引言

虽然 vivo 的安装体验比 oppo 的稍微宽松一点，但仍然会在中途弹窗或让你授权，以此加大安装难度。下面我将以 iqoo 手机为例，分享如何再次通过网络规则，无感干掉 vivo 的云端检测。

抓包分析

通过拦截并分析安装 APK 时的流量，我们锁定了 vivo 系统的两个“核心内鬼”以及它们频繁通信的服务器。

揪出幕后的系统组件

在 vivo/iqoo 设备上，参与安装审查的主要是以下两个包名：

应用包名	系统应用名称	主要参与的动作
com.android.packageinstaller	软件包安装程序	安装界面的核心、安装前信息查询、策略拉取、埋点上报
com.iqoo.secure	手机管家	核心安全中心、云查杀、风险扫描、对接外部安全引擎

它们把数据传给了谁？

和 OPPO 类似，vivo 的系统应用在安装时会疯狂请求以下域名。更有意思的是，我们发现了它甚至同时调用了 360 和安天（AVL）的接口进行联合查杀：

• 云查杀/第三方安全引擎：
  • viav-cse.avlyun.com (安天 AVL 云查杀，OPPO 用的也是他家)
  • msch.f.360.cn (360 移动安全查杀接口)
  • isecure.vivo.com.cn (vivo 自家安全服务)
• 安装审核/商店策略相关：
  • az.appstore.vivo.com.cn (试图去自家应用商店比对信息)
  • stinmmtn.vivo.com.cn (高频出现的安装策略/管控接口)
• 数据统计/安装埋点上报：
  • prt-stsdk.vivo.com.cn
  • ort-stsdk.vivo.com.cn

这就是为什么你即便安装一个几十 MB 的小软件，它也要转圈扫描半天的原因。

解决方法

与上一篇类似，我们继续利用代理软件的规则分流功能来进行精准拦截。这里以我常用的 NekoBox 为例（Clash / v2rayNG / sing-box 等工具同理）。

第一步：必须将核心应用纳入代理范围

绝大多数代理软件默认会让系统应用“直连（Bypass）”。因此，我们必须在代理软件的“分应用代理”或“绕过局域网/直连”设置中，强行让以下两个应用走代理：

com.android.packageinstaller
com.iqoo.secure

(如果不让它们走代理，我们后面配置的屏蔽规则根本拦截不到它们发出的直连请求！)

第二步：添加域名黑名单

打开代理软件的“路由规则（Routing）”设置，新建一条屏蔽规则。将刚才查出来的 7 个域名填入匹配列表，并将出站方式（Outbound）设置为 屏蔽 / Reject / Block：

domain:viav-cse.avlyun.com
domain:msch.f.360.cn
domain:isecure.vivo.com.cn
domain:az.appstore.vivo.com.cn
domain:stinmmtn.vivo.com.cn
domain:prt-stsdk.vivo.com.cn
domain:ort-stsdk.vivo.com.cn

保存配置，重启代理服务。

验证效果

以下是开启代理软件前后的效果，可以看出，其检测拦截手段已大幅降低。

总结

本次测试机型为 iQOO Neo9S Pro+，搭载 OriginOS 6 系统为例。

如果你使用的是其他 vivo 手机或系统，效果可能有所差异。不过，各大国产 UI 在管控思路上如出一辙。比如 OPPO 的查杀域名是 opav-cse.avlyun.com，而 vivo 是 viav-cse.avlyun.com，背后都是同一家安全服务商。只要掌握了抓包分析的方法，就能以不变应万变。