使用说明
Features · Installation · Tools · Usage · Contributing · Security
移动安全mcp 是一个 MCP（模型上下文协议） 服务器，使Claude和任何兼容MCP的AI客户端能够通过自然语言对话分析Android APK和iOS IPA文件的安全问题。
安全研究人员、移动前端和应用程序开发人员现在只需询问Claude就可以审核权限、提取API端点、检测硬编码机密、检查Firebase配置并枚举第三方SDK，无需编写脚本。
特性
安卓
| 工具 | 它做什么 |
|---|---|
apk_manifest_analyzer |
解析 AndroidManifest.xml --旗帜 debuggable, allowBackup、导出组件、意图过滤器 |
apk_permissions_checker |
将所有权限分类为 危险的 与正常情况相比，有风险解释 |
android_api_extractor |
分解smali字节码以提取Retrofit HTTP端点和OkHttp3字段 |
android_google_services |
从中提取Firebase/GCP配置 google-services.json 和 resources.arsc 字符串值 |
android_secrets_scanner |
扫描DEX字节码+ resources.arsc +用于硬编码API密钥和凭证的资产 |
iOS
| 工具 | 它做什么 |
|---|---|
ios_manifest_analyzer |
解析 Info.plist --标记ATS错误配置、URL方案、后台模式 |
ios_permissions_checker |
按以下方式对隐私许可声明进行分类 高/中/低 风险 |
ios_entitlements_checker |
通过以下方式提取权利 codesign --旗帜 get-task-allow，沙盒绕过，iCloud容器 |
ios_binary_strings |
从Mach-O二进制文件中提取URL、电子邮件、IP和API密钥模式 |
ios_frameworks_detector |
列出捆绑的框架、地图~ 60个已知的SDK（分析、广告、归因、崩溃报告） |
ios_google_services |
解析 GoogleService-Info.plist 对于完整的Firebase配置 |
ios_secrets_scanner |
扫描应用程序二进制文件+资源文件，查找硬编码的机密和凭据 |
共享模式注册表
所有秘密和谷歌服务检测模式都存在于一个单一的 patterns.ts --易于扩展，适用于Android和iOS扫描仪。
安装
npm install -g mobile-security-mcp
配置Claude桌面
添加到您的 claude_desktop_config.json:
{
"mcpServers": {
"mobile-security-mcp": {
"command": "npx",
"args": ["mobile-security-mcp"]
}
}
}
配置文件位置：
- macOS：
~/Library/Application Support/Claude/claude_desktop_config.json - 窗户：
%APPDATA%\Claude\claude_desktop_config.json
从源代码运行
git clone https://github.com/Serhatcck/mobile-security-mcp.git
cd mobile-security-mcp
npm install && npm run build
{
"mcpServers": {
"mobile-security-mcp": {
"command": "node",
"args": ["/absolute/path/to/mobile-security-mcp/dist/index.js"]
}
}
}
用法
配置后，重新启动Claude Desktop并开始对话：
“分析/path/to/app.apk中的权限”
“检查此IPA中的硬编码API密钥：/path/to/app.IPA”
“此APK使用哪些Firebase服务？”
“此APK中是否有任何导出的组件可能是攻击面？”
“显示此iOS应用程序中的所有第三方SDK，并标记任何隐私风险”
先决条件
安卓：
apktool--需要android_api_extractor(brew install apktool)aapt（可选）--加速清单解析，这是Android SDK构建工具的一部分
iOS（仅限macOS）：
codesign,plutil,strings--全部内置于macOS中，无需安装
工具
apk_manifest_analyzer
Input: apk_path (string)
Output: Package info, security flags, components, intent filters, warnings
apk_permissions_checker
Input: apk_path (string)
Output: Dangerous permissions (highlighted) + normal permissions + risk summary
android_api_extractor
Input: apk_path OR smali_folder (string), output_format (txt|postman)
Output: Retrofit HTTP endpoints or Postman collection JSON
android_google_services
Input: apk_path (string), smali_folder (optional)
Output: Firebase project ID, API keys, database URL, storage bucket, OAuth clients
android_secrets_scanner
Input: apk_path (string), smali_folder (optional), min_length (default 8)
Output: Hardcoded credentials found in DEX + resources.arsc + assets
ios_manifest_analyzer
Input: ipa_path (string)
Output: Bundle info, ATS settings, URL schemes, background modes, warnings
ios_permissions_checker
Input: ipa_path (string)
Output: Privacy permissions grouped by HIGH/MEDIUM/LOW risk with usage descriptions
ios_entitlements_checker
Input: ipa_path (string)
Output: Entitlements extracted from binary, high-risk flags, simulator detection
ios_binary_strings
Input: ipa_path (string), filter (all|url|key|email|ip), min_length (default 6)
Output: Filtered strings from Mach-O binary
ios_frameworks_detector
Input: ipa_path (string)
Output: Bundled frameworks grouped by category with privacy risk annotations
ios_google_services
Input: ipa_path (string)
Output: Full GoogleService-Info.plist contents + pattern scan of resource files
ios_secrets_scanner
Input: ipa_path (string), min_length (default 8)
Output: Secrets found in resource files and binary, split by layer with severity
演示
重新生成 家用录像系统:
brew install charmbracelet/tap/vhs && vhs docs/demo.tape
贡献
看 贡献.md 开发设置、如何添加新工具以及PR指南。
安全
看 安全.md 如何私下报告漏洞。
更新日志
看 更改日志.md.
