Android安全

android-security-awesome Awesome Lint Test

安卓安全相关资源的集合.

Tools

Online Analyzers

  1. AndroTotal
  2. Appknox - 不是免费
  3. AVC UnDroid
  4. Virustotal - 最大 128MB
  5. Fraunhofer App-ray - 不是免费
  6. AppCritique - 上传您的 Android APK 并接收全面的免费安全评估.
  7. NowSecure Lab Automated - 用于移动应用安全测试 Android 和 iOS 移动应用的企业工具. 实验室自动化功能在云中的真实设备上进行动态和静态分析，可在几分钟内返回结果. 不免费
  8. AMAaaS - 免费的安卓恶意软件分析服务. 裸机服务具有针对 Android 应用程序的静态和动态分析功能. 的产品 MalwarePot.
  9. App Detonator - 引爆 APK 二进制文件以提供源代码级别的详细信息，包括应用程序作者、签名、构建和清单信息. 3 分析/天免费配额.
  10. BitBaan
  11. Pithus - 开源 APK 分析器. 目前仍处于 Beta 阶段，目前仅限于静态分析. 可以使用 Yara 规则来捕获恶意软件. 更多 here.
  12. Approver - Approver 是适用于 Android 和 iOS 应用程序的全自动安全分析和风险评估平台. 不免费.
  13. NVISO ApkScan - 2019年10月31日日落
  14. Mobile Malware Sandbox
  15. IBM Security AppScan Mobile Analyzer - 不是免费的
  16. Visual Threat - 不再是安卓应用分析器
  17. Tracedroid
  18. habo - 10/天
  19. CopperDroid
  20. SandDroid
  21. Stowaway
  22. Anubis
  23. Mobile app insight
  24. Mobile-Sandbox
  25. Ijiami
  26. Comdroid
  27. Android Sandbox
  28. Foresafe
  29. Dexter
  30. MobiSec Eacus
  31. Fireeye- 最大 60MB 15/天

Static Analysis Tools

  1. Androwarn - 检测并警告用户有关 Android 应用程序开发的潜在恶意行为.
  2. ApkAnalyser
  3. APKInspector
  4. Droid Intent Data Flow Analysis for Information Leakage
  5. DroidLegacy
  6. Smali CFG generator
  7. FlowDroid
  8. Android Decompiler – 不是免费
  9. PSCout - 使用静态分析从Android OS源代码中提取权限规范的工具
  10. Amandroid
  11. SmaliSCA - Smali 静态代码分析
  12. CFGScanDroid - 扫描 CFG 并将其与恶意应用程序的 CFG 进行比较
  13. Madrolyzer - 提取可操作的数据，如 C&C、电话号码等.
  14. SPARTA - 验证（证明）应用程序满足信息流安全策略； 建立在 Checker Framework
  15. ConDroid - 执行应用程序的符号+具体执行的组合
  16. DroidRA
  17. RiskInDroid - 基于权限计算Android应用程序风险的工具，提供在线演示.
  18. SUPER - 安全、统一、强大且可扩展的 Rust Android Analyzer
  19. ClassyShark - 独立的二进制检查工具，可以浏览任何 Android 可执行文件并显示重要信息.
  20. StaCoAn - 帮助开发人员、漏洞赏金猎人和道德黑客对移动应用程序执行静态代码分析的跨平台工具. 该工具的创建重点关注用户界面中的可用性和图形指南.
  21. JAADAS - 联合过程内和过程间程序分析工具，用于查找基于 Soot 和 Scala 的 Android 应用程序中的漏洞
  22. Quark-Engine - 一个忽略混淆的 Android 恶意软件评分系统
  23. One Step Decompiler - 懒人安卓APK反编译
  24. APKLeaks - 扫描 APK 文件以获取 URI、端点和秘密.
  25. Mobile Audit - 用于在 Android APK 中执行静态分析和检测恶意软件的 Web 应用程序.
  26. Several tools from PSU

App Vulnerability Scanners

  1. QARK - LinkedIn 的 QARK 用于应用程序开发人员扫描应用程序的安全问题
  2. AndroBugs
  3. Nogotofail
  4. Oversecured - 移动应用程序漏洞扫描器，专为安全研究人员和漏洞赏金黑客而设计. 它还允许集成到企业的 DevOps 流程中.
  5. Devknox - 用于构建安全 Android 应用程序的 IDE 插件. 不维护了

Dynamic Analysis Tools

  1. Android DBI frameowork
  2. Androl4b- 用于评估 Android 应用程序、逆向工程和恶意软件分析的虚拟机
  3. House- House：带有 Web GUI 的运行时移动应用程序分析工具包，由 Frida 提供支持，用 Python 编写.
  4. Mobile-Security-Framework MobSF - Mobile Security Framework 是一个智能的、一体化的开源移动应用程序 (Android/iOS) 自动化渗透测试框架，能够执行静态、动态分析和 Web API 测试.
  5. AppUse – 用于渗透测试的自定义构建
  6. Droidbox
  7. Drozer
  8. Xposed - 相当于进行基于 Stub 的代码注入，但没有对二进制文件进行任何修改
  9. Inspeckage - Android Package Inspector - 使用 api 钩子进行动态分析，启动未导出的活动等等. （已放置模块）
  10. Android Hooker - 动态 Java 代码检测（需要 Substrate 框架）
  11. ProbeDroid - 动态 Java 代码检测
  12. Android Tamer - 适用于 Android 安全专家的虚拟/实时平台
  13. DECAF - 基于 QEMU 的动态可执行代码分析框架（DroidScope 现在是 DECAF 的扩展）
  14. CuckooDroid - Cuckoo 沙盒的 Android 扩展
  15. Mem - 安卓内存分析（需要root）
  16. Crowdroid – 无法找到实际的工具
  17. AuditdAndroid -auditd 的 android 端口，不再处于积极开发状态
  18. Android Security Evaluation Framework - 不再处于积极开发阶段
  19. Aurasium – 通过字节码重写和就地参考监视器为 Android 应用程序实施实用的安全策略.
  20. Android Linux Kernel modules
  21. Appie - Appie 是一个预配置的软件包，可用作 Android 渗透测试环境. 它是完全便携的，可以通过 U 盘或智能手机携带. 这是 Android 应用程序安全评估所需的所有工具的一站式解决方案，也是现有虚拟机的绝佳替代方案.
  22. StaDynA - 在存在动态代码更新功能（动态类加载和反射）的情况下支持安全应用程序分析的系统. 该工具结合了 Android 应用程序的静态和动态分析，以揭示隐藏/更新的行为并使用此信息扩展静态分析结果.
  23. DroidAnalytics - 不完整
  24. Vezir Project - 用于移动应用渗透测试和移动恶意软件分析的虚拟机
  25. MARA - 移动应用逆向工程和分析框架
  26. Taintdroid - 需要 AOSP 编译
  27. ARTist - 一个灵活的开源工具和混合分析框架，适用于 Android 应用程序和 Android 的 java 中间件. 它基于 Android 运行时 (ART) 编译器并在设备编译期间修改代码.
  28. Android Malware Sandbox
  29. AndroPyTool - 从 Android APK 中提取静态和动态特征的工具. 它结合了不同的知名 Android 应用分析工具，如 DroidBox、FlowDroid、Strace、AndroGuard 或 VirusTotal 分析.
  30. Runtime Mobile Security (RMS) - 是一个强大的网络界面，可帮助您在运行时操作 Android 和 iOS 应用程序
  31. PAPIMonitor – PAPIMonitor（Android 应用程序的 Python API Monitor）是一个基于 Frida 的 Python 工具，用于在应用程序执行期间监控用户选择的 API.
  32. Android Malware Analysis Toolkit - (linux 发行版) 早些时候它曾经是一个 online analyzer
  33. Android Reverse Engineering – ARE（安卓逆向工程）不再处于积极开发中
  34. ViaLab Community Edition
  35. Mercury
  36. Cobradroid – 用于恶意软件分析的自定义图像

Reverse Engineering

  1. Smali/Baksmali – apk 反编译
  2. emacs syntax coloring for smali files
  3. vim syntax coloring for smali files
  4. AndBug
  5. Androguard – 功能强大，与其他工具集成良好
  6. Apktool – 对编译/反编译非常有用（使用 smali）
  7. Android Framework for Exploitation
  8. Bypass signature and permission checks for IPCs
  9. Android OpenDebug – 使设备上的任何应用程序均可调试（使用 cydia 基板）.
  10. Dex2Jar - dex 到 jar 转换器
  11. Enjarify - 来自 Google 的 dex 到 jar 转换器
  12. Dedexer
  13. Fino
  14. Frida - 注入 javascript 以探索应用程序和 GUI tool 为了它
  15. Indroid – 螺纹注射套件
  16. IntentSniffer
  17. Introspy
  18. Jad - Java反编译器
  19. JD-GUI - Java反编译器
  20. CFR - Java反编译器
  21. Krakatau - Java反编译器
  22. FernFlower - Java反编译器
  23. Redexer – apk 操作
  24. Simplify Android deobfuscator
  25. Bytecode viewer
  26. Radare2
  27. Jadx
  28. Dwarf - 用于逆向工程的 GUI
  29. Andromeda - 另一个基本的命令行逆向工程工具
  30. apk-mitm - 为 HTTPS 检查准备 Android APK 文件的 CLI 应用程序
  31. Noia - 简单的安卓应用沙盒文件浏览器工具
  32. Obfuscapk - Obfuscapk 是一种模块化 Python 工具，用于在不需要源代码的情况下混淆 Android 应用程序.
  33. ARMANDroid - ARMAND（Anti-Repackaging through Multi-patternAnti-tampering based on Native Detection）是一种新颖的防篡改保护方案，将逻辑炸弹和AT检测节点直接嵌入到apk文件中，无需源代码.
  34. Procyon - Java反编译器
  35. Smali viewer
  36. ZjDroid, fork/mirror
  37. Dare – .dex 到 .class 转换器

Fuzz Testing

  1. IntentFuzzer
  2. Radamsa Fuzzer
  3. Honggfuzz
  4. An Android port of the melkor ELF fuzzer
  5. Media Fuzzing Framework for Android
  6. AndroFuzz

App Repackaging Detectors

  1. FSquaDRA - 一种基于应用资源哈希比较检测重新打包的 Android 应用的工具.

Market Crawlers

  1. Google play crawler (Java)
  2. Google play crawler (Python)
  3. Google play crawler (Node) - 从官方 Google Play 商店获取应用详细信息并下载应用.
  4. Aptoide downloader (Node) - 从 Aptoide 第三方安卓市场下载应用
  5. Appland downloader (Node) - 从Appland第三方安卓市场下载应用
  6. Apkpure - 在线 apk 下载器. 还提供了自己的应用程序供下载.
  7. PlaystoreDownloader - PlaystoreDownloader 是一种直接从 Google Play 商店下载 Android 应用程序的工具. 在初始（一次性）配置之后，可以通过指定其包名称来下载应用程序.

Misc Tools

  1. smalihook
  2. AXMLPrinter2 - 将二进制 XML 文件转换为人类可读的 XML 文件
  3. adb autocomplete
  4. mitmproxy
  5. dockerfile/androguard
  6. Android Vulnerability Test Suite - android-vts 扫描设备以查找一组漏洞
  7. AppMon - AppMon 是一个自动化框架，用于监控和篡改原生 macOS、iOS 和 android 应用程序的系统 API 调用. 它基于弗里达.
  8. Internal Blue - 基于Broadcom蓝牙控制器逆向工程的蓝牙实验框架
  9. Android Device Security Database - Android 设备的安全功能数据库
  10. Android Mobile Device Hardening - AMDH 扫描和强化设备的设置，并根据权限列出有害的已安装应用程序.
  11. Opcodes table for quick reference
  12. APK-Downloader - 现在好像死了
  13. Dalvik opcodes

Vulnerable Applications for practice

  1. Damn Insecure Vulnerable Application (DIVA)
  2. Vuldroid
  3. ExploitMe Android Labs
  4. GoatDroid
  5. Android InsecureBank

Academic/Research/Publications/Books

Research Papers

  1. Exploit Database
  2. Android security related presentations
  3. A good collection of static analysis papers

Books

  1. SEI CERT Android Secure Coding Standard

Others

  1. OWASP Mobile Security Testing Guide Manual
  2. doridori/Android-Security-Reference
  3. android app security checklist
  4. Mobile App Pentest Cheat Sheet
  5. Android Reverse Engineering 101 by Daniele Altomare (Web Archive link)
  6. Mobile Security Reading Room - 一个阅读室，里面有关于移动渗透测试、移动恶意软件、移动取证和各种移动安全相关主题的分类良好的技术阅读材料

Exploits/Vulnerabilities/Bugs

List

  1. Android Security Bulletins
  2. Android's reported security vulnerabilities
  3. Android Devices Security Patch Status
  4. AOSP - Issue tracker
  5. OWASP Mobile Top 10 2016
  6. Exploit Database - 点击搜索
  7. Vulnerability Google Doc
  8. Google Android Security Team’s Classifications for Potentially Harmful Applications (Malware)

Malware

  1. androguard - Database Android Malwares wiki
  2. Android Malware Github repo
  3. Android Malware Genome Project - 包含 1260 个恶意软件样本，分为 49 个不同的恶意软件家族，可免费用于研究.
  4. Contagio Mobile Malware Mini Dump
  5. VirusTotal Malware Intelligence Service - 由 VirusTotal 提供支持，不是免费
  6. Drebin
  7. Kharon Malware Dataset - 7 malwares which have been reverse engineered and documented
  8. Android Adware and General Malware Dataset
  9. Android PRAGuard Dataset - 该数据集包含 10479 个样本，通过使用七种不同的混淆技术混淆 MalGenome 和 Contagio Minidump 数据集获得.
  10. AndroZoo - AndroZoo 是一个不断增长的 Android 应用程序集合，从多个来源收集而来，包括官方 Google Play 应用程序市场.
  11. Admire

Bounty Programs

  1. Android Security Reward Program

How to report Security issues

  1. Android - reporting security issues
  2. Android Reports and Resources - Android Hackerone 披露报告和其他资源列表

Contributing

永远欢迎您的贡献！