2023 年，公开研究披露了某款 Android App 中的漏洞利用代码和动态下发的 DEX。我想看看这些代码尝试调用哪些系统能力，于是有了这篇文章。当时准备仓促，有些代码没有仔细看；下面保留分析过程，并修正能从截图和 AOSP 源码确认的问题。原始文章和代码链接如下：

1. 深蓝洞察：2022 年度最 “不可赦” 漏洞
2. XXX apk 内嵌提权代码，及动态下发 dex 分析
3. Android 反序列化漏洞攻防史话

我不是安全方面的专家。关于漏洞背景，可以参考 Android 反序列化漏洞攻防史话。本文不复现漏洞链，也不把某个接口调用直接等同于已获得 root。