1. 项目概述为什么我们需要drozer如果你是一名移动安全研究员、渗透测试工程师或者是一名对Android应用内部运作机制充满好奇的开发者那么你一定遇到过这样的困境面对一个打包好的APK文件如何像外科手术一样精准地探查其内部组件暴露的漏洞传统的静态分析工具如Jadx、APKTool能帮你看到代码但无法告诉你这些代码在真实运行时的交互逻辑和潜在风险。而动态测试往往又需要编写大量脚本或进行繁琐的ADB命令操作效率低下。这时drozer原名Mercury的价值就凸显出来了。它不是一个简单的漏洞扫描器而是一个功能强大的交互式Android安全测试框架。你可以把它想象成一把专为Android系统打造的“瑞士军刀”它通过一个运行在PC端的控制台Console与一个安装在目标设备上的代理Agent进行通信让你能够以目标应用的权限去执行一系列原本只有应用自身才能进行的操作比如调用其暴露的Activity、Service、Broadcast Receiver和Content Provider。这种“从内部发起攻击”的视角是发现逻辑漏洞、权限提升漏洞如组件暴露、敏感数据泄露等深层次安全问题的关键。在Windows 10环境下搭建和使用drozer是许多安全从业者入门的必经之路。虽然官方文档和网络上有不少资料但往往存在环境配置复杂、步骤缺失、问题排查困难等痛点。本文将基于Windows 10平台手把手带你完成从零开始的环境搭建、核心功能详解到实战测试的全过程并穿插大量我在实际测试中积累的“踩坑”经验和独家技巧让你不仅能“跑起来”更能“懂得透”、“用得好”。2. 环境准备与安装打造稳定的测试基座一个稳定、兼容的环境是高效使用drozer的前提。Windows 10下的安装主要涉及三个部分Java运行环境、Android调试桥ADB以及drozer本体。许多新手卡在第一步往往是因为版本兼容性问题。2.1 核心依赖安装Java与ADBJava环境配置drozer的控制台是基于Java开发的因此首先需要安装Java运行时环境JRE或开发工具包JDK。我强烈推荐安装JDK 8版本号如1.8.0_XXX。更高版本的Java如JDK 11虽然可能也能运行但偶尔会遇到一些不兼容的警告或类加载问题为了省去不必要的麻烦JDK 8是最稳妥的选择。注意安装后务必配置系统环境变量。新建系统变量JAVA_HOME指向你的JDK安装目录例如C:\Program Files\Java\jdk1.8.0_301。然后在Path变量中追加%JAVA_HOME%\bin。完成后在命令行输入java -version和javac -version验证确保版本一致且为1.8。Android调试桥ADB安装ADB是PC与Android设备或模拟器通信的桥梁drozer依赖它来部署Agent和建立连接。最方便的方法是下载Android SDK Platform-Tools工具包。你可以从Android开发者官网直接下载独立的platform-tools压缩包解压到一个不含中文和空格的路径下例如D:\Android\platform-tools。同样需要将ADB所在目录即D:\Android\platform-tools添加到系统的Path环境变量中。验证方法打开新的命令提示符CMD或PowerShell输入adb version应能正确显示版本号。关于设备连接真机测试需要在手机的“开发者选项”中开启“USB调试”。首次连接时手机会弹出RSA密钥指纹确认框务必点击“允许”。模拟器测试推荐使用Android Studio自带的AVDAndroid Virtual Device管理器创建模拟器。启动模拟器后adb devices命令应能列出设备状态为device。2.2 drozer本体安装与配置drozer分为两部分控制台Console和代理Agent。控制台是我们在PC上运行的命令行工具代理则是一个需要安装到测试设备上的APK。下载drozer访问drozer的GitHub仓库如github.com/WithSecureLabs/drozer的 Releases 页面下载两个文件drozer (Windows Bundle).msi这是Windows版的安装程序包含了控制台和必要的Python环境。drozer-agent-2.x.x.apk这是Android代理应用。安装控制台运行下载的.msi安装程序按照向导完成安装。默认会安装到C:\Program Files (x86)\drozer。安装程序会自动将drozer的可执行文件路径添加到系统Path中。安装完成后打开一个新的命令行窗口输入drozer -h如果出现帮助信息说明控制台安装成功。安装与启动Agent使用ADB将APK安装到设备上adb install drozer-agent-2.x.x.apk。 安装完成后在设备上找到名为“drozer Agent”的应用并打开。你会看到一个非常简洁的界面核心就是那个【Embedded Server】开关。点击它然后点击【Enable】即可启动内嵌的服务器。此时Agent会在设备的某个端口默认是31415上启动一个服务等待控制台的连接。界面上通常会显示“Server started”之类的通知。实操心得很多新手在这一步会遇到连接失败的问题最常见的原因是设备与PC不在同一网络。Agent的嵌入式服务器默认绑定在设备的“本地环回地址”127.0.0.1上这意味着只有设备本身能访问。为了让PC能连接我们需要通过ADB建立一个反向端口转发隧道。这是最关键的一步命令如下adb reverse tcp:31415 tcp:31415这个命令的含义是将PC本地localhost的31415端口的所有流量转发到已连接设备的31415端口。执行成功后PC上的drozer控制台连接localhost:31415实际上就连接到了设备上的Agent服务。3. 核心功能解析与基础命令实战成功连接是第一步接下来我们深入drozer的核心理解其模块化架构并掌握基础命令。连接命令如下drozer console connect --server 127.0.0.1 --port 31415如果一切正常你会进入一个以dz开头的交互式命令行界面。这里就是你的“作战指挥中心”。3.1 模块化架构与帮助系统drozer的所有功能都以“模块module”的形式组织。你可以通过list命令查看所有可用的模块。模块分为几大类app与应用相关的操作如包信息、组件列表、权限检查。auxiliary辅助性工具如扫描器、信息收集脚本。exploit漏洞利用模块慎用。information收集设备、系统信息。shell获取各种类型的Shell。tools实用工具如文件操作、SQLite交互。查看特定模块的详细信息使用run module_name -h。例如想了解如何枚举设备上所有应用可以输入run app.package.list -h。这个帮助系统是你最好的老师它会详细列出模块的功能、所需参数和示例。3.2 信息收集侦察目标应用安全测试的第一步永远是信息收集。假设我们测试的目标应用包名是com.example.vulnapp。列出所有应用run app.package.list会输出设备上安装的所有应用包名。输出太多时可以用-f参数过滤run app.package.list -f vuln。获取应用详细信息run app.package.info -a com.example.vulnapp。这个命令极其重要它会返回应用版本帮助识别是否存在已知漏洞的特定版本。UID/GID应用在系统中的身份标识。安装路径APK和数据目录的位置。共享用户ID判断是否与其他应用共享权限。权限列表应用声明的所有权限这是攻击面分析的基础。你需要重点关注那些危险的权限如READ_EXTERNAL_STORAGE,WRITE_SMS,INTERNET等。枚举应用组件这是drozer的杀手锏功能。分别使用以下命令run app.activity.info -a com.example.vulnapp列出所有Activity。暴露的Activity可能被外部调用导致界面劫持、未授权访问。run app.service.info -a com.example.vulnapp列出所有Service。暴露的Service可能允许未授权的后台操作或数据交互。run app.broadcast.info -a com.example.vulnapp列出所有Broadcast Receiver及其Intent Filter。暴露的Receiver可能接收恶意广播触发意外行为。run app.provider.info -a com.example.vulnapp列出所有Content Provider及其URI。暴露的Provider是SQL注入和目录遍历的重灾区可能导致数据泄露。3.3 攻击面测试组件暴露与利用信息收集完成后我们开始针对暴露的组件进行测试。1. Activity劫持与启动如果发现一个Activity被导出exportedtrue且未设置严格的权限保护我们可以尝试直接启动它。run app.activity.start --component com.example.vulnapp com.example.vulnapp.ExportedActivity你可能会看到目标应用的某个界面被直接打开。这可以用来绕过登录、访问本应受保护的设置页面或者配合其他漏洞如Intent数据注入造成更大危害。2. Content Provider攻击Content Provider是Android应用间共享数据的主要方式也是安全问题的温床。app.provider命名空间下的模块功能强大。URI枚举与查询首先尝试查询暴露的URI。run app.provider.query content://com.example.vulnapp.provider/user如果成功可能会返回数据库中的用户信息。这里就可能存在SQL注入。drozer可以自动检测run app.provider.query content://.../users --projection * FROM sqlite_master WHERE typetable;--。如果Provider对传入的投影projection、选择selection参数未做过滤就可能执行恶意SQL语句。目录遍历Path Traversal许多Provider会提供文件访问功能。如果对传入的路径参数校验不严可能导致目录遍历读取或写入系统任意文件。run app.provider.read content://com.example.vulnapp.provider/files/../../../etc/hostsrun app.provider.download content://.../files/../../../data/data/com.another.app/databases/secret.db /tmp/secret.db上述命令尝试读取系统hosts文件或下载其他应用的私有数据库。3. 权限滥用检查使用run app.package.attacksurface com.example.vulnapp命令drozer会给你一个总结报告清晰地列出该应用有多少个组件是暴露的导出的这是评估应用整体攻击面的快速指标。4. 进阶利用与后渗透技巧掌握了基础测试后我们可以进行更深层次的交互和利用。4.1 获取Shell与权限提升drozer最强大的能力之一是能够获取到目标应用上下文下的Shell。这意味着你可以在目标应用的权限沙箱内执行命令访问其私有数据。获取一个受限的Shellrun shell.start。这会给你一个基本的Shell但权限受目标应用限制。尝试提权使用run exploit.root或run exploit.*下的其他模块尝试利用已知的本地提权漏洞将Shell提升为root权限。请注意这高度依赖于设备系统和内核版本在新设备上成功率很低且存在风险仅在授权的测试环境中针对特定目标尝试。一旦获得Shell即使是应用级你就可以做很多事情ls /data/data/com.example.vulnapp/浏览应用私有目录。cat /data/data/com.example.vulnapp/shared_prefs/config.xml查看SharedPreferences配置文件。使用run tools.setup.miniclip模块可以更方便地在设备与PC间传输文件。4.2 自动化与脚本编写对于重复性的测试任务drozer支持使用Python脚本进行自动化。你可以在控制台外直接使用drozer命令运行脚本。drozer script run script_path --server 127.0.0.1 --port 31415你也可以在交互式控制台中使用load命令加载脚本。drozer自带的模块本身就是用Python编写的位于安装目录下的modules/文件夹中是学习编写自定义模块的绝佳参考。例如你可以编写一个脚本自动遍历设备上所有应用检查其Provider是否存在SQL注入漏洞并生成报告。4.3 与Burp Suite等工具联动drozer本身不擅长处理HTTP/HTTPS流量但你可以将其与Burp Suite等代理工具结合对应用进行中间人攻击测试。在Burp Suite中配置好代理如127.0.0.1:8080。在Android设备上配置Wi-Fi代理指向运行Burp的PC的IP和端口。使用drozer启动目标应用的某个Activity或发送广播触发应用的网络请求。此时应用的网络流量就会经过Burp Suite你可以进行拦截、重放、篡改等测试。这对于测试应用与后端API的交互安全至关重要。5. 常见问题排查与实战心得即使按照步骤操作你也可能会遇到各种问题。下面是我在无数次测试中总结出的“避坑指南”。5.1 连接类问题drozer console connect失败提示连接被拒绝或超时。检查Agent是否启动确保设备上drozer Agent的【Embedded Server】已显示为Enabled。确认端口转发这是最常见的原因。务必执行adb reverse tcp:31415 tcp:31415。可以用adb reverse --list检查现有转发。防火墙拦截临时关闭Windows Defender防火墙或任何第三方防火墙软件确认是否为防火墙阻止了本地回环地址的连接。多设备冲突确保adb devices只列出了一台目标设备。如果连接了多台使用-s 设备序列号参数指定设备进行端口转发和连接。Agent启动后很快自动关闭。多见于较新的Android版本Android 9的后台限制。进入手机的“设置”-“应用”-“drozer Agent”-“电池”将电池优化设置为“不优化”。同时在最近任务列表中锁定drozer Agent防止被系统清理。5.2 命令执行类问题运行模块时提示No session或Not connected。会话可能已断开。尝试重新执行drozer console connect。如果频繁断开可能是设备进入深度休眠或网络不稳定保持设备屏幕常亮并连接稳定电源。app.provider.query查询返回Permission Denial或No content provider found。Permission Denial说明该Provider需要特定权限才能访问。使用app.package.info查看Provider所需的权限readPermission/writePermission然后思考如何绕过或满足该权限。有时权限检查可能存在逻辑漏洞。No content provider found检查URI路径是否正确。可以使用app.provider.finduri模块来发现可用的URIrun app.provider.finduri com.example.vulnapp。5.3 性能与使用技巧模块加载慢首次运行某个模块时drozer可能需要初始化稍等即可。确保Python环境由drozer安装包提供正常。使用-o参数输出结果任何模块命令后加上-o result.txt可以将输出保存到文件便于后续分析。例如run app.package.list -o packages.txt。组合命令与管道有限支持在drozer控制台内可以使用|将前一个命令的输出作为后一个命令的输入的一部分但不如Linux Shell灵活。更常见的做法是将输出保存到文件再用文本工具处理。保持环境更新关注drozer的GitHub仓库虽然更新不频繁但偶尔会有重要的bug修复或新模块加入。同时保持ADB和Java为较新但稳定的版本。最后我想强调的是drozer是一个极其强大的工具但能力越大责任越大。它揭示的漏洞是应用开发者防御不足的体现。我们学习并使用它是为了在授权的范围内如自己开发的应用、获得明确书面授权的渗透测试项目帮助提升产品的安全性。切勿将其用于任何非法或未经授权的测试活动。真正的安全高手不仅是漏洞的发现者更是安全体系的建设者。希望这篇详尽的指南能成为你Android安全探索之路上一块坚实的垫脚石。在实际操作中多思考“为什么这个组件会被导出”、“开发者的本意是什么”这种思维模式往往比单纯运行工具命令更能让你发现深层次的问题。
