手机里装了几十个 App，哪个拿了定位、通讯录、麦克风，又往哪些域名上报东西，一直没什么好办法查，设置里那个权限列表也只能看个大概。 最近 GitHub 上… · @Curingieul · TwKit

@Curingieul

手机里装了几十个 App，哪个拿了定位、通讯录、麦克风，又往哪些域名上报东西，一直没什么好办法查，设置里那个权限列表也只能看个大概。 最近 GitHub 上冒出来一个 NOIR，就是干这个的。电脑上跑，手机插线开 USB 调试，它通过 adb 把每个 App 的权限和 APK 里写着的上报地址扒出来，按厂商和类别分好，再算个风险分。 10 月 31 号才开源，现在 1,610 星，README 是中文优先写的。 README 里我觉得比较有用的： 1. 会把权限翻成「能拿到什么数据」，再跟上报域名对上，看哪类数据可能流向哪里 2. 不用 root，默认只读，--apply 也只改 app-ops，每条都有回滚命令 3. 会导出三份域名清单，统计广告类可以整份拿去拦，推送登录支付那份特意标了别拦 4. deep 命令能把单个 App 拉下来用 jadx 反编译，搜高风险调用 5. 工具本身不联网，没有遥测 macOS、Windows、Linux 都有双击即用的包，自带运行时，不用装 Java。只支持安卓。MIT 协议。 作者也写明了，它给的是静态证据，说明 App 有这个能力、代码里有这个地址，不能证明真的传过。 https://github.com/Verlintas/NOIR

曝光 10 · 评论 0 · 点赞 0 · 书签 0