APKLeaks

APKファイルをスキャンしてURI、エンドポイント、シークレットを検出します。

• インストール
  • PyPiから
  • ソースから
  • Dockerから
• 使い方
  • オプション
    • 出力
    • パターン
    • 逆アセンブラの引数
• ライセンス
• 謝辞

インストール

APKLeaksのインストールは非常に簡単です：

PyPiから

$ pip3 install apkleaks

ソースから

リポジトリをクローンして依存関係をインストール：

$ git clone https://github.com/dwisiswant0/apkleaks
$ cd apkleaks/
$ pip3 install -r requirements.txt

Dockerから

Dockerイメージをプル：

$ docker pull dwisiswant0/apkleaks:latest

依存関係

APKLeaksはAPKファイルの逆コンパイルにjadx逆アセンブラを利用します。システムにjadxが存在しない場合、ダウンロードを促すプロンプトが表示されます。

使い方

シンプルに：

$ apkleaks -f ~/path/to/file.apk
# ソースから
$ python3 apkleaks.py -f ~/path/to/file.apk
# またはDockerで
$ docker run -it --rm -v /tmp:/tmp dwisiswant0/apkleaks:latest -f /tmp/file.apk

オプション

サポートされているすべてのオプションは以下の通りです。

出力

一般的に、-o引数を指定しない場合、自動的に結果ファイルが生成されます。

[!TIP] デフォルトではテキスト形式でも保存されます。JSON出力が必要な場合は--json引数を使用してください。

パターン

カスタムパターンは、JSONファイル形式で機密性の高い検索ルールを提供するために、次の引数で追加できます：--pattern /path/to/custom-rules.json。ファイルが設定されていない場合、ツールはregexes.jsonファイルにあるデフォルトのパターンを使用します。

カスタムパターンファイルの例は次の通りです：

// custom-rules.json
{
  "Amazon AWS Access Key ID": "AKIA[0-9A-Z]{16}",
  // ...
}

これらのカスタムルールを使用してツールを実行するには、次のコマンドを使用します：

$ apkleaks -f /path/to/file.apk -p rules.json -o ~/Documents/apkleaks-results.txt

逆アセンブラの引数

ユーザーは逆アセンブラの引数を自由に渡すことができます。例えば、jadxの逆コンパイル処理でスレッドを有効にしたい場合、-a/--args引数で追加できます。例：--args="--threads-count 5"。

$ apkleaks -f /path/to/file.apk -a "--deobf --log-level DEBUG"

[!WARNING] 衝突を防ぐために、使用しているデフォルトの逆アセンブラ引数に注意してください。

ライセンス

apkleaksはApache 2のもとで配布されています。

謝辞

このツールにはいくつかの貢献が含まれており、私は無神経な人間ではないので、以下のユーザーに助けとリソースに対して公に感謝します：

• @ndelphit - 彼の刺激的なapkurlgrepのおかげでこのツールが作られました。
• @dxa4481とtruffleHogRegexesに貢献してくれた皆さん。
• @GerbenJavadoと@Bankde - LinkFinderからURL、エンドポイント、そのパラメータを発見するための素晴らしいパターンに感謝します。
• @tomnomnom - gfパターン。
• @pxb1988 - 素晴らしいAPK逆アセンブラdex2jarに感謝します。
• @subho007 - スタンドアロンAPKパーサーに感謝します。
• SHA2048#4361（Discordユーザー） - コードをPython3に移植するのを手伝ってくれたこと。
• @Ry0taK - OSコマンドインジェクションのバグを報告してくれたため。
• @dee__see - 厳選された潜在的に機密性の高いトークンNotKeyHacksに感謝します。
• すべてのコントリビューター。