6、自动化扫描工具：MobSF搭建与使用、AndroBugs、QARK
说到自动化扫描，我得先坦白一件事。刚入行那会儿，我总觉得手工测试才是真本事，自动化工具嘛，花架子。直到有一次项目排期紧得离谱，三天要测完二十个应用，我才老老实实把 MobSF 请了出来。结果呢？不仅按时交差，还顺手揪出了几个我手工漏掉的漏洞。嗯，从那以后，我的工具箱里就再也没缺过这几把刷子。
今天聊的三个工具——MobSF、AndroBugs、QARK，各有各的脾气。我按自己的使用习惯，把它们分成了三类：全能选手、专精选手、代码审计选手。你想想看，一个团队里总得有不同角色对吧？工具也一样。
6.1 MobSF：移动安全框架，一站式搞定
MobSF 全称 Mobile Security Framework，是目前我用过最顺手的 Android 安全分析平台。它把静态分析、动态分析、API 测试全揉在了一起。说白了，你扔一个 APK 进去，它就能吐出一份带漏洞详情、风险等级、甚至修复建议的报告。
6.1.1 搭建 MobSF
搭建其实不复杂。我个人习惯用 Docker，省心。你只要确保机器上装了 Docker，然后跑下面这几行命令：
docker pull opensecurity/mobile-security-framework-mobsf
docker run -it -p 8000:8000 opensecurity/mobile-security-framework-mobsf
等容器跑起来，浏览器打开 http://localhost:8000，就能看到 MobSF 的界面了。我第一次搭的时候，大概花了十分钟。嗯，主要是等镜像下载。
6.1.2 使用 MobSF 做静态分析
上传 APK 后，MobSF 会做以下几件事：
- 反编译：把 APK 拆成 Smali 代码和资源文件
- 权限分析：列出所有声明的权限，并标记高危项
- 代码扫描：匹配已知的漏洞模式，比如 WebView 远程代码执行、不安全的文件存储
- 证书检查：看你是不是用了自签名证书或者关闭了 SSL Pinning
我记得有一次，MobSF 扫出一个「WebView 未禁用 JavaScript 接口」的漏洞。开发说「没事，我们没调那个接口」。结果我手动一测，发现某个第三方 SDK 偷偷注册了 addJavascriptInterface。你看，工具不会骗人，但人会。
6.1.3 动态分析（需真机或模拟器）
MobSF 的动态分析需要你连一台 Android 设备或模拟器。它会自动安装应用、抓取网络流量、监控文件操作。我个人建议用 Genymotion 模拟器，兼容性好，不容易翻车。
6.2 AndroBugs：轻量级，专精漏洞模式匹配
AndroBugs 是我在应急响应场景下的首选。它不像 MobSF 那样大而全，但胜在轻巧、快速、精准。说白了，它就是一个基于 Python 的漏洞模式匹配引擎。你给它一个 APK，它反编译后逐行扫描代码，匹配已知的漏洞签名。
6.2.1 安装与使用
AndroBugs 不需要复杂的搭建。你只要把项目 clone 下来，装好依赖就行：
git clone https://github.com/AndroBugs/AndroBugs_Framework.git
cd AndroBugs_Framework
pip install -r requirements.txt
python androbugs.py -f /path/to/your.apk
跑完之后，它会生成一个 HTML 报告。我特别喜欢它的报告风格——每个漏洞都标了「严重」「高」「中」「低」四个等级，一眼就能看出优先级。
6.2.2 我常用的几个场景
- 快速排查已知漏洞：比如 Log 输出敏感信息、不安全的随机数生成器
- 对比不同版本：同一个应用，上个版本没漏洞，这个版本突然冒出来一堆。用 AndroBugs 扫一遍，差异一目了然
- 集成到 CI/CD：我曾经把它写进 Jenkins 流水线，每次构建完自动扫，扫出高危漏洞直接阻断发布
6.3 QARK：代码审计的瑞士军刀
QARK 全称 Quick Android Review Kit，是 LinkedIn 开源的工具。它跟 AndroBugs 有点像，但更侧重代码审计和漏洞链分析。什么意思呢？就是它不光告诉你「这里有个洞」，还会告诉你「这个洞跟那个洞连起来，能形成一条攻击路径」。
6.3.1 安装与运行
QARK 也是 Python 写的，安装很简单：
pip install qark
qark --apk /path/to/your.apk
跑完之后，它会生成一个 qark_report.html。我个人觉得 QARK 的报告比 AndroBugs 更详细，每个漏洞都附了代码片段和修复建议。
6.3.2 QARK 的独特之处
- 漏洞链分析：比如一个 Activity 被导出，同时 Intent 里带了敏感数据，QARK 会把它俩串起来，告诉你「这是一个完整的攻击链」
- 自定义规则：你可以写自己的漏洞检测规则，适合企业内部的安全规范
- 支持源码分析：如果你有源码，QARK 可以直接分析 Java 文件，不用非得 APK
6.4 三款工具对比
为了方便你选型，我整理了一张对比表。你想想看，不同场景用不同工具，效率才能拉满。
| 特性 | MobSF | AndroBugs | QARK |
|---|---|---|---|
| 部署难度 | 中等（推荐 Docker） | 低（纯 Python） | 低（纯 Python） |
| 静态分析 | ★★★★★ | ★★★★ | ★★★★★ |
| 动态分析 | ★★★★ | 无 | 无 |
| 漏洞链分析 | 无 | 无 | ★★★★ |
| 报告可读性 | ★★★★★ | ★★★★ | ★★★★ |
| CI/CD 集成 | 中等 | 容易 | 容易 |
| 适合场景 | 全量安全评估 | 快速扫描/应急 | 代码审计/漏洞链 |
6.5 知识体系图：自动化扫描工具的核心逻辑
下面这张图，是我自己总结的自动化扫描工具工作流程。你一看就明白，这些工具到底在背后干了什么。
你看，整个流程其实不复杂。输入 APK 或源码，反编译成可读的代码，然后分两条路走——静态分析扫代码里的漏洞模式，动态分析（MobSF 专属）跑起来看运行时行为。最后合并成一份报告。嗯，就这么简单。
6.6 我的建议：怎么选？怎么搭？
如果你问我，日常工作中怎么搭配这三款工具，我的答案是：
- 日常全量扫描：用 MobSF。它最全面，报告最漂亮，适合给客户或领导看
- 快速排查或应急：用 AndroBugs。轻量、快速，适合集成到 CI/CD 流水线
- 深度代码审计：用 QARK。特别是你想挖漏洞链的时候，它比另外两个都强
我个人习惯是：先跑 MobSF 做一轮全量扫描，拿到整体风险画像。然后针对高危模块，用 QARK 做深度审计。最后，如果时间紧，再用 AndroBugs 快速验证一下修复效果。三把刷子轮着用，基本不会漏。
公众号:蓝海资料掘金营，微信deep3321