MASTG-TOOL-0040: iOS 版 MobSF

在 macOS 主机上本地运行 MobSF，您将从稍微更好的 class-dump 输出中受益。

一旦您启动并运行了 MobSF，您可以通过导航到 http://127.0.0.1:8000 在浏览器中打开它。只需将要分析的 IPA 拖到上传区域，MobSF 将开始其工作。

MobSF 完成分析后，您将收到一个包含所有已执行测试的单页概述。该页面分为多个部分，提供有关应用程序攻击面的初步提示。

显示以下内容

  • 有关应用程序及其二进制文件的基本信息。
  • 一些选项：
    • 查看 Info.plist 文件。
    • 查看应用程序二进制文件中包含的字符串。
    • 下载 class-dump（如果应用程序是用 Objective-C 编写的）；如果它是用 Swift 编写的，则无法创建 class-dump。
  • 列出从 Info.plist 提取的所有 Purpose Strings，这些字符串提供有关应用程序权限的一些提示。
  • 将列出应用程序传输安全 (ATS) 配置中的异常。
  • 简要的二进制分析，显示是否激活了免费的二进制安全功能，或者二进制文件是否使用了被禁止的 API。
  • 应用程序二进制文件使用的库列表和解压缩的 IPA 中的所有文件列表。

与 Android 用例相比，MobSF 不为 iOS 应用程序提供任何动态分析功能。

有关更多详细信息，请参阅 MobSF 文档。