Android的APK和iOS的IPA本质上都是可分发的压缩包，攻击者可用apktool、jadx、Hopper等工具反编译出近似的源代码，或直接对二进制文件执行strings命令扫描可打印字符。