MobSF 4.5.3：扫描器自身的加固与反编译 XML 接口

当天发生了什么

2026-09-21 02:52（UTC），Mobile Security Framework（MobSF）在 GitHub 发布了 v4.5.3。新功能方面：REST 接口 api/v1/view_source 新增 type=xml，可以查看 APK、Android Studio 源码 ZIP 和 AAR 扫描中的反编译 Android XML；签名包更新；依赖与供应链更新（包括 LIEF 0.17），GitHub Actions 改为固定到完整提交 SHA。修复方面，发布说明列出：通过固定安全的服务端 HTTP 请求修复 DNS 重绑定 SSRF；加强对 Windows 根相对和驱动器相对路径穿越的检查；限制 androguard 在内存中解压 ZIP 成员的大小，以阻止 ZIP 炸弹；修复解析 iOS Info.plist / CFBundleExecutable 时的路径穿越；动态分析操作改为必须携带令牌的 POST，修复 CSRF；以及 apktool 提取 PAK 信息、mitmdump 进程泄漏等问题。

对自我评估流程意味着什么

很多独立开发者用 MobSF 对自己的 APK 或 IPA 做发布前的自查。这次版本的大部分修复针对的是 MobSF 自身：分析工具要处理不可信的输入文件，本身就是攻击面，ZIP 炸弹、路径穿越和 SSRF 都属于这一类。对防守方来说，还有一层容易忽略的风险：自托管的扫描实例里存着尚未发布的构建和扫描报告，这些内容本身就是值得保护的资产。另一方面，新增的反编译 XML 接口再次说明，清单文件和资源 XML 在分析流程中是常规、可程序化获取的输出，写在资源里的配置、地址和开关不应被视为隐藏。扫描器给出的结果是检查清单，不是安全证明；它能发现的问题，别人用同样的工具也能发现。

可以落实的检查

第一，如果自托管 MobSF，升级到 4.5.3 或更新版本，并确认实例不直接暴露在公网，访问需要认证。第二，把扫描报告和上传的构建视为内部资料，设置保留期限和访问控制。第三，在 CI 中对自己的每个发布候选版本运行扫描，重点查看清单中的导出组件、调试标志、网络安全配置，以及资源 XML 中的地址、密钥和开关。第四，把扫描结果与上一版本做差异对比，关注新增项，而不是只看总分。

行动清单

• 将自托管 MobSF 升级到 4.5.3+，并限制公网访问
• 对扫描报告与上传构建设置访问控制与保留期限
• 在 CI 中扫描发布候选版本并对比上一版差异