安全分析报告： Enjoy FlexPai v1.1.9

安全分数


安全分数 45/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

0

用户/设备跟踪器


调研结果

高危 4
中危 7
信息 1
安全 2
关注 2

高危 基本配置不安全地配置为允许到所有域的明文流量。 

Scope:
*

高危 基本配置配置为信任用户安装的证书。 

Scope:
*

高危 已启用远程WebView调试 

已启用远程WebView调试
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04c-Tampering-and-Reverse-Engineering.md#debugging-and-tracing

Files:
com/just/agentweb/AgentWebConfig.java, line(s) 62,10

高危 如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击 

如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-7

Files:
com/just/agentweb/UrlLoaderImpl.java, line(s) 76,80,5

中危 基本配置配置为信任系统证书。 

Scope:
*

中危 Activity (com.royole.userguide.ui.detail.banner.BannerDetailsActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/just/agentweb/AgentWebUtils.java, line(s) 292,369
com/royole/userguide/e/x.java, line(s) 42,55

中危 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/just/agentweb/AgentWebUtils.java, line(s) 580
com/royole/userguide/e/u.java, line(s) 18

中危 应用程序创建临时文件。敏感信息永远不应该被写进临时文件 

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
a/f/c.java, line(s) 261

中危 可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息 

可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-6

Files:
com/just/agentweb/AbsAgentWebSettings.java, line(s) 46,22

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
258EAFA5-E914-47DA-95CA-C5AB0DC85B11
35ae2d3d9c7a4cfda018f28b7d49cdbe
726bb924e76c66504cd50c8166159c01

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
a/f/a.java, line(s) 102,241,397,399,85,87,94,98,318,325,327,336,359,79,185,236,247,257,277,291,321,329,333
a/f/c.java, line(s) 48,57,59,86,98,100,105,130,152,180,250,252,262,276,92,140,156,172,246,254,297
cn/jzvd/JZTextureView.java, line(s) 40,70,71
cn/jzvd/Jzvd.java, line(s) 177,197,248,398,427,793,746,189,258,346,358,373,384,419,458,467,477,488,496,513,531,537,578,584,594,600,646,652,693
cn/jzvd/v.java, line(s) 107
cn/jzvd/w.java, line(s) 14,25
com/just/agentweb/AgentWebUtils.java, line(s) 149,122,123,129,142
com/just/agentweb/AgentWebView.java, line(s) 56,84,94,273,38,262,265
com/just/agentweb/DefaultChromeClient.java, line(s) 235,241
com/just/agentweb/JsCallJava.java, line(s) 125,66,39,79
com/just/agentweb/JsCallback.java, line(s) 65
com/just/agentweb/LogUtils.java, line(s) 9,24,38,14,32
me/drakeet/multitype/e.java, line(s) 113
me/yokeyword/fragmentation/a/a.java, line(s) 8
me/yokeyword/fragmentation/o.java, line(s) 63

安全 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击 

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
com/royole/userguide/c/b/i.java, line(s) 69,21

安全 此应用程序没有隐私跟踪程序 

此应用程序不包括任何用户或设备跟踪器。在静态分析期间没有找到任何跟踪器。

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (rauth.royole.com) 通信。 

{'ip': '120.78.192.209', 'country_short': 'CN', 'country_long': '中国', 'region': '广东', 'city': '深圳', 'latitude': '22.545673', 'longitude': '114.068108'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (rowrite.royole.com) 通信。 

{'ip': '140.143.5.48', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

安全评分: ( Enjoy FlexPai 1.1.9)