Wireshark 是一个很好的工具，可以查看应用程序是否通过网络以明文形式发送敏感数据。此外，您可以使用 ssh 和 adb 查看存储在 SD 卡上的数据和文件权限，以查看敏感数据是否以明文形式存储。

Android 应用的一些免费静态分析工具：

• Comdroid检查与使用 Intent 相关的漏洞。有关这些漏洞和其他陷阱的描述，请参阅此演示文稿。

• Stowaway检查是否有过度特权：即，它检查应用程序是否请求其代码似乎没有使用的权限。

请记住，这些是研究工具。此外，他们只关注一组非常具体的漏洞。它们不是通用的静态分析工具，也不能替代安卓通用的安全静态分析工具（如 Fortify）；最好将它们视为您可用的其他工具的补充。

一些安全静态分析供应商支持分析 Android 应用程序，例如 Fortify。预计这些会很昂贵。

另请参阅本网站上的以下问题：

• 有什么有用的 Android 源代码审查工具吗？（但请注意，其中列出的许多工具只是通用的 Java 代码扫描器，并且对 Android API 没有任何了解，因此在评估 Android 应用程序的安全性方面可能用途有限）

• iOS/Android 笔测试

• Android API/开发安全陷阱

• Android/iOS 应用安全测试清单

Georgia Weidman 在这里发布了一个关于 Android 渗透测试的框架：

https://github.com/georgiaw/Smartphone-Pentest-Framework

她在这里也有一个论坛，并且在vimeo上有一个不错的预告片。

有来自 MWR 实验室的Mercury 。我还没有使用它，但看起来很有趣。

oasam提供了一种很好的方法来开始 android pen-testing。这些天来，有很多教程可用于开始 android 笔测试，其中我更喜欢Srinivas的infosec Institute和Aditya Agrawal的manifestsecurity指南。

mobilesecuritywiki中列出了大量工具、框架和方法

更新：

AndroBugs是 Yu-Cheng Lin 编写的用于安卓应用程序安全分析的框架。它可以检查编码不良做法、url 的 ssl 强制执行等等。我们可以使用 MongoDB 对其进行配置以进行大规模应用程序分析。