客户端逆向与 Burp 重放 Skill

当请求由客户端（安卓App、浏览器JS、桌面客户端）构造，且存在签名、加密、token状态、设备绑定或反自动化逻辑导致 Burp 无法直接重放时，使用本 Skill。

核心原则

Packet-First：先捕获并分析真实的 HTTP/HTTPS 请求或 WebSocket 流量，确认可用性，再按需逆向阻塞点。逆向是阻塞解决步骤，不是默认入口。

场景路由

已授权安卓 App 渗透测试

不要先用 jadx、ida_pro_mcp 分析 APK，按以下顺序操作：

1. 确认目标 App 已安装在连接设备上
2. 准备好 Burp 或 Charles 抓包
3. 用 scrcpy_vision 打开 App，驱动真实业务流程
4. 每个关键动作后检查 Burp/Charles 是否出现 HTTP/HTTPS 或 WebSocket 数据包
5. 如果包可见且可重放 → 立即进入 web-security-advanced 做 Web/API 安全测试
6. 重复"界面动作 → 抓包 → Web 安全分析"循环
7. 只有抓不到包/包被加密/无法重放时 → 升级到 jadx → frida_mcp → ida_pro_mcp

MCP 工具链：scrcpy_vision → burp/charles → adb_mcp → jadx → frida_mcp → ida_pro_mcp

浏览器 JS 签名、反爬、WebSocket 握手

1. chrome_devtools 查看页面状态和请求链
2. js_reverse 定位 token/sign 生成逻辑
3. burp 验证重放并确定可变字段

阶段模型：locate → recover → runtime → validation → replay

MCP 工具链：chrome_devtools → js_reverse → burp

桌面客户端 / 本地 signer

1. everything_search 定位相关文件
2. ida_pro_mcp 静态分析签名函数
3. frida_mcp 获取运行时参数
4. burp 验证稳定重放

MCP 工具链：everything_search → ida_pro_mcp → frida_mcp → burp

重放就绪检查清单

在进入 Payload 测试前，必须能回答：

• 请求体如何构造？
• 签名/加密输入来自哪里？
• 哪些 cookie、header、token、设备值、时间戳、nonce 是必须的？
• 请求是否依赖顺序或会话状态？
• 哪些字段改动后不会破坏重放？

证据保留

• builder/signer/crypto 代码位置
• 关键 hook 点和运行时观察值
• 可用的 replay 请求样本
• 前置条件、失败模式和反自动化行为说明

参考文档

• references/02-client-api-reverse-and-burp.md — 客户端逆向到 Burp 重放总工作流
• references/android-authorized-app-pentest-sop.md — 安卓 App 渗透 SOP
• references/browser-js-signing-workflow.md — 浏览器 JS 签名工作流
• references/android-signing-and-crypto-workflow.md — 安卓签名与加密工作流
• references/android-ui-driven-observation-and-packet-loop.md — 安卓 UI 驱动观察循环
• references/android-external-url-runtime-first-workflow.md — 安卓外部 URL 测试
• references/android-network-layer-testing-quick-reference.md — 安卓网络层测试速查
• references/MCP.md — MCP 能力总文档
• references/tool-selection-map.md — 工具选型地图