一款适用于以HW行动/红队/渗透测试团队为场景的移动端(Android、iOS、WEB、H5、静态网站)信息收集扫描工具,可以帮助渗透测试工程师、攻击队成员、红队成员快速收集到移动端或者静态WEB站点中关键的资产信息并提供基本的信息输出,如:Title、Domain、CDN、指纹信息、状态信息等。
-
支持目录级别的批量扫描
-
支持DEX、APK、IPA、MACH-O、HTML、JS、Smali、ELF等文件的信息收集
-
支持APK、IPA、H5等文件自动下载并进行一键信息收集
-
支持自定义请求头、请求报文、请求方法
-
支持规则自定义,随心自定义扫描规则
-
支持自定义忽略资源文件
-
支持自定义配置Android壳规则
-
支持自定义配置中间件规则
-
支持Android加固壳、iPA官方壳的检测
-
支持IP地址、URL地址、中间件(json组件和xml组件)的信息采集
-
支持Android对应包名下内容的采集
-
支持网络嗅探功能,可以提供基本的信息输出
-
支持Windows系统、MacOS系统、*nux系列的系统
-
具备简单的AI识别功能,可以快速过滤三方URL地址
-
指纹识别模块
-
添加国际化语言包
-
一键对APK文件进行自动修复
-
识别到壳后自动进行脱壳处理
AppInfoScanner
|-- libs 程序的核心代码
|-- core
|-- __init__.py 全局配置信息
|-- parses.py 用于解析文件中的静态信息
|-- download.py 用于自动下载APP或者H5页面
|-- net.py 用于进行网络嗅探,并获取基本信息
|-- task
|-- __init__.py 目录初始化文件
|-- base_task.py 统一任务调度中心
|-- android_task.py 用于处理Android相关的任务
|-- download_task.py 用于处理自动下载APP或者H5的任务
|-- ios_task.py 用于处理iOS相关的任务
|-- net_task.py 用于处理网络嗅探相关任务
|-- web_task.py 用于处理Web相关的任务,比如网页右键源代码、H5相关的静态信息
|-- tools 程序需要依赖的工具
|-- apktool.jar 用于反编译apk文件,不同平台可能需要进行自我切换
|-- baksmali.jar 用于反编译dex文件,不同平台可能需要进行自我切换
|-- strings.exe 用于windows 32下获取iPA的字符串信息
|-- strings64.exe 用于windows 64的系统获取iPA的字符串信息
|-- __init__.py 目录初始化文件
|-- app.py 主运行程序
|-- config.py 整个程序的配置文件
|-- README.md 程序使用说明
|-- requirements.txt 程序中需要安装的依赖库
|-- update.md 程序历史版本信息
-
下载
git clone https://github.com/kelvinBen/AppInfoScanner.git
或者复制以下链接到浏览器下载最新正式版本
https://github.com/kelvinBen/AppInfoScanner/releases/latest
国内快速下载通道:
git clone https://gitee.com/kelvin_ben/AppInfoScanner.git
2. 安装依赖库
cd AppInfoScanner
python -m pip install -r requirements.txt
-
运行(基础版)
-
扫描Android应用的APK文件、DEX文件、需要下载的APK文件下载地址、保存需要扫描的文件的目录
python app.py android -i <Your APK File or DEX File or APK Download Url or Save File Dir>
-
扫描iOS应用的IPA文件、Mach-o文件、需要下载的IPA文件下载地址、保存需要扫描的文件目录
python app.py ios -i <Your IPA file or Mach-o File or IPA Download Url or Save File Dir>
-
扫描Web站点的文件、目录、需要缓存的站点URl
python app.py web -i <Your Web file or Save Web Dir or Web Cache Url>
还有很多用法详细见作者github地址介绍
https://github.com/kelvinBen/AppInfoScanner
注:本文中提到的漏洞验证 poc 或工具仅用于授权测试,任何未经授权的测试均属于非法行为。任何人不得利用本文中的技术手段或工具进行非法攻击和侵犯他人的隐私和财产权利。一旦发生任何违法行为,责任自负。
原文始发于微信公众号(扫地僧的茶饭日常):[工具篇] AppInfoScanner移动端信息收集工具
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论