WindowsでAPKファイルの中身を開く・解凍する方法

APKを「開く」目的を、確認・抽出・インストールに分ける

Android DevelopersはAPKをAndroid端末がアプリのインストールに使う書庫形式と説明しています。一方、WindowsでAPKのファイル名や画像を調べるだけなら、アプリとして起動する必要はありません。最初に目的を分けると、不要なインストールや誤操作を避けられます。

APKの中にあるAndroidManifest.xml、DEX、resources.arsc

Android公式のAPK Analyzerは、APKがZIP形式に従い、内部のファイルやフォルダーを階層として持つと説明しています。典型的なAPKには、アプリ情報を持つAndroidManifest.xml、実行コードのclasses.dex、コンパイル済み資源のresources.arsc、画像やXMLを含むres、任意のassetsやlibが入ります。

ファイル名が難読化・短縮されていても、Karuzipが名前を変えたわけではありません。今回の実測APKでも、ビルド済みのres配下は 3z.png のような短い名前になっていました。

APKを開く前に確認する6項目

• 公式ストア、開発元、社内ビルド等、APKの入手元を記録する
• 配布元がサイズやSHA-256を示している場合は先に照合する
• 元APKを上書きせず、検証後も残す
• 既存プロジェクトと混ざらない空の保存先を用意する
• 中身を見るだけなら、APKや抽出したコードを実行しない
• 署名と権限の確認が必要なら、Android公式のAPK Analyzerやapksignerを併用する

KaruzipでAPKの中身を確認・解凍する4ステップ

1. 1

   APKを拡張子のまま開く

   .apkをKaruzipへドラッグするか、「中身を見る」から選びます。.zipへ名前変更せず、元のファイル名と入手元を保ちます。

2. 2

   ルート項目とサイズを確認する

   AndroidManifest.xml、classes.dex、resources.arsc、res、assets、lib、META-INFの有無を見ます。表示されない項目があっても、APKごとの構成差として記録します。

3. 3

   必要な項目だけを選ぶ

   画像や設定だけが必要なら対象行をチェックし、「選択した項目を解凍」を使います。全体を調べる場合も、最初は空の隔離フォルダーへ出力します。

4. 4

   出力を照合し、実行せず解析方法を決める

   件数、サイズ、CRCやSHA-256を照合します。バイナリManifest、DEX、resources.arscの意味を読む場合は、Android公式のAPK Analyzer等へ進みます。

実測：公開APK 120,512 bytesを34ファイルまで一覧・テスト

MITライセンスで公開されている、権限を要求しない小型Hello WorldアプリのGitHub Release v1.1.0を使いました。GitHub APIが示すサイズ120,512 bytesとSHA-256を固定し、取得後に一致を確認してから、実行せずに独立一覧と書庫テストだけを行いました。

APKの完全なSHA-256は 009B467109C4D48D4B00610B06F37F3A77EED75178FBAAE344A111ACC848CC41 です。この一致は取得したファイルがGitHub Releaseで示された資産と同じことを示しますが、アプリの安全性やAndroid端末との互換性までは示しません。

res/3z.png一件だけを選択解凍してCRCを照合

実測APKのres配下から、108×108 pxのPNG一件だけを取り出しました。ビルド済みAPKでは資源名が短縮されることがあり、ファイル名だけで用途を断定せず、APK Analyzerの資源情報や表示結果と組み合わせて判断します。

KaruzipとAndroid公式APK Analyzerの使い分け

Android StudioのAPK Analyzerは、ファイルサイズ、DEX構成、最終的なAndroidManifest.xml、2つのAPKの比較まで扱います。Karuzipは、開発環境を用意せずにファイル階層を一覧し、必要な項目をそのまま取り出す前段に向きます。

書庫テスト、APK署名、ウイルス確認は別の検査

AOSPは、AndroidのPackage Managerがインストール時にAPKの署名を検証すると説明しています。v2以降の署名方式ではAPK全体の変更検出を行います。Karuzipの書庫テストは圧縮項目を読み取れるかを確認する機能で、Android署名の有効性やマルウェアの有無を判定するものではありません。

APK、AAB、split APKは同じ扱いではない

Android Developersによると、APKは端末へインストールできる形式、AABはストア等へ渡す公開用形式です。Google PlayはAABから端末構成に合うbase APKやconfiguration APKを生成します。単体の分割APKだけを取り出しても、アプリ全体としてインストール・動作できるとは限りません。

APKを開けない・解凍できないときの確認順

• APKを解凍できたことを、Windowsで実行できる証明にしない
• 書庫テスト成功を、署名有効・安全・正規品の証明にしない
• .apkを.zipへ変更したまま配布しない
• 入手元不明のAPKや抽出したコードを実行しない
• AndroidManifest.xmlが読めないことを破損と即断しない
• split APKの一部だけでインストールを試さない
• 元APKへ資源を戻して再配布する前に、署名とライセンスを確認する

APKの中身確認・解凍でよくある質問

あわせて確認したいガイド

Karuzipで確認した条件

根拠と更新方針

Windowsの操作、ZIP形式の仕様、Karuzipの機能を混同しないよう、判断ごとに根拠を分けています。

• Application fundamentals | Android Developers developer.android.com APKがAndroidアプリの実行時内容を格納する書庫で、Android端末がインストールに使う形式であること。APKとAABの役割の違い。
• Analyze your build with the APK Analyzer | Android Developers developer.android.com APKがZIP形式に従うこと、ファイル階層、DEX・資源のサイズ、バイナリAndroidManifest.xmlの復元表示、APK比較。
• App signing | Android Open Source Project source.android.com Android Package Managerによるインストール時の署名検証、v1・v2・v3署名方式、v2以降の全体改変検出。
• Android App Bundle frequently asked questions | Android Developers developer.android.com APKはインストール可能な実行形式、AABはそのままAndroid端末へインストールしない公開用形式であること。
• The Android App Bundle format | Android Developers developer.android.com base APK、feature APK、configuration APK、DEX、資源、Manifestの構成と、split APKが複数で一つのアプリを構成し得ること。
• PackageInstaller | Android Developers developer.android.com 単一APKと複数split APKをAndroidへ導入するPackage Installerの役割。
• Hello World Self-Aware v1.1.0 | GitHub Release github.com 実測に使った公開APKのリリース番号、配布元、取得資産。
• Hello World Self-Aware | GitHub github.com 標本がMITライセンスで公開され、権限を要求しない小型学習用アプリとして説明されていること。
• APKファイルとは | Karuzip karuzip.com Karuzip v1.3.0でのAPK一覧、書庫情報、書庫テスト、全体・選択解凍と、Androidアプリ実行・署名検証・再パッケージ非対応の範囲。