从权限线索到数据去向:雷电APP AI助手实战追踪

案件疑点>

视频APP启动后，权限请求接连弹出。授权之后，它会读取什么、访问哪里？

雷电APP AI助手让应用分析以对话的方式展开。办案人员提出分析需求，AI助手即可调用工具、分析代码与运行记录，关联前后发现，将分散的信息整理为清晰的线索。工具调用、结果查询与分析均在同一段对话中汇总，顺畅衔接，减少页面切换和信息整理，让办案人员更专注于案件研判。

本次实战围绕一款视频APP展开，重点核查视频页面背后是否存在用户信息采集与外传行为。需要查清三个问题：应用实际读取了哪些信息、在什么情况下触发采集、又向哪些服务器发起访问。

办案人员借助AI助手追查页面和代码中的采集逻辑，再与实际运行、网络记录相互核对，逐步定位相关代码和服务器地址，为后续取证提供具体线索。

图1 进入雷电APP AI助手，围绕同一案件串联后续分析

面对这款可疑APP，办案人员先让AI助手汇总分析结果，快速了解应用身份和权限情况。

AI将通讯录、短信、通话记录等权限整理为后续核查线索。办案人员可据此继续追问：哪些权限被实际使用，相关数据会如何处理？

为弄清页面背后是否藏有信息收集行为，办案人员进一步询问：应用在网络不可用时如何加载页面？

AI调用源码分析能力，发现远程页面加载失败后，APP会切换到内置的离线页面。该页面展示涉色情内容，并在“登录”功能中包含提交手机号及设备信息的代码。看似普通的浏览页面，实则暗藏信息收集的线索。

顺着这一发现，办案人员继续追问数据的保存位置和发送去向。

AI进一步梳理出应用启动后采集敏感数据、保存到本地并向服务器发送的代码路径，找到主上传地址。接下来，需要验证这些代码在运行时是否真正执行。

办案人员通过对话发起动态监控，AI将运行记录与前面的代码线索比对，确认应用实际读取了通讯录、短信和设备标识。

监控结束后，AI按指令开展抓包分析，确认主、备用接口都出现了访问记录。追查由此转向一个新问题：备用地址从哪里来？

备用接口已被访问，但它在应用中是如何获取的，还缺少直接证据。办案人员要求针对这一点补充验证，AI查询Frida能力、按要求生成专用脚本，并完成执行前检查。确认后，AI调用工具启动任务。

对话实录

确认启动 custom:5。仅运行该脚本，执行120秒，关闭调用堆栈，不追加其他脚本。请记录getBackupEndpoint()的调用次数、调用时间和返回值，启动后告诉我。

获得运行记录后，办案人员另发一条指令，让AI停止任务并读取日志。

对话实录

请停止本次Frida任务，并读取日志，整理getBackupEndpoint()的调用次数、调用时间和返回值。若调用次数为0，请说明本次未观察到调用，不要推断该方法不存在。

AI从日志中提取出备用地址，再与代码中的地址拼接规则、先前的网络记录逐一比对，三者吻合。备用接口的实际来源由此得到验证，前后线索连了起来。

围绕最初的权限疑点，AI助手协助办案人员查明了离线页面中的信息收集逻辑，确认了实际发生的通讯录、短信和设备标识读取，并关联出主、备用接口及备用地址来源。分散的代码和运行记录串联成清晰的数据采集与外传线索，为后续服务器追查提供了具体方向。