用途
该技能用于对 Android 应用执行基于 MobSF 的自动化静态分析，以识别硬编码密钥、不安全权限等问题。适用场景包括：在 Android APK 或 AAB 文件投产前进行安全评估；将自动化移动安全扫描集成到 CI/CD 流水线；在渗透测试中对 Android 应用进行初步分诊；审查第三方 Android 应用的供应链安全风险。
资料明确提示：不要用该技能替代人工代码审查或动态分析。MobSF 静态分析能捕捉基于模式的漏洞，但会遗漏运行时逻辑缺陷。
主要能力
MobSF 静态分析覆盖以下类别，并映射到 OWASP Mobile Top 10 2024：
清单分析（M8 - 安全配置错误）：未受权限保护的导出 activities、services、receivers、content providers；遗留启用的 android:debuggable="true"；允许通过 ADB 提取数据的 android:allowBackup="true"；缺失用于证书固定的 android:networkSecurityConfig。
代码分析（M1 - 凭据使用不当）：Java/Kotlin 源码中硬编码的 API 密钥、密码和令牌；用于存储敏感数据的不安全 SharedPreferences 用法；薄弱或损坏的加密实现（ECB 模式、静态 IV、硬编码密钥）。
网络安全（M5 - 不安全通信）：缺失证书固定配置；接受所有证书的自定义 TrustManager；在无例外域的情况下允许明文 HTTP 流量。
二进制分析（M7 - 二进制保护不足）：缺失 ProGuard/R8 混淆；原生库漏洞（stack canaries、NX bit、PIE）；缺乏调试器检测。
使用方式
工作流程如下：
步骤 1：部署 MobSF 并获取 API Key。使用 Docker 启动：docker run -it --rm -p 8000:8000 opensecurity/mobile-security-framework-mobsf:latest，然后从 http://localhost:8000/api_docs 或启动控制台输出中获取 REST API key。
步骤 2：上传 APK 进行静态分析。使用 REST API 上传：curl -F "file=@target_app.apk" http://localhost:8000/api/v1/upload -H "Authorization: <API_KEY>"。响应包含用于后续 API 调用的哈希标识符。MobSF 会自动使用 JADX 反编译 APK、提取 AndroidManifest.xml 并索引所有资源。
步骤 3：触发并获取静态扫描结果。触发扫描：curl -X POST http://localhost:8000/api/v1/scan -H "Authorization: <API_KEY>" -d "scan_type=apk&file_name=target_app.apk&hash=<FILE_HASH>"；获取 JSON 报告：curl -X POST http://localhost:8000/api/v1/report_json -H "Authorization: <API_KEY>" -d "hash=<FILE_HASH>"。
步骤 4：分析关键发现。按上述清单、代码、网络与二进制分析类别进行人工分诊。
步骤 5：生成并导出报告。可导出 PDF：curl -X POST http://localhost:8000/api/v1/download_pdf -H "Authorization: <API_KEY>" -d "hash=<FILE_HASH>" -o report.pdf；或导出 JSON 用于程序化处理。
步骤 6：集成到 CI/CD 流水线。以 GitHub Actions 为例，上传 APK、触发扫描、调用 scorecard 获取 security_score，若分数低于 60 则令构建失败（if [ "$SCORE" -lt 60 ]; then exit 1; fi）。
前置条件
通过 Docker 安装 MobSF v4.x（docker pull opensecurity/mobile-security-framework-mobsf）或本地部署；准备目标 Android APK、AAB 或源代码 ZIP；Python 3.10+ 用于 MobSF REST API 集成；JADX 反编译器（MobSF 已捆绑）用于 Java/Kotlin 源码恢复；可访问 MobSF Web 界面（默认 http://localhost:8000）。
关键概念与工具
关键概念包括：静态分析（在不执行程序的情况下检查应用代码与资源）、APK 反编译、AndroidManifest.xml、证书固定、ProGuard/R8。涉及工具与系统：MobSF、JADX、apktool、Android Lint、Semgrep。
常见陷阱与限制
需忽略误报，MobSF 会对变量名中的 password 等模式告警，即便未存储实际凭据，所有 HIGH 级别发现都应人工分诊后再报告。对混淆应用，静态分析准确率会显著下降；对使用 DexGuard 或自定义加壳的应用，应辅以动态分析。MobSF 规则会随 Android API 级别演进，需保持更新以匹配目标应用的 targetSdkVersion。MobSF 对 Java/Kotlin 进行分析，但对原生 C/C++ 库覆盖有限，对 .so 文件应使用 checksec 和人工审查。