---

لماذا

تُخفي تطبيقات Flutter منطقها داخل libapp.so، وتشحن نواة Dart بحجم 100 ميغابايت في إصدارات التصحيح (debug)، وتدفن مفاتيح API في الأصول (assets) وresources.arsc ومكتبات الجسر الأصلي (native bridge). النصيحة المعتادة — "فكّكها على حاسوبك باستخدام هذه السلسلة من الأدوات" — بطيئة، وتفشل مع لقطات AOT المشوّشة (obfuscated)، وتتطلب Dart SDK مطابقة.

يقوم FlutterGuard بالجزء الذي يمكن تنفيذه من الهاتف: يقرأ ملف APK الذي يعرضه نظام التشغيل أصلًا، ويحلّل الصيغ المهمة (XML الثنائي، resources.arsc، سلاسل DEX، تجمّع السلاسل في libapp.so، kernel_blob.bin، NOTICES.Z، ملفات env، كتل X.509)، وينتج تقريرًا مع أدلة — كل ذلك دون اتصال، بدون root، وبدون اعتراض.

صُمّم ليُشغَّل مرارًا وتكرارًا: كل فحص يُوسم ويُحفظ، لذا يخبرك الفحص الثاني بما تغيّر بين نسختين من التطبيق نفسه. هذا الفرق هو حيث توجد النتائج الحقيقية.

لقطات الشاشة

جرد التطبيق	تقدير التقرير	النتائج

الخدمات وSDKs	الإعدادات	الخصوصية

أصول المتجر ونص صفحة العرض · أيقونة التطبيق · الرسم الترويجي

اختر صورة لعرض معاينة المتجر بالحجم الكامل.

ما الذي يكشفه

المكوّنات (Artifact) — الحزمة، والإصدار، ونطاق SDK، وABIs، والحجم، وعدد الحزم المنفصلة (split)، وتجزئة APK الأساسي، وكل مكتبة أصلية مع حجمها وبادئة SHA-256 الخاصة بها، والمثبّت، ومخطط التوقيع (v1/v2/v3/v4)، والاسم المميّز للموقّع (signer DN) وبصمات الشهادة، والكشف عن شهادة التصحيح (debug).

خصائص Flutter — هل هذا فعلًا Flutter، AOT أم debug (نواة JIT)، وحجم kernel_blob.bin، ووجود لقطة JIT، وإصدار محرك Dart، وحالة التشويش (obfuscation)، وجرد حزم Dart المستعاد من NOTICES.Z وpackage: URIs، وبصمة يمكنك تسليمها لمتابعة على الحاسوب (يحتاج Blutter/reFlutter إلى بناء المحرك الدقيق).

مخاطر ملف البيان (Manifest) — الأذونات، والأنشطة/الخدمات/المستقبلات/المزوّدات المُصدَّرة، وقابلية التصحيح (debuggable)، والنسخ الاحتياطي، وسياسة النص الصريح (cleartext)، وإعداد أمان الشبكة (base-config مقابل domain-config، والنص الصريح المقتصر على loopback، وثقة CA للمستخدم، ومجموعات التثبيت (pin sets)، وتجاوزات التصحيح (debug-overrides))، والروابط العميقة (deep links) المجمّعة حسب المخطط.

الأسرار ونقاط النهاية — مفاتيح API (Google، AWS، Stripe، Supabase، Sentry، Firebase، OpenAI، GitHub، Slack، Sendgrid، Telegram)، ومعرّفات عملاء OAuth، وكتل شبيهة بـ JWT، وعناوين URI لقواعد البيانات/الوسطاء مع بيانات اعتماد مضمّنة، وكتل مفاتيح خاصة بجسم حقيقي، وشهادات X.509 مضمّنة (تُجمَّع من أسطر جسم PEM عندما يقسّمها التفريغ)، وأسماء --dart-define في Dart، وملفات .env/.env.prod مع عدد بيانات الاعتماد.

نقاط النهاية — المضيفون عبر المصادر، مصنّفون first-party / staging / internal / saas:X / ip-literal، وقوائم نقاط النهاية من إعدادات خدمات YAML/TOML (بنمط uri: btc-electrum.example:50002)، ومسارات API من لقطة Dart، ومسارات المصدر المستعادة، وعلامات مخاطر WebView، وجرد MethodChannel مقسّم إلى app / plugin / standard.

السطح الأصلي — flutter_rust_bridge وجسور FFI الأخرى، وعدد نقاط دخول JNI Java_*.

سطح الأطراف الثالثة والذكاء الاصطناعي — يغطي جدول بصمات SDK حوالي 135 خدمة، كل منها مطابقة عبر مسار zip، أو واصف DEX، أو حزمة pub، أو المضيف: كل شيء من Firebase وPlay Services والفوترة والإعلانات والإسناد إلى المصادقة (Auth0، Clerk، Appwrite، Stytch، WorkOS)، والزمن الحقيقي (Agora، LiveKit، Stream، Sendbird)، والمدفوعات (Stripe، RevenueCat، PayPal، Paddle)، والخوادم الخلفية (PocketBase، Nhost، Supabase) ومخازن المتجهات. يتم جرد مزوّدي نماذج اللغة الكبيرة بشكل فردي — OpenAI، Anthropic، Gemini، Groq، Mistral، Cohere، DeepSeek، OpenRouter، Together، Fireworks، Perplexity، xAI، HuggingFace، Replicate، Bedrock، DashScope، Moonshot، GLM، MiniMax، ElevenLabs، Stability — بالإضافة إلى بيئات التشغيل على الجهاز التي تشير إليها localhost:11434 (Ollama) وlocalhost:1234 (LM Studio) و:8188 الخاص بـ ComfyUI. وتسمّي نفس الجولة حِزم SDK للإعلانات والتحليلات والأعطال التي يشحنها التطبيق، وهو عادةً الجزء الأكثر مفاجأة في التقرير.

ملفات علامات SDK والإعدادات المضمّنة — ملفات billing.properties، play-services-*.properties، transport-*.properties وfirebase-encoders*.properties على المستوى الجذري تسمّي SDK الذي تثبته دون تحليل DEX؛ وملفات .env/.json/.yaml/.properties/.sqlite المضمّنة و مواد المفاتيح تُدرَج كسطح إعدادات؛ وتُبلَّغ صفحات HTML/JS المضمّنة كحمولة WebView حتى تكون الصفحة المحلية المعروضة بجسر JS مرئية بدلاً من ضمنية.