xiaowaaay/svcmonitors/svcmonitor-mcp-skill

# 确保手机已连接 + svc_monitor.kpm 已加载
cd /path/to/KernelModules/SVCMonitor
 
# 查看状态
python3 svc.py status
 
# 一键监控会话
python3 svc.py session com.target.app --preset re_basic
 
# 操作目标 App 后，拉取事件
python3 svc.py drain --max 200 --stat
 
# 关注特定类型
python3 svc.py watch ptrace --limit 20
python3 svc.py watch mmap --tid 12345
 
# 深度分析
python3 svc.py analyze --search "/proc/self/maps"
python3 svc.py threads --max 500
 
# 地址解析
python3 svc.py maps 12345 --filter r-xp
python3 svc.py resolve 12345 0x7a3b4c5000 0x7a3b4c6000

python3 svc.py session com.target.app --preset re_full
# 操作 App，触发风控/检测
python3 svc.py watch ptrace --limit 30
python3 svc.py watch kill --limit 30
python3 svc.py analyze --search "/proc/self/maps"
python3 svc.py threads --max 500
# 看到可疑 TID → 解析 backtrace
python3 svc.py maps 12345 --filter r-xp     # 先看 maps
python3 svc.py resolve 12345 0x7a3b4c5000   # 解析地址

python3 svc.py session com.target.app --preset fingerprint --tier2
python3 svc.py analyze --nr 56 --search "/proc/" | grep -E "build|cpuinfo|status"
python3 svc.py analyze --search "ioctl" --fields desc

# 1. 获取 backtrace 地址
python3 svc.py drain --max 200 --bt --nr 117
# 2. 解析地址到模块
python3 svc.py resolve <tgid> <addr1> <addr2>
# 3. 在 IDA 中跳转到 libXXX.so + 0xOFFSET
# 4. 用 Frida hook 该地址