1. 项目概述：为什么我们需要drozer？

如果你是一名移动安全研究员、渗透测试工程师，或者是一名对Android应用内部运作机制充满好奇的开发者，那么你一定遇到过这样的困境：面对一个打包好的APK文件，如何像外科手术一样，精准地探查其内部组件暴露的漏洞？传统的静态分析工具（如Jadx、APKTool）能帮你看到代码，但无法告诉你这些代码在真实运行时的交互逻辑和潜在风险。而动态测试往往又需要编写大量脚本或进行繁琐的ADB命令操作，效率低下。

这时，drozer（原名Mercury）的价值就凸显出来了。它不是一个简单的漏洞扫描器，而是一个功能强大的交互式Android安全测试框架。你可以把它想象成一把专为Android系统打造的“瑞士军刀”，它通过一个运行在PC端的控制台（Console）与一个安装在目标设备上的代理（Agent）进行通信，让你能够以目标应用的权限，去执行一系列原本只有应用自身才能进行的操作，比如调用其暴露的Activity、Service、Broadcast Receiver和Content Provider。这种“从内部发起攻击”的视角，是发现逻辑漏洞、权限提升漏洞（如组件暴露）、敏感数据泄露等深层次安全问题的关键。

在Windows 10环境下搭建和使用drozer，是许多安全从业者入门的必经之路。虽然官方文档和网络上有不少资料，但往往存在环境配置复杂、步骤缺失、问题排查困难等痛点。本文将基于Windows 10平台，手把手带你完成从零开始的环境搭建、核心功能详解到实战测试的全过程，并穿插大量我在实际测试中积累的“踩坑”经验和独家技巧，让你不仅能“跑起来”，更能“懂得透”、“用得好”。

2. 环境准备与安装：打造稳定的测试基座

一个稳定、兼容的环境是高效使用drozer的前提。Windows 10下的安装主要涉及三个部分：Java运行环境、Android调试桥（ADB）以及drozer本体。许多新手卡在第一步，往往是因为版本兼容性问题。

2.1 核心依赖安装：Java与ADB

Java环境配置：drozer的控制台是基于Java开发的，因此首先需要安装Java运行时环境（JRE）或开发工具包（JDK）。我强烈推荐安装JDK 8（版本号如1.8.0_XXX）。更高版本的Java（如JDK 11+）虽然可能也能运行，但偶尔会遇到一些不兼容的警告或类加载问题，为了省去不必要的麻烦，JDK 8是最稳妥的选择。

注意：安装后务必配置系统环境变量。新建系统变量JAVA_HOME，指向你的JDK安装目录（例如C:\Program Files\Java\jdk1.8.0_301）。然后在Path变量中追加%JAVA_HOME%\bin。完成后在命令行输入java -version和javac -version验证，确保版本一致且为1.8。

Android调试桥（ADB）安装：ADB是PC与Android设备（或模拟器）通信的桥梁，drozer依赖它来部署Agent和建立连接。最方便的方法是下载Android SDK Platform-Tools工具包。你可以从Android开发者官网直接下载独立的platform-tools压缩包，解压到一个不含中文和空格的路径下，例如D:\Android\platform-tools。

同样，需要将ADB所在目录（即D:\Android\platform-tools）添加到系统的Path环境变量中。验证方法：打开新的命令提示符（CMD）或PowerShell，输入adb version，应能正确显示版本号。

关于设备连接：

• 真机测试：需要在手机的“开发者选项”中开启“USB调试”。首次连接时，手机会弹出RSA密钥指纹确认框，务必点击“允许”。
• 模拟器测试：推荐使用Android Studio自带的AVD（Android Virtual Device）管理器创建模拟器。启动模拟器后，adb devices命令应能列出设备，状态为device。

2.2 drozer本体安装与配置

drozer分为两部分：控制台（Console）和代理（Agent）。控制台是我们在PC上运行的命令行工具，代理则是一个需要安装到测试设备上的APK。

1. 下载drozer：访问drozer的GitHub仓库（如github.com/WithSecureLabs/drozer）的 Releases 页面，下载两个文件：

   • drozer (Windows Bundle).msi：这是Windows版的安装程序，包含了控制台和必要的Python环境。
   • drozer-agent-2.x.x.apk：这是Android代理应用。

2. 安装控制台：运行下载的.msi安装程序，按照向导完成安装。默认会安装到C:\Program Files (x86)\drozer。安装程序会自动将drozer的可执行文件路径添加到系统Path中。安装完成后，打开一个新的命令行窗口，输入drozer -h，如果出现帮助信息，说明控制台安装成功。

3. 安装与启动Agent：使用ADB将APK安装到设备上：adb install drozer-agent-2.x.x.apk。 安装完成后，在设备上找到名为“drozer Agent”的应用并打开。你会看到一个非常简洁的界面，核心就是那个【Embedded Server】开关。点击它，然后点击【Enable】，即可启动内嵌的服务器。此时，Agent会在设备的某个端口（默认是31415）上启动一个服务，等待控制台的连接。界面上通常会显示“Server started”之类的通知。

实操心得：很多新手在这一步会遇到连接失败的问题，最常见的原因是设备与PC不在同一网络。Agent的嵌入式服务器默认绑定在设备的“本地环回地址”（127.0.0.1）上，这意味着只有设备本身能访问。为了让PC能连接，我们需要通过ADB建立一个反向端口转发隧道。这是最关键的一步！命令如下：adb reverse tcp:31415 tcp:31415这个命令的含义是：将PC本地（localhost）的31415端口的所有流量，转发到已连接设备的31415端口。执行成功后，PC上的drozer控制台连接localhost:31415，实际上就连接到了设备上的Agent服务。

3. 核心功能解析与基础命令实战

成功连接是第一步，接下来我们深入drozer的核心，理解其模块化架构并掌握基础命令。连接命令如下：drozer console connect --server 127.0.0.1 --port 31415如果一切正常，你会进入一个以dz>开头的交互式命令行界面。这里就是你的“作战指挥中心”。

3.1 模块化架构与帮助系统

drozer的所有功能都以“模块（module）”的形式组织。你可以通过list命令查看所有可用的模块。模块分为几大类：

• app：与应用相关的操作，如包信息、组件列表、权限检查。
• auxiliary：辅助性工具，如扫描器、信息收集脚本。
• exploit：漏洞利用模块（慎用）。
• information：收集设备、系统信息。
• shell：获取各种类型的Shell。
• tools：实用工具，如文件操作、SQLite交互。

查看特定模块的详细信息使用run module_name -h。例如，想了解如何枚举设备上所有应用，可以输入run app.package.list -h。这个帮助系统是你最好的老师，它会详细列出模块的功能、所需参数和示例。

3.2 信息收集：侦察目标应用

安全测试的第一步永远是信息收集。假设我们测试的目标应用包名是com.example.vulnapp。

1. 列出所有应用：run app.package.list会输出设备上安装的所有应用包名。输出太多时，可以用-f参数过滤：run app.package.list -f vuln。
2. 获取应用详细信息：run app.package.info -a com.example.vulnapp。这个命令极其重要，它会返回：
   • 应用版本：帮助识别是否存在已知漏洞的特定版本。
   • UID/GID：应用在系统中的身份标识。
   • 安装路径：APK和数据目录的位置。
   • 共享用户ID：判断是否与其他应用共享权限。
   • 权限列表：应用声明的所有权限，这是攻击面分析的基础。你需要重点关注那些危险的权限，如READ_EXTERNAL_STORAGE,WRITE_SMS,INTERNET等。
3. 枚举应用组件：这是drozer的杀手锏功能。分别使用以下命令：
   • run app.activity.info -a com.example.vulnapp：列出所有Activity。暴露的Activity可能被外部调用，导致界面劫持、未授权访问。
   • run app.service.info -a com.example.vulnapp：列出所有Service。暴露的Service可能允许未授权的后台操作或数据交互。
   • run app.broadcast.info -a com.example.vulnapp：列出所有Broadcast Receiver及其Intent Filter。暴露的Receiver可能接收恶意广播，触发意外行为。
   • run app.provider.info -a com.example.vulnapp：列出所有Content Provider及其URI。暴露的Provider是SQL注入和目录遍历的重灾区，可能导致数据泄露。

3.3 攻击面测试：组件暴露与利用

信息收集完成后，我们开始针对暴露的组件进行测试。

1. Activity劫持与启动：如果发现一个Activity被导出（exported=true），且未设置严格的权限保护，我们可以尝试直接启动它。run app.activity.start --component com.example.vulnapp com.example.vulnapp.ExportedActivity你可能会看到目标应用的某个界面被直接打开。这可以用来绕过登录、访问本应受保护的设置页面，或者配合其他漏洞（如Intent数据注入）造成更大危害。

2. Content Provider攻击：Content Provider是Android应用间共享数据的主要方式，也是安全问题的温床。app.provider命名空间下的模块功能强大。

• URI枚举与查询：首先尝试查询暴露的URI。run app.provider.query content://com.example.vulnapp.provider/user如果成功，可能会返回数据库中的用户信息。这里就可能存在SQL注入。drozer可以自动检测：run app.provider.query content://.../users --projection "* FROM sqlite_master WHERE type='table';--"。如果Provider对传入的投影（projection）、选择（selection）参数未做过滤，就可能执行恶意SQL语句。

• 目录遍历（Path Traversal）：许多Provider会提供文件访问功能。如果对传入的路径参数校验不严，可能导致目录遍历，读取或写入系统任意文件。run app.provider.read content://com.example.vulnapp.provider/files/../../../etc/hostsrun app.provider.download content://.../files/../../../data/data/com.another.app/databases/secret.db /tmp/secret.db上述命令尝试读取系统hosts文件或下载其他应用的私有数据库。

3. 权限滥用检查：使用run app.package.attacksurface com.example.vulnapp命令，drozer会给你一个总结报告，清晰地列出该应用有多少个组件是暴露的（导出的），这是评估应用整体攻击面的快速指标。

4. 进阶利用与后渗透技巧

掌握了基础测试后，我们可以进行更深层次的交互和利用。

4.1 获取Shell与权限提升

drozer最强大的能力之一是能够获取到目标应用上下文下的Shell。这意味着你可以在目标应用的权限沙箱内执行命令，访问其私有数据。

• 获取一个受限的Shell：run shell.start。这会给你一个基本的Shell，但权限受目标应用限制。
• 尝试提权：使用run exploit.root或run exploit.*下的其他模块，尝试利用已知的本地提权漏洞将Shell提升为root权限。请注意：这高度依赖于设备系统和内核版本，在新设备上成功率很低，且存在风险，仅在授权的测试环境中针对特定目标尝试。

一旦获得Shell（即使是应用级），你就可以做很多事情：

• ls /data/data/com.example.vulnapp/：浏览应用私有目录。
• cat /data/data/com.example.vulnapp/shared_prefs/config.xml：查看SharedPreferences配置文件。
• 使用run tools.setup.miniclip模块，可以更方便地在设备与PC间传输文件。

4.2 自动化与脚本编写

对于重复性的测试任务，drozer支持使用Python脚本进行自动化。你可以在控制台外，直接使用drozer命令运行脚本。drozer script run <script_path> --server 127.0.0.1 --port 31415你也可以在交互式控制台中使用load命令加载脚本。drozer自带的模块本身就是用Python编写的，位于安装目录下的modules/文件夹中，是学习编写自定义模块的绝佳参考。例如，你可以编写一个脚本，自动遍历设备上所有应用，检查其Provider是否存在SQL注入漏洞，并生成报告。

4.3 与Burp Suite等工具联动

drozer本身不擅长处理HTTP/HTTPS流量，但你可以将其与Burp Suite等代理工具结合，对应用进行中间人攻击测试。

1. 在Burp Suite中配置好代理（如127.0.0.1:8080）。
2. 在Android设备上配置Wi-Fi代理，指向运行Burp的PC的IP和端口。
3. 使用drozer启动目标应用的某个Activity或发送广播，触发应用的网络请求。
4. 此时，应用的网络流量就会经过Burp Suite，你可以进行拦截、重放、篡改等测试。这对于测试应用与后端API的交互安全至关重要。

5. 常见问题排查与实战心得

即使按照步骤操作，你也可能会遇到各种问题。下面是我在无数次测试中总结出的“避坑指南”。

5.1 连接类问题

• drozer console connect失败，提示连接被拒绝或超时。

  • 检查Agent是否启动：确保设备上drozer Agent的【Embedded Server】已显示为Enabled。
  • 确认端口转发：这是最常见的原因。务必执行adb reverse tcp:31415 tcp:31415。可以用adb reverse --list检查现有转发。
  • 防火墙拦截：临时关闭Windows Defender防火墙或任何第三方防火墙软件，确认是否为防火墙阻止了本地回环地址的连接。
  • 多设备冲突：确保adb devices只列出了一台目标设备。如果连接了多台，使用-s <设备序列号>参数指定设备进行端口转发和连接。

• Agent启动后很快自动关闭。

  • 多见于较新的Android版本（Android 9+）的后台限制。进入手机的“设置”->“应用”->“drozer Agent”->“电池”，将电池优化设置为“不优化”。同时，在最近任务列表中锁定drozer Agent，防止被系统清理。

5.2 命令执行类问题

• 运行模块时提示No session或Not connected。

  • 会话可能已断开。尝试重新执行drozer console connect。如果频繁断开，可能是设备进入深度休眠或网络不稳定，保持设备屏幕常亮并连接稳定电源。

• app.provider.query查询返回Permission Denial或No content provider found。

  • Permission Denial：说明该Provider需要特定权限才能访问。使用app.package.info查看Provider所需的权限（readPermission/writePermission），然后思考如何绕过或满足该权限。有时，权限检查可能存在逻辑漏洞。
  • No content provider found：检查URI路径是否正确。可以使用app.provider.finduri模块来发现可用的URI：run app.provider.finduri com.example.vulnapp。

5.3 性能与使用技巧

• 模块加载慢：首次运行某个模块时，drozer可能需要初始化，稍等即可。确保Python环境（由drozer安装包提供）正常。
• 使用-o参数输出结果：任何模块命令后加上-o result.txt，可以将输出保存到文件，便于后续分析。例如：run app.package.list -o packages.txt。
• 组合命令与管道（有限支持）：在drozer控制台内，可以使用|将前一个命令的输出作为后一个命令的输入的一部分，但不如Linux Shell灵活。更常见的做法是将输出保存到文件，再用文本工具处理。
• 保持环境更新：关注drozer的GitHub仓库，虽然更新不频繁，但偶尔会有重要的bug修复或新模块加入。同时，保持ADB和Java为较新（但稳定）的版本。

最后，我想强调的是，drozer是一个极其强大的工具，但能力越大，责任越大。它揭示的漏洞是应用开发者防御不足的体现。我们学习并使用它，是为了在授权的范围内（如自己开发的应用、获得明确书面授权的渗透测试项目）帮助提升产品的安全性。切勿将其用于任何非法或未经授权的测试活动。真正的安全高手，不仅是漏洞的发现者，更是安全体系的建设者。希望这篇详尽的指南，能成为你Android安全探索之路上一块坚实的垫脚石。在实际操作中，多思考“为什么这个组件会被导出？”、“开发者的本意是什么？”，这种思维模式往往比单纯运行工具命令更能让你发现深层次的问题。