用途
该技能用于执行移动应用安全测试，使用 MobSF（Mobile Security Framework）对 Android（APK/AAB）或 iOS（IPA）移动应用进行自动化的静态与动态分析。当需要对移动应用做安全分析时使用。
主要能力
技能会解析 MobSF 扫描结果并整理为发现清单，表格字段包括：序号、严重程度、类别、发现内容、文件/位置、CVSS、修复建议。随后提供总结，内容包括：
- 安全评分与等级
- 按类别归类的发现（binary、code、manifest、network）
- 申请的（dangerous）危险权限
- 硬编码密钥与不安全存储
- 证书与签名信息
关键检查项
按类别列出检查内容：
- Manifest：导出组件、debuggable 标志、允许备份、权限
- Code：硬编码密钥、弱加密、不安全随机数、日志记录
- Binary：PIE、栈保护（stack canaries）、RELRO、NX 位
- Network：明文流量、证书绑定、WebView SSL
- Storage：Shared preferences、SQLite、外部存储
使用方式
前置条件：通过 Docker 运行 MobSF：
docker run -it --rm -p 8000:8000 opensecurity/mobile-security-framework-mobsf:latest
验证：访问 http://localhost:8000
操作步骤：
- 确定目标 —— 明确 APK、IPA 或源码 zip 文件。
- 通过 API 执行扫描：
上传并扫描：
Upload
curl -F "file=@app.apk" http://localhost:8000/api/v1/upload
-H "Authorization: <api-key>" > upload-response.json
Scan
curl -X POST http://localhost:8000/api/v1/scan
-H "Authorization: <api-key>"
-d "scan_type=apk&file_name=app.apk&hash=<hash>" > scan-results.json
Get report
curl -X POST http://localhost:8000/api/v1/report_json
-H "Authorization: <api-key>"
-d "hash=<hash>" > mobsf-report.json
- 解析结果 —— 呈现发现清单（表格列：严重程度、类别、发现、文件/位置、CVSS、修复建议）。
- 总结 —— 提供安全评分与等级、按类别归类的发现、危险权限、硬编码密钥与不安全存储、证书与签名信息。
适用场景
需要对 Android（APK/AAB）或 iOS（IPA）移动应用进行安全分析的安全工程任务。
限制
关于支持的移动平台范围、动态分析所需的具体运行环境、API 认证密钥的获取方式、并发或批量扫描能力、报告格式选项、以及是否支持其它文件类型等，资料暂未提供。