当AI遇上安卓逆向 — Claude Code一键提取App的HTTP API

在做安卓应用的安全评估或第三方集成时，最耗时的环节往往不是反编译本身，而是在海量反编译代码中找到那些关键的HTTP接口——Retrofit注解定义了哪些端点、OkHttp请求携带了什么认证头、哪些URL被硬编码在代码深处。传统的做法是：拉取APK，跑一遍jadx，然后在成百上千个文件里盲目翻找。这个过程枯燥且低效。由Simone Avogadro开发的开源项目android-reverse-engineering-skill，将这套繁琐的工作流交给了Claude Code，用AI能力驱动安卓逆向与API提取，在GitHub上已收获超过1400颗星。

工具概览

android-reverse-engineering-skill是一个Claude Code插件，专门针对安卓应用的反编译和HTTP API提取场景设计。它集成了jadx和Fernflower/Vineflower两套反编译引擎，支持APK、XAPK、JAR、AAR等多种文件格式的处理，并能以单引擎或双引擎对比模式运行，让用户在遇到复杂混淆代码时有更多选择。

这个工具的核心差异化在于它不仅仅是一个反编译脚本的集合，而是将Claude的AI理解能力嵌入到逆向流程中。插件遵循一套五阶段工作流：依赖检查 → 反编译 → 结构分析 → API提取 → 调用流追踪。AI会在每个阶段参与分析，自动识别Retrofit端点注解、OkHttp原始调用、硬编码URL以及认证模式，并从Activity/Fragment出发，穿透ViewModel和Repository层，一路追踪到实际的HTTP调用。对于经过ProGuard/R8混淆的代码，插件也内置了专门的导航策略。

与APKscan、BFScan等同类工具相比，该插件的优势在于AI驱动的深度语义理解。传统工具主要依靠正则匹配和字符串搜索来发现端点，而这款插件能够理解代码的调用层级和数据流向，输出的不仅是散落的URL列表，而是带有上下文的API文档化和调用链路图。这对于需要理解第三方应用后端API以构建集成的场景尤为实用。

快速上手指南

使用该插件的前提是已安装Claude Code。环境依赖方面，Java JDK 17+和jadx（命令行版本）是必需项。推荐额外安装Vineflower以获得更优的反编译输出，而在APK/DEX文件上使用Fernflower时则需要dex2jar。

安装过程非常简洁。在Claude Code中依次执行以下两条命令即可从GitHub直接安装：

/plugin marketplace add SimoneAvogadro/android-reverse-engineering-skill
/plugin install android-reverse-engineering@android-reverse-engineering-skill

安装完成后，插件会在所有后续会话中持续可用。

最基础的使用方式是通过斜杠命令一键启动完整工作流：

/decompile path/to/app.apk

该命令自动执行依赖检查、反编译和初始结构分析。如果你更习惯自然语言交互，也可以直接对Claude Code说”Extract API endpoints from this app”或”Follow the call flow from LoginActivity”，插件会识别并激活相应的能力。

对于需要更精细控制的场景，所有脚本均可独立运行。例如，使用双引擎对比模式并同时开启反混淆来反编译一个APK：

bash plugins/android-reverse-engineering/skills/android-reverse-engineering/scripts/decompile.sh \
  --engine both --deobf app.apk

反编译完成后，提取API调用可以通过find-api-calls.sh脚本实现。该脚本支持--retrofit参数专门提取Retrofit端点，--urls参数聚焦硬编码URL，也可以不带参数进行全量API扫描：

bash plugins/android-reverse-engineering/skills/android-reverse-engineering/scripts/find-api-calls.sh output/sources/ --retrofit

适用场景与行动召唤

这款工具非常适合以下场景：安全研究员对目标安卓应用进行授权渗透测试时需要快速摸清后端API攻击面；开发者在缺乏文档的情况下需要对第三方应用进行互操作性分析；安全团队在进行恶意软件分析或应急响应时需要还原应用的通信行为；以及CTF竞赛中需要快速提取安卓题目的API线索。

如果你正在为手动翻找反编译代码中的API端点而头疼，不妨试试这个将AI理解力注入逆向流程的工具。项目采用Apache 2.0协议开源，欢迎贡献和反馈。

项目地址： https://github.com/SimoneAvogadro/android-reverse-engineering-skill