使用 Visual Studio Code 开展移动应用安全测试：MASTG 通用工具链中的多用途编辑器-平芜编程栈

文档
教程
网络安全

【免费下载链接】mastg

The OWASP Mobile Application Security Testing Guide (MASTG) is a comprehensive manual for mobile app security testing and reverse engineering. It describes technical processes for verifying the OWASP Mobile Security Weakness Enumeration (MASWE) weaknesses, which are in alignment with the OWASP MASVS.

项目地址：https://gitcode.com/gh_mirrors/ow/mastg

点击查看免费下载

Visual Studio Code（VSCode）是 OWASP Mobile Application Security Testing Guide（MASTG）工具清单中为数不多被标记为platform: generic的通用工具，它通过可扩展插件体系同时服务于 iOS 与 Android 两大平台的开发和安全测试工作流。本文以 MASTG 仓库中的 MASTG-TOOL-0133 为骨架，结合仓库内 SCA（软件成分分析）技术与演示用例，说明如何在 VSCode 中用 SARIF Viewer 可视化依赖漏洞扫描结果、用 Swift 与 Kotlin 插件辅助跨平台源码分析，并给出可直接复用的操作命令与判定要点。

工具定位：为何 MASTG 将 VSCode 归为"通用"工具

在 MASTG 工具分类中，工具按运行平台分为 Android、iOS、generic（通用）与 network 四类。VSCode 之所以被归为通用工具，是因为它本身不面向某一特定移动平台，而是通过安装不同插件来适配不同测试阶段的需求。仓库中的原始工具卡片 MASTG-TOOL-0133.md 明确指出：

Visual Studio Code (vscode) is a code editor that offers various plugins useful for development and security testing.

这份卡片列举了三类与移动安全测试强相关的插件：

插件	用途
SARIF Viewer	打开、查看并可视化 SARIF 格式的安全扫描结果文件
Swift	为 Swift 编程语言提供语法高亮与代码支持（面向 iOS 测试）
Kotlin	为 Kotlin 编程语言提供语法高亮与代码支持（面向 Android 测试）

下文分别展开这三类插件的具体应用场景，并说明它们在 MASTG 实际工作流中的位置。

核心场景一：用 SARIF Viewer 查看依赖漏洞扫描结果

SARIF（Static Analysis Results Interchange Format）是 OASIS 标准化的一种安全扫描结果交换格式，MASTG 的多项 SCA 技术均以它为输出载体。在仓库的 MASTG-TECH-0133（对 iOS 依赖执行 SCA）中，官方给出的依赖检查工具 MASTG-TOOL-0131（dependency-check）的所有扫描命令都以-f SARIF指定输出格式：

# SwiftPM：扫描 Package.swift 或 Package.resolved $ dependency-check --enableExperimental -f SARIF --nvdApiKey <YOUR-API-KEY> -s Package.resolved # CocoaPods：扫描 Podfile.lock 或 *.podspec $ dependency-check --enableExperimental -f SARIF --nvdApiKey <YOUR-API-KEY> -s Podfile.lock # Carthage：扫描 Cartfile.resolved $ dependency-check --enableExperimental -f SARIF --nvdApiKey <YOUR-API-KEY> -s Cartfile.resolved

命令各参数含义如下：

--enableExperimental：启用 dependency-check 中标记为实验性的依赖管理器分析器（Carthage、CocoaPods、SwiftPM 分析器均属此类，详见 MASTG-TECH-0133 中的说明）；
-f SARIF：将扫描结果输出为 SARIF 格式文件；
--nvdApiKey：NVD（美国国家漏洞数据库）API 密钥，用于拉取最新 CVE 情报，可在 NVD 官网申请；
-s <文件>：指定要扫描的依赖清单文件（一次只能扫描一个文件）。

扫描完成后，"The output is always a SARIF file, which can be viewed using the Sarif viewer plugin in @MASTG-TOOL-0133"——即 MASTG-TECH-0133 明确要求用 VSCode 的 SARIF Viewer 插件来打开和分析该结果文件，所有已知漏洞会以 CVE 编号和描述形式列出。

从演示用例看完整流程

仓库中的 MASTG-DEMO-0052 给出了端到端的实际操作记录，其核心步骤如下：

运行扫描：在 Xcode 项目根目录执行 run.sh 中封装好的命令：

$NVD_API_KEY="YOUR_NVD_API" dependency-check --enableExperimental -f SARIF --nvdApiKey $NVD_API_KEY -s Package.resolved

扫描对象：Package.resolved 是 SwiftPM 生成的依赖锁定文件，记录了每个依赖的 identity、来源仓库、revision 与精确版本。该演示样本锁定的是swift-nio2.33.0：

{ "pins": [ { "identity": "swift-nio", "kind": "remoteSourceControl", "location": "https://github.com/apple/swift-nio.git", "state": { "revision": "6aa9347d9bc5bbfe6a84983aec955c17ffea96ef", "version": "2.33.0" } } ], "version": 3 }

在 VSCode 中查看 SARIF：扫描产出即为 SARIF 文件，用 SARIF Viewer 打开后即可逐条查看漏洞。仓库中保存的 output.txt 展示了实际输出结构——每个漏洞规则包含id（如CVE-2020-9861）、shortDescription（如high severity - CVE-2020-9861 Uncontrolled Recursion vulnerability in pkg:swift/swift-nio@2.33.0）、fullDescription以及完整的 CVSS v2/v3 评分属性（基础分、攻击向量、影响指标等），这些结构化信息恰好是 SARIF Viewer 可视化面板的数据来源。
评估结果：MASTG-DEMO-0052 的 Evaluation 部分强调，报告中可能存在误报，需要逐条人工复核；该演示中swift-nio至少存在 2 个已知漏洞（CVE-2022-3918 与 CVE-2022-1642），应升级到最新版本。

可以看到，SARIF Viewer 在 MASTG 的 SCA 工作流中承担的是"结果审阅台"的角色：dependency-check 负责扫描，SARIF 负责承载，VSCode 负责呈现与人工研判。

核心场景二：Swift 与 Kotlin 插件辅助跨平台源码分析

移动应用安全测试的很大一部分工作落在源码阅读上。VSCode 的两个语言插件分别对应 MASTG 的两大平台测试章节：

Swift 插件：用于 iOS 测试。MASTG 的 iOS 知识库与演示大量使用 Swift 源码（如 demos/ios 下各 MASVS 类目的.swift文件、.r2/.asm逆向产物），语法高亮与代码导航能显著提升审计效率。
Kotlin 插件：用于 Android 测试。MASTG 的 Android 演示与知识库同样以.kt/.java源码为主（如 demos/android 各目录），Kotlin 插件的语法支持与 Java/Kotlin 混编场景下的导航能力是日常逆向分析的实用辅助。

需要说明的是，这两个插件解决的是"看得懂源码"的问题，并不替代反编译工具（如 jadx、Ghidra、radare2 等 MASTG 专项工具）的功能；它们在 MASTG 工作流中属于源码阅读与结果审阅阶段的效率工具。

在 MASTG 工具链中的上下游衔接

VSCode 与 SARIF Viewer 的配合并非孤立存在，而是嵌入在 MASTG 两条完整的 SCA 技术路线中：

路线一（依赖清单扫描）：dependency-check（MASTG-TOOL-0131）扫描Package.resolved/Podfile.lock/Cartfile.resolved→ 输出 SARIF → VSCode SARIF Viewer 人工审阅。详见 MASTG-TECH-0133。
路线二（SBOM 上传分析）：cdxgen（MASTG-TOOL-0134）在 Xcode 项目根目录执行cdxgen -o sbom.json生成 CycloneDX 格式 SBOM → Base64 编码后通过 REST API 上传到 Dependency-Track（MASTG-TOOL-0132）→ 在 Dependency-Track 前端（默认http://localhost:8080）确认漏洞。这条路线中，MASTG-TECH-0132 特别提醒：若使用默认设置启动 Dependency-Track 容器，其前端即为 VSCode 之外的另一处结果审阅入口。

从源码结构看，这两条路线的交汇点在于"结果呈现"：无论漏洞信息以 SARIF 还是 SBOM 形式流转，最终都需要一个可视化界面供测试人员逐条判定，而 VSCode + SARIF Viewer 正是 MASTG 官方指定的 SARIF 审阅方案。

使用建议与注意事项

只扫描清单文件即可：如 MASTG-TECH-0133 所述，扫描 dependency-check 时只需提供依赖管理器生成的文件（如Package.resolved），无需整个 Xcode 工程或源码；但开发者可能同时使用多个依赖管理器，此时需要对每种清单分别执行扫描。
一次只扫一个文件：dependency-check 的-s参数一次只能指向一个清单文件，CocoaPods 与 Carthage 项目需分别执行对应命令。
SARIF 是查看器而非扫描器：SARIF Viewer 只负责呈现扫描结果，漏洞的发现依赖上游扫描工具；对报告中的每条记录仍需人工复核以排除误报（演示中swift-nio的评估即为示例）。
Swift/Kotlin 插件的边界：它们提供的是语言级语法支持，与 MASTG 中专职的逆向工程工具（如 MASTG-TOOL-0023 jadx、MASTG-TOOL-0002 Ghidra 等）分工不同，前者侧重阅读效率，后者侧重反编译与静态分析能力。

小结

在 MASTG 工具体系中，VSCode 凭借其插件生态，以"通用编辑器"身份同时覆盖了 SARIF 结果审阅（SARIF Viewer）与跨平台源码阅读（Swift、Kotlin）两类高频测试场景。其中 SARIF Viewer 与 SCA 技术路线（MASTG-TECH-0133）及演示用例（MASTG-DEMO-0052）的耦合最为紧密，是复现"扫描 → SARIF → 可视化审阅 → 人工判定"完整闭环的推荐起点。测试人员可按需组合上述插件，将其嵌入自己既有的 VSCode 工作流中。