IPArse Service

!GitHub !GitHub !GitHub Issues or Pull Requests by label !License

镜像概述和主要用途

IPArse Service是Assemblyline 4框架中的IPA(iOS)信息提取服务，专门用于从IPA包文件中提取关键信息。该服务作为Assemblyline框架的一部分，提供对iOS应用包的深度分析能力。

核心功能和特性

该服务在可用时将输出以下信息：

1. 识别捆绑包的主要可执行文件。

2. 列出所有PLIST文件数据，并识别已知键（在keys.json文件中列出）和未知键

   结果中的标记值：

   • file.plist.installer_url
   • file.plist.build.machine_os
   • file.plist.cf_bundle.development_region
   • file.plist.cf_bundle.display_name
   • file.plist.cf_bundle.executable
   • file.plist.cf_bundle.identifier
   • file.plist.cf_bundle.name
   • file.plist.cf_bundle.pkg_type
   • file.plist.cf_bundle.version.short
   • file.plist.cf_bundle.signature
   • file.plist.cf_bundle.url_scheme
   • file.plist.cf_bundle.version.long
   • file.plist.dt.compiler
   • file.plist.dt.platform.build
   • file.plist.dt.platform.name
   • file.plist.dt.platform.version
   • file.plist.ls.background_only
   • file.plist.ls.min_system_version
   • file.plist.min_os_version
   • file.plist.ns.apple_script_enabled
   • file.plist.ns.principal_class
   • file.plist.request_open_access
   • file.plist.ui.background_modes
   • file.plist.ui.requires_persistent_wifi
   • file.plist.wk.app_bundle_identifier

3. 显示PkgInfo文件中的信息

4. 标记潜在感兴趣的文件，例如证书和plist文件。

5. 使用FrankenStrings Patterns模块检测IOC模式。

使用场景和适用范围

IPArse Service专为移动应用安全分析场景设计，适用于：

• iOS应用安全评估和审查
• 移动恶意软件分析
• IPA包元数据提取和审查
• 应用程序配置分析
• 潜在安全问题识别

该服务作为Assemblyline框架的一部分，最适合集成到自动化安全分析管道中，但也支持独立测试运行。

镜像变体和标签

Assemblyline服务基于Assemblyline服务基础镜像构建，该基础镜像基于Debian 11并包含Python 3.11。

Assemblyline服务使用以下标签定义：

详细使用方法和配置说明

前提条件

• Docker引擎
• Assemblyline框架（推荐，用于完整功能）

本地测试运行

如果您想在本地测试此服务，可以直接从shell运行Docker镜像：

docker run \
    --name Iparse \
    --env SERVICE_API_HOST=[***] addr show docker0 | grep "inet " | awk '{print $2}' | cut -f1 -d"/"):5003 \
    --network=host \
    cccs/assemblyline-service-iparse

环境变量配置

集成到Assemblyline部署

要将此服务添加到您的Assemblyline部署中，请遵循官方指南。

参考文档

• Assemblyline官方文档
• Assemblyline服务基础镜像
• GitHub仓库