# OWASP 移动应用安全测试指南（MASTG）

> OWASP 维护的开放手册，讲解 Android 和 iOS 应用的安全测试与逆向工程，发布于 mas.owasp.org。除平台原理、测试环境搭建以及应用篡改与逆向工程等章节外，还收录可单独引用的测试、技术、工具页面、知识条目、最佳实践和可运行的演示，均与 MASVS 控制项和 MASWE 弱点对应。OWASP 自己的 UnCrackable 破解练习应用用作练习目标和示例。

- 类型：学习资源
- 目标：应用
- 类别：学习资源
- 关联：学习资源
- 来源复核于：2026-10-19
- 收录于：2026-10-19
- 原始资源：<https://mas.owasp.org/MASTG/>
- 一手来源：<https://github.com/OWASP/mastg/blob/02ffd85fb74383ec2a30b42866d38f89d72c0ead/README.md>
- 目录页面：<https://awesomerea.org/zh/resources/owasp-mastg/>
- 记录 JSON：<https://awesomerea.org/resources/owasp-mastg/record.json>
- 英文版：[English](https://awesomerea.org/resources/owasp-mastg/index.md)

## 使用条件与局限

- 审阅基于 2026-09-30 的 master 分支提交。最新版本 v2.0.0 发布于 2026-06-30，发布说明称其完成了向模块化、机器可读组件的重构，并且是该框架的首个稳定版；而 CITATION.cff 仍写着 2022 年的 1.5.0 版。所固定的提交包含 92 项 v1 测试和 200 项原子测试、167 项技术、135 个工具页面、157 个演示、141 篇知识条目和 74 项最佳实践。
- 阅读只需浏览器；网站由 OWASP 独立的 mas-website 工作流构建。按技术页面操作需要 Windows、Linux 或 macOS 主机，以及各页面列出的工具（如 Android SDK 平台工具），并准备测试设备或模拟器。指南建议使用已 root 的 Android 测试设备或已越狱的 iOS 设备进行动态分析，提醒不要使用个人设备，并为没有此类设备的测试者介绍了替代办法。
- Android 与 iOS 版 UnCrackable 应用是 OWASP 自己的逆向工程挑战，在指南中通篇用作示例。示例应用页面介绍的是第三方应用，工具页面介绍的是外部软件，二者均保留各自条款。演示结果基于指南自带的示例代码撰写，并非对正式发布应用的测试。
- 仓库采用 CC BY-SA 4.0 许可，改编文本须署名并沿用相同许可。

## 一手来源

1. <https://github.com/OWASP/mastg/blob/02ffd85fb74383ec2a30b42866d38f89d72c0ead/README.md>
2. <https://github.com/OWASP/mastg/blob/02ffd85fb74383ec2a30b42866d38f89d72c0ead/Document/0x04c-Tampering-and-Reverse-Engineering.md>
3. <https://github.com/OWASP/mastg/blob/02ffd85fb74383ec2a30b42866d38f89d72c0ead/Document/0x05b-Android-Security-Testing.md>
4. <https://github.com/OWASP/mastg/blob/02ffd85fb74383ec2a30b42866d38f89d72c0ead/Document/0x06b-iOS-Security-Testing.md>
5. <https://github.com/OWASP/mastg/blob/02ffd85fb74383ec2a30b42866d38f89d72c0ead/tests-beta/index.md>
6. <https://github.com/OWASP/mastg/blob/02ffd85fb74383ec2a30b42866d38f89d72c0ead/demos/index.md>
7. <https://github.com/OWASP/mastg/blob/02ffd85fb74383ec2a30b42866d38f89d72c0ead/Crackmes/README.md>
8. <https://github.com/OWASP/mastg/blob/02ffd85fb74383ec2a30b42866d38f89d72c0ead/CITATION.cff>
9. <https://github.com/OWASP/mastg/blob/02ffd85fb74383ec2a30b42866d38f89d72c0ead/License.md>
10. <https://github.com/OWASP/mastg/releases/tag/v2.0.0>

## 同分区更多条目：文档与学习资源

- [Decompilation Wiki 反编译维基](https://awesomerea.org/zh/resources/decompilation-wiki/index.md) · 学习资源
- [Frontkick 与 Rikugan：基于 CREBench 的智能体对比](https://awesomerea.org/zh/resources/frontkick-rikugan-crebench-comparison/index.md) · 学习资源
- [FLARE 学习中心](https://awesomerea.org/zh/resources/flare-learning-hub/index.md) · 学习资源
- [Nintendo Switch 逆向工程笔记](https://awesomerea.org/zh/resources/nintendo-switch-joycon-re-notes/index.md) · 学习资源
- [Android 应用逆向工程 101](https://awesomerea.org/zh/resources/android-app-re-101/index.md) · 学习资源
- [iOS 应用逆向工程课程](https://awesomerea.org/zh/resources/re-ios-apps-course/index.md) · 学习资源

## 关于此条目

说明已依据一手来源复核。
原创说明采用 MIT 许可；外部项目、论文与素材保留各自的权利和许可。