菜单
使用移动安全框架（Mobile Security Framework，MobSF）对 Android 应用程序执行自动化静态分析， 在不运行程序的情况下识别硬编码密钥、不安全权限、存在漏洞的组件、弱加密算法 和代码层面的安全缺陷。适用于在部署前对 Android APK/AAB 文件进行安全评估、 渗透测试期间，或作为 CI/CD 安全门禁的一部分。当请求涉及 Android 静态分析、 MobSF 扫描、APK 安全评估或移动应用代码审查时触发。
默认使用会先检查来源的 Prompt；你也可以切换为直接命令，或下载本地副本。
决定是否安装前，请先阅读 SKILL.md，以及 SkillsMP 当前展示的配套文件。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
直接命令不会经过审查 Prompt；运行前请先检查来源。
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill performing-android-app-static-analysis-with-mobsf命令会保持在同一行。复制前请横向滚动并检查完整内容。
想先保存到本地？可下载 SkillsMP 当前能够提供的文件。
基于 SOC 职业分类
正在显示 SKILL.md
| name | performing-android-app-static-analysis-with-mobsf |
| description | 使用移动安全框架（Mobile Security Framework，MobSF）对 Android 应用程序执行自动化静态分析， 在不运行程序的情况下识别硬编码密钥、不安全权限、存在漏洞的组件、弱加密算法 和代码层面的安全缺陷。适用于在部署前对 Android APK/AAB 文件进行安全评估、 渗透测试期间，或作为 CI/CD 安全门禁的一部分。当请求涉及 Android 静态分析、 MobSF 扫描、APK 安全评估或移动应用代码审查时触发。 |
| domain | cybersecurity |
| subdomain | mobile-security |
| author | mahipal |
| tags | ["mobile-security","android","mobsf","static-analysis","owasp-mobile","penetration-testing"] |
| version | 1.0.0 |
| license | Apache-2.0 |
在以下情况下使用本技能：
不适用于 替代人工代码审查或动态分析——MobSF 静态分析只能发现基于模式的漏洞，无法捕获运行时逻辑缺陷。
docker pull opensecurity/mobile-security-framework-mobsf）或本地部署使用 Docker 启动 MobSF，确保隔离、可重现的扫描环境：
docker run -it --rm -p 8000:8000 opensecurity/mobile-security-framework-mobsf:latest
从 http://localhost:8000/api_docs 的 MobSF Web 界面或启动控制台输出中获取 REST API 密钥。API 密钥用于程序化扫描。
使用 MobSF REST API 上传目标 APK：
curl -F "file=@target_app.apk" http://localhost:8000/api/v1/upload \
-H "Authorization: <API_KEY>"
响应中包含用于后续 API 调用的 hash 标识符。MobSF 会自动使用 JADX 反编译 APK，提取 AndroidManifest.xml 并对所有资源建立索引。
启动静态扫描并获取结果：
# 触发扫描
curl -X POST http://localhost:8000/api/v1/scan \
-H "Authorization: <API_KEY>" \
-d "scan_type=apk&file_name=target_app.apk&hash=<FILE_HASH>"
# 获取 JSON 报告
curl -X POST http://localhost:8000/api/v1/report_json \
-H "Authorization: <API_KEY>" \
-d "hash=<FILE_HASH>"
MobSF 静态分析覆盖以下映射到 OWASP Mobile Top 10 2024 的类别：
清单分析（M8 - 安全配置错误）：
android:debuggable="true"android:allowBackup="true" 允许通过 ADB 提取数据android:networkSecurityConfig代码分析（M1 - 凭据使用不当）：
网络安全（M5 - 通信不安全）：
二进制分析（M7 - 二进制保护不足）：
以多种格式导出发现结果用于干系人沟通：
# PDF 报告
curl -X POST http://localhost:8000/api/v1/download_pdf \
-H "Authorization: <API_KEY>" \
-d "hash=<FILE_HASH>" -o report.pdf
# JSON 格式用于程序化处理
curl -X POST http://localhost:8000/api/v1/report_json \
-H "Authorization: <API_KEY>" \
-d "hash=<FILE_HASH>" -o report.json
将 MobSF 扫描作为构建门禁添加：
# GitHub Actions 示例
- name: MobSF Static Analysis
run: |
UPLOAD=$(curl -s -F "file=@app/build/outputs/apk/release/app-release.apk" \
http://mobsf:8000/api/v1/upload -H "Authorization: $MOBSF_API_KEY")
HASH=$(echo $UPLOAD | jq -r '.hash')
curl -s -X POST http://mobsf:8000/api/v1/scan \
-H "Authorization: $MOBSF_API_KEY" \
-d "scan_type=apk&file_name=app-release.apk&hash=$HASH"
SCORE=$(curl -s -X POST http://mobsf:8000/api/v1/scorecard \
-H "Authorization: $MOBSF_API_KEY" -d "hash=$HASH" | jq '.security_score')
if [ "$SCORE" -lt 60 ]; then exit 1; fi
| 术语 | 定义 |
|---|---|
| 静态分析（Static Analysis） | 在不执行程序的情况下检查应用代码和资源；捕获结构性和基于模式的漏洞 |
| APK 反编译（APK Decompilation） | 使用 JADX 或 apktool 等工具从已编译的 Dalvik 字节码中恢复 Java/Kotlin 源代码的过程 |
| AndroidManifest.xml | 声明应用组件、权限和安全属性的配置文件；是清单分析的主要目标 |
| 证书固定（Certificate Pinning） | 将应用与特定服务器证书绑定的技术，用于防止通过流氓 CA 进行的中间人攻击 |
| ProGuard/R8 | 代码混淆和压缩工具，通过重命名类和删除未使用的代码使逆向工程更加困难 |
password 的模式，即使并未存储真实凭据。在报告前需人工分诊所有 HIGH 发现。targetSdkVersion 相匹配。checksec 对 .so 文件进行人工审查。