---

Зачем

Приложения Flutter прячут свою логику в libapp.so, поставляют 100-мегабайтное ядро Dart в debug-сборках и закапывают API-ключи в ресурсах, resources.arsc и библиотеках нативной мостовой связи. Обычный совет — «декомпилируйте его на десктопе этим инструментарием» — медленный, не работает с обфусцированными AOT- снимками и требует соответствующего Dart SDK.

FlutterGuard делает ту часть, которая работает с телефона: он читает APK, который ОС уже предоставляет, разбирает важные форматы (бинарный XML, resources.arsc, строки DEX, пул строк libapp.so, kernel_blob.bin, NOTICES.Z, env-файлы, X.509-блоки) и формирует отчёт с доказательствами — полностью офлайн, без root, без перехвата.

Он создан для многократного запуска: каждый скан помечается и сохраняется, поэтому второй скан покажет, что изменилось между двумя версиями одного и того же приложения. Именно в этом диффе и находятся настоящие находки.

Скриншоты

Инвентаризация приложения	Оценка отчёта	Находки

Сервисы и SDK	Настройки	Конфиденциальность

Материалы для магазина и текст листинга · Иконка приложения · Графика для магазина

Выберите изображение, чтобы просмотреть полноразмерный предпросмотр для магазина.

Что он находит

Артефакт — пакет, версия, диапазон SDK, ABI, размер, количество split-ов, хеш базового APK, каждая нативная библиотека с её размером и префиксом SHA-256, установщик, схема подписи (v1/v2/v3/v4), DN подписанта и отпечатки сертификатов, обнаружение debug-сертификата.

Особенности Flutter — действительно ли это Flutter, AOT или debug (JIT-ядро), размер kernel_blob.bin, наличие JIT-снимка, версия движка Dart, состояние обфускации, инвентаризация пакетов Dart, восстановленная из NOTICES.Z и URI package:, и отпечаток, который можно передать для последующей работы на десктопе (Blutter/reFlutter нужна точная сборка движка).

Риски манифеста — разрешения, экспортированные activity/service/receiver/provider, debuggable, backup, политика cleartext, конфигурация сетевой безопасности (base-config против domain-config, cleartext только для loopback, доверие к пользовательским CA, наборы pin-ов, debug-overrides), deep links, агрегированные по схеме.

Секреты и эндпоинты — API-ключи (Google, AWS, Stripe, Supabase, Sentry, Firebase, OpenAI, GitHub, Slack, Sendgrid, Telegram), OAuth client ID, JWT-подобные блобы, URI БД/брокеров со встроенными учётными данными, блоки приватных ключей с реальным телом, встроенные сертификаты X.509 (собираемые из строк тела PEM, когда дамп их разделяет), имена Dart --dart-define и файлы .env/.env.prod с подсчётом учётных данных.

Эндпоинты — хосты по всем источникам, классифицированные как first-party / staging / internal / saas:X / ip-literal, списки эндпоинтов из конфигураций сервисов YAML/TOML (в стиле uri: btc-electrum.example:50002), API-маршруты из снимка Dart, восстановленные пути к исходникам, флаги риска WebView, инвентаризация MethodChannel с разделением на app / plugin / standard.

Нативная поверхность — flutter_rust_bridge и другие FFI-мосты, количество точек входа JNI Java_*.

Сторонняя поверхность и поверхность ИИ — таблица фингерпринтов SDK охватывает ~135 сервисов, каждый сопоставляется по пути в zip, дескриптору DEX, pub-пакету или хосту: всё от Firebase, Play Services, биллинга, рекламы и атрибуции до аутентификации (Auth0, Clerk, Appwrite, Stytch, WorkOS), realtime (Agora, LiveKit, Stream, Sendbird), платежей (Stripe, RevenueCat, PayPal, Paddle), бэкендов (PocketBase, Nhost, Supabase) и векторных хранилищ. Провайдеры больших языковых моделей инвентаризируются по отдельности — OpenAI, Anthropic, Gemini, Groq, Mistral, Cohere, DeepSeek, OpenRouter, Together, Fireworks, Perplexity, xAI, HuggingFace, Replicate, Bedrock, DashScope, Moonshot, GLM, MiniMax, ElevenLabs, Stability — плюс локальные среды выполнения, сигнализируемые через localhost:11434 (Ollama) и localhost:1234 (LM Studio) и :8188 ComfyUI. Тот же проход называет рекламные, аналитические и crash-SDK, которые поставляет приложение, что обычно является самой неожиданной частью отчёта.