移动应用安全检测报告： 电银创客 v1.0.2

安全基线评分


安全基线评分 23/100

综合风险等级


风险等级评定

  1. A
  2. B
  3. C
  4. F

漏洞与安全项分布（%）


隐私风险

6

检测到的第三方跟踪器数量


检测结果分布

高危安全漏洞 25
中危安全漏洞 19
安全提示信息 1
已通过安全项 1
重点安全关注 15

高危安全漏洞 Activity (io.dcloud.PandoraEntry) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危安全漏洞 Activity （io.dcloud.PandoraEntry） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (23) 更新到 28 或更高版本以在平台级别修复此问题。

高危安全漏洞 Activity (io.dcloud.PandoraEntryActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危安全漏洞 Activity （io.dcloud.PandoraEntryActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (23) 更新到 28 或更高版本以在平台级别修复此问题。

高危安全漏洞 Activity (com.alipay.sdk.app.PayResultActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危安全漏洞 Activity (com.alipay.sdk.app.AlipayResultActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危安全漏洞 Activity （com.alipay.sdk.app.AlipayResultActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (23) 更新到 28 或更高版本以在平台级别修复此问题。

高危安全漏洞 Activity (io.dcloud.appstream.StreamAppMainActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危安全漏洞 Activity （io.dcloud.appstream.StreamAppMainActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (23) 更新到 28 或更高版本以在平台级别修复此问题。

高危安全漏洞 Activity (io.dcloud.appstream.StreamAppMainActivity) 容易受到StrandHogg 2.0的攻击 

已发现活动存在 StrandHogg 2.0 栈劫持漏洞的风险。漏洞利用时，其他应用程序可以将恶意活动放置在易受攻击的应用程序的活动栈顶部，从而使应用程序成为网络钓鱼攻击的易受攻击目标。可以通过将启动模式属性设置为“singleInstance”并设置空 taskAffinity (taskAffinity="") 来修复此漏洞。您还可以将应用的目标 SDK 版本 (23) 更新到 29 或更高版本以在平台级别修复此问题。

高危安全漏洞 Activity (io.dcloud.WebAppActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危安全漏洞 Activity （io.dcloud.WebAppActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (23) 更新到 28 或更高版本以在平台级别修复此问题。

高危安全漏洞 Activity (io.dcloud.multiprocess.activity.WebAppActivity1) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危安全漏洞 Activity （io.dcloud.multiprocess.activity.WebAppActivity1） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (23) 更新到 28 或更高版本以在平台级别修复此问题。

高危安全漏洞 Activity (com.sina.weibo.sdk.share.WbShareToStoryActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危安全漏洞 Activity （com.sina.weibo.sdk.share.WbShareToStoryActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (23) 更新到 28 或更高版本以在平台级别修复此问题。

高危安全漏洞 Activity (com.ss.android.socialbase.appdownloader.view.DownloadTaskDeleteActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危安全漏洞 Activity （com.ss.android.socialbase.appdownloader.view.DownloadTaskDeleteActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (23) 更新到 28 或更高版本以在平台级别修复此问题。

高危安全漏洞 Activity (com.ss.android.socialbase.appdownloader.view.JumpUnknownSourceActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危安全漏洞 Activity （com.ss.android.socialbase.appdownloader.view.JumpUnknownSourceActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (23) 更新到 28 或更高版本以在平台级别修复此问题。

高危安全漏洞 Activity (com.ss.android.downloadlib.activity.TTDelegateActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危安全漏洞 Activity （com.ss.android.downloadlib.activity.TTDelegateActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (23) 更新到 28 或更高版本以在平台级别修复此问题。

高危安全漏洞 Activity (com.bytedance.sdk.openadsdk.activity.TTDelegateActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危安全漏洞 Activity （com.bytedance.sdk.openadsdk.activity.TTDelegateActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (23) 更新到 28 或更高版本以在平台级别修复此问题。

高危安全漏洞 应用程序包含隐私跟踪程序 

此应用程序有多个6隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危安全漏洞 应用程序已启用明文网络流量 

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危安全漏洞 Service (com.igexin.sdk.PushService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危安全漏洞 Activity设置了TaskAffinity属性 

(com.igexin.sdk.PushActivity)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危安全漏洞 Activity设置了TaskAffinity属性 

(com.igexin.sdk.GActivity)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危安全漏洞 Activity (io.dcloud.PandoraEntryActivity) 受权限保护, 但是应该检查权限的保护级别。 

Permission: com.miui.securitycenter.permission.AppPermissionsEditor [android:exported=true]
发现一个 Activity被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危安全漏洞 Activity设置了TaskAffinity属性 

(io.dcloud.appstream.StreamAppMainActivity)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危安全漏洞 Activity (io.dcloud.appstream.StreamAppMainActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危安全漏洞 Activity设置了TaskAffinity属性 

(io.dcloud.WebAppActivity)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危安全漏洞 Activity设置了TaskAffinity属性 

(io.dcloud.multiprocess.activity.WebAppActivity1)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危安全漏洞 Service (com.ss.android.socialbase.downloader.impls.RetryJobSchedulerService) 受权限保护, 但是应该检查权限的保护级别。 

Permission: android.permission.BIND_JOB_SERVICE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危安全漏洞 SHA-1是已知存在哈希冲突的弱哈希 

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/pgl/sys/ces/c.java, line(s) 12
com/tencent/weibo/sdk/android/component/sso/AuthHelper.java, line(s) 117
com/xiaomi/account/auth/AuthorizeHelper.java, line(s) 77

中危安全漏洞 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/ak/base/utils/j.java, line(s) 61,62,64,65
com/ak/torch/base/config/c.java, line(s) 36
com/dmcbig/mediapicker/utils/FileUtils.java, line(s) 23,24,26,55,75
com/nostra13/dcloudimageloader/utils/StorageUtils.java, line(s) 20,39,39,44
com/pgl/sys/ces/a/a.java, line(s) 39
com/ss/android/downloadlib/a.java, line(s) 255
com/ss/android/downloadlib/a/c/a.java, line(s) 26
com/ss/android/downloadlib/a/c/b.java, line(s) 24
com/ss/android/downloadlib/a/j.java, line(s) 224
com/taobao/gcanvas/audio/GAudioPlayer.java, line(s) 64,65,116,117
com/tencent/weibo/sdk/android/component/PublishActivity.java, line(s) 601
u/aly/ab.java, line(s) 59,61
u/aly/bj.java, line(s) 270

中危安全漏洞 IP地址泄露 

IP地址泄露


Files:
com/ss/android/downloadlib/a/j.java, line(s) 31
com/tencent/weibo/sdk/android/network/HttpConfig.java, line(s) 4
u/aly/al.java, line(s) 15

中危安全漏洞 应用程序创建临时文件。敏感信息永远不应该被写进临时文件 

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
com/dmcbig/mediapicker/TakePhotoActivity.java, line(s) 63
com/dmcbig/mediapicker/utils/FileUtils.java, line(s) 34

中危安全漏洞 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/ak/a/b/a.java, line(s) 207
com/ak/torch/base/util/f.java, line(s) 10
com/baidu/aip/core/mini/AutoCheck.java, line(s) 248
com/pgl/sys/ces/c/a.java, line(s) 24
com/pgl/sys/ces/c/b.java, line(s) 24
com/tencent/qphone/base/util/QLog.java, line(s) 11
com/tencent/weibo/sdk/android/component/sso/AuthHelper.java, line(s) 21
com/xiaomi/account/openauth/XiaomiOAuthConstants.java, line(s) 37
com/xiaomi/account/openauth/XiaomiOAuthResults.java, line(s) 135

中危安全漏洞 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/ak/base/b/b.java, line(s) 17,35
com/ak/base/image/c.java, line(s) 164
com/ss/android/downloadlib/e/g.java, line(s) 39
com/tencent/weibo/sdk/android/component/sso/tools/MD5Tools.java, line(s) 384,410

中危安全漏洞 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/tencent/weibo/sdk/android/component/sso/AuthHelper.java, line(s) 16
com/tencent/weibo/sdk/android/component/sso/tools/Cryptor.java, line(s) 7
com/xiaomi/account/auth/AuthorizeHelper.java, line(s) 16
net/ossrs/yasea/rtmp/packets/Handshake.java, line(s) 7

中危安全漏洞 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/ak/a/a/a.java, line(s) 3,4,73,79,80,81,82,83,84,88,93
u/aly/a.java, line(s) 6,146,147,283,284,287,288,291,292,295,296,43,235
u/aly/c.java, line(s) 5,6,59,60,83,94,105,107

中危安全漏洞 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
百度语音识别的=> "com.baidu.speech.SECRET_KEY" : "vZK4rC7ueQTMrhavm3qVlnGicPTeUCEr"
个推–推送服务的=> "PUSH_APPKEY" : "exCgkV7nN1AuR1rwFrrZi6"
凭证信息=> "IFLY_APPKEY" : "53feacdd"
友盟统计的=> "UMENG_APPKEY" : "55b1b625e0f55a138300449d"
个推–推送服务的=> "PUSH_APPSECRET" : "ekqOJiYtYx5idlpD861KY7"
百度地图的=> "com.baidu.lbsapi.API_KEY" : "u1vrG5cDGQLioX9fezNAdGkR"
友盟统计的=> "UMENG_CHANNEL" : "googleplay"
百度语音识别的=> "com.baidu.speech.APP_ID" : "11770490"
个推–推送服务的=> "PUSH_APPID" : "5dhAVX75l69wClQHoymJmA"
百度语音识别的=> "com.baidu.speech.API_KEY" : "cDFRHjbhBklzS1ZKFBnz9cHg"
微信分享的=> "WX_SECRET" : "fdc6251421d3d688a563b4f00dd540e7"
微信分享的=> "WX_APPID" : "wx0411fa6a39d61297"
A2B55680-6F43-11E0-9A3F-0002A5D5C51B
9A04F079-9840-4286-AB92-E65BE0885F95
596f823f283d4af73ead3ea6
9c7e34358608bb61a696
6d70cb65d15211726dcce4c0e971e21c

安全提示信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
com/ak/b/a/b.java, line(s) 40,49,64
com/ak/b/c/m.java, line(s) 20,27,34
com/ak/base/e/a.java, line(s) 152,154,160,162,146,148,140,142
com/ak/base/image/ImageWorker.java, line(s) 51,152,167,218,236,250,175,88,147,231
com/ak/base/image/c.java, line(s) 33,47,69,90,97,111,120,135,99,122,138
com/ak/base/image/f.java, line(s) 17
com/ak/torch/base/oaid/huawei/HwOaidAidlUtil.java, line(s) 28,43,57,79,84,26,35,40,70,97
com/ak/torch/plak/b/a.java, line(s) 52
com/baidu/aip/core/mini/AutoCheck.java, line(s) 149
com/baidu/aip/core/recog/listener/RecogEventAdapter.java, line(s) 20
com/baidu/aip/core/recog/listener/StatusRecogListener.java, line(s) 61,72
com/bun/miitmdid/core/MdidSdkHelper.java, line(s) 49,55
com/bun/miitmdid/core/Utils.java, line(s) 77,80,38,44,49
com/bun/miitmdid/supplier/sumsung/SumsungCore.java, line(s) 47
com/bytedance/embed_device_register/DrLogWriter.java, line(s) 25,35,30,20,40
com/coremedia/iso/boxes/sampleentry/VisualSampleEntry.java, line(s) 108
com/dheaven/push/MKeyManager.java, line(s) 23,46
com/dheaven/push/MKeyNetwork.java, line(s) 263,299,83,87,123,128,301,303
com/dmcbig/mediapicker/PreviewActivity.java, line(s) 130
com/dmcbig/mediapicker/data/VideoLoader.java, line(s) 42
com/pgl/sys/a/b.java, line(s) 38
com/pgl/sys/ces/b.java, line(s) 252
com/seu/magicfilter/MagicEngine.java, line(s) 150,158,94,102,110,118,126,134,142
com/seu/magicfilter/camera/CameraEngine.java, line(s) 193,201,114,220,222
com/seu/magicfilter/encoder/gles/EglCore.java, line(s) 67,148,157,197,92,113
com/seu/magicfilter/encoder/gles/EglSurfaceBase.java, line(s) 71,99
com/seu/magicfilter/encoder/video/TextureMovieEncoder.java, line(s) 69,146,198,216,234,244,88,72,120,193
com/seu/magicfilter/encoder/video/VideoEncoderCore.java, line(s) 41,108,129,131,141,159,167,47,50,81,157,84,148,164
com/seu/magicfilter/utils/OpenGlUtils.java, line(s) 126,131,140,157,196
com/seu/magicfilter/widget/MagicCameraView.java, line(s) 212,303
com/taobao/gcanvas/GCanvasJNI.java, line(s) 136,138,76,78,124
com/taobao/gcanvas/GFontConfigParser.java, line(s) 66,81,96,112,168,178,184,231,242,248,253
com/taobao/gcanvas/adapters/img/impl/fresco/GCanvasFrescoImageLoader.java, line(s) 50,54
com/taobao/gcanvas/audio/GAudioHandler.java, line(s) 53,99,250,260
com/taobao/gcanvas/audio/GAudioPlayer.java, line(s) 125
com/taobao/gcanvas/bridges/spec/module/AbsGBridgeModule.java, line(s) 95,109,154,165,168,191,204,353,124,176,212,349,363
com/taobao/gcanvas/bridges/weex/GCanvasWeexModule.java, line(s) 103,104,109,172,232,233,244,249,257,164,179,227
com/taobao/gcanvas/bridges/weex/WXGCanvasWeexComponent.java, line(s) 116,132,111
com/taobao/gcanvas/surface/GTextureView.java, line(s) 75,79,81
com/taobao/gcanvas/surface/GTextureViewCallback.java, line(s) 71,82,96,113,129,136
com/taobao/gcanvas/util/GCanvasHelper.java, line(s) 26,50
com/taobao/gcanvas/util/GLog.java, line(s) 43,90,96,55,61,74,80,128,134,109,115
com/tencent/ijk/media/exo/demo/EventLogger.java, line(s) 83,88,93,98,105,108,111,115,118,120,134,137,148,154,157,161,171,174,180,190,198,203,207,211,213,218,220,225,230,235,240,245,255,260,265,270,275,280,288,292,296,347,360,363,366,369,372,375,377,380,125,352
com/tencent/ijk/media/player/IjkMediaCodecInfo.java, line(s) 195,197
com/tencent/ijk/media/player/IjkMediaPlayer.java, line(s) 969,973,835,866,844,964,976,998,338,480,874,995
com/tencent/ijk/media/player/pragma/DebugLog.java, line(s) 50,54,58,14,18,22,26,30,34,62,66,70,38,42,46
com/tencent/qphone/base/util/QLog.java, line(s) 69,73,45,61,65,53,57
com/tencent/weibo/sdk/android/api/BaseAPI.java, line(s) 25,102,104
com/tencent/weibo/sdk/android/api/adapter/FriendAdapter.java, line(s) 124,128
com/tencent/weibo/sdk/android/api/util/Util.java, line(s) 84,114
com/tencent/weibo/sdk/android/component/Authorize.java, line(s) 77,149,155,176
com/tencent/weibo/sdk/android/component/ConversationActivity.java, line(s) 182
com/tencent/weibo/sdk/android/component/FriendActivity.java, line(s) 177,237,284,309
com/tencent/weibo/sdk/android/component/PublishActivity.java, line(s) 96,99,146,346,357,553,586,640,672
com/tencent/weibo/sdk/android/network/HttpReqWeiBo.java, line(s) 69
com/tencent/weibo/sdk/android/network/ReqParam.java, line(s) 55,87
com/upyun/hardware/GlUtil.java, line(s) 64,65,79,80,90,99
com/xiaomi/account/XiaomiOAuthResponse.java, line(s) 66,68,75,77,89,91
com/xiaomi/account/auth/MiuiOauth.java, line(s) 339,302,306,320,324
com/xiaomi/account/openauth/XiaomiOAuthResults.java, line(s) 169
com/xiaomi/account/openauth/XiaomiOAuthorize.java, line(s) 145,151
com/xiaomi/account/utils/OAuthUrlPaser.java, line(s) 50
com/xiaomi/account/utils/ParcelableAttackGuardian.java, line(s) 19,25
master/flame/danmaku/danmaku/model/objectpool/FinitePool.java, line(s) 56
net/ossrs/yasea/SrsFlvMuxer.java, line(s) 518,74,86,89,119,186,209,215,635,733,191
net/ossrs/yasea/rtmp/Crypto.java, line(s) 17,19,28,38
net/ossrs/yasea/rtmp/amf/AmfString.java, line(s) 99,110
net/ossrs/yasea/rtmp/io/ReadThread.java, line(s) 44,33,36,40
net/ossrs/yasea/rtmp/io/RtmpConnection.java, line(s) 95,100,103,113,159,204,212,220,242,259,289,330,425,432,438,497,510,518,522,529,533,332,547,362,428,443,450,525
net/ossrs/yasea/rtmp/io/RtmpDecoder.java, line(s) 30,35,38,45
net/ossrs/yasea/rtmp/io/WriteThread.java, line(s) 44,63,73,86,53,57,68
net/ossrs/yasea/rtmp/packets/Handshake.java, line(s) 21,26,37,38,42,43,54,56,58,62,64,66,71,78,90,94,104,137
net/ossrs/yasea/rtmp/packets/RtmpHeader.java, line(s) 188
tv/cjump/jni/DeviceUtils.java, line(s) 65
tv/cjump/jni/NativeBitmapFactory.java, line(s) 71,126
u/aly/bl.java, line(s) 208,213,215,218,283,288,290,293,233,238,240,243,183,188,190,193,180,205,230,255,258,263,265,268,280
uk/co/senab/photoview/PhotoViewAttacher.java, line(s) 56
uk/co/senab/photoview/log/LoggerDefault.java, line(s) 18,23,48,53,28,33,8,13,38,43

已通过安全项 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击 

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
com/dheaven/push/MKeyNetwork.java, line(s) 290,334
com/nostra13/dcloudimageloader/core/download/BaseImageDownloader.java, line(s) 174,140
com/pgl/sys/a/b/c.java, line(s) 53,57

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (ad.toutiao.com) 通信。 

{'ip': '118.26.253.64', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '苏州', 'latitude': '31.311365', 'longitude': '120.617691'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (track.mediav.com) 通信。 

{'ip': '113.240.76.244', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (sdk.tf.360.cn) 通信。 

{'ip': '180.163.252.237', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (i.snssdk.com) 通信。 

{'ip': '10.38.161.65', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '盐城', 'latitude': '33.385559', 'longitude': '120.125282'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (sdkcloud.e.360.cn) 通信。 

{'ip': '180.163.252.237', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (t2.qpic.cn) 通信。 

{'ip': '61.147.168.160', 'country_short': 'CN', 'country_long': '中国', 'region': 'i\x07Siguiri\x0fSiguldas novads\x05Siirt\x07Sikasso\x06Sikkim\x04Sila\x07Siliana\x08Silistra\x06Simiyu\x08Sinajana\x07Sinaloa\x05Sindh\tSing Buri\tSingapore\x08', 'city': '长沙', 'latitude': '28.200001', 'longitude': '112.966667'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (sdk.mediav.com) 通信。 

{'ip': '180.163.252.237', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (open.account.xiaomi.com) 通信。 

{'ip': '180.163.252.237', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (p0.qhimg.com) 通信。 

{'ip': '221.228.74.116', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '台州', 'latitude': '32.492168', 'longitude': '119.910767'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (bds.snssdk.com) 通信。 

{'ip': '10.38.161.65', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '镇江', 'latitude': '32.209366', 'longitude': '119.434372'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (test-m.mediav.com) 通信。 

{'ip': '180.163.247.63', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (sdkrec.tf.360.cn) 通信。 

{'ip': '10.38.161.65', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (show-m.mediav.com) 通信。 

{'ip': '10.38.161.65', 'country_short': '\x15Chanteloup-les-Vignes\x16Chantenay-Saint-Imbert\tChantepie\x0bChanthaburi\rChantham-Kent\tChantilly\x08Chantome\n', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (lf3-ttcdn-tos.pstatp.com) 通信。 

{'ip': '221.228.74.116', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '无锡', 'latitude': '31.569349', 'longitude': '120.288788'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (p.s.360.cn) 通信。 

{'ip': '180.163.251.221', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

综合安全基线评分: ( 电银创客 1.0.2)