安全分析报告： GENIEX Service v2.2.062

安全分数


安全分数 48/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

1

用户/设备跟踪器


调研结果

高危 2
中危 12
信息 1
安全 1
关注 2

高危 应用程序处于测试模式 

[android:testOnly=true]
它可能会暴露自身之外的功能或数据，这会造成一个安全漏洞。

高危 应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。 

应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
h/f.java, line(s) 30,34
t0/a0.java, line(s) 162,174
v2/a.java, line(s) 136,140

中危 应用程序已启用明文网络流量 

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危 Service (com.skyroam.silverhelper.msp.SilverService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (com.skyroam.silverhelper.msp.MainService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 高优先级的Intent (2147483647) 

[android:priority]
通过设置一个比另一个Intent更高的优先级，应用程序有效地覆盖了其他请求。

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
j2/c.java, line(s) 294
q2/d.java, line(s) 278
v2/e.java, line(s) 206

中危 IP地址泄露 

IP地址泄露


Files:
b2/b.java, line(s) 464,470
b2/g.java, line(s) 583,586,647,650
com/transsion/sdk/oneid/data/PackageInfo.java, line(s) 24
m2/g.java, line(s) 394
o1/d.java, line(s) 219,221,223
v2/g.java, line(s) 478
z0/e.java, line(s) 72

中危 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/skyroam/silver/PkgnameAndUidInfoChangeNotify.java, line(s) 6
com/skyroam/silver/Silver.java, line(s) 7
com/skyroam/silver/SilverGetSimStatusChangeNotify.java, line(s) 5
com/skyroam/silver/SimGetNetworkIdChangeNotify.java, line(s) 5
com/skyroam/silver/SimModemStatusChangeNotify.java, line(s) 5
com/skyroam/silver/SimNetInterfaceNotify.java, line(s) 5
com/skyroam/silver/SimNetworkInformationChangeNotify.java, line(s) 5
com/skyroam/silver/SimSendGpsInfoResultToOsi.java, line(s) 5
com/skyroam/silver/SimSendHotPlugToOsi.java, line(s) 5
com/skyroam/silver/SimSendPlmnResultToOsi.java, line(s) 6
com/skyroam/silver/SimSilverSendHeartbeatToOsi.java, line(s) 5
com/skyroam/silver/SystemInformationChangeCallback.java, line(s) 5
com/skyroam/silver/UidTotalRxAndTotalTxInfoChangeNotify.java, line(s) 5
com/skyroam/silverhelper/broadcast/BootBroadReceiver.java, line(s) 24
com/skyroam/silverhelper/msp/MainService.java, line(s) 34
com/skyroam/silverhelper/msp/SilverService.java, line(s) 43
h3/a.java, line(s) 3
h3/b.java, line(s) 4
i3/a.java, line(s) 4
t0/r.java, line(s) 38

中危 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
d2/k.java, line(s) 51
f1/b.java, line(s) 90
t0/h0.java, line(s) 394

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
f2/d.java, line(s) 6,7,8,9,130
n1/a.java, line(s) 4,5,14
r1/a.java, line(s) 4,5,46

中危 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/skyroam/javattlv/utils/SPUtils.java, line(s) 64

中危 应用程序包含隐私跟踪程序 

此应用程序有多个1隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
nCGSS6NKf4glPrFbTM97aE9ZKGUiMALIV8W7FClAgLZdtTZkL5XEQdbX4RB/C6edc
nzFx18H12iZ9gG1VztMbHetvImBoXeCOwjTc5RnGIz+Hya96pxJLK2DcSlAaHEs1H
3b0b10346b628d9d6ce83c6265bcb5bb
861b5972a3555dbda8b8d9dbc6115a64
76iRl07s0xSN9jqmEWAt79EBJZulIQIsV64FZr2O
nnN2ifla6sVu23y78FMiL6smp9ayE7Y3gSEfB3md4nvEUpyRUu4wYLIf9nVR36okK
nGCerxYdLtDbJ69Rux4lgE5C9a6qLfV6BzjJYONk/vQhGQYT6qes+TFtXV0hvF8UM
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEArNrm4jErOdstd1P5L1X/
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

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
b2/a.java, line(s) 63,503
b2/b.java, line(s) 129,141,149,158,166,190,205,214,227,236,430,440,443,448,512,657,663,667,673,687,693,697,706,729,735,739,745,750,754,758,765,837,916,922,924,932,937,946,960,964,967,1001,1044,582,298
c0/b.java, line(s) 45
c0/e0.java, line(s) 122,130,131
c0/g0.java, line(s) 134,153,49,123
c0/k.java, line(s) 73
c0/v.java, line(s) 708,154,707,437
c1/d.java, line(s) 107,111
c1/l.java, line(s) 65,72,73,80
com/skyroam/javattlv/JavaTtlv.java, line(s) 158,161,165,188,367,375,383,391,411,431,438,445,456,459,462,465,477,481,491,529,534,538,543,548,552,556,560,564,568,617,633,642,652
com/skyroam/javattlv/TtlvLog.java, line(s) 10,16,28,22,34
com/skyroam/javattlv/utils/SystemPropertiesEx.java, line(s) 16,27,34
com/skyroam/javattlv/utils/ThreadUtil.java, line(s) 97,105
com/skyroam/silver/ServerConnectStateCallBack.java, line(s) 19,24
com/skyroam/silver/Silver.java, line(s) 31,37,161,166,169,174
com/skyroam/silver/SilverDataCallback.java, line(s) 65,68,188,205,276,297,324,327
com/skyroam/silver/SilverListenCallBack.java, line(s) 69,85
com/skyroam/silver/SilverLog.java, line(s) 10,16,28,22,34
com/skyroam/silver/SilverWriteableCallback.java, line(s) 150,159,164,611,707,735,161
com/skyroam/silver/worker/ManuallySetSimNetWorker.java, line(s) 24,26,28
com/skyroam/silver/worker/SetSilverUpdatePathInfoWorker.java, line(s) 29
com/skyroam/silver/worker/SetSimApnAndCtlDataWorker.java, line(s) 30
com/skyroam/silverhelper/MyApplication.java, line(s) 127,137,166,173,306,85,143
com/skyroam/silverhelper/broadcast/BootBroadReceiver.java, line(s) 73,79,113,130,137,140,171,174,196,122,183
com/skyroam/silverhelper/broadcast/LanguageChangeReceiver.java, line(s) 24
com/skyroam/silverhelper/msp/MainService.java, line(s) 323
com/skyroam/silverhelper/msp/SilverService.java, line(s) 479,540
d2/c.java, line(s) 31,43
d2/f.java, line(s) 15,42,21,11,51,30
d2/j.java, line(s) 281,381,382,383,384,385,386,387,395,401,408
d2/l.java, line(s) 452
e0/c.java, line(s) 38
f/f.java, line(s) 148,182,194,204,367
f0/k.java, line(s) 18,17
f2/d.java, line(s) 55,65,78,90,104,265,390,654
g0/b.java, line(s) 39
h/e.java, line(s) 195
h/e0.java, line(s) 113,128,132
h/j0.java, line(s) 23
h/y.java, line(s) 108,251,372,187,192,334,345,386,400
h/z.java, line(s) 35
h1/a.java, line(s) 78,85,91,104,109
h1/b.java, line(s) 33,40,60,128,131,134,155,168,210,213,217,231,234,78,94,100,118,175,200
i1/a.java, line(s) 92,118,126,110
i1/b.java, line(s) 51,69,91,108,115,123,158,173,143,187,73
j2/a.java, line(s) 23
j2/b.java, line(s) 34,39
j2/c.java, line(s) 334,137
l2/a.java, line(s) 212
m/d.java, line(s) 404
m1/b.java, line(s) 27
m1/d.java, line(s) 18,47,69
m1/h.java, line(s) 95,101,130,427,655
m1/i.java, line(s) 82,125
m1/j.java, line(s) 46,50,208,211,215,233
m1/k.java, line(s) 52,56,72,108,112,115,123,127,130,148
m2/c.java, line(s) 71,90
n1/c.java, line(s) 157,159
o/e.java, line(s) 717
o0/a.java, line(s) 31
o1/a.java, line(s) 44,119,176,183,244,262
o1/b.java, line(s) 73
o1/d.java, line(s) 163,167,172
p1/a.java, line(s) 54,66,86,93,60
p1/c.java, line(s) 28
p1/d.java, line(s) 25
p1/e.java, line(s) 258,317,372
q1/a.java, line(s) 67,129,43,54
q1/b.java, line(s) 28
q2/c.java, line(s) 34,39
q2/d.java, line(s) 318,121
r/a.java, line(s) 147,150,151,156,160
r/b.java, line(s) 218,113
r1/a.java, line(s) 45
s/e.java, line(s) 42
t0/h0.java, line(s) 351
t0/j.java, line(s) 74
t0/s.java, line(s) 156,157,158,159,160
t0/z.java, line(s) 157
u0/c.java, line(s) 80,116
u1/a.java, line(s) 110
v2/a.java, line(s) 128
x1/a.java, line(s) 34,62,70,76,46
z0/b.java, line(s) 213
z0/l.java, line(s) 18
z0/m.java, line(s) 556,273,378,502,509
z1/d.java, line(s) 459,461,197,213
z1/j.java, line(s) 88,161,173,182,197,218,351,368,388,592,598,601,330,400,468,494,528
z1/s.java, line(s) 107,121
z1/w.java, line(s) 20

安全 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击 

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
t0/h0.java, line(s) 88,116,205
u3/d.java, line(s) 57,76
z0/e.java, line(s) 350,189,348,348

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (connectivitycheck.platform.hicloud.com) 通信。 

{'ip': '23.59.157.13', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '常州', 'latitude': '31.783331', 'longitude': '119.966667'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (manual.sensorsdata.cn) 通信。 

{'ip': '180.97.251.233', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '苏州', 'latitude': '31.311365', 'longitude': '120.617691'}

安全评分: ( GENIEX Service 2.2.062)