很多人第一次接触安卓逆向，安卓是基础教程从一个“去广告”的念头开始的。装了个小游戏，全套弹窗烦得不行，安卓搜教程发现要反编译APK。基础教程于是全套下载了apktool，敲下 apktool d xxx.apk，安卓看到 smali 文件夹那一刻，基础教程脑子是全套懵的。满屏的安卓 .method、.registers、基础教程invoke-virtual，全套跟汇编似的安卓。别慌，基础教程这玩意儿有规律。全套

先从工具链说起。apktool 负责拆包和回编译，dex2jar 把 dex 转成 jar，jd-gui 用来看 Java 源码。但注意，dex2jar 出来的代码经常不完整，尤其是混淆过的。更稳的方案是 jadx，直接反编译 dex 到 Java，还能搜索字符串和跳转。我习惯用 jadx-gui 看逻辑，用 apktool 改 smali。两条腿走路，缺一不可。

反编译只是第一步。拿到源码后，你得知道从哪下手。常见入口有三个：AndroidManifest.xml 里的 Activity 注册、Application 类、以及 native 库加载点。比如去广告，先搜 “ad” 或 “banner” 这类关键词。jadx 里全局搜索字符串，找到对应代码块，看它调用了哪个方法。有时候广告是动态加载的，那就得跟网络请求，抓包配合 Frida 更高效。

改 smali 是基本功。比如想把一个 if-eqz v0, :cond_0 改成永远不跳转，直接改成 goto :cond_0 或者把条件反过来。但要注意寄存器数量，改完得检查 .registers 是否匹配。我见过有人改完回编译报错，就是因为多加了指令没调整寄存器。回编译用 apktool b，生成的新 APK 在 dist 目录下。别急着装，先签名。用 uber-apk-signer 或者 keytool 自己生成 keystore，再 jarsigner 签。没签名的 APK 装不上，这是新手常踩的坑。

动态分析绕不开 Frida。装个 frida-server 推到手机 /data/local/tmp，adb shell 里给执行权限，电脑上跑 frida-ps -U 能列出进程就说明通了。写个 hook 脚本，比如拦截 android.util.Log.d 看日志，或者 hook 某个类的 isVip 方法返回 true。Frida 的好处是不用改包，适合快速验证。但有些 app 有反调试，检测到 frida-server 就闪退。这时候得用 magisk 模块隐藏，或者改 frida-server 的端口和进程名。

再说个实际案例。之前分析一个天气 app，启动就有全屏广告。jadx 搜 “SplashAd”，找到个 loadSplashAd() 方法。里面有个 if (isAdEnabled) 判断，直接改成 const/4 v0, 0x0 返回 false。回编译签名安装，广告没了。但过了两天又出来了，原来它从服务器拉配置。那就得找到解析配置的地方，把广告开关字段写死。这种对抗很常见，静态改完还得看动态逻辑。

最后提一嘴，别拿这技术去搞恶意破解。安卓逆向本身是中性的，用来分析恶意样本、做安全审计、或者汉化软件都没问题。但破人家付费功能还传播，那就越界了。工具在手，分寸在心。