注入痕迹与 Root 痕迹检测
两类痕迹
应用完整性检测通常会检查两类东西：
| 类别 | 检查什么 | Guise 能解决吗 |
|---|---|---|
| 注入痕迹 | LSPosed / Zygisk 在内存里的加载痕迹 | ⚠️ 部分 |
| Root 痕迹 | su 二进制、Magisk 管理器、挂载表 | ❌ Guise 不管 |
注入痕迹检测
检测方法
典型检测手段：
/proc/self/maps扫描 — 看应用内存映射里有没有 Xposed / LSPosed 的路径- 检查某些关键类是否被修改过（ClassLoader、反射修改痕迹）
- 检查应用进程是否有「额外加载」的 dex / so
Guise 的边界
Guise 本身不负责隐藏注入痕迹。如果目标应用很敏感（比如银行、金融、反作弊严格的游戏），它可能检测到 LSPosed 存在——这不是 Guise 能完全解决的。
缓解手段
| 手段 | 说明 |
|---|---|
| 使用 Zygisk | Zygisk 模式下 Hook 痕迹比旧 Xposed 少 |
| 隐藏 Root | 配合 Magisk Hide 或 Shamiko |
| 不用 LSPosed 的完整日志 | 关闭 Guise 的详细日志（可设置） |
| 用 Shamiko 模块 | Magisk + Shamiko 是目前最稳的 Root 隐藏方案 |
Root 痕迹检测
检测方法
- 扫描
/system/bin/su、/system/xbin/su、Magisk 管理器包名 - 检查
ro.boot.*属性里是否有 Magisk 痕迹 - 检查挂载表里是否有 Magisk 模块相关路径
- 尝试执行 su 命令看能不能拿到 root
Guise 和 Root
Guise 不管 Root 痕迹。它只管在应用进程里 Hook Android API。Root 痕迹的隐藏是 Magisk + Shamiko 的事，不在 Guise 的范围内。
物理事实 — 改不了的东西
Guise Test 会明确标出以下物理事实，这些是任何客户端工具都改不了的：
| 项目 | 来源 | 能改吗 |
|---|---|---|
| 内核 SoC | /sys/devices/soc0/machine | ❌ |
| 内存大小 | /proc/meminfo | ❌ |
| ABI | Build.SUPPORTED_ABIS | ❌ |
| CPU 核心数 | /proc/cpuinfo | ❌ |
| CPU 主频 | /proc/cpuinfo | ❌ |
| IP 地址 | 网络层 | ❌（需要 VPN/代理） |
真实场景的建议
- 银行/金融类应用 — LSPosed 大概率触发检测，建议用 Profile Isolation（多用户工作区）+ 完整 Shamiko 方案，Guise 只做辅助
- 一般应用 — 大概率没问题，App 完整性检查没那么严
- 严格反作弊游戏 — 可能检测 Root + LSPosed，改机只是一方面，还要配合隐藏链路
- Guise Test 验证 — 每次改完先用 Guise Test 跑一遍，确认 Hook 链路完整