exodusprivacy/exodus-standalone

εxodus standalone

https://github.com/Exodus-Privacy/exodus-standalone/actions/workflows/main.yml/badge.svg?branch=master](https://github.com/Exodus-Privacy/exodus-standalone/actions/workflows/main.yml)

εxodus CLI客户端，用于本地APK静态分析。

概述

εxodus-standalone是Exodus Privacy提供的命令行工具，旨在对APK文件进行本地静态分析，帮助检测应用中包含的跟踪器、权限及其他关键信息。通过Docker镜像可快速使用，也支持手动部署，适用于开发者在本地环境或持续集成流程中对APK进行安全性和隐私性检查。

核心功能和特性

• APK静态分析：解析APK文件获取应用元数据（版本、包名、权限等）
• 跟踪器检测：识别APK中包含的跟踪器组件
• 多输出格式：支持文本报告和JSON格式输出，便于结果查看和集成
• CI集成：可集成到GitLab CI/CD等持续集成管道，自动化APK审计

使用场景和适用范围

• 移动应用开发者本地检测APK中的跟踪器和权限
• 安全审计人员对APK进行静态安全分析
• 持续集成流程中自动检测APK是否包含跟踪器

使用方法和配置说明

使用Docker

分析APK最简单的方式是使用https://hub.docker.com/r/exodusprivacy/exodus-standalone%E3%80%82

进入APK文件所在目录，执行以下命令：

bash
docker run -v $(pwd)/<你的APK文件>:/app.apk --rm -i exodusprivacy/exodus-standalone

手动使用

安装

克隆仓库：

bash
git clone https://github.com/Exodus-Privacy/exodus-standalone.git
cd exodus-standalone

安装dexdump：

bash
sudo apt-get install dexdump

创建Python虚拟环境：

bash
sudo apt-get install virtualenv
virtualenv venv -p python3
source venv/bin/activate

下载并安装依赖：

bash
pip install -r requirements.txt

分析APK文件

使用说明

bash
$ ./exodus_analyze.py -h
用法: exodus_analyze.py [选项] apk_file

选项:
  -h, --help            显示此帮助信息并退出
  -t, --text            打印文本报告（默认）
  -j, --json            打印JSON报告
  -o OUTPUT_FILE, --output=OUTPUT_FILE
                        将JSON报告存储到文件（需要-j选项）

文本输出

bash
./exodus_analyze.py my_apk.apk

运行exodus_analyze.py前请确保已激活Python虚拟环境。

示例:

bash
=== 信息
- APK路径: /tmp/tmp1gzosyt4/com.semitan.tan.apk
- APK校验和: 8e85737be6911ea817b3b9f6a80290b85befe24ff5f57dc38996874dfde13ba7
- 应用版本: 5.7.0
- 应用版本代码: 39
- 应用名称: Tan Network
- 应用包名: com.semitan.tan
- 应用权限: 9
    - android.permission.INTERNET
    - android.permission.ACCESS_NETWORK_STATE
    - android.permission.ACCESS_FINE_LOCATION
    - android.permission.WRITE_EXTERNAL_STORAGE
    - android.permission.READ_PHONE_STATE
    - android.permission.VIBRATE
    - com.semitan.tan.permission.C2D_MESSAGE
    - com.google.android.c2dm.permission.RECEIVE
    - android.permission.WAKE_LOCK
- 应用库: 0
=== 发现的跟踪器
 - Google Analytics
 - Google Ads
 - Google DoubleClick

JSON输出

bash
./exodus_analyze.py -j [-o report.json] my_apk.apk

运行exodus_analyze.py前请确保已激活Python虚拟环境。

示例JSON输出:

json
{
  "trackers": [
    {
      "id": 70,
      "name": "Facebook Share"
    },
    [...]
  ],
  "apk": {
    "path": "com.johnson.nett.apk",
    "checksum": "70b6f0d9df432c66351a587df7b65bea160de59e791be420f0e68b2fc435429f"
  },
  "application": {
    "version_code": "15",
    "name": "Nett",
    "permissions": [
      "android.permission.INTERNET",
      "android.permission.ACCESS_NETWORK_STATE",
      "android.permission.WRITE_EXTERNAL_STORAGE",
      "android.permission.READ_PHONE_STATE",
      "android.permission.READ_EXTERNAL_STORAGE",
      "android.permission.WAKE_LOCK",
      "com.google.android.c2dm.permission.RECEIVE",
      "com.johnson.nett.permission.C2D_MESSAGE"
    ],
    "version_name": "1.1.12",
    "libraries": [],
    "handle": "com.johnson.nett"
  }
}

注意事项

该工具使用dexdump，且仅提供GNU/Linux x86_64版本。

从εxodus实例下载APK

在项目目录中创建config.py文件，指定以下内容：

python
CONFIG = {
    'username': 'alice',
    'password': 'bob',
    'host': 'http://localhost:8000'
}

运行

bash
./exodus_download.py 15 /tmp/

运行exodus_download.py前请确保已激活Python虚拟环境。

输出示例

bash
./exodus_download.py 15 /tmp/
登录成功
正在下载APK...
APK下载成功: /tmp/fr.meteo.apk

持续集成

您可以在CI流水线中使用εxodus-standalone。

以下是一些集成示例。

⚠️ 注意：如果发现任何跟踪器，任务将失败。

GitLab CI/CD

yaml
exodus_scan:
  stage: audit
  image:
    name: exodusprivacy/exodus-standalone:latest
    entrypoint: [""]
  script:
    - python /exodus_analyze.py [你的APK路径]