opencode-skills-collection 4.0.42 → 4.0.44

package/bundled-skills/apk-reverse/references/android-advanced.md

@@ -0,0 +1,365 @@
+# Android 高级逆向参考
+
+> 覆盖 Native SO 分析、Frida 高级用法、SSL Pinning 绕过、Root 检测对抗、加固脱壳、Flutter/React Native 逆向。
+
+---
+
+## Native SO 逆向
+
+### 分析流程
+
+```text
+1. 从 APK 中提取 .so 文件
+   unzip app.apk lib/arm64-v8a/*.so -d extracted/
+
+2. 确认架构和基本信息
+   file libxxx.so
+   rabin2 -I libxxx.so
+
+3. 找 JNI 入口
+   - 搜索 JNI_OnLoad（动态注册）
+   - 搜索 Java_com_xxx_yyy（静态注册）
+   - nm -D libxxx.so | grep -i java
+
+4. IDA/Ghidra 加载分析
+   - 导入 JNI 头文件（jni.h 类型）
+   - 标注 JNIEnv* 参数
+   - 找 RegisterNatives 调用（动态注册的函数表）
+
+5. 定位关键逻辑
+   - 从 Java 层 native 方法名追踪
+   - 从字符串（密钥、URL、错误信息）交叉引用
+   - 从 crypto 库函数（AES/MD5/SHA）调用追踪
+```
+
+### JNI 函数注册
+
+```c
+// 静态注册：函数名 = Java_包名_类名_方法名
+JNIEXPORT jstring JNICALL Java_com_example_app_Security_getSign(
+    JNIEnv *env, jobject thiz, jstring input) { ... }
+
+// 动态注册：在 JNI_OnLoad 中调用 RegisterNatives
+static JNINativeMethod methods[] = {
+    {"getSign", "(Ljava/lang/String;)Ljava/lang/String;", (void*)native_getSign},
+};
+
+JNIEXPORT jint JNI_OnLoad(JavaVM *vm, void *reserved) {
+    JNIEnv *env;
+    vm->GetEnv((void**)&env, JNI_VERSION_1_6);
+    jclass clazz = env->FindClass("com/example/app/Security");
+    env->RegisterNatives(clazz, methods, sizeof(methods)/sizeof(methods[0]));
+    return JNI_VERSION_1_6;
+}
+```
+
+### IDA 中分析 JNI 的技巧
+
+```text
+1. 导入 JNI 类型库
+   File → Load File → Parse C Header → jni.h
+
+2. 标注第一个参数为 JNIEnv*
+   右键参数 → Set type → JNIEnv*
+   这样 env->FindClass / env->GetMethodID 等调用会自动识别
+
+3. 找 RegisterNatives
+   搜索对 JNIEnv vtable offset 0x35C (ARM64) 的调用
+   → 第三个参数是 JNINativeMethod 数组
+   → 从数组中提取所有 native 函数地址
+```
+
+---
+
+## Frida 高级用法
+
+### Hook Native 函数
+
+```javascript
+// Hook libc 函数
+Interceptor.attach(Module.findExportByName("libc.so", "open"), {
+    onEnter: function(args) {
+        this.path = args[0].readUtf8String();
+        console.log("[open] " + this.path);
+    },
+    onLeave: function(retval) {
+        if (this.path.includes("su") || this.path.includes("magisk")) {
+            console.log("[open] Blocked root check: " + this.path);
+            retval.replace(-1);  // 返回失败
+        }
+    }
+});
+
+// Hook 自定义 SO 中的函数
+var base = Module.findBaseAddress("libsecurity.so");
+var targetFunc = base.add(0x1234);  // 偏移地址
+Interceptor.attach(targetFunc, {
+    onEnter: function(args) {
+        console.log("arg0: " + args[0].readUtf8String());
+    },
+    onLeave: function(retval) {
+        console.log("return: " + retval.readUtf8String());
+    }
+});
+```
+
+### Hook Java 方法
+
+```javascript
+Java.perform(function() {
+    // Hook 实例方法
+    var Security = Java.use("com.example.app.Security");
+    Security.getSign.implementation = function(input) {
+        console.log("[getSign] input: " + input);
+        var result = this.getSign(input);  // 调用原方法
+        console.log("[getSign] output: " + result);
+        return result;
+    };
+
+    // Hook 构造函数
+    Security.$init.overload('java.lang.String').implementation = function(key) {
+        console.log("[Security.<init>] key: " + key);
+        this.$init(key);
+    };
+
+    // Hook 重载方法
+    Security.encrypt.overload('java.lang.String', 'int').implementation = function(data, mode) {
+        console.log("[encrypt] data=" + data + " mode=" + mode);
+        return this.encrypt(data, mode);
+    };
+});
+```
+
+### 内存搜索与修改
+
+```javascript
+// 搜索内存中的字符串
+Process.enumerateModules().forEach(function(module) {
+    if (module.name === "libtarget.so") {
+        Memory.scan(module.base, module.size, "48 65 6C 6C 6F", {  // "Hello"
+            onMatch: function(address, size) {
+                console.log("Found at: " + address);
+            }
+        });
+    }
+});
+
+// 修改内存（patch 指令）
+var addr = Module.findBaseAddress("libsecurity.so").add(0x5678);
+Memory.patchCode(addr, 4, function(code) {
+    var writer = new Arm64Writer(code, {pc: addr});
+    writer.putNop();  // 替换为 NOP
+    writer.flush();
+});
+```
+
+---
+
+## SSL Pinning 绕过
+
+### 通用方案（推荐）
+
+```javascript
+// Frida 通用 SSL Pinning 绕过
+// 来源: https://github.com/0xCD4/SSL-bypass
+Java.perform(function() {
+    // 1. TrustManager 绕过
+    var TrustManager = Java.registerClass({
+        name: 'com.custom.TrustManager',
+        implements: [Java.use('javax.net.ssl.X509TrustManager')],
+        methods: {
+            checkClientTrusted: function(chain, authType) {},
+            checkServerTrusted: function(chain, authType) {},
+            getAcceptedIssuers: function() { return []; }
+        }
+    });
+
+    // 2. SSLContext 替换
+    var SSLContext = Java.use('javax.net.ssl.SSLContext');
+    var sslContext = SSLContext.getInstance("TLS");
+    sslContext.init(null, [TrustManager.$new()], null);
+
+    // 3. OkHttp CertificatePinner 绕过
+    try {
+        var CertificatePinner = Java.use('okhttp3.CertificatePinner');
+        CertificatePinner.check.overload('java.lang.String', 'java.util.List').implementation = function() {};
+    } catch(e) {}
+});
+```
+
+### 各框架绕过
+
+| 框架 | 绕过方法 |
+|------|---------|
+| OkHttp3 | Hook `CertificatePinner.check` 返回空 |
+| Retrofit | 同 OkHttp（底层用 OkHttp） |
+| Volley | Hook `HurlStack` 的 SSL 工厂 |
+| Flutter | Hook `dart:io` 的 `SecurityContext`（需要特殊脚本） |
+| React Native | Hook `OkHttpClientProvider` |
+| WebView | Hook `WebViewClient.onReceivedSslError` |
+
+### Flutter 专项
+
+```javascript
+// Flutter SSL Pinning 绕过（需要找到 ssl_verify_peer_cert 函数）
+var flutter_lib = Module.findBaseAddress("libflutter.so");
+// 搜索 ssl_verify_peer_cert 的特征码
+var pattern = "FF 03 05 D1 FD 7B 0F A9";  // ARM64 特征
+Memory.scan(flutter_lib, Module.findModuleByName("libflutter.so").size, pattern, {
+    onMatch: function(address) {
+        Interceptor.replace(address, new NativeCallback(function() {
+            return 0;  // 返回成功
+        }, 'int', []));
+    }
+});
+```
+
+---
+
+## Root 检测绕过
+
+### 常见检测方式
+
+| 检测方式 | 绕过方法 |
+|---------|---------|
+| 检查 `/system/app/Superuser.apk` | Hook `File.exists()` 返回 false |
+| 检查 `su` 命令 | Hook `Runtime.exec()` 拦截 su 调用 |
+| 检查 `/proc/self/mounts` | Hook 文件读取，过滤 magisk 相关 |
+| SafetyNet/Play Integrity | Magisk Hide / Zygisk + Shamiko |
+| 检查 Magisk 包名 | 随机化 Magisk 包名 |
+| 检查 `/data/adb/` | Hook `opendir`/`access` |
+
+### Frida 通用 Root 绕过
+
+```javascript
+Java.perform(function() {
+    // Hook File.exists
+    var File = Java.use("java.io.File");
+    File.exists.implementation = function() {
+        var path = this.getAbsolutePath();
+        var blacklist = ["su", "Superuser", "magisk", "busybox", "xposed"];
+        for (var i = 0; i < blacklist.length; i++) {
+            if (path.toLowerCase().includes(blacklist[i])) {
+                return false;
+            }
+        }
+        return this.exists();
+    };
+
+    // Hook System.getProperty
+    var System = Java.use("java.lang.System");
+    System.getProperty.overload('java.lang.String').implementation = function(key) {
+        if (key === "ro.debuggable" || key === "ro.secure") {
+            return "1";
+        }
+        return this.getProperty(key);
+    };
+});
+```
+
+---
+
+## 加固/壳识别与脱壳
+
+### 常见加固厂商
+
+| 加固 | 识别特征 | 脱壳方式 |
+|------|---------|---------|
+| 360 加固 | `libjiagu.so`、`com.stub.StubApp` | FART / Frida dump dex |
+| 腾讯乐固 | `libshell*.so`、`com.tencent.StubShell` | FART / BlackDex |
+| 梆梆加固 | `libDexHelper.so`、`com.secneo.apkwrapper` | FART |
+| 爱加密 | `libexec.so`、`s.h.e.l.l` | Frida dump |
+| 网易易盾 | `libnesec.so` | Frida dump |
+| 娜迦 | `libnaga.so` | Frida dump |
+
+### 通用脱壳方法
+
+```text
+方法 1: FART（ART 环境脱壳）
+- 刷入 FART ROM 或使用 Frida 版 FART
+- 自动 dump 所有 ClassLoader 加载的 dex
+
+方法 2: Frida DEX Dump
+- frida -U -f com.target.app -l dex_dump.js
+- 在 DexFile::OpenMemory 处 hook，dump 内存中的 dex
+
+方法 3: BlackDex
+- 免 root 脱壳工具
+- 直接安装 BlackDex APK，选择目标应用脱壳
+
+方法 4: 手动 dump
+- 用 Frida 枚举所有 ClassLoader
+- 找到应用的 ClassLoader → 获取 DexFile 对象
+- 读取 dex 内存区域并保存
+```
+
+### Frida DEX Dump 脚本
+
+```javascript
+Java.perform(function() {
+    Java.enumerateClassLoaders({
+        onMatch: function(loader) {
+            try {
+                var dexFiles = loader.getDexFileList();
+                console.log("ClassLoader: " + loader);
+                console.log("  DEX files: " + dexFiles);
+            } catch(e) {}
+        },
+        onComplete: function() {}
+    });
+});
+```
+
+---
+
+## React Native / Flutter 逆向
+
+### React Native
+
+```text
+1. 解压 APK → assets/index.android.bundle（JS 代码）
+2. 格式化 JS → 搜索 API 地址、密钥、签名逻辑
+3. 如果有 Hermes 字节码（.hbc 文件）→ 用 hermes-dec 反编译
+4. Hook: 用 Frida hook Java 层的 ReactBridge
+```
+
+### Flutter
+
+```text
+1. Flutter 代码编译为 libapp.so（Dart AOT）
+2. 无法直接反编译为 Dart 源码
+3. 分析方法：
+   - reFlutter 工具：patch libflutter.so 获取 snapshot
+   - Doldrums：解析 Dart snapshot 恢复类/函数信息
+   - Frida hook libflutter.so 中的关键函数
+4. 网络分析：Flutter 不走系统代理，需要特殊处理 SSL
+```
+
+---
+
+## 工具速查
+
+| 工具 | 用途 | 安装 |
+|------|------|------|
+| jadx | Java 反编译 | 已在 bootstrap 中 |
+| apktool | 解包/重打包 | 已在 bootstrap 中 |
+| Frida | 动态 Hook | `pip install frida-tools` |
+| Objection | Frida 封装（更易用） | `pip install objection` |
+| MobSF | 自动化移动安全分析 | Docker 部署 |
+| BlackDex | 免 root 脱壳 | APK 安装 |
+| FART | ART 脱壳 | 刷入 ROM 或 Frida 版 |
+| hermes-dec | Hermes 字节码反编译 | npm 安装 |
+| reFlutter | Flutter 逆向辅助 | pip 安装 |
+| Magisk + Shamiko | Root 隐藏 | 刷入 |
+
+---
+
+## 参考资源
+
+| 资源 | 说明 | 链接 |
+|------|------|------|
+| OWASP MASTG | 移动安全测试指南 | https://mas.owasp.org/ |
+| FridaBypassKit | 通用绕过框架 | https://github.com/okankurtuluss/FridaBypassKit |
+| SSL-bypass | 通用 SSL Pinning 绕过 | https://github.com/0xCD4/SSL-bypass |
+| awesome-frida | Frida 资源合集 | https://github.com/dweinstein/awesome-frida |
+| Android Security Awesome | Android 安全资源 | https://github.com/ashishb/android-security-awesome |

package/bundled-skills/apk-reverse/references/apk-security-checklist.md

@@ -0,0 +1,230 @@
+# APK 安全测试速查
+
+> 基于 OWASP MASTG（Mobile Application Security Testing Guide）整理。
+> 覆盖静态分析、动态分析、网络通信、数据存储、认证授权、代码保护六大维度。
+
+---
+
+## 静态分析检查清单
+
+### Manifest 审计
+
+```text
+□ android:debuggable="true" → 可调试（生产环境不应出现）
+□ android:allowBackup="true" → 数据可备份提取
+□ android:exported="true" 的组件 → 暴露的 Activity/Service/Receiver/Provider
+□ 自定义权限 protectionLevel → 是否为 normal（应为 signature）
+□ intent-filter 中的 scheme → 自定义 deeplink 是否可被劫持
+□ android:usesCleartextTraffic="true" → 允许明文 HTTP
+□ minSdkVersion 过低 → 可能缺少安全特性
+```
+
+### 代码审计关键点
+
+```text
+□ 硬编码密钥/Token（搜索 "key"、"secret"、"password"、"api_key"）
+□ 不安全的随机数（java.util.Random 而非 SecureRandom）
+□ 不安全的加密（ECB 模式、DES、MD5 用于密码）
+□ WebView 配置（setJavaScriptEnabled + addJavascriptInterface = RCE 风险）
+□ SQL 注入（rawQuery 拼接用户输入）
+□ 路径遍历（ContentProvider 的 openFile 未校验路径）
+□ 日志泄露（Log.d/Log.i 输出敏感信息）
+□ 剪贴板泄露（ClipboardManager 存储敏感数据）
+□ 隐式 Intent 泄露（sendBroadcast 未指定包名）
+```
+
+### 第三方库审计
+
+```text
+□ 过时的 OkHttp/Retrofit 版本（已知漏洞）
+□ 过时的 WebView 内核
+□ 含已知漏洞的 SDK（检查 CVE）
+□ 广告 SDK 数据收集范围
+□ 推送 SDK 配置（是否泄露 token）
+```
+
+---
+
+## 动态分析检查清单
+
+### Frida Hook 优先目标
+
+| 目标 | Hook 点 | 目的 |
+|------|---------|------|
+| 登录认证 | `LoginActivity.login()` | 观察凭证处理 |
+| 签名生成 | `*Sign*`、`*sign*`、`*encrypt*` | 还原签名算法 |
+| SSL Pinning | `CertificatePinner.check` | 绕过抓包 |
+| Root 检测 | `*root*`、`*su*`、`*magisk*` | 绕过检测 |
+| 加密操作 | `javax.crypto.Cipher` | 提取密钥/IV |
+| Token 存储 | `SharedPreferences.getString` | 观察 token 读写 |
+| 网络请求 | `OkHttpClient.newCall` | 观察请求构造 |
+
+### 常用 Frida 一行命令
+
+```bash
+# 追踪所有加密操作
+frida-trace -U -f com.target.app -j '*Cipher*!*'
+
+# 追踪所有 HTTP 请求
+frida-trace -U -f com.target.app -j '*OkHttp*!*'
+
+# 追踪 SharedPreferences 读写
+frida-trace -U -f com.target.app -j '*SharedPreferences*!*'
+
+# 追踪所有 native 函数调用
+frida-trace -U -f com.target.app -i 'Java_*'
+```
+
+### Objection 快速命令
+
+```bash
+# 连接
+objection -g com.target.app explore
+
+# 常用命令
+android hooking list activities
+android hooking list services
+android sslpinning disable
+android root disable
+android clipboard monitor
+env                              # 查看应用目录
+sqlite connect <db_path>         # 连接数据库
+```
+
+---
+
+## 网络通信安全
+
+### 抓包配置
+
+```text
+方法 1: 系统代理 + Burp/mitmproxy
+- 设置 WiFi 代理 → Burp 监听地址
+- 安装 CA 证书到设备
+- Android 7+ 需要 network_security_config 或 Frida 绕过
+
+方法 2: VPN 模式（推荐）
+- 使用 HttpCanary / Packet Capture
+- 不需要 root，不需要配置代理
+- 但无法解密 SSL Pinning 的流量
+
+方法 3: Frida + r2frida
+- 直接在进程内拦截网络调用
+- 不受代理/VPN 限制
+```
+
+### 检查项
+
+```text
+□ 是否使用 HTTPS（所有 API 调用）
+□ 是否有 SSL Pinning（证书绑定）
+□ 证书验证是否正确（不接受自签名）
+□ 是否有证书透明度（CT）检查
+□ API 密钥是否在请求中明文传输
+□ Token 是否有过期机制
+□ 是否有请求签名防篡改
+□ 是否有重放攻击防护（nonce/timestamp）
+□ WebSocket 是否加密
+□ 是否有敏感数据在 URL 参数中（会被日志记录）
+```
+
+---
+
+## 数据存储安全
+
+### 检查位置
+
+| 位置 | 风险 | 检查命令 |
+|------|------|---------|
+| SharedPreferences | 明文存储 token/密码 | `adb shell cat /data/data/pkg/shared_prefs/*.xml` |
+| SQLite 数据库 | 未加密的敏感数据 | `adb pull /data/data/pkg/databases/` |
+| 外部存储 | 任何应用可读 | `adb shell ls /sdcard/Android/data/pkg/` |
+| 应用日志 | 泄露调试信息 | `adb logcat \| grep pkg` |
+| 备份文件 | allowBackup=true | `adb backup -f backup.ab pkg` |
+| 键盘缓存 | 输入历史 | 检查 `inputType` 是否为 `textPassword` |
+| 截图保护 | 敏感页面可截图 | 检查 `FLAG_SECURE` |
+
+### 加密存储方案对比
+
+| 方案 | 安全性 | 说明 |
+|------|--------|------|
+| SharedPreferences 明文 | ❌ | root 后直接读取 |
+| EncryptedSharedPreferences | ✓ | AndroidX Security 库 |
+| SQLCipher | ✓ | 加密 SQLite |
+| Android Keystore | ✓✓ | 硬件级密钥保护 |
+| 自定义 AES 加密 | ⚠️ | 取决于密钥管理 |
+
+---
+
+## 认证与授权
+
+### 常见漏洞
+
+| 漏洞 | 测试方法 |
+|------|---------|
+| 弱密码策略 | 尝试 123456、password 等 |
+| 无锁定机制 | 暴力破解登录接口 |
+| Token 不过期 | 登出后重放旧 token |
+| 越权访问 | 修改请求中的 user_id |
+| 短信验证码可爆破 | 4/6 位数字无频率限制 |
+| OAuth 配置错误 | redirect_uri 可篡改 |
+| 生物认证绕过 | Hook BiometricPrompt |
+| 设备绑定绕过 | 修改 device_id |
+
+### 测试 Payload
+
+```bash
+# 越权测试
+curl -H "Authorization: Bearer USER_A_TOKEN" \
+     "https://api.target.com/users/USER_B_ID/profile"
+
+# Token 重放
+# 1. 正常登录获取 token
+# 2. 登出
+# 3. 用旧 token 请求 → 应该返回 401
+
+# 短信验证码爆破
+for code in $(seq 0000 9999); do
+    curl -X POST "https://api.target.com/verify" \
+         -d "phone=13800138000&code=$code"
+done
+```
+
+---
+
+## 代码保护评估
+
+| 保护措施 | 检测方法 | 绕过难度 |
+|---------|---------|---------|
+| ProGuard 混淆 | jadx 查看类名是否为 a/b/c | 低（只是重命名） |
+| 字符串加密 | 搜索解密函数，Hook 获取明文 | 中 |
+| 反调试 | 尝试 attach debugger | 中（Frida 可绕过） |
+| Root 检测 | 在 root 设备上运行 | 中（通用脚本绕过） |
+| 模拟器检测 | 在模拟器上运行 | 低-中 |
+| 完整性校验 | 修改 APK 后安装 | 中（patch 校验函数） |
+| 加固/壳 | 查看入口类和 .so | 中-高（需脱壳） |
+| Native 保护 | 核心逻辑在 .so | 高（需 IDA 分析） |
+| VMP 虚拟化 | 代码被虚拟化执行 | 极高 |
+
+---
+
+## 快速测试流程（30 分钟）
+
+```text
+1. [5min] 解包 + Manifest 审计
+   apktool d app.apk
+   检查 debuggable/allowBackup/exported/cleartext
+
+2. [10min] 代码快速审计
+   jadx -d out app.apk
+   搜索: password, key, secret, token, http://
+
+3. [5min] 网络测试
+   配置代理 → 操作 APP → 检查是否有明文/弱加密
+
+4. [5min] 存储检查
+   adb shell → 检查 shared_prefs 和 databases
+
+5. [5min] 动态验证
+   Frida hook 关键函数 → 确认发现
+```

package/bundled-skills/apk-reverse/references/frida-bypass-kit.md

@@ -0,0 +1,70 @@
+# Frida Bypass Kit — Android 通用安全绕过框架
+
+> 来源：[FridaBypassKit](https://github.com/okankurtuluss/FridaBypassKit)（2025）
+> 适用场景：APK 动态分析时需要绕过 root 检测、SSL pinning、模拟器检测、反调试
+
+## 概述
+
+FridaBypassKit 是一个集成了四大绕过能力的 Frida 脚本，无需针对特定 APP 定制，开箱即用。
+
+## 四大绕过能力
+
+### 1. Root 检测绕过
+
+- Hook `File.exists()` 隐藏 su 二进制
+- 拦截 `Runtime.exec()` 的 root 检查调用
+- 从 PackageManager 隐藏 root 相关包（Magisk、SuperSU 等）
+- 修改系统属性使设备看起来未 root
+
+### 2. SSL Pinning 绕过
+
+- Hook `TrustManagerImpl.verifyChain()`
+- Hook `TrustManagerImpl.checkTrustedRecursive()`
+- 绕过证书链验证
+- 返回空证书链避免校验
+- 兼容 OkHttp、Retrofit 和自定义实现
+
+### 3. 模拟器检测绕过
+
+- 伪造 TelephonyManager 返回值
+- 返回假电话号码和运营商名称
+- 修改 Build 属性
+
+### 4. 反调试绕过
+
+- Hook `Debug.isDebuggerConnected()`
+- 阻止调试器检测
+- 绕过反调试检查
+
+## 使用方法
+
+```bash
+# 前置条件
+pip install frida-tools
+adb push frida-server /data/local/tmp/
+adb shell chmod 755 /data/local/tmp/frida-server
+adb shell su -c /data/local/tmp/frida-server &
+
+# 注入目标 APP
+frida -U -f com.example.app -l FridaBypassKit.js
+```
+
+## 其他推荐 Frida 绕过脚本
+
+| 项目 | 特点 | 链接 |
+|------|------|------|
+| httptoolkit/frida-interception-and-unpinning | 直接 MitM 所有 HTTPS 流量 | [GitHub](https://github.com/httptoolkit/frida-interception-and-unpinning) |
+| 0xCD4/SSL-bypass | 通用非定制 SSL 绕过 | [GitHub](https://github.com/0xCD4/SSL-bypass) |
+| incogbyte/ssl-bypass gist | 绕过常见 SSL pinning 方法 | [Gist](https://gist.github.com/incogbyte/1e0e2f38b5602e72b1380f21ba04b15e) |
+| Zero3141/Frida-OkHttp-Bypass | 专门针对 OkHttp CertificatePinner | [GitHub](https://github.com/Zero3141/Frida-OkHttp-Bypass) |
+
+## 与本包的集成
+
+在 `apk-reverse` 工作流中，当遇到以下情况时使用：
+
+1. APP 检测到 root 拒绝运行 → 启用 Root Detection Bypass
+2. 抓包时 HTTPS 请求看不到明文 → 启用 SSL Pinning Bypass
+3. APP 检测到模拟器拒绝运行 → 启用 Emulator Detection Bypass
+4. 附加 Frida 后 APP 崩溃 → 启用 Debug Detection Bypass
+
+推荐组合使用：先跑完整 FridaBypassKit，再针对性调整。