Windows QARK安装与使用

QARK介绍

QARK（Quick Android Review Kit）静态代码分析工具

• 它是一款开源工具，能提供有关安全漏洞的完整信息；
• 它可以生成有关潜在漏洞的报告，并提供一些如何解决这些漏洞的信息。同时，它还能突出显示与 Android 版本有关的安全问题；
• 它能扫描移动 App 中的所有元素，查找安全威胁。同时，它以 APK 形式创建一个自定义应用程序来进行测试，并确定潜在问题。

QARK的设计是基于社区的，可供所有人免费使用。QARK被设计出来的主要目的和大多数的自动化检测工具一样是教育开发人员和信息安全人员了解与Android应用程序安全相关的潜在风险 ，相应的开发人员和评估人员就可以在开发和检测阶段，针对于APP移动应用进行检测，及时修改相应的风险点。

前提条件

（1）安装 Python 2.7.18 版本
（2）安装 JDK 11 版本
（3）安装 git
（4）将Python中的pip设置为环境变量

安装

qark下载地址：qark
下载后解压文件夹，然后在当前目录启动命令行输入：

~ cd qark 
~ pip install -r requirements.txt
~ pip install .
~ qark --help

安装成功后，qark会被安装到你Python文件夹的Script目录下，与pip在同一个文件目录中。

qark --help

测试qark是否安装成功。

qark中存在dex2jar可以将dex文件转码为jar包，但由于该程序比较老了，可能会存在很多问题，推荐使用jadx将apk反编译解码，配合使用qark对反编译后的目录扫描。

使用

jadx的下载地址如下：jadx
这里选择版本1.4.4

下载第一个，并解压文件，获得文件，并添加环境变量：路径\jadx-1.4.4\bin，我这里是F:\tool\app scanner\jadx-1.4.4\bin

使用jadx反编译apk文件
对目标apk输入命令：

jadx XXX.apk

反编译内容如下：

最后使用qark扫描反编译文件
输入命令：

qark --java 路径 --report-path .

最后在该文件下就生成一个report网页文件。