技能 apktool
📦

apktool

内容修订 r2 高风险 ⚙️ 外部命令📁 文件系统访问🔑 环境变量

使用 Apktool 分析 Android APK

Android APK 分析可能需要重复执行许多 apktool、清单文件和资源检查步骤。此技能会指导 Claude、Codex 和 Claude Code 完成安全的解包、检查和重新打包工作流。

支持: Claude Codex Code(CC)
⚠️ 38 差

使用我的智能体安装

将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。

智能体请求
Review the Skillstore skill "apktool" from https://skillstore.io/skills/brownfinesecurity-apktool.md and its manifest at https://skillstore.io/api/skills/brownfinesecurity-apktool/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

你的智能体仍应展示其计划，并按安全策略请求必要确认。

Agent 可读资源

当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。

Markdown 详情 GET /skills/brownfinesecurity-apktool.md 已签名 manifest GET /api/skills/brownfinesecurity-apktool/manifest 已签名 lockfile GET /api/skills/brownfinesecurity-apktool/lockfile

测试它

正在使用“apktool”。 Analyze app.apk for security issues.

预期结果:

一份简洁的问题报告，列出权限、导出组件、硬编码端点、资源位置以及建议的后续检查。

正在使用“apktool”。 Troubleshoot an apktool framework error.

预期结果:

一段简短诊断，说明可能缺失的框架文件、修正用的 apktool 步骤，以及何时重试解码。

正在使用“apktool”。 Summarize an IoT companion app assessment.

预期结果:

端点清单、设备通信说明、证书固定线索，以及解码后 APK 内的证据路径。

安全审计

高风险
v9 • 2026/7/23 打开版本化报告

Most static findings are false positives caused by Markdown formatting, literal searches, and legitimate local signing examples. Unquoted shell placeholders create an injection risk, and the credential-testing workflow requires stronger authorization controls despite the ethics notice.

1
已扫描文件
490
分析行数
0
复核项
0
已忽略误报

已确认安全问题 (2)

高
SKILL.md:34SKILL.md:218SKILL.md:393SKILL.md:470
Unquoted shell placeholders permit command injection
Commands place file, directory, tag, and framework placeholders directly into shell examples without quoting. Raw substitution could execute shell metacharacters or inject options.
The placeholders are visibly unquoted in multiple shell commands. Exploitation depends on an agent substituting untrusted text verbatim, so confidence is high but not absolute.
中
SKILL.md:327-330
Credential testing against external devices
The integration workflow tells users to test credentials found in APK resources against IoT devices. This can enable unauthorized access when ownership or scope is unverified.
The credential-testing instruction is explicit. The later authorization and responsible-disclosure rules reduce misuse risk but do not enforce scope before testing.

风险因素

⚙️ 外部命令 (50)
SKILL.md:33-35 SKILL.md:35-38 SKILL.md:38-40 SKILL.md:40-43 SKILL.md:43-45 SKILL.md:45-51 SKILL.md:51-70 SKILL.md:70-75 SKILL.md:75-79 SKILL.md:79-85 SKILL.md:85-89 SKILL.md:89-100 SKILL.md:100-103 SKILL.md:103-109 SKILL.md:109-110 SKILL.md:110-115 SKILL.md:115-127 SKILL.md:127-131 SKILL.md:131-142 SKILL.md:142-148 SKILL.md:148-163 SKILL.md:163-169 SKILL.md:169-181 SKILL.md:181-187 SKILL.md:187-189 SKILL.md:189-192 SKILL.md:192-204 SKILL.md:204-210 SKILL.md:210-219 SKILL.md:219-225 SKILL.md:225-243 SKILL.md:243-249 SKILL.md:249-266 SKILL.md:266-270 SKILL.md:270-282 SKILL.md:282-286 SKILL.md:286-293 SKILL.md:293-300 SKILL.md:300-316 SKILL.md:316-341 SKILL.md:341-344 SKILL.md:344-350 SKILL.md:350-351 SKILL.md:351-356 SKILL.md:356-370 SKILL.md:370-392 SKILL.md:392-394 SKILL.md:394-398 SKILL.md:398-399 SKILL.md:399-401
📁 文件系统访问 (1)
SKILL.md:242
🔑 环境变量 (1)
SKILL.md:233
审计者: codex 查看审计历史 →
分享与引用此报告

分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。

打开版本化报告
安全评估

复制报告链接

https://skillstore.io/skills/brownfinesecurity-apktool/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/brownfinesecurity-apktool/security.svg)](https://skillstore.io/skills/brownfinesecurity-apktool?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/brownfinesecurity-apktool?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/brownfinesecurity-apktool/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/brownfinesecurity-apktool.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>
学术引用 (APA · BibTeX · CFF)

APA 引用

BrownFineSecurity. (2026). apktool security audit report (audit version 9) [Author version unspecified]. Skillstore. https://skillstore.io/skills/brownfinesecurity-apktool/audits/9

BibTeX 引用

@techreport{brownfinesecurity-brownfinesecurity-apktool-2026, author = {BrownFineSecurity}, title = {apktool security audit report (audit version 9)}, institution = {Skillstore}, year = {2026}, number = {9}, url = {https://skillstore.io/skills/brownfinesecurity-apktool/audits/9}, note = {Author version unspecified} }

CITATION.cff

cff-version: 1.2.0 message: "If you use this Skill, cite its author and this versioned security audit report." title: "apktool security audit report (audit version 9)" version: "unspecified" type: report authors: - name: "BrownFineSecurity" date-released: "2026-07-23" url: "https://skillstore.io/skills/brownfinesecurity-apktool/audits/9" identifiers: - type: other value: "skillstore:brownfinesecurity-apktool:audit:9" description: "Skillstore immutable audit report identifier"

Skillstore 评分

评分依据 证据置信度: 中
55
架构
85
可维护性
87
内容
71
社区
83
规范符合性

你能构建什么

审查客户 APK

解码已授权的 Android 应用，并检查其清单文件、资源、导出组件和硬编码配置。

检查发布产物

验证构建不可调试、未暴露意外组件，并且仅在需要时才可重新构建。

梳理 IoT 应用通信

从已授权的配套应用评估中提取端点、设备字符串和证书固定线索。

试试这些提示

解码 APK 
I have permission to analyze app.apk. Use apktool to decode it into app-unpacked and summarize the output structure.
审查清单安全性 
Inspect this decoded APK directory. Review AndroidManifest.xml for permissions, exported components, debug flags, backup settings, and network security configuration.
搜索资源和 Smali 
For this authorized APK, search resources and smali for URLs, hardcoded secrets, cryptography usage, and native library loading. Prioritize findings by risk.
重新构建并排查问题 
I modified an authorized decoded APK. Rebuild, sign, verify, and troubleshoot install failures while preserving notes about each step.

最佳实践

  • 在解码、修改或测试任何 APK 前确认授权。
  • 基于副本开展工作，并保持原始 APK 文件不变。
  • 记录包版本、权限、导出组件、端点和证据位置。

避免

  • 不要分析你不拥有或无权评估的 APK。
  • 未经明确授权，不要分发重新构建的 APK。
  • 在手动验证上下文之前，不要将搜索结果视为证据。

常见问题

此技能可以帮助完成什么？
它会指导 apktool 工作流，用于解包、检查、重新构建、签名以及排查 Android APK 文件问题。
它是否需要安装 apktool？
是的。本地环境需要 apktool 和 Java 运行时，相关命令才能工作。
它能将 APK 反编译为 Java 源码吗？
不能。Apktool 会生成资源和 smali。当需要可读的 Java 输出时，该技能会建议使用 jadx。
它能修改并重新构建 APK 吗？
可以，在获得授权时可以。它包含针对修改后 APK 的构建、签名、验证和 zipalign 指导。
这是否只适用于安全团队？
不是。开发者可以使用它检查发布产物、资源、清单文件和打包问题。
需要什么授权？
仅分析你拥有或明确获准评估的 APK。遵守许可、条款和披露规则。

开发者详情

许可证

MIT

Skillstore 修订

r2

版本提示

作者未声明版本。

仓库

https://github.com/BrownFineSecurity/iothackbot/tree/master/skills/apktool

引用

a39a91716eadede5f4cdefd78178fed4e837a128

维护新鲜度

2026/7/25

使用量

12 次下载 · 257 次浏览

文件结构

📄 SKILL.md