面向渗透测试人员的终端 AI 智能体 CLI，人类全程掌控，覆盖侦察、验证与取证报告。
1404274TypeScriptApache-2.0更新于 2个月前
dwisiswant0/apkleaks
一款 Python 命令行工具，用 jadx 反编译 Android APK 并扫描其中的 URL、接口端点和硬编码密钥。
- Star
- 6,356
- Fork
- 599
- 未关闭 Issue
- 26
- 最近提交
- 去年
这是什么？
APKLeaks 是一款针对 Android 安装包（APK）的静态分析工具。它使用 jadx 反编译器对 APK 进行反编译，然后在生成的源码中搜索 URI、API 接口端点，以及访问密钥、令牌等可能敏感的内容，结果可输出为文本或 JSON 文件。
扫描基于一组正则表达式规则。默认规则存放在 JSON 文件中，用户也可以通过 -p 参数指定自定义规则文件，针对特定密钥或接口格式进行检索。额外的参数可以传递给 jadx，例如开启反混淆或设置线程数。
工具可通过 PyPI 安装、从源码运行，或使用 Docker 镜像。若系统中没有 jadx，程序会提示下载。
核心功能
- 01借助 jadx 反编译器解析 APK 文件。
- 02在反编译后的代码中搜索 URI、接口端点和类似密钥的字符串。
- 03通过 JSON 文件支持自定义正则规则。
- 04结果可输出为纯文本或 JSON 格式。
- 05可将自定义参数传递给 jadx。
- 06支持通过 PyPI、源码或 Docker 使用。
适用场景
- 发布 Android 应用前检查是否硬编码了 API 密钥或令牌。
- 在安全评估中梳理移动应用调用的后端接口和 URL。
- 在 Android 应用的漏洞赏金研究中寻找泄露的敏感信息。
快速上手
- 1
从 PyPI 安装
pip3 install apkleaks - 2
扫描 APK 文件
apkleaks -f ~/path/to/file.apk
使用前须知
- 依赖 jadx 反编译器，若系统中没有则会提示下载。
- 结果基于正则模式匹配，可能存在误报。
标签
常见问题
- apkleaks 是什么？
- 一款 Python 命令行工具，用 jadx 反编译 Android APK 并扫描其中的 URL、接口端点和硬编码密钥。 APKLeaks 是一款针对 Android 安装包（APK）的静态分析工具。它使用 jadx 反编译器对 APK 进行反编译，然后在生成的源码中搜索 URI、API 接口端点，以及访问密钥、令牌等可能敏感的内容，结果可输出为文本或 JSON 文件。
- apkleaks 可以免费使用吗？用的什么许可证？
- apkleaks 以 Apache-2.0 许可证开源。用于商业产品前，请先确认许可证条款。
- apkleaks 还在维护吗？
- 超过半年未提交。apkleaks 最近一次提交是在 2025年8月20日。
- apkleaks 适合用来做什么？
- 发布 Android 应用前检查是否硬编码了 API 密钥或令牌。 在安全评估中梳理移动应用调用的后端接口和 URL。 在 Android 应用的漏洞赏金研究中寻找泄露的敏感信息。
- apkleaks 怎么安装和运行？
- 从 PyPI 安装: pip3 install apkleaks 扫描 APK 文件: apkleaks -f ~/path/to/file.apk
- 在哪里获取 apkleaks？
- 源代码和安装说明在 GitHub 上：https://github.com/dwisiswant0/apkleaks
概要由 AI 根据项目 README 生成；GitHub 数据每日更新。
相关项目
面向 Web 安全研究人员和漏洞赏金猎人的工具合集，收录常用扫描、侦察、代理等工具。
5092853RubyMIT更新于 上个月
基于多种大模型的 AI 驱动渗透测试工具，用于生成攻击载荷、扫描 Web 目标漏洞并输出合规报告。
2341424PythonOther更新于 15天前
开源静态分析工具，用接近源码的模式查找代码缺陷并执行编码规范，支持 30 多种语言。
1.7万1112CLGPL-2.1更新于 19小时前
一款扫描 React 代码的命令行工具与智能体技能，检查状态、性能、安全、无障碍和可维护性问题。
1.5万490TypeScriptOther更新于 昨天
用纯 Python 编写的完整 C 语言解析器，将 C 源码解析为抽象语法树，无外部依赖。
3577657PythonOther更新于 昨天