Hunter vs Ruru - 从应用列表层面探测环境暴露
一句话概括
Hunter 扫环境痕迹、Ruru 扫应用暴露——两者是不同维度的检测，互相补充。
核心差异
| 对比项 | Hunter | Ruru |
|---|---|---|
| 体积 | ~20M（6.65 版） | 3M 以下 |
| 覆盖面 | 扫系统环境痕迹（Root、框架、hook、指纹等） | 扫已安装应用列表里哪些应用暴露了环境 |
| 报告形式 | 逐项检测 + 可疑路径 | 条目式列出暴露环境的应用名 |
| 侧重点 | 设备环境本身 | 应用层面暴露出来的痕迹 |
Ruru 的独特价值
Ruru 和 Hunter、Momo 的最大区别是它不直接扫环境痕迹本身——它的检测逻辑是：
- 读取设备的已安装应用列表
- 扫描应用包名特征（
com.topjohnwu.magisk、de.robv.android.xposed等） - 判断哪些应用本身就是检测工具或 Root 管理工具
- 列出这些应用的名称
Ruru 回答的问题是：「你的手机上装了哪些能暴露你 Root / 改机状态的应用？」
这是 Hunter 和 Momo 都不专门回答的问题——Hunter 扫系统挂载点和属性，Momo 扫 Root 痕迹，但都不会告诉你「那个叫 X 的应用本身就是 Magisk 管理器」。
怎么用 Ruru 配合 Hunter
典型场景：你用 Hunter 扫到 Magisk & Root 红项，Ruru 可能会列出 Magisk Manager（Magisk 的包名）作为暴露项——你就知道需要把它加入 DenyList 或者卸载。
配合逻辑：
- Hunter：告诉你「有 Root 痕迹、路径在
/data/adb/magisk」 - Ruru：告诉你「有个应用
com.topjohnwu.magisk暴露了 Root 管理功能」 - 两者结合：你知道了残留路径 + 暴露它的应用名 → 完整的处理信息
Ruru 的局限性
- 体积小、检测逻辑简单，能扫的环境痕迹项远少于 Hunter
- 对系统级挂载点、inline hook、GOT 表等深层痕迹无能为力
- 报告没有路径信息——只给应用名，不给它在系统里的位置
三者配合链
Hunter + Momo + Ruru 三个工具联合使用时：
- Hunter 扫全量环境痕迹、给出路径
- Momo 做快速初筛、改配置后快速验证
- Ruru 扫应用层面的暴露项
三者结果互相印证——都指向同一项基本可以确认，只有一个报优先按误报处理（参考 误报空间）。