MobSF

MobSF（Mobile Security Framework）を使うと、スマートフォンアプリのファイルをブラウザにアップロードするだけで、問題になりそうな箇所の一覧を作れます。この記事では、自分で作ったアプリの点検に絞って使い方を説明します。

この記事は、Android や iOS のアプリを作っていて、公開前に安全面を確かめたい人に向けています。読み終えると、次のことができるようになります。

• Docker で MobSF を起動する
• 自作アプリの APK などを静的解析にかけ、結果を読む
• 動的解析に何が必要かを判断する

##MobSF でできること

MobSF は、Android・iOS・Windows のアプリを調べる診断ツールです。調べ方は 2 種類あります。

MobSF には REST API と CLI もあり、CI/CD に組み込んで自動で点検することもできます。

##安全な試し方：自作アプリを静的解析する

まずは動的解析を使わず、静的解析だけを試します。必要なのは Docker だけです。公式ドキュメントは Docker 20.10.0 以上を勧めています。

1. 公式ドキュメントの手順どおりに、最新のイメージを取得して起動します。

   docker pull opensecurity/mobile-security-framework-mobsf:latest
   docker run -it --rm -p 8000:8000 opensecurity/mobile-security-framework-mobsf:latest

2. ブラウザで http://127.0.0.1:8000 を開きます。

3. 初期のユーザー名とパスワード（どちらも mobsf）でログインします。

4. 自分でビルドした APK などをアップロードします。解析が終わると、結果のページが表示されます。

5. 権限や設定の指摘を見て、意図したとおりになっているかを確かめます。

この起動方法は --rm を付けているので、止めるとコンテナごと消え、中に保存された解析結果も残りません。結果を残したいときは、公式の「Docker のオプション」にある手順で、手元のフォルダをコンテナの /home/mobsf/.MobSF にマウントします。

##動的解析に必要なもの

動的解析では、MobSF を起動する前に、対応する Android の仮想端末か実機を動かしておく必要があります。公式ドキュメントが挙げている主な環境は次のとおりです。

root 化した Android での完全な対応は、Android 11（API 30）までです。それより新しい版や root 化していない端末は、v4.6.0 以降の Frida Gadget モード（ベータ）で扱うと説明されています。このモードはアプリに手を加えて署名し直すので、アプリの署名が変わります。なお、この記事を書いた時点で GitHub の最新リリースは v4.5.3 です。実機と Frida Gadget モードを使う場合は、手元の版が対応しているかを確かめてください。

動的解析で起動するときは、端末の識別子を MOBSF_ANALYZER_IDENTIFIER で渡し、ポート 1337 も開けます。

docker run -it --rm \
    -p 8000:8000 \
    -p 1337:1337 \
    -e MOBSF_ANALYZER_IDENTIFIER=<adb device identifier> \
    opensecurity/mobile-security-framework-mobsf:latest

Linux では、--add-host=host.docker.internal:host-gateway の追加も必要です。識別子の調べ方は、公式の Dynamic Analyzer のページに環境ごとに書かれています。

##注意点

##次に読む

• cd ../ghidraGhidraコンパイル済みのプログラムを読むためのリバースエンジニアリングツール
• cd ../zapOWASP ZAPWeb アプリの通信を中継して点検するツール
• cat ~/guides/lab-setup.md安全な検証環境の作り方