Android OWASP Security Reviewer

android-owasp-security-reviewer

AndroidアプリのセキュリティレビューをOWASP Mobile Top 10 2024およびMASVS (Mobile Application Security Verification Standard) の観点で実施し、Markdownレポートを生成する。 Use when: (1) Androidアプリのセキュリティ監査/レビュー依頼時 (2) 「セキュリティチェック」「脆弱性診断」「OWASP」「MASVS」キーワード時 (3) Androidプロジェクトのコードレビューでセキュリティ観点が必要な時 (4) 金融・医療アプリのセキュリティ評価時

majiayu000/claude-skill-registry·0installs663starsSecurity

SKILL.md

Full skill instructions

Android OWASP Security Reviewer

AndroidアプリをOWASP Mobile Top 10 2024 + MASVS基準でセキュリティレビューし、Markdownレポートを出力。

Security Standards

OWASP Mobile Top 10 2024

脆弱性カテゴリ（M1-M10）による分類。詳細: references/owasp-mobile-top10-2024.md

OWASP MASVS (Mobile Application Security Verification Standard)

検証レベルによる分類:

Level	対象	概要
L1	全商用アプリ	基本セキュリティ（HTTPS、暗号化、入力検証）
L2	金融・医療アプリ	高度保護（ルート検知、MFA、HSM鍵管理）
R	ゲーム・DRM	リバース耐性（難読化、改ざん検知）

詳細: references/masvs-checklist.md

Workflow

1. プロジェクト把握 & レベル決定

Glob: **/AndroidManifest.xml, **/build.gradle*, **/*.java, **/*.kt

Androidプロジェクトルート特定
アプリ種別からMASVSレベル判定:
- 一般アプリ → L1
- 金融・医療 → L2
- ゲーム・DRM → L1 + R

2. スキャン実行

Phase 1: L1 Critical（全アプリ必須）

# ハードコード認証情報
Grep: (api[_-]?key|secret|password|token)\s*=\s*["'][^"']+["']

# 平文通信
Grep: http://(?!localhost|127\.0\.0\.1|10\.)

# 証明書検証無効化
Grep: TrustAllCerts|checkServerTrusted.*\{\s*\}|ALLOW_ALL_HOSTNAME

# デバッグモード
Grep: android:debuggable="true"

# 危険なデータ保存
Grep: MODE_WORLD_READABLE|MODE_WORLD_WRITEABLE

Phase 2: L1 High

# 弱い暗号
Grep: DES|RC4|MD5|SHA-1(?!.*(256|384|512))

# ログ漏洩
Grep: Log\.(d|v|i|w|e).*(?i)(password|token|key|secret)

# 外部ストレージ
Grep: getExternalStorage|WRITE_EXTERNAL_STORAGE

# WebView脆弱性
Grep: addJavascriptInterface|setAllowFileAccessFromFileURLs

Phase 3: L2 Checks（金融・医療アプリ）

# ルート/改ざん検知確認
Grep: SafetyNet|PlayIntegrity|RootBeer

# 高度な鍵管理
Grep: setIsStrongBoxBacked|setUserAuthenticationRequired

# 生体認証
Grep: BiometricPrompt|setDeviceCredentialAllowed

Phase 4: R Checks（リバース耐性要求時）

# 難読化設定
Grep: minifyEnabled\s+(true|false)

# デバッガ検知
Grep: Debug\.isDebuggerConnected|android\.os\.Debug

# 署名検証
Grep: GET_SIGNATURES|PackageInfo

詳細パターン: references/android-security-checks.md

3. 検出結果分類

項目	内容
Severity	Critical / High / Medium / Low / Info
OWASP Category	M1-M10
MASVS	L1 / L2 / R
Location	ファイルパス:行番号
Evidence	コードスニペット
Recommendation	修正方法

4. レポート生成

テンプレート: assets/report-template.md 出力: security-review-report.md

Quick Reference: Severity by Check

Check	L1 Severity	L2 Severity	R Severity
HTTP通信	Critical	Critical	Critical
ハードコード鍵	Critical	Critical	Critical
証明書検証無効	Critical	Critical	Critical
debuggable=true	Critical	Critical	Critical
弱い暗号	High	Critical	High
ログ漏洩	High	Critical	High
外部ストレージ	High	Critical	High
ルート検知なし	Info	High	Critical
難読化なし	Low	Medium	Critical
改ざん検知なし	Info	High	Critical

Output Structure

# Security Review Report
## Executive Summary
## Compliance Status (L1/L2/R)
## Findings by Severity
## Findings by OWASP Category
## MASVS Compliance Checklist
## Detailed Findings
## Recommendations
## Appendix

Notes

ソースコードのみ対象（APK解析は対象外）
誤検出可能性あり、手動確認推奨
依存関係脆弱性は dependency-check 等の併用推奨
L2/R要件はアプリ種別に応じて適用

Install skill

Copy and run in your terminal

npx -y skills add https://github.com/majiayu000/claude-skill-registry --skill android-owasp-security-reviewer

View on GitHub

skills/data/android-owasp-security-reviewer/SKILL.md

More Security skills

View all

Security

supabase

Handles the full Supabase workflow from schema changes to deployment, with built-in security guardrails that catch common traps like RLS...

2.7K 308.9K

View

Security

neon-postgres

Comprehensive guides and best practices for Neon Serverless Postgres, covering setup, connection methods, authentication, and platform APIs.

98 216.2K

View

Security

firebase-auth-basics

Guide for setting up and using Firebase Authentication. Use this skill when the user's app requires user sign-in, user management, or secure data access using auth rules.

462 163.8K

View

Security

firebase-security-rules-auditor

A skill to evaluate how secure Firestore security rules are. Use this when Firestore security rules are updated to ensure that the generated rules are extremely secure and robust.

462 127.7K

View

Security

firebase-ai-logic-basics

Official skill for integrating Firebase AI Logic (Gemini API) into web applications. Covers setup, multimodal inference, structured output, and security.

462 125.1K

View

Security

better-auth-best-practices

Complete Better Auth server and client setup with database adapters, session management, plugins, and security configuration.

222 118.2K

View

Security

vercel-cli-with-tokens

Deploy and manage projects on Vercel using token-based authentication. Use when working with Vercel CLI using access tokens rather than interactive login — e.g. "deploy to vercel", "set up vercel", "add environment variables to vercel".

31.9K 116.1K

View

Security

cloudflare

Complete Cloudflare platform integration with decision trees for compute, storage, AI, networking, security, and infrastructure-as-code.

3K 110.7K

View

Security

azure-compliance

Run Azure compliance and security audits with azqr plus Key Vault expiration checks. Covers best-practice assessment, resource review, policy/compliance validation, and security posture checks. WHEN: compliance scan, security audit, BEFORE running azqr (compliance cli tool), Azure best practices, Key Vault expiration check, expired certificates, expiring secrets, orphaned resources, compliance assessment.

253 103K

View