市面上很多教程告诉你某个检测点如何处理，却没有深入解释检测方究竟观察了什么、读取了哪些数据，以及这些数据为什么能够成为检测依据。 本课程从 Android 系统运行机制出发，覆盖手机启动链、硬件证明、Root 检测、App 启动、Linker、Linux 内核、Frida、KPM 与 LSPosed 等关键环节。 通过源码级分析与工程实战，理解检测逻辑的实现依据，掌握定位问题、分析未知检测和处理兼容问题的方法。 配套三大自研工具，并提供基于 Pixel 6 / Android 14 的真机验证记录与预期输出，让关键技术过程能够复现、验证。 课程核心：从“知道怎么做”，走向“理解为什么”，再到“能够独立分析和实现”。

【第一部 · 系统与检测基础（炼气境，14 章）】 01 APatch 的 root 原理 —— 从 boot.img patch 开始 02 Android 手机启动过程 —— 从 abl 开始 03 Android 硬件证明 —— 从 TEE 开始到 Google 三绿（含 Tricky Store 检测原理、Tricky Store 魔改版本、Google 三绿转发） 04 Android root 检测 —— 结合前面全部内容综合讲解 05 Android App 启动过程 —— 从 zygote 开始 06 Android linker 启动过程 —— 从 open so 到 JNI_OnLoad 执行结束 07 Android ptrace 原理 —— ptrace 加载 so、ptrace 的特征与检测 08 Android zygisk 原理 —— 从 fork 到 Activity 完整启动；magisk mount 覆盖 zygote、neozygisk 处理 init 进程 09 Android hook 原理 —— frida hook、got hook、CFI、绕过 CRC 及对应检测与应用手段 10 Android frida 源码讲解 —— 从 frida 启动开始 11 Android 注入检测 —— 如何检测注入痕迹 12 Android Java Hook 原理 —— Android 的 Java Hook 如何实现 13 Android IPC 相关内容 —— 常见服务与 Binder 14 Android dex 详解 —— dex 执行与脱壳核心 15 Android 自动化 —— u2、scrcpy、事件驱动核心 16 Android 基础 hook 脚本、检测与算法相关逻辑分析 【第二部 · 内核基础（筑基境，K01–K07）】 K01 Linux 进程、线程与调度 —— task_struct、fork/clone/exec、runqueue、cgroup、cred K02 Linux 内存管理 —— VMA、页表、fault、COW、物理页、分配器、TLB K03 ARM64 异常、中断与信号 —— vector、pt_regs、syscall、IRQ、signal、debug trap K04 VFS、文件系统与 procfs —— fd、file、inode、mount namespace、seq_file、sysfs K05 Linux 内核调试与追踪 —— printk、ftrace、tracepoint、kprobe、perf、pstore K06 BTF、vmlinux 与内核类型 —— Image/vmlinux、DWARF、BTF、CO-RE、offset K07 内核符号、KASLR 与运行地址 —— System.map、kallsyms、export、KMI、MODVERSIONS 【第三部 · Frida 详解：源码与兼容工程（化神境，F01–F11）】 F01 Frida 整体启动、进程注入与 Zygote 门控 —— frida-tools、server/HostSession、ptrace/bootstrap/loader、zygote/USAP、子进程 agent、mapper 与自卸载改动 F02 Frida 第一个脚本运行时机 —— create_script、load_script、GumJS、QuickJS/V8、JS 调度线程 F03 Frida Java.perform 原理 —— Java VM attach、ActivityThread、LoadedApk、ClassLoader、pending VM ops F04 Frida server IPC 逻辑 —— WebService、Socket、DBusConnection、ControlService、HostSession、AgentSession F05 Frida server 与 Android SELinux —— patch policy、frida_file、pipe socket、zygote ptrace、setcontext F06 Frida 默认 Hook —— pthread registry、module registry、signal/sigaction、ExitMonitor、child gating F07 Frida Stalker 原理与修复 —— follow/infect、ExecCtx、basic block 翻译、slab、event sink、arm64 near allocation F08 Frida 线程名称处理 —— GLib/Gum 线程命名、/proc/self/task、comm、Thread-N 规范化 F09 Frida 自定义 linker —— agent-mapper、PT_LOAD、relocation、init_array、agent_base/agent_size F10 Frida 线程结构体处理 —— bionic pthread_internal_t、start_routine、libc decoy、pthread list 清洗 F11 当前工程隐藏与兼容处理总表 —— maps 过滤、linker 账本、CFI shadow、Gum ELF 匿名映射、Instruction.parse 可读性 【第四部 · 内核模块详解：KPM 内核工程（化神境，M01–M07）】 M01 KPM 模块设计、装载与生命周期 —— KPM ELF、编译重定位、符号与 offset、安装/卸载顺序、退出回收 M02 内核观察面与基础检测处理 —— maps/smaps/map_files、mountinfo/statx、syscall table、调试状态、USB/VPN/netlink/Binder 只读观测 M03 ARM64 指令 Hook 与 Text Shadow —— trampoline 重定位、BTI、PTE 双 PFN、fault/GUP、fork/mprotect、rmap/RSS M04 ARM64 内核单步 Trace —— MDSCR_EL1、SPSR.SS、CPU 亲和性、step hook、双缓冲、workqueue、二进制解析 M05 硬件断点 Hook 与 Perf 生命周期 —— register_user_hw_breakpoint、pt_regs.pc、inherit、ptrace regset、task/perf/退出回收 M06 SELinux 与 FD 安全扩展 —— task_ext、avc_denied、inode/file/socket SID、f_security、FD__USE、xattr/SO_PEERSEC 长度 ABI M07 Android Chrome 多进程多开 —— OEM Custom Profile、AMS/zygote、独立 UID/CE/DE、Chrome child process、CDP、每-user VPN、KPM 与事务回滚 【第五部 · LSPosed 详解：运行时工程（化神境，L01–L10）】 L01 LSPosed 总体设计与进程进入 —— Zygisk pre/post specialize、进程筛选、framework DEX、Binder、Main.forkCommon L02 LSPlant Java Hook 原理 —— ArtMethod、动态桩类、trampoline、backup、entrypoint、原方法调用 L03 多模块回调与去优化 —— HookItem、modern/legacy callback、priority、并发发布、JIT inline、deopt L04 模块 ClassLoader 与 DEX 生命周期 —— 委派顺序、SharedMemory、file-backed DEX、dexElements、资源与 native library L05 标识泛化与字符串源头治理 —— native 编译期常量、DEX IR 重写、类前缀、模块入口元数据、JNI 映射 L06 Binder、FD 与 linker 账本收口 —— bridge detach、mmap/FD 生命周期、link_map、solist、sonext、module counter L07 Android 16 ART/JVMTI 根因修复 —— generated class 枚举、dex method index、隔离 ArtMethod backup、反射 Method 包装 L08 Android 14/16 分层适配 —— moving GC、declaring-class 引用、API 36 gate、跨版本回归 L09 侧信道与结构差分检测 —— 时延分布、ClassLoader 数量、DEX 映射、FD 高水位、检测器自污染 L10 验证矩阵与工程交付 —— 基本 Hook、原方法、连续调用、冷启动、full GC、晚附加、tombstone、产物哈希 【企业壳实战 · 持续更新】 DexProtect 完整实战课程（全套检测逻辑拆解与对抗）已就位； 完整 Promon 课程后续上线，更多顶级检测壳持续更新——以凡人之力，硬刚各路顶级检测，不断更新维护，直至完美。 【二期规划 · 混淆与 VMP 保护】 编译原理（词法分析、CFG、IR 优化）→ VMP 分析（转 IR）