SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场Mobile Application Security

Mobile Application Security

安全与审计

查看项目

更新于 10-15 13:46

技能介绍

用途

该技能让 Claude 能够评估 Android 与 iOS 应用的安全性，对照 OWASP MASVS（移动应用安全验证标准）并执行 OWASP MASTG（移动应用安全测试指南）中的测试。它可对 APK/IPA 制品进行静态分析、指导动态插桩（Frida/objection）、审查安全存储、传输与平台交互控制，并对可能恶意的移动应用进行初筛。

授权要求：仅测试你拥有或明确获授权评估的应用。反编译和修改第三方应用可能违反许可与法律。开始前请确认书面范围。

主要能力

APK 静态分析

  • 解包解码：apktool d app.apk，提取 AndroidManifest.xml、classes*.dex、resources.arsc、原生库（lib/）与 assets。
  • Manifest 审查：标记 android:debuggable="true"、android:allowBackup="true"；无权限保护的导出组件（activity/service/receiver/provider，exported="true" 或经 intent-filter 隐式导出）；usesCleartextTraffic="true" 或宽松的 network_security_config；危险/过度权限及 protectionLevel 较弱的自定义权限；深链 / android:autoVerify（应用链接劫持）、导出的 ContentProvider 路径。
  • 密钥搜寻：扫描反编译源码、资源与 assets，查找 API key、token、私钥、云凭据、硬编码加密密钥/IV 及后端 URL。
  • 反编译：用 jadx 转 Java，审查认证、加密、WebView（addJavascriptInterface、setJavaScriptEnabled、以不可信输入调用 loadUrl）与 SQL。
  • 原生与加壳：用 apkid 识别加壳器/混淆器/编译器；检查 lib//.so 的 JNI 入口与硬编码数据。
  • 签名：验证签名方案（v1/v2/v3）、调试证书使用及完整性。
  • 可使用 scripts/apk_analyzer.py 进行自动化首轮分析。

iOS（IPA）静态分析

  • 解压 IPA，定位 Payload/<App>.app/。
  • 检查 Info.plist：NSAppTransportSecurity 例外（NSAllowsArbitraryLoads）、URL schemes、UIFileSharingEnabled、权限用途字符串。
  • 二进制检查：加密（cryptid）、PIE、栈保护、ARC；用 otool/class-dump 检测缺失的加固。
  • 密钥搜寻：对 strings 与资源扫描密钥、端点、token。
  • 数据存储：NSUserDefaults、Core Data、Keychain 可访问性类（避免 kSecAttrAccessibleAlways）、静态 plist 数据。
  • 内嵌 provisioning profile：entitlements、ad-hoc 与企业分发。

不安全数据存储（MASVS-STORAGE）

  • 审查敏感数据的静态落点。Android：SharedPreferences、SQLite、内部/外部文件、日志、WebView 缓存、剪贴板；确认敏感材料使用 Keystore 支持的密钥。iOS：Keychain（正确的可访问性）、NSUserDefaults/plists 中无秘密、应用快照/备份中无敏感数据。标记任何明文存储或使用应用派生密钥存储的 PII、token 或凭据。

网络与传输（MASVS-NETWORK）

  • 确认全站 TLS、无明文回退。
  • 证书/公钥固定存在且被校验；记录通过 objection/Frida 绕过以进行测试的方法。
  • 用拦截代理（Burp/mitmproxy）检查 API 流量；测试与 Web 相同的 API 缺陷（IDOR、认证缺陷、批量赋值）。

动态分析与插桩

  • 在已 root/越狱的测试设备或模拟器上指导运行时测试。objection 快捷操作：android sslpinning disable、android root disable、keystore/keychain dump、列出 activities、启动导出组件。
  • 用 Frida hook 加密 API、认证检查、root/越狱检测绕过，并追踪敏感方法调用。
  • 观察使用过程中的文件系统与 logcat 是否存在数据泄漏。

平台交互与防篡改（MASVS-PLATFORM / RESILIENCE）

  • IPC：验证导出组件、intent 处理、ContentProvider 权限、自定义 URL scheme / 深链校验。
  • WebView：非必要处禁用 JS；绝不向不可信内容暴露特权 JS 接口。
  • 韧性（纵深防御，本身不是漏洞）：root/越狱检测、反调试、反 hook、代码混淆、完整性检查。

移动恶意软件初筛

  • 对可疑 APK：apkid 识别加壳，请求权限与实际功能对比，无障碍服务滥用，SMS/拨号/覆盖层权限（银行木马特征），strings 中的 C2 URL，动态代码加载（DexClassLoader）。将确认的 IOC 交由 Skill 06，更深入的 RE 交由 Skill 04/05。

使用方式

前置依赖：pip install requests pyaxmlparser。

可选增强能力：apktool（APK 解码/重建）、jadx（Dalvik → Java 反编译器）、apkid（加壳器/混淆器/编译器指纹识别）、frida / objection（动态插桩）、mobsf（MobSF，自动化静态+动态分析平台）、Android SDK platform-tools（adb）、unzip、openssl。

脚本参考：

# Static triage of an APK: manifest flags, permissions, exported components, secrets
python scripts/apk_analyzer.py --apk app.apk --output apk_report.json

# Secret-scan the decoded sources too (point at an apktool/jadx output dir)
python scripts/apk_analyzer.py --apk app.apk --sources ./jadx_out --output apk_report.json

激活触发条件：当用户询问 Android（APK/AAB）或 iOS（IPA）应用安全测试；OWASP MASVS / MASTG 验证或移动渗透测试清单；移动应用反编译、逆向或静态分析；不安全数据存储、硬编码密钥或 keystore/keychain 审查；证书固定、SSL 绕过或移动 TLS/传输安全；Frida / objection 动态插桩或运行时 hook；AndroidManifest.xml、导出组件、深链或 Info.plist 审查；移动恶意软件分析或可疑 APK 初筛；root/越狱检测、篡改或反逆向控制时，该技能被激活。

适用场景

  • 获得授权的 Android/iOS 应用渗透测试与安全评估。
  • 对照 MASVS/MASTG 的合规性验证。
  • 移动应用静态分析与密钥泄露排查。
  • 动态插桩与传输层安全测试。
  • 可疑 APK 的恶意软件初筛。

输出标准

评估报告按固定结构输出，包含：标题（应用/包名、日期、平台、版本、分析人）、执行摘要（态势、按严重度计数、主要风险）、MASVS 覆盖表（STORAGE、CRYPTO、NETWORK、PLATFORM、CODE/RESILIENCE 等类别结果与说明）、发现项（编号、标题、严重度、MASTG-TEST 引用/MASVS 类别、证据、影响/修复）、按优先级排序的建议。

技能集成

  • 后端 API 测试：应用与 REST/GraphQL API 通信 → Skill 09。
  • 更深入的原生/二进制 RE：.so / 混淆逻辑 → Skill 04。
  • 恶意软件分类：可疑/加壳 APK → Skill 05。
  • IOC 关联：发现 C2 / 恶意基础设施 → Skill 06。
  • 加密实现审查：应用内自定义加密 → Skill 13。

限制

  • 仅限测试自有或明确获授权的应用；反编译与修改第三方应用可能违反许可与法律。
  • 动态分析通常需要 root/越狱的测试设备或模拟器。
  • 部分能力依赖可选工具（apktool、jadx、apkid、frida、objection、mobsf、adb、openssl）。
  • 具体收费、价格、平台与效果信息暂未提供。