메뉴
Usar cuando se escanea un APK/AAB Android en busca de vulnerabilidades de seguridad. Integra con MobSF (Docker) y análisis básico como fallback.
Codex 또는 Claude로 설치 이 Prompt를 복사해 Codex, Claude 또는 다른 어시스턴트에 붙여 넣으면 Skill 페이지를 검토하고 설치를 진행할 수 있습니다.
SOC 직업 분류 기준
| name | mobile-security-scanner |
| description | Usar cuando se escanea un APK/AAB Android en busca de vulnerabilidades de seguridad. Integra con MobSF (Docker) y análisis básico como fallback. |
| summary | Pipeline de seguridad para apps Android. Análisis estático con MobSF (Docker) o fallback básico (apktool + grep). Auditoría de AndroidManifest sin necesidad de MobSF. Output: findings clasificados CRITICAL/HIGH/MEDIUM/LOW en output/security/. |
| maturity | stable |
| context | skill |
| category | security |
| tags | ["android","mobile","apk","MobSF","manifest","security","static-analysis"] |
| priority | high |
python3 o xmllint — para android-manifest-audit.sh (siempre disponible)apktool — opcional; para decompilación y análisis de códigodocker — opcional; para MobSF análisis completoadb — sólo para modo dynamicbash scripts/android-manifest-audit.sh path/to/AndroidManifest.xml
Detecta: debuggable=true (CRITICAL), allowBackup=true (HIGH), exported components sin permission (HIGH), permisos peligrosos (MEDIUM).
bash scripts/mobile-security-scan.sh --apk path/to/app.apk --mode static
Con MobSF disponible: análisis completo vía API. Sin MobSF: análisis básico con apktool + grep de patterns.
bash scripts/mobile-security-scan.sh --apk path/to/app.apk --mode dynamic
Requiere dispositivo Android conectado via USB con ADB habilitado. Si no hay dispositivo, degrada automáticamente a modo static.
# Iniciar MobSF localmente (sin cuenta ni API key externa):
docker run --rm -p 8000:8000 opensecurity/mobile-security-framework-mobsf
# Configurar API key (extraer desde la UI en http://localhost:8000):
export MOBSF_API_KEY="tu-api-key"
export MOBSF_URL="http://localhost:8000"
MobSF corre completamente offline. No envía datos a servicios externos.
| Severidad | Ejemplo | Gate |
|---|---|---|
| CRITICAL | debuggable=true en release, keys hardcodeadas | Bloquea deploy |
| HIGH | allowBackup=true, exported sin permission | Bloquea deploy |
| MEDIUM | Permisos peligrosos innecesarios | Warning, ticket |
| LOW | Configuración subóptima | Informativo |
Bloqueante: CRITICAL o HIGH. MEDIUM y LOW no bloquean el pipeline.
password, api_key, secret, private_key en strings.xmlLog.d, Log.v, BuildConfig.DEBUG en smali/Javaoutput/security/mobile-scan-YYYYMMDD.json — findings del APK# Obtener APK path desde build:
APK_PATH=$(./gradlew buildAndPublish 2>&1 | grep "APK:" | awk '{print $2}')
# Escanear:
bash scripts/mobile-security-scan.sh --apk "$APK_PATH"
pip3 install mobsf
mobsf # arranca en http://localhost:8000
Guide for creating high-quality MCP (Model Context Protocol) servers that enable LLMs to interact with external services through well-designed tools. Use when building MCP servers to integrate external APIs or services, whether in Python (FastMCP) or Node/TypeScript (MCP SDK).
Create new skills, modify and improve existing skills, and measure skill performance. Use when users want to create a skill from scratch, edit, or optimize an existing skill, run evals to test a skill, benchmark skill performance with variance analysis, or optimize a skill's description for better triggering accuracy.
Detecta el Bus Factor por modulo en un repositorio git usando el algoritmo CST(change-size-ratio). Genera JSON con BF, owners, riesgo, y avisa cuando un solo dev conoce un modulo critico.
Genera CONTEXT_DOME.md para modulos con Bus Factor bajo. Captura conocimiento tacito: proposito, decisiones no obvias, dependencias, runbook minimo, knowledge owners y plan de distribucion.
Usar cuando se quiere ejecutar tareas de bajo riesgo de forma autónoma durante la noche.
Mapear la superficie de ataque de un dominio: subdominios, OSINT, typosquatting.