第二节课：反 Hook 检测与 ART 检测（inline hook / syscall / 动态 SVC/ PrettyMethod）第一节课找的是 Frida 留下的"脚印"：端口、映射、线程名和内存字符串——本质是"进程里多了些东西"。这些痕迹再深，都还停留在"数据层面"，可以被清洗、被改名、被过滤。
第二节课继续往里走，看的是另一件事：当 Hook 真正发生时，被 Hook 的函数代码本身有没有被改动。 这已经不是"进程里多了什么"，而是"原有的东西被篡改了"。这一节的四个检测点，抓的都是这层更硬的痕迹：
