Drozer原名mercury，是一款面向Android的综合安全评估和攻击框架，它能够全面评估安卓app的安全性，并帮助团队把app的安全风险保持在可控范围内。它能够经过与Dalivik VM、其它应用程序的IPC端点以及底层操做系统的交互，避免正处于开发阶段的android应用程序和设备暴露出不可接受的安全漏洞。html
1、安装环境及软件:python
win10,64位，须要安装软件jdk1.7-1.8sdk 配置，主要用于adbpython2.7.4 务必要2.7，不要3.0相关资料已打包，android
下载连接：https://pan.baidu.com/s/1icv7qK99hpgvI0CMHna0wAweb
提取码：4399sql
软件安装顺序先装完jdk而后配置环境变量，确认环境没有问题，在配置SDK再安装python2.7.再配置环境变量，没有问题之后，而后在PC端 安装drozer-2.4.4.win32，要安装到python2.7的目录；安全
安装成功之后，在script里面会相关drozer文件：微信
2、操做步骤：app
前提：打开dos,进入到安装python中的script中的目录;（命令执行都要在python的script里面）框架
1.打开端口adb forward tcp:31415 tcp:31415python2.7
二、运行drozer.bat console connect,能够查看是否缺乏哪些依赖须要安装。
具体相关问题能够查看：https://blog.csdn.net/jession_ding/article/details/82528142
3.启动服务：drozer server start
（图是手机已安装agent的状况启动的server）
4.在手机端安装drozer-agent-2.3.4.apk，而后打开drozer agent，进入之后，点击设置-Endpoint,设置host和端口，host为你的本地电脑的ip，端口仍是31415，配置完，打开endpoint.
5.在新开dos页面，执行drozer console devices --server 192.168.50.26:31415获取可链接的设备ID
6.进行设备链接drozer console connect ecc64553c174b9c6 --server 192.168.50.26:31415设备链接成功之后，能够进行测试，链接成功图片以下：
须要测试的内容以下：
1.检测四大组件安全 ：
run app.activity.info -a <包名> run app.broadcast.info -a <包名> run app.service.info -a <包名> run app.provider.info -a <包名>
2.检测URI数据泄露风险：
Drozer的scanner模块提供了一些方法去猜想可能存在的content URIs.
run scanner.provider.finduris -a <包名>
3.检测文件遍历漏洞 :
Drozer的Scanner模块提供了一些方法去检测本地Content Provider数据是否有文件遍历漏洞风险的接口. run scanner.provider.traversal -a <包名>
4.检测是否存在本地sql注入:
Drozer的Scanner模块提供了一些方法去检测本地储存的SQLite数据是否有SQL注入的风险. run scanner.provider.injection -a <包名>
具体的sieve.apk使用案例：https://www.cnblogs.com/ahacker15/p/13063565.html
以上就是我总体折腾2天的心得，百度，google，搜索，走了好多弯路。后续第二期折腾实测的结果再分享给你们。
本文分享自微信公众号 - 测试通常不通常（TestAndTester）。
若有侵权，请联系 support@oschina.cn 删除。
本文参与“OSC源创计划”，欢迎正在阅读的你也加入，一块儿分享。