用途
该技能面向安全工程师，用于对 Android（APK/AAB）或 iOS（IPA）移动应用执行安全分析。当需要对移动应用进行安全测试时使用。
主要能力
MobSF 支持自动化静态与动态分析，可检测不安全存储、弱加密、硬编码密钥等问题。技能覆盖以下检查类别：
- Manifest：导出组件、debuggable 标志、是否允许备份、权限。
- Code：硬编码密钥、弱加密、不安全随机数、日志记录。
- Binary：PIE、栈保护（stack canaries）、RELRO、NX 位。
- Network：明文流量、证书固定（cert pinning）、WebView SSL。
- Storage：Shared preferences、SQLite、外部存储。
使用方式
前置条件
通过 Docker 运行 MobSF：
docker run -it --rm -p 8000:8000 opensecurity/mobile-security-framework-mobsf:latest
验证：访问 http://localhost:8000
操作步骤
-
确定目标——确定 APK、IPA 或源码 zip 文件。
-
通过 API 运行扫描：
上传：
curl -F "file=@app.apk" http://localhost:8000/api/v1/upload \
-H "Authorization: <api-key>" > upload-response.json
扫描：
curl -X POST http://localhost:8000/api/v1/scan \
-H "Authorization: <api-key>" \
-d "scan_type=apk&file_name=app.apk&hash=<hash>" > scan-results.json
获取报告：
curl -X POST http://localhost:8000/api/v1/report_json \
-H "Authorization: <api-key>" \
-d "hash=<hash>" > mobsf-report.json
- 解析结果——以表格形式呈现发现项：
| # | Severity | Category | Finding | File/Location | CVSS | Remediation |
|---|
- 汇总——提供：
- 安全评分与等级
- 按类别划分的发现项（binary、code、manifest、network）
- 请求的危险权限
- 硬编码密钥与不安全存储
- 证书与签名信息
适用场景
适用于对 Android（APK/AAB）或 iOS（IPA）移动应用进行安全分析，包括静态与动态检查，以及生成结构化报告。
限制
资料中未提供关于收费、价格、平台兼容性、效果保证或具体使用步骤之外的额外限制信息。