nightwatchcybersecurity/truegazeAndroid/iOSアプリ向けの静的解析ツールで、ソースコード外のセキュリティ問題に焦点を当てています。
Android および iOS アプリケーション向けの静的解析ツールで、ソースコード以外のリソース文字列、サードパーティライブラリ、設定ファイルなどのセキュリティ問題に焦点を当てています。
Python 3 が必要です。必要なモジュールは全て requirements.txt ファイルに記載されています。 Python 3.7 でのみテスト済みですが、他の 3.x リリースでも動作するはずです。現時点では 2.x のサポートは予定していません。
以下のように PIP でインストールできます。
pip install truegaze
truegaze
手動でダウンロードして実行する場合は、次の手順に従います。
git clone https://github.com/nightwatchcybersecurity/truegaze.git
cd truegaze
pip install -r requirements.txt
python -m truegaze.cli
モジュール一覧を表示するには:
truegaze list
アプリケーションをスキャンするには:
truegaze scan test.apk
truegaze scan test.ipa
複数のアプリケーションをスキャンするには:
truegaze scan *.apk
truegaze scan *.ipa
モジュール一覧:
user@localhost:~/$ truegaze list
Total active plugins: 3
+----------------+-------------------------------------------+---------+-------+
| Name | Description | Android | iOS |
+----------------+-------------------------------------------+---------+-------+
| AdobeMobileSdk | Detection of incorrect SSL configuration | True | True |
| | in the Adobe Mobile SDK | | |
+----------------+-------------------------------------------+---------+-------+
| FirebasePlugin | Detection of insecure Firebase databases | True | False |
| | and GCP storage buckets | | |
+----------------+-------------------------------------------+---------+-------+
| WeakKeyPlugin | Detection of weak Android signing keys | True | False |
+----------------+-------------------------------------------+---------+-------+
アプリケーションのスキャン:
user@localhost:~/$ truegaze scan ~/test.ipa
Identified as an iOS application via a manifest located at: Payload/IPAPatch-DummyApp.app/Info.plist
Scanning using the "AdobeMobileSdk" plugin
-- Found 1 configuration file(s)
-- Scanning "Payload/IPAPatch-DummyApp.app/Base.lproj/ADBMobileConfig.json'
---- FOUND: The ["analytics"]["ssl"] setting is missing or false - SSL is not being used
---- FOUND: The ["remotes"]["analytics.poi"] URL doesn't use SSL: http://assets.example.com/c234243g4g4rg.json
---- FOUND: The ["remotes"]["messages"] URL doesn't use SSL: http://assets.example.com/b34343443egerg.json
---- FOUND: A "templateurl" in ["messages"]["payload"] doesn't use SSL: http://my.server.com/?user={user.name}&zip={user.zip}&c16={%sdkver%}&c27=cln,{a.PrevSessionLength}
---- FOUND: A "templateurl" in ["messages"]["payload"] doesn't use SSL: http://my.43434server.com/?user={user.name}&zip={user.zip}&c16={%sdkver%}&c27=cln,{a.PrevSessionLength}
Done!
インストール済みバージョンの表示:
user@localhost:~/$ truegaze version
Current version: v0.2
ほとんどのスキャンはオフラインで実行され、インターネットアクセスは必要ありません。オンラインアクセスが必要なスキャンを実行するには、「--online」オプションを使用してください。法令に従って使用してください。
このアプリケーションはコマンドラインベースで、様々な脆弱性をチェックする複数のモジュールで構成されています。各モジュールが独自のスキャンを実行し、全ての結果がコマンドラインに出力されます。
問題の報告や機能の提案は、GitHub の issue トラッカーをご利用ください。 https://github.com/nightwatchcybersecurity/truegaze
メールでの連絡は research /at/ nightwatchcybersecurity [dot] com までお送りください。
「True Gaze」（真実の凝視）または「Истинное Зрение」は、目に見えないものを明らかにする魔法の呪文です（セルゲイ・ルキヤネンコ著「最後の見張り」より）。