

6.2 典型练习

// Frida Hook 示例：绕过简单 SSL Pinning 检测（仅用于授权测试环境）
Java.perform(function () {
    var X509TrustManager = Java.use('javax.net.ssl.X509TrustManager');
    // Hook 逻辑用于学习理解证书校验机制
});

重要原则：所有动态分析练习必须在自己搭建的靶场应用或授权的 CTF/众测环境中进行，不得对未授权的真实线上系统测试。

6.3 阶段产出

[ ] 用 Frida 完成至少 3 次运行时 Hook 练习（在授权靶场环境）
[ ] 用 drozer 完成一次组件暴露面测试

七、阶段 4：常见漏洞类型与漏洞分析报告（2～3 月）

7.1 移动端常见漏洞分类

类型	说明
组件暴露	Activity/Service/Provider 未做权限校验被外部调用
Intent 劫持	隐式 Intent 被恶意应用截获
权限绕过	逻辑漏洞导致越权访问
不安全存储	敏感数据明文存储在 SharedPreferences/外部存储
弱加密实现	ECB 模式、硬编码密钥、自研弱算法
WebView 漏洞	JS 接口暴露过度、任意文件访问

7.2 漏洞分析报告模板

标题：[漏洞名称]

原理：
- 漏洞成因，涉及的机制原理

复现步骤：
- 环境搭建、触发条件、复现过程（在授权环境中）

影响面：
- 该漏洞可能造成的实际危害

修复建议：
- 具体的代码/配置层面修复方案

7.3 阶段产出

[ ] 复现至少 2 个公开 CVE 或 CTF 题目并写出完整分析报告
[ ] 完成至少 1 份《本机应用攻击面清单》（基于公开信息与合法测试）

八、阶段 5：进阶专题（选修，3～4 月）

专题	内容
TEE / Keystore / StrongBox	支付安全方向必学
AVF / pKVM 虚拟化隔离	车载/高端终端方向
内核漏洞利用与缓解机制	偏研究方向，周期长
隐私工程	数据最小化、匿名化、合规要求

详细展开见 ../资深系统安全工程师-学习路线.md 阶段 2～6。

九、阶段 6：项目化与求职

9.1 必须产出（安全岗最看重）

漏洞分析报告 3 份以上（原理→复现→修复建议）
一个自动化工具（APK 静态扫描脚本、Frida Hook 工具集），放 GitHub
一次内部分享/博客，讲清一个安全机制

9.2 求职路径

路径	说明
内部转岗	现公司有安全团队优先尝试，风险最低
社招安全测试/移动安全工程师	比"安全研究员"门槛低，转型第 1～2 年优先
红队/漏洞研究员	门槛更高，回报也更高，需有 CTF/漏洞挖掘作品

认证参考：OSCP（渗透测试）、CISSP（偏管理），作品和实战报告比证书更重要。

十、能力自检清单（20 项）

打勾 ≥ 14 项，说明已建立移动安全实质能力：

基础

[ ] 能讲清 Android 完整信任链
[ ] 能看懂 SELinux 拒绝日志并定位原因
[ ] 默写五大安全机制的一句话定义

静态分析

[ ] 用 jadx/apktool 独立分析过 3 个以上 APK
[ ] 能识别 Manifest 中的高风险暴露组件
[ ] 能发现硬编码密钥等常见静态问题

动态分析

[ ] 用 Frida 完成过运行时 Hook 练习
[ ] 用 drozer 完成过组件攻击面测试
[ ] 理解常见网络层安全测试方法

漏洞分析

[ ] 复现过至少 2 个公开 CVE
[ ] 写过完整《原理-复现-修复建议》报告
[ ] 理解至少 6 种常见移动端漏洞类型

进阶（可选）

[ ] 理解 TEE 与 Keystore 的职责划分
[ ] 了解虚拟化隔离基本概念

产出与表达

[ ] GitHub 有 1 个安全相关工具/脚本
[ ] 做过至少 1 次安全技术分享
[ ] 简历能写出"移动开发+安全"复合项目经历

软实力

[ ] 能举出一次"我拍板并承担后果"的安全判断
[ ] 理解安全测试的授权边界与合规要求

十一、常见误区

误区	正确认知
在未授权系统上做安全测试	必须在自建靶场或授权环境练习，法律风险不可忽视
只学工具不懂原理	面试和实战都要求解释"为什么"，不只是"怎么用工具"
证书比实战报告重要	招聘更看重复现报告和工具产出
安全等于渗透测试	安全还包括架构设计评审、隐私工程等更广领域

十二、最短路径

1. 补齐密码学与信任链基础（1个月）
2. 精讲 Android 安全架构，默写核心机制（2个月）
3. 静态分析 3 个 APK + 动态分析 Hook 练习（4个月）
4. 复现 2 个 CVE，写完整分析报告（3个月）
5. 产出 1 个开源工具，整理作品集求职

一句话总结：

移动安全的护城河是"攻防对抗 + 稀缺数据 + 责任判断"三重壁垒，AI 能辅助分析已知模式，但无法替你在授权环境中完成真实复现与责任判断。

十三、关联文档

../资深系统安全工程师-学习路线.md — 完整详细版（面向资深岗位）
../Linux内核学习路线.md — 内核保护机制基础
../Android移动开发方向抗替代性与薪酬分析.md — 替代率与薪酬定位
../传音推荐.md — 手机厂商真实安全岗位 JD 参考

06-移动安全 / 逆向分析学习路线