页面标题
本平台专为移动应用安全风险研究与合规评估设计，严禁用于任何非法用途。 如有疑问或建议，欢迎加入微信群交流。
应用基础信息
文件基本信息
应用基础信息
Google Play 应用市场信息
开发者信息
关于此应用
组件导出状态统计
文件结构与资源列表
应用签名证书信息
二进制文件已签名
v1 签名: True
v2 签名: True
v3 签名: True
v4 签名: False
主题: C=US, ST=California, L=Mountain View, O=Google Inc., OU=Android, CN=Android
签名算法: rsassa_pkcs1v15
有效期自: 2023-08-02 03:53:38+00:00
有效期至: 2053-08-02 03:53:38+00:00
发行人: C=US, ST=California, L=Mountain View, O=Google Inc., OU=Android, CN=Android
序列号: 0xb0ca13ed686ab2752ff5efc6601d2104e78f642f
哈希算法: sha256
证书MD5: dbd157a843b7feb9e596df749495b405
证书SHA1: befd5572bc9cb531f0f0320f97a0b208f337ae1d
证书SHA256: 1eb377649395c1b7825bb779974c0068ff0618839e7e978cb000a0534ff71e56
证书SHA512: 53c0a75182a83c70659c92644129c2fb357111c6b3b2632da6f42ac3f801c51b53b8a805b217d238d02479b8bb9a6609c355f360fd8e6a9806e1d1b31f9587e6
公钥算法: rsa
密钥长度: 4096
指纹: 0217e995c8da72a3bd88db34dd064743e88b3060f39e4d64e573987a2abd2a99
找到 1 个唯一证书证书安全分析
0
1
1
| 标题 | 严重程度 | 描述信息 |
|---|---|---|
| 已签名应用 | 信息 | 应用程序使用代码签名证书进行签名 |
权限声明与风险分级
| 权限名称 | 安全等级 | 权限内容 | 权限描述 | 关联代码 |
|---|---|---|---|---|
| android.permission.INTERNET | 完全互联网访问 | 允许应用程序创建网络套接字。 | ||
| android.permission.ACCESS_NETWORK_STATE | 获取网络状态 | 允许应用程序查看所有网络的状态。 | ||
| android.permission.CAMERA | 拍照和录制视频 | 允许应用程序拍摄照片和视频，且允许应用程序收集相机在任何时候拍到的图像。 | 无 | |
| android.permission.READ_MEDIA_IMAGES | 允许从外部存储读取图像文件 | 允许应用程序从外部存储读取图像文件。 | ||
| android.permission.ACCESS_COARSE_LOCATION | 获取粗略位置 | 通过WiFi或移动基站的方式获取用户粗略的经纬度信息，定位精度大概误差在30~1500米。恶意程序可以用它来确定您的大概位置。 | 无 | |
| android.permission.ACCESS_FINE_LOCATION | 获取精确位置 | 通过GPS芯片接收卫星的定位信息，定位精度达10米以内。恶意程序可以用它来确定您所在的位置。 | 无 | |
| android.permission.WRITE_EXTERNAL_STORAGE | 读取/修改/删除外部存储内容 | 允许应用程序写入外部存储。 | ||
| android.permission.READ_EXTERNAL_STORAGE | 读取SD卡内容 | 允许应用程序从SD卡读取信息。 | ||
| android.permission.POST_NOTIFICATIONS | 发送通知的运行时权限 | 允许应用发布通知，Android 13 引入的新权限。 | ||
| android.permission.WAKE_LOCK | 防止手机休眠 | 允许应用程序防止手机休眠，在手机屏幕关闭后后台进程仍然运行。 | ||
| com.google.android.c2dm.permission.RECEIVE | 接收推送通知 | 允许应用程序接收来自云的推送通知。 | ||
| com.google.android.gms.permission.AD_ID | 应用程序显示广告 | 此应用程序使用 Google 广告 ID，并且可能会投放广告。 | 无 | |
| android.permission.ACCESS_ADSERVICES_ATTRIBUTION | 允许应用程序访问广告服务归因 | 这使应用能够检索与广告归因相关的信息，这些信息可用于有针对性的广告目的。应用程序可以收集有关用户如何与广告互动的数据，例如点击或展示，以衡量广告活动的有效性。 | 无 | |
| android.permission.ACCESS_ADSERVICES_AD_ID | 允许应用访问设备的广告 ID。 | 此 ID 是 Google 广告服务提供的唯一、用户可重置的标识符，允许应用出于广告目的跟踪用户行为，同时维护用户隐私。 | 无 | |
| android.permission.ACCESS_WIFI_STATE | 查看Wi-Fi状态 | 允许应用程序查看有关Wi-Fi状态的信息。 | ||
| com.google.android.finsky.permission.BIND_GET_INSTALL_REFERRER_SERVICE | Google 定义的权限 | 由 Google 定义的自定义权限。 | 无 | |
| com.othoba.android.DYNAMIC_RECEIVER_NOT_EXPORTED_PERMISSION | 未知权限 | 来自 android 引用的未知权限。 | 无 |
Manifest 配置安全分析
0
6
0
0
| 序号 | 问题 | 严重程度 | 描述信息 | 操作 |
|---|---|---|---|---|
| 1 |
应用程序已启用明文网络流量 [android:usesCleartextTraffic=true] |
警告 | 应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。 | |
| 2 |
应用程序数据可以被备份 [android:allowBackup=true] |
警告 | 这个标志允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。 | |
| 3 |
Activity (com.facebook.CustomTabActivity) 未被保护。 [android:exported=true] |
警告 | 发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。 | |
| 4 |
Activity (com.othoba.android.dummy.MainActivityNewDummy) 未被保护。 [android:exported=true] |
警告 | 发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。 | |
| 5 |
Activity (com.othoba.android.ui.activities.main.MainActivity) 未被保护。 [android:exported=true] |
警告 | 发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。 | |
| 6 |
Broadcast Receiver (com.google.firebase.iid.FirebaseInstanceIdReceiver) 受权限保护, 但是应该检查权限的保护级别。 Permission: com.google.android.c2dm.permission.SEND [android:exported=true] |
警告 | 发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。 |
可浏览 Activity 组件分析
| ACTIVITY | INTENT |
|---|---|
| com.facebook.CustomTabActivity |
Schemes:
@string/fb_login_protocol_scheme://,
fbconnect://,
Hosts: cct.com.othoba.android, |
| com.othoba.android.ui.activities.intro.IntroActivity |
Schemes:
http://,
https://,
Hosts: www.othoba.com, |
网络通信安全风险分析
| 序号 | 范围 | 严重级别 | 描述 |
|---|
API调用分析
安全漏洞检测
2
4
2
1
0
| 序号 | 问题 | 等级 | 参考标准 | 文件位置 | 操作 |
|---|---|---|---|---|---|
| 1 | 应用程序记录日志信息,不得记录敏感信息 | 信息 |
CWE: CWE-532: 通过日志文件的信息暴露
OWASP MASVS: MSTG-STORAGE-3 |
升级会员：解锁高级权限 | |
| 2 | 应用程序创建临时文件。敏感信息永远不应该被写进临时文件 | 警告 |
CWE: CWE-276: 默认权限不正确
OWASP Top 10: M2: Insecure Data Storage OWASP MASVS: MSTG-STORAGE-2 |
升级会员：解锁高级权限 | |
| 3 | 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 | 警告 |
CWE: CWE-312: 明文存储敏感信息
OWASP Top 10: M9: Reverse Engineering OWASP MASVS: MSTG-STORAGE-14 |
升级会员：解锁高级权限 | |
| 4 | 如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击 | 高危 |
CWE: CWE-79: 在Web页面生成时对输入的转义处理不恰当（'跨站脚本'）
OWASP Top 10: M1: Improper Platform Usage OWASP MASVS: MSTG-PLATFORM-6 |
升级会员：解锁高级权限 | |
| 5 | 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 | 警告 |
CWE: CWE-276: 默认权限不正确
OWASP Top 10: M2: Insecure Data Storage OWASP MASVS: MSTG-STORAGE-2 |
升级会员：解锁高级权限 | |
| 6 | 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击 | 安全 |
OWASP MASVS: MSTG-NETWORK-4 |
升级会员：解锁高级权限 | |
| 7 | 应用程序使用不安全的随机数生成器 | 警告 |
CWE: CWE-330: 使用不充分的随机数
OWASP Top 10: M5: Insufficient Cryptography OWASP MASVS: MSTG-CRYPTO-6 |
升级会员：解锁高级权限 | |
| 8 | 此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它 | 信息 |
OWASP MASVS: MSTG-STORAGE-10 |
升级会员：解锁高级权限 | |
| 9 | 启用了调试配置。生产版本不能是可调试的 | 高危 |
CWE: CWE-919: 移动应用程序中的弱点
OWASP Top 10: M1: Improper Platform Usage OWASP MASVS: MSTG-RESILIENCE-2 |
升级会员：解锁高级权限 |
Native库安全分析
| 序号 | 动态库 | NX(堆栈禁止执行) | PIE | STACK CANARY(栈保护) | RELRO | RPATH（指定SO搜索路径） | RUNPATH（指定SO搜索路径） | FORTIFY(常用函数加强检查) | SYMBOLS STRIPPED(裁剪符号表) |
|---|
文件分析
| 序号 | 问题 | 文件 |
|---|
行为分析
| 编号 | 行为 | 标签 | 文件 |
|---|---|---|---|
| 00022 | 从给定的文件绝对路径打开文件 |
文件 |
升级会员：解锁高级权限 |
| 00036 | 从 res/raw 目录获取资源文件 |
反射 |
升级会员：解锁高级权限 |
| 00063 | 隐式意图（查看网页、拨打电话等） |
控制 |
升级会员：解锁高级权限 |
| 00189 | 获取短信内容 |
短信 |
升级会员：解锁高级权限 |
| 00188 | 获取短信地址 |
短信 |
升级会员：解锁高级权限 |
| 00200 | 从联系人列表中查询数据 |
信息收集 联系人 |
升级会员：解锁高级权限 |
| 00187 | 查询 URI 并检查结果 |
信息收集 短信 通话记录 日历 |
升级会员：解锁高级权限 |
| 00201 | 从通话记录中查询数据 |
信息收集 通话记录 |
升级会员：解锁高级权限 |
| 00202 | 打电话 |
控制 |
升级会员：解锁高级权限 |
| 00203 | 将电话号码放入意图中 |
控制 |
升级会员：解锁高级权限 |
| 00051 | 通过setData隐式意图（查看网页、拨打电话等） |
控制 |
升级会员：解锁高级权限 |
| 00013 | 读取文件并将其放入流中 |
文件 |
升级会员：解锁高级权限 |
| 00091 | 从广播中检索数据 |
信息收集 |
升级会员：解锁高级权限 |
| 00030 | 通过给定的 URL 连接到远程服务器 |
网络 |
升级会员：解锁高级权限 |
| 00109 | 连接到 URL 并获取响应代码 |
网络 命令 |
升级会员：解锁高级权限 |
IP地理位置
恶意域名检测
| 域名 | 状态 | 中国境内 | 位置信息 | 解析 |
|---|---|---|---|---|
| images.unsplash.com |
安全 |
否 |
IP地址: 151.101.194.208 国家: 美国 地区: 加利福尼亚 城市: 旧金山 查看: Google 地图 |
|
| www.othoba.com |
安全 |
否 |
IP地址: 104.26.3.124 国家: 美国 地区: 加利福尼亚 城市: 旧金山 查看: Google 地图 |
|
| 9o1r45zslb-dsn.algolia.net |
安全 |
否 | 没有可用的地理位置信息。 |
|
| maps.app.goo.gl |
安全 |
否 |
IP地址: 142.251.40.46 国家: 美国 地区: 纽约 城市: 纽约市 查看: Google 地图 |
|
| s3.ap-southeast-1.amazonaws.com |
安全 |
否 |
IP地址: 3.5.148.184 国家: 新加坡 地区: 新加坡 城市: 新加坡 查看: Google 地图 |
|
| app.othoba.com |
安全 |
否 |
IP地址: 172.67.72.98 国家: 美国 地区: 加利福尼亚 城市: 旧金山 查看: Google 地图 |
|
手机号提取
URL链接分析
| URL信息 | 源码文件 |
|---|---|
|
https://images.unsplash.com/photo-1620236104164-d2e71d7f4b1f?w=1080 https://images.unsplash.com/photo-1619371208402-615001f13a45?w=1080 https://images.unsplash.com/photo-1619901373505-bb71126e5fbb?w=1080 https://images.unsplash.com/photo-1573322867455-fc97c490c14c?w=1080 https://images.unsplash.com/photo-1581357825340-32259110788a?w=1080 https://images.unsplash.com/photo-1569398034126-476b0d96e2d1?w=1080 https://images.unsplash.com/photo-1513072064285-240f87fa81e8?w=1080 https://images.unsplash.com/photo-1544179516-b0878e1cbe48?w=1080 https://images.unsplash.com/photo-1528825871115-3581a5387919?w=1080 https://images.unsplash.com/flagged/photo-1554443877-b2ea8132bab7?w=1080 https://images.unsplash.com/photo-1540866225557-9e4c58100c67?w=1080 https://images.unsplash.com/photo-1558364015-0d5ba7a4ba86?w=1080 https://images.unsplash.com/photo-1577255714682-69db9b067fda?w=1080 https://images.unsplash.com/photo-1559181567-c3190ca9959b?w=1080 https://images.unsplash.com/photo-1572635148818-ef6fd45eb394?w=1080 https://images.unsplash.com/photo-1581441117193-63e8f6547081?w=1080 https://images.unsplash.com/photo-1568702846914-96b305d2aaeb?w=1080 https://images.unsplash.com/photo-1519817650390-64a93db51149?w=1080 https://images.unsplash.com/photo-1618346136472-090de27fe8b4?w=1080 https://images.unsplash.com/photo-1547514701-42782101795e?w=1080 https://images.unsplash.com/photo-1589533610925-1cffc309ebaa?w=1080 https://images.unsplash.com/photo-1550258987-190a2d41a8ba?w=1080 https://images.unsplash.com/photo-1619408507347-03b1e31851c5?w=1080 https://images.unsplash.com/photo-1542273917363-3b1817f69a2d?w=1080 https://images.unsplash.com/photo-1604542031658-5799ca5d7936?w=1080 https://images.unsplash.com/photo-1618207981235-22a93d2e3ef8?w=1080 https://images.unsplash.com/photo-1507667522877-ad03f0c7b0e0?w=1080 https://images.unsplash.com/photo-1470104240373-bc1812eddc9f?w=1080 |
com/othoba/android/dummy/DataSet.java |
|
https://play.google.com/store/apps/details?id= |
com/othoba/android/dialog/CommonDialogsKt.java |
|
https://www.google.com |
org/imaginativeworld/oopsnointernet/utils/NoInternetUtils.java |
|
https://maps.app.goo.gl/uberxyu8mhgxarxa8 |
com/othoba/android/ui/fragments/my_account/DashboardFragment.java |
|
https://www.othoba.com/ |
com/othoba/android/ui/activities/categoryProduct/ProductDetailsClickHandler.java |
|
https://www.othoba.com/ https://9o1r45zslb-dsn.algolia.net/ https://app.othoba.com |
com/othoba/android/network/Api.java |
|
https://www.othoba.com/ http://www.othoba.com/ https://app.othoba.com/ www.othoba.com/ http://app.othoba.com/ |
com/othoba/android/ui/activities/PaymentWebViewActivity.java |
|
https://s3.ap-southeast-1.amazonaws.com/images.othoba.com/content/images/anniversarycampaign8/mob/footer.png |
com/othoba/android/ui/activities/anniversary_campaign/AnniversaryCampaignActivity.java |
|
https://github.com/chesire https://github.com/chesire/lifecyklelog |
自研引擎-S |
Firebase配置检测
| 标题 | 严重程度 | 描述信息 |
|---|---|---|
| Firebase远程配置已启用 | 警告 |
Firebase远程配置URL （ https://firebaseremoteconfig.googleapis.com/v1/projects/661074830070/namespaces/firebase:fetch?key=AIzaSyDsUv8dwR49ql8ZigwxRL55eNES_EnySCE ） 已启用。请确保这些配置不包含敏感信息。响应内容如下所示： { |
邮箱地址提取
| 源码文件 | |
|---|---|
|
info@othoba.com |
自研引擎-S |
第三方追踪器
| 名称 | 类别 | 网址 |
|---|---|---|
| Facebook Analytics | Analytics | https://reports.exodus-privacy.eu.org/trackers/66 |
| Facebook Login | Identification | https://reports.exodus-privacy.eu.org/trackers/67 |
| Facebook Share | https://reports.exodus-privacy.eu.org/trackers/70 | |
| Google CrashLytics | Crash reporting | https://reports.exodus-privacy.eu.org/trackers/27 |
| Google Firebase Analytics | Analytics | https://reports.exodus-privacy.eu.org/trackers/49 |
敏感凭证泄露
已显示 46 个secrets
1、 凭证信息=> "com.google.android.geo.API_KEY" : "AIzaSyCEOYsiret5cXtaB833oXilQPma1-DB1vA"
2、 "com.google.firebase.crashlytics.mapping_file_id" : "00000000000000000000000000000000"
3、 "facebook_app_id" : "1735816786855480"
4、 "facebook_client_token" : "73a6b8832634be998b9e2a9e0a1f7ea1"
5、 "google_api_key" : "AIzaSyDsUv8dwR49ql8ZigwxRL55eNES_EnySCE"
6、 "google_app_id" : "1:661074830070:android:53832e787a80f6671f42d7"
7、 "google_crash_reporting_api_key" : "AIzaSyDsUv8dwR49ql8ZigwxRL55eNES_EnySCE"
8、 "library_Lifecyklelog_author" : "Chesire"
9、 "library_Lifecyklelog_authorWebsite" : "https://github.com/Chesire"
10、 "maps_api_key" : "AIzaSyCEOYsiret5cXtaB833oXilQPma1-DB1vA"
11、 df6b721c8b4d3b6eb44c861d4415007e5a35fc95
12、 c56fb7d591ba6704df047fd98f535372fea00211
13、 -1604542031658-5799ca5d7936
14、 d670a24b41814e333851a96e124685fd
15、 -1581441117193-63e8f6547081
16、 9b8f518b086098de3d77736f9458a3d2f6f95a37
17、 2438bce1ddb7bd026d5ff89f598b3b5e5bb824b3
18、 -1542273917363-3b1817f69a2d
19、 -1507667522877-ad03f0c7b0e0
20、 -1589533610925-1cffc309ebaa
21、 -1550258987-190a2d41a8ba
22、 8a3c4b262d721acd49a4bf97d5213199c86fa2b9
23、 7e7f70a5216fe7c03277c6db7d8835d8
24、 a4b7452e2ed8f5f191058ca7bbfd26b0d3214bfc
25、 -1470104240373-bc1812eddc9f
26、 -1519817650390-64a93db51149
27、 cc2751449a350f668590264ed76692694a80308a
28、 -1544179516-b0878e1cbe48
29、 -1619371208402-615001f13a45
30、 -1619901373505-bb71126e5fbb
31、 -1573322867455-fc97c490c14c
32、 -1554443877-b2ea8132bab7
33、 AIzaSyCEOYsiret5cXtaB833oXilQPma1
34、 9e33918e00a54e3d13fbc46bdaa39a4d
35、 -1619408507347-03b1e31851c5
36、 -1620236104164-d2e71d7f4b1f
37、 -1540866225557-9e4c58100c67
38、 -1577255714682-69db9b067fda
39、 -1568702846914-96b305d2aaeb
40、 -1569398034126-476b0d96e2d1
41、 -1581357825340-32259110788a
42、 -1618207981235-22a93d2e3ef8
43、 -1558364015-0d5ba7a4ba86
44、 -1513072064285-240f87fa81e8
45、 -1618346136472-090de27fe8b4
46、 -1572635148818-ef6fd45eb394
活动列表
显示 27 个 activities
服务列表
显示 9 个 services
广播接收者列表
显示 5 个 receivers
第三方SDK
| SDK名称 | 开发者 | 描述信息 |
|---|---|---|
| Google Play Service | 借助 Google Play 服务，您的应用可以利用由 Google 提供的最新功能，例如地图，Google+ 等，并通过 Google Play 商店以 APK 的形式分发自动平台更新。 这样一来，您的用户可以更快地接收更新，并且可以更轻松地集成 Google 必须提供的最新信息。 | |
| File Provider | Android | FileProvider 是 ContentProvider 的特殊子类，它通过创建 content://Uri 代替 file:///Uri 以促进安全分享与应用程序关联的文件。 |
| Jetpack App Startup | App Startup 库提供了一种直接，高效的方法来在应用程序启动时初始化组件。库开发人员和应用程序开发人员都可以使用 App Startup 来简化启动顺序并显式设置初始化顺序。App Startup 允许您定义共享单个内容提供程序的组件初始化程序，而不必为需要初始化的每个组件定义单独的内容提供程序。这可以大大缩短应用启动时间。 | |
| Firebase | Firebase 提供了分析、数据库、消息传递和崩溃报告等功能，可助您快速采取行动并专注于您的用户。 | |
| Picasso | Square | 一个强大的 Android 图片下载缓存库。 |
| Jetpack Media | 与其他应用共享媒体内容和控件。已被 media2 取代。 | |
| Firebase Analytics | Google Analytics（分析）是一款免费的应用衡量解决方案，可提供关于应用使用情况和用户互动度的分析数据。 | |
| Jetpack Room | Room 持久性库在 SQLite 的基础上提供了一个抽象层，让用户能够在充分利用 SQLite 的强大功能的同时，获享更强健的数据库访问机制。 |
污点分析
当apk较大时，代码量会很大，造成数据流图（ICFG）呈现爆炸式增长，所以该功能比较耗时，请先喝杯咖啡，耐心等待……| 规则名称 | 描述信息 | 操作 |
|---|---|---|
| 病毒分析 | 使用安卓恶意软件常用的API进行污点分析 | 开始分析 |
| 漏洞挖掘 | 漏洞挖掘场景下的污点分析 | 开始分析 |
| 隐私合规 | 隐私合规场景下的污点分析：组件内污点传播、组件间污点传播、组件与库函数之间的污点传播 | 开始分析 |
| 密码分析 | 分析加密算法是否使用常量密钥、静态初始化的向量（IV）、加密模式是否使用ECB等 | 开始分析 |
| Callback | 因为Android中系统级的Callback并不会出现显式地进行回调方法的调用，所以如果需要分析Callback方法需要在声明文件中将其声明，这里提供一份AndroidCallbacks.txt文件，里面是一些常见的原生回调接口或类，如果有特殊接口需求，可以联系管理员 | 开始分析 |