一款专注于源代码之外的安全问题（如资源字符串、第三方库和配置文件）的 Android 和 iOS 应用程序静态分析工具。
需要 Python 3，所需模块可在 requirements.txt 文件中找到。仅在 Python 3.7 上测试过，但应能兼容其他 3.x 版本。目前暂无支持 2.x 的计划。
你可以通过 PIP 安装，方法如下：
pip install truegaze
truegaze
要手动下载并运行，请执行以下操作：
git clone https://github.com/nightwatchcybersecurity/truegaze.git
cd truegaze
pip install -r requirements.txt
python -m truegaze.cli
列出模块：
truegaze list
扫描一个应用程序：
truegaze scan test.apk
truegaze scan test.ipa
扫描多个应用程序：
truegaze scan *.apk
truegaze scan *.ipa
列出模块：
user@localhost:~/$ truegaze list
Total active plugins: 3
+----------------+-------------------------------------------+---------+-------+
| Name | Description | Android | iOS |
+----------------+-------------------------------------------+---------+-------+
| AdobeMobileSdk | Detection of incorrect SSL configuration | True | True |
| | in the Adobe Mobile SDK | | |
+----------------+-------------------------------------------+---------+-------+
| FirebasePlugin | Detection of insecure Firebase databases | True | False |
| | and GCP storage buckets | | |
+----------------+-------------------------------------------+---------+-------+
| WeakKeyPlugin | Detection of weak Android signing keys | True | False |
+----------------+-------------------------------------------+---------+-------+
扫描一个应用程序：
user@localhost:~/$ truegaze scan ~/test.ipa
Identified as an iOS application via a manifest located at: Payload/IPAPatch-DummyApp.app/Info.plist
Scanning using the "AdobeMobileSdk" plugin
-- Found 1 configuration file(s)
-- Scanning "Payload/IPAPatch-DummyApp.app/Base.lproj/ADBMobileConfig.json'
---- FOUND: The ["analytics"]["ssl"] setting is missing or false - SSL is not being used
---- FOUND: The ["remotes"]["analytics.poi"] URL doesn't use SSL: http://assets.example.com/c234243g4g4rg.json
---- FOUND: The ["remotes"]["messages"] URL doesn't use SSL: http://assets.example.com/b34343443egerg.json
---- FOUND: A "templateurl" in ["messages"]["payload"] doesn't use SSL: http://my.server.com/?user={user.name}&zip={user.zip}&c16={%sdkver%}&c27=cln,{a.PrevSessionLength}
---- FOUND: A "templateurl" in ["messages"]["payload"] doesn't use SSL: http://my.43434server.com/?user={user.name}&zip={user.zip}&c16={%sdkver%}&c27=cln,{a.PrevSessionLength}
Done!
显示已安装版本：
user@localhost:~/$ truegaze version
Current version: v0.2
大多数扫描在离线状态下运行，无需访问互联网。要运行需要在线访问的扫描，请使用 --online 选项。请合法使用。
该应用为命令行工具，由多个模块组成，用于检查各种漏洞。每个模块独立执行扫描，所有结果将打印到命令行。
请使用 GitHub issue 跟踪器报告问题或建议新功能： https://github.com/nightwatchcybersecurity/truegaze
您也可以发送电子邮件至 research /at/ nightwatchcybersecurity [dot] com
"True Gaze" 或 "Истинное Зрение" 是一种能够揭示隐形之物的魔法咒语（出自谢尔盖·卢基扬年科的《最后的守望者》）。