jadx-headless-mcp
MCP-сервер на jadx-core разбирает APK без графического JADX: 26 инструментов для классов, смали, манифеста и перекрестных ссылок.
- 169 ★ репозитория
- Последний коммит
Широкий доступ
Почему такой уровень
- Инструмент предназначен для разбора чужих приложений, законность зависит от прав на исследуемый APK.
- HTTP-режим не имеет аутентификации и опасен при открытии в сеть.
- Скилл `open-apk` умеет скачивать APK из внешнего источника.
Установка
- Работает в
Ручная установка
/plugin marketplace add 1013503897/jadx-headless-mcp
/plugin install jadx-headless@jadx-headless-mcpНужен JDK 17 в `PATH`. При первом запуске плагин скачивает jar и проверяет SHA-256.
Доступ и проверки
Как мы проверяемШирокий доступИнструмент может менять данные, выполнять команды или работать с секретами.
- Инструмент предназначен для разбора чужих приложений, законность зависит от прав на исследуемый APK.
- HTTP-режим не имеет аутентификации и опасен при открытии в сеть.
- Скилл `open-apk` умеет скачивать APK из внешнего источника.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
jadx-headless-mcp запускает jadx-core в одном JVM-процессе и отдает агенту около 26 инструментов статического анализа Android-приложений по stdio. Агент загружает APK, DEX или JAR командой `load_apk`, читает декомпилированный Java-код класса или метода, манифест, строки и ресурсы и строит ссылки на классы, методы и поля. Если jadx упирается в защиту от декомпиляции, `get_class_source` сам возвращает смали. Для Claude Code есть плагин: он добавляет сервер и скилл `/jadx-headless:open-apk`, который открывает файл по пути или скачивает APK по имени пакета.
Для кого. Исследователям Android-приложений и разработчикам, которые разбирают чужие APK с помощью ИИ-агента и не хотят запускать JADX GUI.
Подходит, если
- Нужно быстро понять, какие разрешения и точки входа у приложения.
- Агент ищет в декомпилированном коде место, где формируется сетевой запрос.
- Метод защищен от декомпиляции, и его нужно прочитать как смали.
- Разбор идет на удаленной машине, а клиент работает на другой.
Не подходит, если
- Анализ без прав на исследуемое приложение: проверьте закон и лицензию программы.
- Нужен динамический анализ или разбор нативных библиотек: сервер работает со статикой Java-слоя.
- Требуется открытая или ясная лицензия: в репозитории она определяется как нестандартная.
Пример запроса к агенту
Загрузи `./app.apk`, покажи разрешения и главную активность, найди классы с работой через `okhttp` и объясни, где собирается заголовок авторизации.MCP
- Транспорт
- stdio, http
- Авторизация
- не нужна
Ограничения
Нужен JDK 17 или новее. Сервер читает только статику Java-слоя: динамического анализа и нативного кода нет. Лицензия в репозитории не распознана автоматически, прочитайте файл `LICENSE` перед рабочим использованием. Режим `--transport http` не имеет аутентификации: привязывайте его к `127.0.0.1` и ходите через SSH-туннель, а не открывайте `0.0.0.0` в недоверенной сети. Скилл `open-apk` умеет скачивать APK с APKPure через apkeep, это отдельный внешний шаг.
Как отключить. Удалите плагин или запись `jadx-headless` из настроек MCP-клиента (`claude mcp remove jadx-headless`). Если запускали HTTP-режим, остановите процесс.
Частые вопросы
Нужен ли графический JADX?
Нет. Сервер строится на `jadx-core` и работает как один JVM-процесс без GUI и без отдельных адаптеров.
Как поставить в Claude Code?
Командами `/plugin marketplace add 1013503897/jadx-headless-mcp` и `/plugin install jadx-headless@jadx-headless-mcp`. Нужен JDK 17 в `PATH`, при первом запуске плагин скачивает проверенный по SHA-256 jar.
Что делать с большими приложениями?
Ограничьте разбор флагами `--include-packages` и `--exclude-packages`, а число потоков задайте через `--threads`. Для ресурсов есть режимы `lite` и `none`.
Безопасен ли удаленный режим?
Только за туннелем или обратным прокси с авторизацией. Конечная точка HTTP не имеет собственной аутентификации.
Какие файлы можно открыть?
APK, DEX и JAR командой `load_apk`. Скилл `open-apk` принимает еще XAPK либо имя пакета, по которому скачивает APK через apkeep.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
MCP-серверыJADX MCP Server
JADX-MCP-SERVER
MCP-сервер для анализа Android-приложений через JADX: агент читает декомпилированный код, манифест и ищет уязвимости
Плагин к JADX и MCP-сервер: агент разбирает декомпилированный код Android-приложений, ищет уязвимости и помогает с реверсом
MCP-сервер поверх apktool: агент декодирует APK, читает манифест и smali, ищет по коду и вносит правки для реверса Android-приложений
DexSQL дает агенту SQL по файлам APK и DEX: классы, методы, строки, вызовы и smali через встроенный MCP-сервер.
Нативный MCP-плагин для отладчика x64dbg: агент управляет отладкой по HTTP, ставит точки останова, шагает по коду, читает и патчит память
Headless MCP-сервер для IDA Pro на Rust: агент открывает базу, перечисляет функции, дизассемблирует, декомпилирует и строит перекрестные ссылки
Сравнение с похожими
Карточки с тем же главным запросом: чем они отличаются.
| Инструмент | Официальный | Авторизация | Звезды репозитория | Главное отличие |
|---|---|---|---|---|
| jadx-headless-mcp (эта карточка) | нет | не нужна | 169 | |
| JADX MCP Server | нет | не нужна | 842 | Python-адаптер к плагину графического JADX; здесь один JVM-процесс на jadx-core без окна |
| JADX-AI-MCP | нет | не нужна | 3 007 | плагин внутри JADX GUI; здесь запуск без графической программы |
Коротко о README
Сервер подключается как обычный stdio MCP к Claude Code, Cursor, Codex, Gemini CLI и другим клиентам. Прочитанные APK можно менять в рабочей сессии без правки конфигурации.