Repolode
Предложить
dwisiswant0

dwisiswant0/apkleaks

Python CLI-инструмент, который декомпилирует Android APK с помощью jadx и ищет в них URL, эндпоинты и захардкоженные секреты.

Открыть на GitHub
Звёзды
6,356
Форки
599
Открытые issues
26
Последний коммит
в прошлом году

Что это?

APKLeaks — инструмент статического анализа пакетов Android-приложений. Он принимает APK-файл, декомпилирует его с помощью дизассемблера jadx и ищет в исходном коде URI, API-эндпоинты и потенциально чувствительные данные, например ключи доступа и токены. Результаты записываются в текстовый файл или файл JSON.

Поиск выполняется с помощью набора правил на основе регулярных выражений. Правила по умолчанию хранятся в файле JSON; чтобы искать определённые секреты или форматы эндпоинтов, можно указать собственный файл правил через опцию pattern. В jadx можно передавать дополнительные аргументы, например включить деобфускацию или задать число потоков.

Инструмент можно установить из PyPI, запускать из исходного кода или использовать через Docker-образ. Если jadx ещё не установлен в системе, инструмент предложит скачать его.

Ключевые возможности

  • 01Декомпилирует APK-файлы с помощью дизассемблера jadx.
  • 02Ищет в декомпилированном коде URI, эндпоинты и строки, похожие на секреты.
  • 03Поддерживает пользовательские файлы правил регулярных выражений через опцию pattern в формате JSON.
  • 04Сохраняет результаты в виде обычного текста или JSON.
  • 05Передаёт пользовательские аргументы в jadx.
  • 06Доступен через PyPI, из исходного кода и в Docker.

Сценарии использования

  • Проверка Android-приложения на наличие захардкоженных API-ключей или токенов перед выпуском.
  • Определение эндпоинтов и URL бэкенда, используемых мобильным приложением, в ходе аудита безопасности.
  • Поиск утёкших секретов в Android-приложениях в рамках bug bounty-исследований.

Быстрый старт

  1. 1

    Установить из PyPI

    pip3 install apkleaks
  2. 2

    Просканировать APK-файл

    apkleaks -f ~/path/to/file.apk

Что важно знать

  • Использует дизассемблер jadx; если он не установлен, будет предложено его скачать.
  • Результаты основаны на поиске совпадений по шаблонам с помощью регулярных выражений, поэтому возможны ложные срабатывания.

Темы

#android-security#apk#static-analysis#reverse-engineering#mobile-security#bug-bounty#apk-parser#bugbounty#scanning-apk

Частые вопросы

Что такое apkleaks?
Python CLI-инструмент, который декомпилирует Android APK с помощью jadx и ищет в них URL, эндпоинты и захардкоженные секреты. APKLeaks — инструмент статического анализа пакетов Android-приложений. Он принимает APK-файл, декомпилирует его с помощью дизассемблера jadx и ищет в исходном коде URI, API-эндпоинты и потенциально чувствительные данные, например ключи доступа и токены. Результаты записываются в текстовый файл или файл JSON.
apkleaks можно использовать бесплатно? Какая у него лицензия?
apkleaks распространяется с открытым исходным кодом под лицензией Apache-2.0. Перед использованием в коммерческих продуктах проверьте условия лицензии.
apkleaks всё ещё поддерживается?
Нет коммитов больше 6 месяцев. Последний коммит в apkleaks — 20 авг. 2025 г..
Для чего можно использовать apkleaks?
Проверка Android-приложения на наличие захардкоженных API-ключей или токенов перед выпуском. Определение эндпоинтов и URL бэкенда, используемых мобильным приложением, в ходе аудита безопасности. Поиск утёкших секретов в Android-приложениях в рамках bug bounty-исследований.
Как установить apkleaks?
Установить из PyPI: pip3 install apkleaks Просканировать APK-файл: apkleaks -f ~/path/to/file.apk
Где скачать apkleaks?
Исходный код и инструкции по установке — на GitHub: https://github.com/dwisiswant0/apkleaks

Описание создано ИИ на основе README проекта. Статистика GitHub обновляется ежедневно.

Похожие проекты

semgrep / semgrep

Быстрый CLI-инструмент статического анализа с открытым исходным кодом: находит ошибки и проверяет соблюдение стандартов с помощью похожих на код шаблонов, а не regex или AST.

Инструменты разработчика#static-analysis#sast#security
17,1 тыс.1,1 тыс.CLGPL-2.1Обновлён 18 часов назад