MASTG-TOOL-0040 MobSF for iOS

MobSF を macOS ホスト上でローカルに実行することで、クラスダンプの出力が若干改善します。

MobSF を起動したら、ブラウザで http://127.0.0.1:8000 に移動して開くことができます。解析したい IPA をアップロードエリアにドラッグするだけで、MobSF はジョブを開始します。

MobSF の解析が終わると、実行されたすべてのテストの概要を一ページにまとめます。このページは複数のセクションに分かれており、アプリケーションの攻撃対象領域に関する最初のヒントをいくつか提供します。

以下が表示されます。

• アプリとそのバイナリファイルに関する基本情報。

• いくつかのオプション:

  • Info.plist ファイルを表示します。

  • アプリバイナリに含まれる文字列を表示します。

  • アプリが Objective-C で記述されている場合はクラスダンプをダウンロードします。Swift で記述されている場合はクラスダンプを作成できません。

• Info.plist ファイルから、アプリのパーミッションに関するヒントを与えるすべての目的文字列をリストします。

• App Transport Security (ATS) 設定の例外がリストされます。

• フリーのバイナリセキュリティ機能がアクティブ化されているかどうかや、禁止された API をバイナリが使用しているかどうかなどを示す簡単なバイナリ解析。

• アプリバイナリで使用されるライブラリのリストと、展開された IPA 内のすべてのファイルのリスト。

Android のユースケースとは対照的に、MobSF は iOS アプリ向けの動的解析機能を提供していません。

詳細については MobSF ドキュメント を参照してください。