SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场mobile-security

mobile-security

安全与审计

查看项目

更新于 10-15 13:46

技能介绍

用途

该技能面向 Android（APK/AAB）与 iOS（IPA）应用的端到端移动应用漏洞评估与渗透测试，对齐 OWASP MASVS v2.x 控制组与 MASTG 测试流程。适用于在运行时测试之前先提取并检查目标产物，也适用于 App 使用加密 API 信封、TLS 固定/root/越狱检测阻碍测试、需要确认 IDOR/批量赋值/业务逻辑问题，以及需要 MASVS-PRIVACY 检查的场景。

主要能力

分为四个互补层级：

  1. 静态逆向工程：针对 Dart AOT 快照、Unity IL2CPP、React Native/Hermes 字节码、原生 ARM64 .so/Mach-O、smali 等编译产物，在无设备条件下恢复密钥、端点与加密契约。
  2. SAST：清单文件/Info.plist、导出组件与 IPC 面、WebView、本地存储、加密原语弱点、代码签名，以及自动化基线（MobSF/apkid/apkleaks）后的人工深入分析。
  3. 动态分析（DAST）：Frida/objection 插桩、流量拦截、跨技术栈的 TLS 固定绕过、Keychain/Keystore 运行时转储、IPC 探测，以及 MAS-L2/MASA 范围内的 root/越狱/反篡改绕过。
  4. 隐私：数据收集清单、追踪器/SDK 枚举、PII 泄露、声明与实际对比（Play Data Safety / Apple Privacy Manifest）。

覆盖模式要求两个面均纳入：应用包（15 个 MAS-* MASVS 类）与从包中恢复的后端（普通 OWASP API/Web 类）。从反编译包恢复端点清单并纳入 API 类测试为强制项，产出零端点的包被视为采集失败。

该技能产出带 MASVS/MASTG 标签的发现并移交；跨资产拼接、评分与报告由同级技能负责。

使用方式

从 reference/methodology.md 开始，其给出阶段主干（ACQUIRE → TRIAGE → STATIC → DYNAMIC → NETWORK → STORAGE → PLATFORM/IPC → BACKEND PIVOT → REPORT）、应用采集与证据完整性、MASVS→文件覆盖映射、发现标签约定，以及客户端→API 的切换路径，并路由到各参考文档。执行前先做 preflight（../coordination/reference/preflight-checklist.md）。

参考文档分为：跨领域（方法学、隐私测试）、Android（静态分析、动态分析）、iOS（静态分析、动态分析）、框架特定逆向工程（Flutter AOT、React Native Hermes、原生库宿主提取），以及跨技能复用能力（Unity IL2CPP、Frida 钩子、加壳二进制解包、哈希分发链、API BOLA/BOPLA 与批量赋值）。

另提供确定性控制接线检测器 ../../tools/apk_control_wiring.py，对反编译后的 Android 目录树做静态交叉引用，区分真实应用的控制与孤立控制（如 RootBeer/SafetyNet/Play-Integrity 已打包但未接线、CertificatePinner 已构造但未附加到 OkHttpClient、硬编码 AES/DES 密钥字面量及其调用点、已打包但从未加载的 .so）。应在 STATIC 阶段先运行它，再撰写修复结论。

适用场景

目标交付 Android APK/AAB 或 iOS IPA 时，先提取检查再做运行时测试；使用 Flutter、Unity 或 React Native + Hermes 构建时需要感知运行时的反编译器；标准应用需要清单/IPC/存储/加密/签名攻击面；应用使用加密 API 信封并需要逆向加密契约后重放；TLS 固定/root/越狱检测阻碍测试；疑似 IDOR/批量赋值/业务逻辑缺陷；需要 MASVS-PRIVACY 检查。

限制与注意事项

proof_mode: runtime 无法通过静态方式结案。TLS 固定与 root 检测是典型陷阱：静态分析可以证明某控制未生效（如构造但未附加的 CertificatePinner），但无法证明控制有效；证明有效需要一次失败的绕过尝试。proof_mode: static 不可因无设备而延期——没有设备不能作为跳过清单、签名、依赖或产物中机密的理由。

反模式包括：在静态转储存在前就使用 Frida/模拟器；未做主动绕过尝试即报告控制存在；从空的 network_security_config.xml 得出无固定、或从未解密的 iOS 二进制得出无机密；止步于客户端 IDOR（应通过 API 安全转向服务端确认）；仅凭库存在即报告 CVE（应确认确切版本与可达代码路径）。

关于定价、收费、平台支持细节、具体使用步骤与效果等事实，本资料暂未提供。