lijianfei.com

在移动安全与日常数字生活中，多数 Android 用户与开发者往往在两种极端情绪之间反复拉扯：要么是对权限弹窗麻木不仁，习惯性一路点击“允许”；要么是被各种暗度陈仓的厂商骚扰与隐私窃听传闻裹挟，陷入一种盲目的安全焦虑。市面上常见的安全检测软件往往只停留在“列出 App 声明了哪些敏感权限”的浅层报表，而真正能实锤追踪的重型逆向工具（如 Frida、Xposed、Burp Suite 抓包）又必须依赖 Root 越狱、刷入第三方 ROM、绕过 SSL Pinning，门槛高到让普通人和没有备用测试机的工程师望而却步。

直到我深入研读并实测了近期在开源界崭露头角的 Android 本地隐私取证套件 NOIR（由开发者 Verlintas 开源），我才第一次看到了一条极其优雅、兼顾极客深度与工程克制的中间路径。它不需要 Root 提权，不需要侵入修改系统分区，仅通过电脑端最寻常的 adb 调试通道，就能在数十秒内扫出整台手机上百款应用的隐秘权限网络、二进制清单缺陷与 dex 字节码中的所有网络上报端点；更关键的是，它通过因果关联引擎将“抽象权限”与“实体数据外发通道”精准配对，把“这台手机到底能泄露什么”转译成了一份具备客观证据链的量化报告，并给出了全量可回滚的原子级处置策略。

一、 破除认知盲区：为什么传统审计方式走不通？

在研究移动端隐私泄露时，我曾长期被三个看似合理的直觉所误导：

flowchart TD
    subgraph Illusions ["常见的移动端安全与审计直觉"]
        direction TB
        I1["直觉 1：声明了敏感权限 = 该应用正在窃取该隐私"]
        I2["直觉 2：dumpsys package 是官方命令，能看清所有系统应用权限"]
        I3["直觉 3：要逆向分析 APK 的网络行为，必须全量拉回电脑反编译"]
    end

    subgraph Reality ["底层工程现实与对抗陷阱"]
        direction TB
        R1["【因果断层】能力不等于泄露；只有具备外发通道（Upload Endpoints）才构成流向"]
        R2["【共享 UID 盲区】android.uid.system 下 50+ 系统应用的权限全藏在尾部 Shared users 块"]
        R3["【带宽与算力瓶颈】200 个 APK 动辄 15GB，USB 传输与整包反编译耗时数小时"]
    end

    I1 -.->|现实残酷击碎| R1
    I2 -.->|现实残酷击碎| R2
    I3 -.->|现实残酷击碎| R3

    style Illusions fill:#fef2f2,stroke:#dc2626,stroke-width:1px
    style Reality fill:#f0fdf4,stroke:#16a34a,stroke-width:1px

1. “权限列表”与“数据泄露”的因果断层

很多安全扫描器习惯罗列 ACCESS_FINE_LOCATION 或 CAMERA 权限的数量来渲染恐怖氛围。但站在软件工程视角，一个本地修图软件申请相机权限只是完成核心业务逻辑，只要它不包含任何网络上传逻辑，用户的数据就依然停留在本地沙盒；相反，一个只申请了 READ_PHONE_STATE（读取设备状态）与 QUERY_ALL_PACKAGES（读取全机已安装应用列表）的工具，一旦代码里硬编码了数据统计服务器的打点 URL，它就能在后台持续勾勒出精准的用户画像并实时回传。

单纯看权限是盲人摸象，单纯看域名是隔靴搔痒。唯有将“数据获取权限”与“数据外发端点”进行笛卡尔式因果关联，才能得出客观的泄漏证据。

2. 致命的 android.uid.system 共享 UID 盲区

这是绝大多数朴素安全脚本和审计工具都会踩中的巨大陷阱。在 Android 系统中，大量的内置预装服务与定制 ROM 组件（例如小米、OPPO、vivo 的系统管家、云服务、安全中心、智能助理）并非独立运行，而是共享同一个系统级 UID——android.uid.system（UID 1000）。

当你在终端执行 dumpsys package <pkg_name> 时，Android 系统输出的该包独立详情中，granted=true 的权限列表往往是空的！因为根据 Android 系统的底层安全模型，这数十个系统级组件的所有特权，都被统一收拢并在输出末尾的 Shared users: SharedUser [android.uid.system] 区块中合并展示。如果解析器没有显式处理这一段，全机最具有杀伤力、拥有顶级内核与后台特权的系统预装组件，在审计报告里反而会变成“人畜无害的白莲花”。

3. 全盘拉包的现实不可行性

一部日常主力 Android 手机通常安装了 150 到 300 个应用（含系统内置与用户自装），APK 与 Split 资源包加起来动辄 15GB 到 30GB。如果传统审计工具试图把每一个 APK 依次 adb pull 到电脑端再用解压工具分析，整套流程往往要耗费几个小时，不仅挤爆电脑硬盘，在遇到超大游戏包时甚至会因为 ADB 管道超时而中断。

二、 整体技术管线：NOIR 的架构解构

NOIR 的整体工程架构由 Kotlin Multiplatform 风格组织，采用纯原生 CLI 设计，零外部云端依赖、零遥测回传。其运行管线巧妙地把计算重心拆分在“手机端就地运算”与“桌面端结构化建模”之间：

flowchart TB
    subgraph DeviceSide ["Android 设备端 (ADB Shell 运行时)"]
        direction TB
        PM["PackageManager (pm list & pm path)"]
        DUMP["dumpsys package (全机元数据 Dump)"]
        InSituScript["端侧轻量管道脚本 (noir_scan.sh)<br/>unzip -p classes*.dex | strings | grep URL"]
        AxmlExtract["AndroidManifest.xml 抽取"]
    end

    subgraph HostPipeline ["主机端 (NOIR 核心引擎)"]
        direction TB
        DumpsysParser["双通道 Dumpsys 解析器<br/>(合并 Shared users 权限)"]
        DexReceiver["流式端点收集器<br/>(每包仅回传几 KB 纯文本)"]
        AxmlParser["零依赖 AXML Chunk 解析器<br/>(提取导出组件/明文传输/备份开关)"]
        
        Classifier["两阶段厂商分类器<br/>(包名权威匹配 + 域名加权归因)"]
        ExposureEngine["因果关联引擎 (Exposure.leaks)<br/>(12 种实体数据类型 x 上传主机配对)"]
        RulesEngine["透明确定性评分模型 (Rules.score)"]
        Advisor["三级处置建议与原子回滚生成器"]
    end

    subgraph OutputPlane ["输出与落地平面"]
        direction TB
        TUI["等宽终端仪表盘 (ANSI / CJK 对齐)"]
        Reports["结构化报告 (JSON / Markdown / 单文件 HTML)"]
        DNSLists["DNS 分级拦截清单 (Trackers / Functional / Other)"]
        SafeFix["可逆 AppOps 执行 (plan.txt / rollback.txt)"]
    end

    PM --> InSituScript
    DUMP --> DumpsysParser
    InSituScript -->|仅回传过滤后的 URL| DexReceiver
    AxmlExtract --> AxmlParser

    DumpsysParser & DexReceiver & AxmlParser --> Classifier
    Classifier --> ExposureEngine --> RulesEngine --> Advisor

    Advisor --> TUI
    Advisor --> Reports
    Advisor --> DNSLists
    Advisor --> SafeFix

    style DeviceSide fill:#f8fafc,stroke:#64748b,stroke-width:1px
    style HostPipeline fill:#eff6ff,stroke:#2563eb,stroke-width:1px
    style OutputPlane fill:#f0fdf4,stroke:#16a34a,stroke-width:1px

三、 核心突破 1：端侧就地管道流式提取（In-situ Dex Streaming）

为了解决“全盘拉包漫长低效”的痛点，NOIR 设计了一套令人拍案叫绝的端侧原位计算方案（In-situ Processing）。

1. 动态下发 20 行 POSIX 管道脚本

当 NOIR 探测到 Android 设备内置了 unzip 和 strings 命令时（绝大多数基于 Toybox 或 Toolbox 的现代 Android 均具备），它会向设备的 /data/local/tmp/ 目录推送一段精简的 Shell 脚本 noir_scan.sh：

#!/system/bin/sh
TMP=/data/local/tmp/noir_dex.bin
while read p f; do
  : > $TMP
  # pm path 能够完整列出应用的所有 Split APK，而不仅是 base.apk
  APKS=$(pm path "$p" 2>/dev/null | sed 's/^package://')
  [ -z "$APKS" ] && APKS="$f"
  for apk in $APKS; do
    for d in classes.dex classes2.dex classes3.dex ... classes99.dex; do
      unzip -p "$apk" "$d" 2>/dev/null >> $TMP
    done
  done
  if [ ! -s $TMP ]; then
    echo "F $p"
  else
    u=$(strings < $TMP | grep -oE 'https?://[A-Za-z0-9._~:/?#@!&()*+,;=%-]+' \
        | sort -u | head -1000 | tr '\n' ' ')
    [ -n "$u" ] && echo "R $p|$u"
  fi
  rm -f $TMP
  echo "P $p"
done < /data/local/tmp/noir_targets.txt
echo "#DONE"

2. 细节中的工程实战经验

仔细研读 DeviceScan.kt 中的这段脚本，可以看到两处针对 Android 生态碎片的极高价值处理：

• 显式遍历 classes1 至 classes99.dex 而非通配符：为什么不直接写 unzip -p "$apk" "classes*.dex"？因为大量厂商定制 ROM（如早期 MIUI 或特定内核分支）内置的精简版 unzip 并不支持在 ZIP 内部做通配符 Glob 展开！直接传入通配符会导致解压静默失败。NOIR 在 Kotlin 端直接生成显式的 1 到 99 循环参数，保证了全厂商设备的绝对兼容性。
• Split APKs 完整捕获：现代 Android 应用普遍采用 App Bundle 拆分分发（包含 base.apk、split_config.arm64_v8a.apk 等）。直接扫描 f 参数可能漏掉拆分模块中的业务 dex，脚本通过 pm path "$p" 动态拉取当前包的所有物理切片，依次抽取字节码流。
• 单包流式进度同步（Progress Marker）：每处理完一个 APK，脚本立即向标准输出打印一行 P <pkg>。主机端 CLI 的协程解析器监听到该事件后，能在毫秒级更新终端进度条，彻底告别了传统工具“几分钟无响应宛如卡死”的糟糕交互。

通过这种“在手机本地解压流、提取 URL 正则、排序去重、仅通过 USB 回传几 KB 纯文本”的架构，整部手机 200 个应用的端点扫描时间直接从数十分钟被压缩到了 30 秒以内。如果遇到缺失命令行工具的老旧设备，引擎则会自动无缝回退到宿主机多线程 Pull 的本地解析模式（ApkScan.kt）。

四、 核心突破 2：共享 UID 穿透与零依赖 AXML 解析

1. 穿透 android.uid.system 的特权暗箱

在 Dumpsys.kt 中，NOIR 实现了一套双通道解析状态机。它在遍历 dumpsys package 时，不仅记录每一个独立的 Package [com.example.app] 区块，更在遇到 Shared users: 标志行时无缝切换状态：

// Dumpsys.kt 关键解析片段
sharedPackages.forEach { (shared, packages) ->
    val perms = sharedPerms[shared].orEmpty()
    val appId = sharedAppId[shared]
    packages.forEach { pkg ->
        val entry = acc.getOrPut(pkg) { Mutable() }
        // 将 SharedUser 拥有的所有顶层权限，原样回填给属于该共享池的每一个包
        entry.perms.addAll(perms)
        if (entry.appId.isEmpty() && appId != null) entry.appId = appId
        if (entry.flags.isEmpty() && appId == "1000") entry.flags = "SYSTEM"
        if (entry.sharedUser == null) entry.sharedUser = shared
    }
}

通过这一层回填，系统管家中那些原本看似没有任何权限声明的后台隐形探针，瞬间被还原出它们真实具备的 READ_PRIVILEGED_PHONE_STATE、WRITE_SECURE_SETTINGS、CAPTURE_AUDIO_OUTPUT 等核心系统特权。

2. 纯手工打造的极简 AXML 解析器（Axml.kt）

为了审计应用清单（AndroidManifest.xml）层面的攻击面（如没有权限保护的导出组件、明文 HTTP 允许、允许通过 ADB 备份私有沙盒等），传统 Java 项目通常引入像 apk-parser 这样的第三方重型库。

但 NOIR 的作者在注释中直言了一处残酷的现实：

“Deliberately dependency-free — the popular apk-parser library fails on some system APKs with newPosition > limit.”

很多厂商的系统级 APK 在出厂签名打包时，AXML 的 Chunk 头部或 StringPool 偏移量存在非标对齐。一旦第三方库严格校验 Buffer 边界，就会直接抛出 newPosition > limit 异常导致扫描崩溃。

为了实现绝对健壮的零崩溃审计，NOIR 自己实现了一套只有 100 多行的 AXML Chunk 流式解析器：

flowchart LR
    subgraph AXMLBytes ["二进制 AndroidManifest.xml 流"]
        Header["文件头 (0x00080003)"]
        Pool["Chunk: 0x0001 (STRING_POOL)<br/>UTF-8 / UTF-16 偏移索引表"]
        Elements["Chunk: 0x0102 (START_ELEMENT)<br/>节点名 + 属性数组 (Depth 递归)"]
        EndElem["Chunk: 0x0103 (END_ELEMENT)"]
    end

    subgraph Facts ["提取的核心清单事实 (ManifestFacts)"]
        C1["exportedWithoutPermission: 无权限暴露的 Service/Receiver"]
        C2["allowBackup: 是否开启 ADB 备份导出沙盒 (默认 true)"]
        C3["usesCleartextTraffic: 是否允许明文 HTTP 流量"]
        C4["targetSdkVersion: 是否低于 API 28 导致绕过现代权限沙盒"]
    end

    AXMLBytes --> Facts

    style AXMLBytes fill:#f8fafc,stroke:#64748b,stroke-width:1px
    style Facts fill:#eff6ff,stroke:#2563eb,stroke-width:1px

这套解析器剥离了所有对 aapt2、外部 native 库或脆弱第三方解析器的依赖，不仅解析速度极快，而且面对各种被混淆或魔改过的系统级 AXML 也能稳定输出解析节点。

五、 核心突破 3：从“抽象权限”到“实体数据流向”的因果关联

绝大多数审计工具之所以沦为“鸡肋”，是因为它们给出的输出只是一张冰冷的权限表格。而 NOIR 最精髓的设计，正是位于 Exposure.kt 中的因果关联模型（Exposure Mapping）。

1. 抽象权限的具象化转译

NOIR 在底层将 Android 杂乱的系统权限定义映射为 12 种人类直观可懂的实体数据类型（DataType）：

2. 建立泄露证据链：能力与外发通道的交织

在 Exposure.kt 的核心逻辑中，明确贯彻了一条严密的推导法则：

// 仅当应用具备明确的上传端点时，才计算其泄露链路；仅有能力不构成泄露事实
fun leaks(app: AppEntry): Map<DataType, List<String>> {
    val hosts = uploadHosts(app)
    if (hosts.isEmpty()) return emptyMap()
    return dataTypes(app.permissions).associateWith { hosts }
}

只有当一个应用同时满足以下两个条件时，NOIR 才会断言这是一条高危数据流向：

1. 它通过系统授权拿到了上述 12 种敏感数据之一；
2. 它的 dex 代码中被检索出了命中了 UPLOAD 正则的端点（如包含 /report、/collect、/telemetry、/track、/log 等路径特征的 URL）。

此时，报告中呈现的不再是晦涩的权限标识，而是极具冲击力的数据流动事实：

• [设备标识, 应用列表] -> analytics.tracking-provider.com
• [位置, 相机] -> upload.ad-network.cn

3. 两阶段归因：规避“Google 误报陷阱”

很多初学逆向的开发者在写提取脚本时，经常会遇到一个荒谬的现象：所有扫描出的 App 全都被打上了“Google 组件”的标签。原因在于几乎所有 Android 编译产物中都包含 xmlns:android="http://schemas.android.com/apk/res/android"。

NOIR 的 Classifier.kt 采用了极具实战智慧的“两阶段消歧归因算法”：

• 阶段一（包名硬规则绝对优先）：com.tencent.mm 无论内嵌了什么第三方 SDK 的域名，其第一所有者永远判定为 Tencent；com.xiaomi.market 永远归属于 Xiaomi。
• 阶段二（上传端点加权计分）：对于未知包名的第三方应用，提取其包含的上传主机列表，并显式过滤掉 schemas.android.com、github.com、w3.org 等基础架构域名；随后将剩余有效域名与已知厂商特征库（小米、华为、OPPO、vivo、阿里、字节跳动、友盟、Bugly、Firebase 等）进行命中频次计分，以最高得分判定其所属生态圈。

六、 处置防护网：三级建议、可逆 AppOps 与无损防砖护盾

发现问题只是第一步，如何处置才是考验一款安全工具成熟度的试金石。

很多激进的玩家喜欢在手机上刷入各种一键精简脚本，使用 pm uninstall --user 0 盲目卸载系统内置组件，往往导致手机在重启后直接卡在 Fastboot 页面或无限重启（俗称变砖）。NOIR 在处置建议（Advisor.kt）的设计上展现出了罕见的工程克制与严密防护：

flowchart TD
    subgraph Findings ["审计结果分类"]
        F1["用户自装的高风险应用"]
        F2["遥测类系统常驻应用<br/>(含 PACKAGE_USAGE_STATS)"]
        F3["核心系统保护组件<br/>(com.android.systemui / securitycenter 等)"]
        F4["仅包含高频外发端点的应用"]
    end

    subgraph Strategies ["分级处置与安全策略"]
        S1["【人工复核 REVIEW】<br/>从不自动静默卸载用户应用，避免破坏业务"]
        S2["【可自动执行 APPOP】<br/>撤销常驻录屏授权 / 禁止读取使用统计 (可回滚)"]
        S3["【CORE 白名单锁定】<br/>绝不触碰系统基底组件，杜绝死机变砖"]
        S4["【DNS 层离线拦截】<br/>在网络层实施黑洞，无需修改系统分区"]
    end

    F1 --> S1
    F2 --> S2
    F3 --> S3
    F4 --> S4

    style Findings fill:#f8fafc,stroke:#64748b,stroke-width:1px
    style Strategies fill:#eff6ff,stroke:#2563eb,stroke-width:1px

1. 核心系统组件免死金牌（CORE 白名单）

在 Advisor.kt 中，硬编码了一组不可撼动的系统心脏服务白名单：

• com.android.systemui（系统状态栏与桌面交互容器）
• com.android.phone / com.android.incallui（核心通信与通话服务）
• com.android.settings（系统设置中枢）
• com.miui.securitycenter / com.miui.guardprovider（厂商底层权限决策与运行网关）

无论这些组件在分析中检测出多少个上传端点，NOIR 绝不会给出卸载建议，最高只允许在 DNS 层面进行域名屏蔽，彻底切断了小白用户误操作导致系统崩溃的风险。

2. 原子级 AppOps 改动与状态镜像回滚

当用户执行 noir auto --apply 时，NOIR 并不会粗暴地调用 Shell 覆写，而是走完严格的“状态快照 -> 原子执行 -> 验证 -> 记录”闭环：

1. 预检当前状态：
   adb shell cmd appops get <pkg> <op>  --> 记录 before 模式 (如 allow)
2. 实施安全限制：
   adb shell cmd appops set <pkg> <op> ignore (或 default)
3. 校验变更结果：
   adb shell cmd appops get <pkg> <op>  --> 校验 after 模式
4. 记录回滚手册 (rollback.txt)：
   写入反向恢复指令：adb shell cmd appops set <pkg> <op> allow
5. 记录执行审计日志 (applied.txt)：
   保留命令、状态码、stdout/stderr 完整上下文

这意味着，哪怕某个应用在被撤销权限后发生异常闪退，用户只需在终端中执行一条复制粘贴 rollback.txt 中的指令，就能在 1 秒内将手机恢复至一模一样的原始运行状态。

3. 三态分离的 DNS 导出清单

在网络防护层面，NOIR 坚决不在手机内部强行注入修改本地 DNS 或启动容易断流的本地 VPN，而是选择将发现的数千个端点域名清洗去重后，导出为结构明晰的三份文本文件：

1. domains-trackers.txt（高危追踪器黑洞）：经过指纹库精确校验的第三方统计 SDK（友盟、神策、AppsFlyer、Adjust、Bugly、ByteDance 广告联盟等）与厂商专用数据上报域。这份清单可以毫无顾虑地整份导入 AdGuard、Surge、Clash 或家庭 Pi-hole 中全局黑洞拦截。
2. domains-functional.txt（核心功能白名单）：包含了小米推送（MiPush）、华为 HMS 登录、Google Play 鉴权、微信支付、系统 OTA 升级等关键端点。NOIR 明确警告严禁拦截此类域名，否则会导致推送丢失、无法登录或应用闪退。
3. domains-other.txt（未知灰色域）：提取自小众应用或私有 API，供安全研究人员人工按需逐条核验。

七、 进阶实战：DeepScan 与 Jadx 代码级沙盒穿透

对于风险评分畸高（例如拿了全权限且端点密集的重点应用），静态字符串匹配往往还不足以摸清其真实底细。NOIR 提供了杀手级的 deepscan 子命令：

noir deepscan --top 15 --jobs 4

1. 自动化的 Jadx 并行分析流

deepscan 会自动执行多级流水线：

1. 从手机中提取目标应用的基础包与所有 Split APK；
2. 调度本地的 jadx 反编译器进行并行逆向（支持配置 --jobs）；
3. 为了防止反编译卡死引发整个 CLI 挂起，NOIR 在 Jadx.kt 中设计了带有硬性 Deadline 超时机制的守护线程，实时 Drain 进程的输入输出流，超时后强制执行 destroyForcibly() 杀进程回收系统资源。

2. 聚焦最具杀伤力的危险字节码信号

在反编译后的 Java/Kotlin 源码树中，NOIR 不做无意义的全文字段匹配，而是精准 Grep 以下几类最高危的系统底层调用特征：

// Main.kt 与 Jadx.kt 检索的高危调用特征
listOf(
    "Runtime\\.exec|Runtime\\s*\\.\\s*getRuntime\\s*\\(\\s*\\)\\s*\\.\\s*exec", // 执行本地 Shell 命令
    "ProcessBuilder",                                                          // 外部进程派生
    "setApplicationEnabledSetting",                                            // 动态激活或冻结其他应用
    "enabled_accessibility_services",                                          // 探查或劫持系统无障碍服务
    "DexClassLoader",                                                          // 动态加载外部未签名的 Dex 插件代码
    "loadLibrary",                                                             // 加载 Native .so 动态链接库
    "getInstalledPackages",                                                    // 遍历全机已安装应用列表
    "getRunningTasks",                                                         // 监视前台活跃任务与用户当前浏览界面
    "MediaProjection"                                                          // 请求静默录屏或屏幕像素投影
)

当一条扫描记录赫然显示：某款看似普通的输入法或手电筒应用，在代码里既出现了 DexClassLoader 动态下发执行代码，又包含了 MediaProjection 录屏引用和 getInstalledPackages，并伴随着上百个海外广告统计域名的上报路径时，这已经不再是捕风捉影的猜测，而是无可辩驳的恶意行为实证。

八、 动手实战：用 NOIR 给你的 Android 手机做一次全面体检

说了这么多底层架构与设计哲学，最让人安心的还是亲自在自己的设备上跑一次。

1. 准备环境与一键启动

NOIR 官方提供了自带 JRE 运行时的全平台免安装 Portable 包（支持 macOS Apple Silicon / Intel、Windows 10/11、Linux）。

如果使用 Homebrew，只需确保安装好基础工具：

brew install --cask android-platform-tools jadx

随后直接克隆源码或下载 Release 运行：

git clone https://github.com/Verlintas/NOIR.git
cd NOIR
./gradlew :cli:installDist
./cli/build/install/noir/bin/noir

2. 交互式向导与开箱自检

运行 noir doctor 可以立即验证本地环境链条的完整性：

NOIR doctor
  platform  Mac OS X aarch64
  java      17.0.19
  adb       /opt/homebrew/bin/adb (Version 37.0.1)
  device    178b0d2f  device  2509FPN0BC (Xiaomi 17 Pro Max)
  jadx      /opt/homebrew/bin/jadx

直接运行 noir 会进入极其友好的引导流程：

• 没插线时：终端会自动打印出各大国产品牌手机（小米 HyperOS、OPPO ColorOS、vivo OriginOS、华为等）开启开发者模式与“USB 调试”的具体菜单路径；
• 连上设备后：自动检测手机语言，无缝切换为全中文终端仪表盘，按需执行扫描；
• 扫描完毕后：自动渲染出高对比度的等宽彩色仪表盘，列出前 20 款最高风险应用及其外发链路；
• 确认执行后：自动写入 plan.txt、应用安全 AppOps 并落盘 rollback.txt。

# 全量扫描并输出报告到指定目录
noir scan --out my-phone-report

# 对比两次扫描（比如卸载全家桶前后的对比）
noir diff my-report-before/report.json my-report-after/report.json

九、 总结：将“透明度”交还给用户

在深入剖析完 NOIR 的每一行核心源码与设计取舍后，我感受最深的是作者贯穿始终的工程克制（Restraint）与务实（Pragmatism）。

在安全与逆向这个充满噱头与焦虑的领域，想要写一个语不惊人死不休的“恐慌生成器”非常容易——只要把全机所有申请了位置权限的应用标红报警即可；想要写一个激进破坏系统的“暴力卸载器”也很简单——直接 pm uninstall 掉所有名字带 analytics 的包名。

但 NOIR 选择了一条远为艰难却无比正确的道路：

• 它克制：它承认手机系统需要运行，从不破坏系统核心白名单，绝不自动卸载任何用户的正常 App，所有改动全部前置提供完备的原子回滚；
• 它精妙：它不把庞大的 APK 拖垮网络，而是巧借设备端原位管道流在数十秒内抽丝剥茧，并用零依赖 AXML 解析器抹平不同厂商 ROM 的畸变；
• 它实证：它用因果关联引擎将抽象的权限翻译为“哪些真实数据正在流向哪个具体机房”，让每一条审计结论都有迹可循、客观量化。

隐私保护的最高境界不是盲目的因噎废食，而是拥有清澈见底的知情权与收放自如的掌控力。 当每一个普通工程师插上一根普通的 USB 数据线，就能在几十秒内穿透层层包装、看清手掌中这块玻璃屏幕背后的数据暗流时，我们才算真正守住了自己在数字世界里的第一道主权防线。

原文链接与参考资料

• NOIR 官方开源仓库：Verlintas/NOIR - GitHub
• NOIR 官方项目主页与中文文档：NOIR: Desktop Android Leak Audit (verlintas.dev)
• AtomGit G-Star 镜像代码仓：Verlintas/NOIR - AtomGit
• Dex 反编译器 Jadx 官方仓库：skylot/jadx - GitHub
• Android 平台调试工具与 ADB 官方规范：Android Debug Bridge (ADB) - Android Developers