nightwatchcybersecurity/truegazeAndroid/iOS 앱을 위한 정적 분석 도구로, 소스 코드 외부의 보안 문제에 초점을 맞춥니다.
Android 및 iOS 애플리케이션을 위한 정적 분석 도구로, 소스 코드 외부의 리소스 문자열, 타사 라이브러리 및 구성 파일과 같은 보안 문제에 중점을 둡니다.
Python 3이 필요하며, 필요한 모든 모듈은 requirements.txt 파일에서 찾을 수 있습니다. Python 3.7에서만 테스트했지만 다른 3.x 릴리스에서도 작동할 것입니다. 현재 2.x 지원 계획은 없습니다.
다음과 같이 PIP를 통해 설치할 수 있습니다.
pip install truegaze
truegaze
수동으로 다운로드하여 실행하려면 다음을 수행하십시오.
git clone https://github.com/nightwatchcybersecurity/truegaze.git
cd truegaze
pip install -r requirements.txt
python -m truegaze.cli
모듈을 나열하려면:
truegaze list
애플리케이션을 스캔하려면:
truegaze scan test.apk
truegaze scan test.ipa
여러 애플리케이션을 스캔하려면:
truegaze scan *.apk
truegaze scan *.ipa
모듈 나열:
user@localhost:~/$ truegaze list
Total active plugins: 3
+----------------+-------------------------------------------+---------+-------+
| Name | Description | Android | iOS |
+----------------+-------------------------------------------+---------+-------+
| AdobeMobileSdk | Detection of incorrect SSL configuration | True | True |
| | in the Adobe Mobile SDK | | |
+----------------+-------------------------------------------+---------+-------+
| FirebasePlugin | Detection of insecure Firebase databases | True | False |
| | and GCP storage buckets | | |
+----------------+-------------------------------------------+---------+-------+
| WeakKeyPlugin | Detection of weak Android signing keys | True | False |
+----------------+-------------------------------------------+---------+-------+
애플리케이션 스캔:
user@localhost:~/$ truegaze scan ~/test.ipa
Identified as an iOS application via a manifest located at: Payload/IPAPatch-DummyApp.app/Info.plist
Scanning using the "AdobeMobileSdk" plugin
-- Found 1 configuration file(s)
-- Scanning "Payload/IPAPatch-DummyApp.app/Base.lproj/ADBMobileConfig.json'
---- FOUND: The ["analytics"]["ssl"] setting is missing or false - SSL is not being used
---- FOUND: The ["remotes"]["analytics.poi"] URL doesn't use SSL: http://assets.example.com/c234243g4g4rg.json
---- FOUND: The ["remotes"]["messages"] URL doesn't use SSL: http://assets.example.com/b34343443egerg.json
---- FOUND: A "templateurl" in ["messages"]["payload"] doesn't use SSL: http://my.server.com/?user={user.name}&zip={user.zip}&c16={%sdkver%}&c27=cln,{a.PrevSessionLength}
---- FOUND: A "templateurl" in ["messages"]["payload"] doesn't use SSL: http://my.43434server.com/?user={user.name}&zip={user.zip}&c16={%sdkver%}&c27=cln,{a.PrevSessionLength}
Done!
설치된 버전 표시:
user@localhost:~/$ truegaze version
Current version: v0.2
대부분의 스캔은 오프라인으로 실행되며 인터넷 액세스가 필요하지 않습니다. 온라인 액세스가 필요한 스캔을 실행하려면 "--online" 옵션을 사용하십시오. 합법적으로 사용해 주십시오.
이 애플리케이션은 명령줄 방식이며, 다양한 취약점을 확인하는 여러 모듈로 구성됩니다. 각 모듈은 자체 스캔을 수행하며 모든 결과가 명령줄에 출력됩니다.
문제를 보고하거나 기능을 제안하려면 GitHub 이슈 트래커를 사용해 주십시오: https://github.com/nightwatchcybersecurity/truegaze
research /at/ nightwatchcybersecurity [dot] com으로 이메일을 보낼 수도 있습니다.
'True Gaze' 또는 'Истинное Зрение'은 보이지 않는 것을 드러내는 마법 주문입니다 (세르게이 루키야넨코의 책 'Last Watch'에서 발췌).