android-security-awesome

Androidセキュリティ関連リソースのコレクションです。

1. ツール
2. 学術・研究・出版物・書籍
3. エクスプロイト・脆弱性・バグ

ツール

オンラインアナライザー

1. Appknox - 有料
2. Virustotal
3. NowSecure Lab Automated - AndroidおよびiOSモバイルアプリのセキュリティテストを行うためのエンタープライズ向けツール。Lab Automatedは、クラウド上の実機での動的解析と静的解析を特徴とし、数分で結果を返します。有料
4. App Detonator - APKバイナリを解析して、アプリの作者、署名、ビルド、マニフェスト情報など、ソースコードレベルの詳細を提供します。1日3回の解析が無料枠です。
5. Pithus - オープンソースのAPKアナライザー。現在はベータ版で、現時点では静的解析のみに限定されています。YARAルールを使用してマルウェアをハントすることが可能です。詳細はこちら。
6. Oversecured - AndroidおよびiOSアプリ向けのエンタープライズ脆弱性スキャナー。アプリの所有者と開発者が、Oversecuredを開発プロセスに統合することで、モバイルアプリの新しいバージョンごとにセキュリティを確保できるようにします。有料。
7. AppSweep by Guardsquare - 開発者向けの無料で高速なAndroidアプリケーションセキュリティテスト
8. Koodous - 膨大なAndroidサンプルリポジトリに対して静的・動的マルウェア解析を実行し、公開および非公開のYaraルールと照合します。
9. Immuniweb。「OWASP Mobile Top 10 Test」、「Mobile App Privacy Check」、およびアプリケーション権限テストを実行します。無料枠は1日4テストで、登録後にレポートが提供されます。
10. ANY.RUN - Androidアプリケーション解析をサポートする、インタラクティブなクラウドベースのマルウェア解析プラットフォーム。制限付きの無料プランがあります。
11. BitBaan
12. AVC UnDroid
13. AMAaaS - 無料のAndroidマルウェア解析サービス。Androidアプリケーションの静的解析と動的解析を特徴とするベアメタルサービス。MalwarePotの製品です。
14. AppCritique - Android APKをアップロードすると、包括的な無料のセキュリティ評価を受けられます
15. NVISO ApkScan - 2019年10月31日にサービス終了
16. Mobile Malware Sandbox
17. IBM Security AppScan Mobile Analyzer - 有料

静的解析ツール

1. Androwarn - Androidアプリケーションによって開発された潜在的な悪意のある動作を検出し、ユーザーに警告します。
2. ApkAnalyser
3. APKInspector
4. Droid Intent Data Flow Analysis for Information Leakage
5. DroidLegacy
6. FlowDroid
7. Android Decompiler – 有料
8. PSCout - 静的解析を使用してAndroid OSソースコードから権限仕様を抽出するツール
9. Amandroid
10. SmaliSCA - Smali静的コード解析
11. CFGScanDroid - CFGをスキャンし、悪意のあるアプリケーションのCFGと比較します
12. Madrolyzer - C&C、電話番号などの実用的なデータを抽出します
13. ConDroid - アプリのシンボリック実行とコンクリート実行の組み合わせを実行します
14. DroidRA
15. RiskInDroid - 権限に基づいてAndroidアプリのリスクを計算するツール。オンラインデモも利用可能です。
16. SUPER - 安全で、統合された、強力で、拡張可能なRust製Androidアナライザー
17. ClassyShark - 任意のAndroid実行ファイルを閲覧し、重要な情報を表示できるスタンドアロンのバイナリ検査ツール。
18. StaCoAn - 開発者、バグバウンティハンター、倫理的ハッカーがモバイルアプリケーションの静的コード解析を実行するのを支援するクロスプラットフォームツール。このツールは、ユーザーインターフェースの使いやすさとグラフィカルなガイダンスに重点を置いて作成されました。
19. JAADAS - Androidアプリの脆弱性を見つけるための、手続き内および手続き間の統合プログラム解析ツール。SootとScala上に構築されています。
20. Quark-Engine - 難読化を無視するAndroidマルウェアスコアリングシステム

アプリ脆弱性スキャナー

1. QARK - LinkedInによるQARKは、アプリ開発者がアプリのセキュリティ問題をスキャンするためのツールです
2. AndroBugs
3. Nogotofail
4. Ostorlab - Ostorlabの無料版は、Android Play Store、iOS App Store、Huawei AppGalleryのアプリをスキャンします
5. Devknox - 安全なAndroidアプリを構築するためのIDEプラグイン。もはやメンテナンスされていません。

動的解析ツール

1. Android DBI framework
2. Androl4b - Androidアプリケーションの評価、リバースエンジニアリング、マルウェア解析のための仮想マシン
3. House - House: Fridaを搭載し、Pythonで書かれたWeb GUIを備えたランタイムモバイルアプリケーション解析ツールキット。
4. Mobile-Security-Framework MobSF - Mobile Security Frameworkは、静的解析、動的解析、Web APIテストを実行できる、インテリジェントでオールインワンのオープンソースモバイルアプリケーション（Android/iOS）自動ペネトレーションテストフレームワークです。
5. Droidbox
6. Drozer
7. Xposed - バイナリを変更せずにスタブベースのコードインジェクションを行うのと同等の機能
8. Inspeckage - Androidパッケージインスペクター - APIフックによる動的解析、非公開アクティビティの起動など。(Xposedモジュール)
9. Android Hooker - 動的Javaコード計測（Substrate Frameworkが必要）
10. ProbeDroid - 動的Javaコード計測
11. DECAF - QEMUベースの動的実行可能コード解析フレームワーク（DroidScopeは現在DECAFの拡張機能です）
12. CuckooDroid - CuckooサンドボックスのAndroid拡張機能
13. Mem - Androidのメモリ解析（rootが必要）
14. Crowdroid – 実際のツールを見つけることができません
15. AuditdAndroid – auditdのAndroid移植版。もはや活発に開発されていません
16. Android Security Evaluation Framework - もはや活発に開発されていません
17. Aurasium – バイトコード書き換えとインプレース参照監視によるAndroidアプリの実用的なセキュリティポリシー強制。
18. Android Linux Kernel modules
19. StaDynA - 動的コード更新機能（動的クラスローディングとリフレクション）の存在下でセキュリティアプリ解析をサポートするシステム。このツールは、Androidアプリケーションの静的解析と動的解析を組み合わせて、隠れた/更新された動作を明らかにし、静的解析結果をこの情報で拡張します。

リバースエンジニアリング1. Smali/Baksmali – APKの逆コンパイル

1. emacs syntax coloring for smali files
2. vim syntax coloring for smali files
3. AndBug
4. Androguard – 強力で、他のツールとの統合に優れている
5. Apktool – コンパイル/逆コンパイルに非常に便利（smaliを使用）
6. Android Framework for Exploitation
7. Bypass signature and permission checks for IPCs
8. Android OpenDebug – デバイス上の任意のアプリケーションをデバッグ可能にする（Cydia Substrateを使用）。
9. Dex2Jar - dexからjarへの変換ツール
10. Enjarify - Google製のdexからjarへの変換ツール
11. Dedexer
12. Fino
13. Frida - JavaScriptを注入してアプリケーションを探索するツール、およびそのGUIツール
14. Indroid – スレッド注入キット
15. Introspy
16. Jad - Javaデコンパイラ
17. JD-GUI - Javaデコンパイラ
18. CFR - Javaデコンパイラ
19. Krakatau - Javaデコンパイラ
20. FernFlower - Javaデコンパイラ
21. Redexer – APKの操作
22. Simplify Android deobfuscator

ファジングテスト

1. Radamsa Fuzzer
2. Honggfuzz
3. An Android port of the Melkor ELF fuzzer
4. Media Fuzzing Framework for Android
5. AndroFuzz
6. QuarksLab's Android Fuzzing
7. IntentFuzzer

アプリ再パッケージング検出ツール

1. FSquaDRA - アプリのリソースハッシュ比較に基づいて再パッケージ化されたAndroidアプリケーションを検出するツール。

マーケットクローラー

1. Google Play crawler (Java)
2. Google Play crawler (Python)
3. Google Play crawler (Node) - 公式Google Playストアからアプリの詳細を取得し、アプリをダウンロードする。
4. Aptoide downloader (Node) - サードパーティのAndroidマーケットであるAptoideからアプリをダウンロードする
5. Appland downloader (Node) - サードパーティのAndroidマーケットであるApplandからアプリをダウンロードする
6. PlaystoreDownloader - PlaystoreDownloaderは、Google Playストアから直接Androidアプリケーションをダウンロードするためのツールです。初期（一度限りの）設定後、パッケージ名を指定することでアプリケーションをダウンロードできます。
7. APK Downloader 特定のAndroidデバイス構成向けにPlayストアからAPKをダウンロードするオンラインサービス
8. Apkpure - オンラインAPKダウンローダー。専用アプリも提供しています。

その他のツール

1. smalihook
2. AXMLPrinter2 - バイナリXMLファイルを人間が読めるXMLファイルに変換する
3. adb autocomplete
4. mitmproxy
5. dockerfile/androguard
6. Android Vulnerability Test Suite - android-vtsはデバイスを一連の脆弱性についてスキャンします
7. AppMon- AppMonは、ネイティブのmacOS、iOS、AndroidアプリのシステムAPI呼び出しを監視および改ざんするための自動化フレームワークです。Fridaに基づいています。
8. Internal Blue - Broadcom Bluetoothコントローラーのリバースエンジニアリングに基づくBluetooth実験フレームワーク
9. Android Mobile Device Hardening - AMDHはデバイスの設定をスキャンして強化し、権限に基づいて有害なインストール済みアプリをリストアップします。
10. NullKia - ベースバンドエクスプロイト、セルラーセキュリティ、TEE/TrustZoneリサーチ、BootROM抽出ツールを備えた18のメーカーをサポートする包括的なモバイルセキュリティフレームワーク。
11. Firmware Extractor - 指定されたアーカイブをイメージに抽出する
12. ARMv7 payload that provides arbitrary code execution on MediaTek bootloaders
13. DroidGround - Android CTFチャレンジのための柔軟なプレイグラウンド
14. sundaysec/Android-Exploits - Androidのエクスプロイトとハックのコレクション
15. Spectre - 偵察および攻撃機能を備えた無線周波数スキャナー。セルラー、Wi-Fi、Bluetooth LE、GNSSをデバイス上で監視し、BLE GATTインスペクター、iBeaconブロードキャスター、ローカルネットワーク検出機能を備えています。
16. Android Device Security Database - Androidデバイスのセキュリティ機能のデータベース
17. Opcodes table for quick reference
18. APK-Downloader - 現在は停止しているようです

練習用の脆弱なアプリケーション

1. Damn Insecure Vulnerable Application (DIVA)
2. Vuldroid
3. ExploitMe Android Labs
4. GoatDroid
5. Android InsecureBank
6. Insecureshop
7. Oversecured Vulnerable Android App (OVAA)
8. Injured Android - CTF

学術/研究/出版物/書籍

研究論文

1. Exploit Database
2. Android security-related presentations
3. A good collection of static analysis papers

書籍

1. SEI CERT Android Secure Coding Standard

その他

1. OWASP Mobile Security Testing Guide Manual
2. doridori/Android-Security-Reference
3. android app security checklist
4. Mobile App Pentest Cheat Sheet
5. Android Reverse Engineering 101 by Daniele Altomare (Web Archive link)
6. Mobile Security Reading Room - モバイルペネトレーションテスト、モバイルマルウェア、モバイルフォレンジック、およびあらゆる種類のモバイルセキュリティ関連トピックに関する適切に分類された技術資料を含むリーディングルーム

エクスプロイト/脆弱性/バグ

リスト

1. Android Security Bulletins
2. Android's reported security vulnerabilities
3. OWASP Mobile Top 10 2016
4. Exploit Database - 検索をクリック
5. Vulnerability Google Doc
6. Google Android Security Team’s Classifications for Potentially Harmful Applications (Malware)
7. Android Devices Security Patch Status

マルウェア

1. androguard - Database Android Malware wiki
2. Android Malware GitHub repo
3. Android Malware Genome Project - 49の異なるマルウェアファミリーに分類された1260のマルウェアサンプルを含み、研究目的で無料で利用可能。
4. Contagio Mobile Malware Mini Dump
5. Drebin
6. Hudson Rock - 特定のAPKパッケージがInfostealerマルウェア攻撃で侵害されたかどうかを示すことができる無料のサイバー犯罪インテリジェンスツールセット。
7. Kharon Malware Dataset - リバースエンジニアリングされ文書化された7つのマルウェア
8. Android Adware and General Malware Dataset
9. AndroZoo - AndroZooは、公式のGoogle Playアプリマーケットを含む複数のソースから収集された成長中のAndroidアプリケーションコレクションです。
10. Android PRAGuard Dataset - このデータセットには、MalGenomeおよびContagio Minidumpデータセットを7つの異なる難読化技術で難読化して得られた10479のサンプルが含まれています。
11. Admire

バウンティプログラム

1. Android Security Reward Program

セキュリティ問題の報告方法

1. Android - reporting security issues
2. Android Reports and Resources - Android Hackerone公開レポートおよびその他のリソースのリスト

貢献

あなたの貢献をいつでも歓迎します！

📖 引用```bibtex

@misc{ author = {Ashish Bhatia - ashishb.net}, title = {The most comprehensive collection of Android security-related resources}, year = {2025}, publisher = {GitHub}, journal = {GitHub repository}, howpublished = {\url{https://github.com/ashishb/android-security-awesome}} }

このリポジトリは[10以上の論文](https://scholar.google.com/scholar?q=github.com%2Fashishb%2Fandroid-security-awesome)で引用されています。