一个 APK 文件解压后能看到 classes.dex、漏漏洞so 库、漏漏洞资源文件，漏漏洞这些东西堆在一起跑在 Android 的漏漏洞 ART 虚拟机上。大多数人拿到 APK 第一反应是漏漏洞反编译看 Java 层逻辑，但真正能打出致命伤害的漏漏洞漏洞，往往藏在 native 层。漏漏洞

去年遇到一个案例：某款日活百万的漏漏洞工具类 App，Java 层做了混淆和签名校验，漏漏洞看起来密不透风。漏漏洞反编译 so 文件后发现，漏漏洞它用 JNI 调用了一个自己实现的漏漏洞加密函数，而这个函数在处理外部传入的漏漏洞字符串时，直接 strcpy 到一个 256 字节的漏漏洞栈缓冲区，没有任何长度检查。漏漏洞构造一个超过 256 字节的输入，栈溢出，返回地址被覆盖。这就是典型的 pwn 漏洞——不是逻辑漏洞，是内存层面的直接崩溃和可控劫持。

为什么 APK 里的 pwn 比 Web 漏洞更危险

Web 漏洞打的是服务端，影响范围可控，修起来也快。APK 里的 pwn 不一样。一旦 so 库存在栈溢出或堆溢出，攻击者可以在用户设备上执行任意代码。Android 的沙箱机制本意是隔离应用，但 native 层漏洞可以直接绕过 Java 层的权限检查，拿到应用进程的完整控制权。

更麻烦的是，很多开发者觉得“我用了 HTTPS，数据是加密的，所以安全”。加密解决的是传输问题，不解决内存安全问题。你传过来的密文在解密之后，如果解密函数本身有溢出，照样被打穿。

常见的 pwn 入口点

JNI 函数是重灾区。Java 层调用 native 方法时，参数会通过 JNIEnv 传递。很多开发者写 native 代码时习惯性信任 Java 层传来的数据长度，直接用 GetStringUTFChars 拿到指针就往固定大小的 buffer 里塞。攻击者只需要在 Java 层构造一个超长字符串传进去，native 层就炸了。

另一个常见的是 so 库里的解析逻辑。比如解析自定义协议、解析图片格式、解析配置文件。这些解析代码往往手写，没有用成熟的安全库，边界检查全靠开发者自觉。一个 memcpy 用错 size 参数，就是堆溢出。

还有一类是 Android 特有的：Parcel 反序列化。Binder 通信传递的 Parcel 对象如果 native 层解析不当，可以构造恶意 Parcel 触发越界读写。这类漏洞在系统组件里出现过多次，应用层如果自己实现 Parcelable 的 native 读写，同样会中招。

怎么发现和利用

发现层面，静态分析用 IDA 或 Ghidra 看 so 库里的危险函数调用：strcpy、sprintf、memcpy、read。重点看这些函数的参数有没有来自外部输入，size 是不是固定的。动态分析用 Frida hook JNI 函数，看实际运行时传入的数据长什么样。

利用层面，Android 的 ASLR 和 NX 让直接跳 shellcode 变得困难。但可以通过 ROP 链绕过 NX，通过信息泄露绕过 ASLR。如果目标 so 库没有开 PIE，那更简单，直接覆盖返回地址跳到固定地址的 gadget。实际利用中，很多时候不需要完整的 ROP 链——只要能让应用崩溃并泄露内存布局，配合其他漏洞就能完成攻击。

开发者能做什么

写 native 代码时，所有来自外部的数据都必须做长度校验。不要用 strcpy，用 strncpy 并手动补 null 终止符。不要信任 Java 层传来的数组长度，在 native 层重新计算。编译 so 库时开启 -fstack-protector-all、-D_FORTIFY_SOURCE=2、-Wl,-z,relro,-z,now。这些编译选项不能解决所有问题，但能挡住大部分低级溢出。

APK 安全不是只有加固和混淆。native 层的 pwn 漏洞一旦被利用，加固壳本身也可能被绕过。安全是一个整体，Java 层做得再好，so 库里的一个 strcpy 就能让所有努力归零。