Sobre o aplicativo
O que está escondido dentro dos aplicativos instalados no seu celular?
O APK AppSec inspeciona o binário compilado de qualquer APK instalado (bytecode classes.dex, resources.arsc, assets e AndroidManifest.xml) direto no aparelho — 100% offline e sem precisar de root — para revelar API keys hardcoded, tokens vazados, endpoints ocultos, superfície de ataque exportada e falhas de configuração exploráveis.
Seja você um dev indie conferindo o que o seu APK de produção deixa exposto antes de publicar na loja, ou um estudante de segurança, caçador de bug bounty e curioso querendo entender como os apps funcionam por dentro, o APK AppSec entrega uma visão imediata de raio-X ofensivo e defensivo.
Caçador de Secrets Hardcoded e Entropia
- Chaves de IA e Cloud: Detecta chaves hardcoded do Google Cloud, Firebase e Gemini (
AIza...), OpenAI (sk-proj-...) e credenciais AWS (AKIA...e Secret Keys). - Tokens de Pagamento, Dev e Webhooks: Encontra chaves de pagamento (Stripe), tokens do GitHub (
ghp_...), webhooks de mensagens, chaves de API e segredos OAuth. - Autenticação e Chaves Privadas: Extrai tokens JWT (
eyJ...), cabeçalhos Bearer, chaves privadas RSA/EC/SSH embutidas, URLs com Basic Auth (user:pass@host) e strings de conexão de bancos de dados SQL e NoSQL. - Scanner de Entropia de Shannon: Combina regras regex com cálculo de entropia de Shannon (bits/caractere) para capturar tokens proprietários e senhas esquecidas em arquivos de configuração e recursos.
Reconhecimento de Superfície de Ataque (Recon)
- Pontos de Entrada Expostos no Manifesto: Mapeia Activities, Services, BroadcastReceivers e ContentProviders exportados sem proteção de permissão, além de deep links e intent-filters.
- Falhas de WebView e Injeção: Identifica pontes JavaScript nativas expostas (
addJavascriptInterface, CWE-749), acesso irrestrito a arquivos em WebView (CWE-942) e concatenação de SQL Injection (rawQuery/execSQL, CWE-89). - Rede e Bypass de SSL/TLS: Alerta sobre TrustManagers inseguros que ignoram certificados (
TrustAllCertificates, CWE-295), URLs HTTP e WebSocket (ws://) sem criptografia e falta de Network Security Config. - Criptografia Fraca e Hardening: Detecta DES, AES/ECB, MD5,
android:debuggable="true",allowBackup="true", certificado X.509 e verifica se a ofuscação R8/ProGuard está realmente ativa.
Análise de Vulnerabilidades com Chats de IA (Exportar e Copiar)
- Encontrou uma API key, um componente exportado ou uma falha CWE? Toque em "Copy details" no achado ou exporte o relatório completo (JSON, TXT ou PDF) e cole no seu chat de IA ou assistente LLM favorito.
- Use a IA para avaliar rapidamente se uma chave exposta permite abuso de cota, entender na prática como o vetor de exploração funciona ou gerar o código seguro de correção em Kotlin/Java.
Feito para Pesquisadores, Curiosos e Devs Indie
- Recon Mobile & Bug Bounty: Inspecione qualquer app instalado na hora, sem depender de PC. Filtre por categoria (Secrets, Manifesto, Infraestrutura, Certificado, Permissões) ou severidade.
- Checklist Pré-Publicação para Devs: Audite seu próprio APK antes do release, acompanhe o Hardening Score (0–100, nota A–F) e compare versões com o Histórico e Diff de Scans.
- Modo Dark e Light, 100% Offline: Nenhum dado sai do aparelho. Inclui alternância de tema Claro/Escuro e compra única opcional para remover anúncios.