安全分析报告： 易抓抓 v5.3.7

安全分数


安全分数 52/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

0

用户/设备跟踪器


调研结果

高危 1
中危 5
信息 1
安全 1
关注 3

高危 应用程序使用了调试证书进行签名 

应用程序使用了调试证书进行签名。生产环境的应用程序不能使用调试证书发布。

中危 应用程序已启用明文网络流量 

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/dmcbig/mediapicker/utils/FileUtils.java, line(s) 24,25,27,52,112
com/nostra13/dcloudimageloader/utils/StorageUtils.java, line(s) 22,44,44,53

中危 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/nostra13/dcloudimageloader/cache/disc/naming/Md5FileNameGenerator.java, line(s) 14

中危 应用程序创建临时文件。敏感信息永远不应该被写进临时文件 

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
com/dmcbig/mediapicker/TakePhotoActivity.java, line(s) 25
com/dmcbig/mediapicker/utils/FileUtils.java, line(s) 35

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
DCLOUD的 "ApplicationId" : "plus.H5600A8B1"
DCLOUD的 "AD_ID" : "123516190911"
DCLOUD的 "DCLOUD_STREAMAPP_CHANNEL" : "plus.H5600A8B1|H5600A8B1|123516190911|"
DCLOUD的 "APPID" : "H5600A8B1"
"dcloud_permissions_reauthorization" : "reauthorize"
"dcloud_tips_certificate" : "certificate"
0c2f0cd637405d35a4399db4d7852454b

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
androidtranscoder/MediaTranscoder.java, line(s) 75,152,185,72,69
androidtranscoder/engine/MediaTranscoderEngine.java, line(s) 77,85,168,198
androidtranscoder/engine/QueuedMuxer.java, line(s) 95,97,105
androidtranscoder/engine/TextureRender.java, line(s) 49,61,62,77,81,99
androidtranscoder/format/ExportPreset960x540Strategy.java, line(s) 21
com/bun/miitmdid/core/MdidSdkHelper.java, line(s) 59,65
com/bun/miitmdid/core/Utils.java, line(s) 73,76,36,42,47
com/dmcbig/mediapicker/PreviewActivity.java, line(s) 259

安全 此应用程序没有隐私跟踪程序 

此应用程序不包括任何用户或设备跟踪器。在静态分析期间没有找到任何跟踪器。

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (m3w.cn) 通信。 

{'ip': '43.142.131.213', 'country_short': 'CN', 'country_long': '中国', 'region': '江西', 'city': '南昌', 'latitude': '28.683331', 'longitude': '115.883331'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (er.dcloud.net.cn) 通信。 

{'ip': '43.142.131.213', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (ask.dcloud.net.cn) 通信。 

{'ip': '43.142.131.213', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '台州', 'latitude': '32.492168', 'longitude': '119.910767'}

安全评分: ( 易抓抓 5.3.7)