安全分析报告： 51禁域 v1.2.3

安全分数


安全分数 44/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

0

用户/设备跟踪器


调研结果

高危 6
中危 9
信息 1
安全 3
关注 6

高危 基本配置不安全地配置为允许到所有域的明文流量。 

Scope:
*

高危 应用程序在加密算法中使用ECB模式。ECB模式是已知的弱模式，因为它对相同的明文块[UNK]产生相同的密文 

应用程序在加密算法中使用ECB模式。ECB模式是已知的弱模式，因为它对相同的明文块[UNK]产生相同的密文
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-block-cipher-mode

Files:
com/caoliu/module_mine/gesture/activities/GestureSettingsActivity.java, line(s) 74
com/caoliu/module_mine/gesture/activities/GestureVerifyActivity.java, line(s) 66,91
u/Cdo.java, line(s) 16
v/Cdo.java, line(s) 15

高危 该文件是World Readable。任何应用程序都可以读取文件 

该文件是World Readable。任何应用程序都可以读取文件
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#testing-local-storage-for-sensitive-data-mstg-storage-1-and-mstg-storage-2

Files:
p000abstract/Cdo.java, line(s) 106

高危 WebView域控制不严格漏洞 

WebView域控制不严格漏洞


Files:
com/just/agentweb/AgentWeb.java, line(s) 149,127
es/dmoral/markdownview/MarkdownView.java, line(s) 202,201,202,203

高危 SSL的不安全实现。信任所有证书或接受自签名证书是一个关键的安全漏洞。此应用程序易受MITM攻击 

SSL的不安全实现。信任所有证书或接受自签名证书是一个关键的安全漏洞。此应用程序易受MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#android-network-apis

Files:
com/caoliu/lib_common/Ccatch.java, line(s) 64,101,10,11,12,13,14,15
com/caoliu/lib_common/base/BaseViewModel$tryCatch$2.java, line(s) 149,32,33,34

高危 如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击 

如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-7

Files:
com/caoliu/lib_common/entity/DataBindingComponent.java, line(s) 903,14

中危 应用程序数据可以被备份 

[android:allowBackup=true]
这个标志允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危 Service (com.sgsewreyvb.ertrthjtyj.CompressAndUpdateService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
b0/Ccase.java, line(s) 173,164,237
b0/Cthis.java, line(s) 36,100
com/caoliu/lib_common/Cthis.java, line(s) 123
com/caoliu/module_main/Ccase.java, line(s) 92
com/lxj/xpopup/util/Cclass.java, line(s) 42,65
com/zxy/recovery/tools/Cfor.java, line(s) 81
v0/Cnew.java, line(s) 18

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
a3/Celse.java, line(s) 6,7,78
a3/Cif.java, line(s) 6,80
com/zaaach/citypicker/CityPickerDialogFragment.java, line(s) 7,113
k1/Cfor.java, line(s) 6,43
k1/Cif.java, line(s) 6,7,29

中危 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/caoliu/lib_common/base/BaseViewModel$tryCatch$2.java, line(s) 30
com/caoliu/lib_common/widget/SwipeCaptchaView.java, line(s) 28
com/sgsewreyvb/ertrthjtyj/MainViewModel$getLine$1.java, line(s) 13
g1/Cdo.java, line(s) 6
h7/Cdo.java, line(s) 4
i1/Cimplements.java, line(s) 12
j2/Cprivate.java, line(s) 4

中危 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/caoliu/lib_common/entity/DatasDictionaryRequest.java, line(s) 48
com/caoliu/lib_utils/event/BaoScrollEvent.java, line(s) 49

中危 不安全的Web视图实现。可能存在WebView任意代码执行漏洞 

不安全的Web视图实现。可能存在WebView任意代码执行漏洞
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#testing-javascript-execution-in-webviews-mstg-platform-5

Files:
com/just/agentweb/AgentWeb.java, line(s) 189,129

中危 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/opensource/svgaplayer/SVGACache.java, line(s) 40

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
"library_roundedimageview_authorWebsite" : "https://github.com/vinc3m1"
ab677a736f1605f3131b7c5c43ada799
3uGkvLPCenxYndKwVJHfEVGTs8CjqVY5
4c053e1ca87d459ea9d19b73d7297a0f
GcgzsKdDZTumABNz7uujrCfPIk9TQ355

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
a/Cdo.java, line(s) 80,91
a0/Cdo.java, line(s) 1073
a2/Cbreak.java, line(s) 35
a5/Ccase.java, line(s) 92,93,94,98,50
a5/Cgoto.java, line(s) 88,81,173
a6/Cdo.java, line(s) 221,157,119,260
a6/Cif.java, line(s) 58,293,322,170,177,212,270,300,307,313,438
b0/Cgoto.java, line(s) 64,112
b1/Cif.java, line(s) 174
b3/Cthrow.java, line(s) 72,65,84,18
b6/Cfor.java, line(s) 61,90,99,119,161,169,186,200,43,51,60,87,98,116,145,160,164,173,182,185,190,197
com/caoliu/lib_common/Ccatch.java, line(s) 73,110
com/caoliu/lib_common/Cthis.java, line(s) 125,135,48,58,186,129
com/caoliu/lib_common/base/BaseViewModel$tryCatch$2.java, line(s) 158
com/caoliu/lib_common/dialog/SeekVerifyDialog.java, line(s) 77,86
com/caoliu/lib_common/widget/Cif.java, line(s) 17
com/caoliu/lib_common/widget/SwipeCaptchaView.java, line(s) 127,151,152
com/caoliu/lib_jzvideo/ijk/JZMediaNoVoiceExo.java, line(s) 162,286,304,334,390,421,473,479
com/caoliu/module_main/view/RangeSeekBar.java, line(s) 246,364,429
com/caoliu/module_mine/gesture/customView/PatternIndicatorView.java, line(s) 110,114,167,170,174
com/caoliu/module_mine/gesture/customView/PatternLockerView.java, line(s) 195,199,312,315,319
com/cjt2325/cameralibrary/CaptureButton.java, line(s) 129,134
com/davemorrissey/labs/subscaleview/SubsamplingScaleImageView.java, line(s) 645,213,217,393,397,465,797,806,835,840,1764,1975,2314
com/davemorrissey/labs/subscaleview/decoder/SkiaPooledImageRegionDecoder.java, line(s) 124
com/drake/brv/BindingAdapter.java, line(s) 474
com/drake/statelayout/StateLayout.java, line(s) 277
com/just/agentweb/AgentWebView.java, line(s) 40,128
com/lxj/xpopup/util/Ccase.java, line(s) 52
com/lxj/xpopup/util/KeyboardUtils.java, line(s) 55
com/lxj/xpopup/util/XPermission.java, line(s) 96
com/lxj/xpopup/widget/SmartDivider.java, line(s) 29
com/makeramen/roundedimageview/RoundedImageView.java, line(s) 313,383
com/marvhong/videoeffect/composer/Cfor.java, line(s) 184,191,199,207
com/yalantis/ucrop/UCropActivity.java, line(s) 425
com/yalantis/ucrop/view/TransformImageView.java, line(s) 142,181,228
e/Cdo.java, line(s) 78,121,128,135,86,124,131,138
e/Cfor.java, line(s) 27,28
e/Cgoto.java, line(s) 54,55
e5/Cif.java, line(s) 74,92,93,115,116
es/dmoral/markdownview/MarkdownView.java, line(s) 79,88,99,114,125,145
f5/Cif.java, line(s) 28,13
g/Cnative.java, line(s) 151,118,148,176,190,119,177,193
g/Csuper.java, line(s) 74,75
g/Cthrow.java, line(s) 237,291,316,236,245,252,256,271,290,299,307,312,315,326,334,258,260,300,313,335
i4/Cdo.java, line(s) 16
j/Cnew.java, line(s) 59,111,112,60
j/Cthis.java, line(s) 58,110,111,59
j4/Cdo.java, line(s) 152,164,211,220,223,224,225,242,259,304,313,316,317,318,336,355,363,370,373,374,375,394,399,402,403,404,432,463,504,539,548,551,552,553,575,580,583,584,585,611,639,642,643,644,692,719,747,750,751,752,774,802,805,806,807,882,910,913,914,915,971,999,1002,1003,1004,1038,1064,1092,1095,1096,1097,1120,1136,1164,1167,1168,1169,1179,1191,1203,1243,1294,1359,1387,1390,1391,1392,1474,1488,1516,1519,1520,1521,1577,1582,1640,1649,1652,1653,1654,1675,1701,1704,1705,1706,1722,407,409
n/Cdo.java, line(s) 38,41
p000abstract/Cdo.java, line(s) 127,154,168,187,62,104,145,159,178
p006continue/Cdo.java, line(s) 323
p015implements/Cdo.java, line(s) 109,108
p017instanceof/Ccase.java, line(s) 87,86
p017instanceof/Cfor.java, line(s) 19,18
p017instanceof/Cnative.java, line(s) 110,111
p017instanceof/Cnew.java, line(s) 49,48
p017instanceof/Cpublic.java, line(s) 43,42
p023protected/Cdo.java, line(s) 136,181,218,135,180,217
p027strictfp/Cnew.java, line(s) 195,225,192,224
p027strictfp/Ctry.java, line(s) 615,635,652,614,634,651
p028super/Cif.java, line(s) 17
p034transient/Cbreak.java, line(s) 95,80
p034transient/Ctry.java, line(s) 38,50,60,97,130,51,98,39,63,131
p036volatile/Cdo.java, line(s) 93,92
p4/Cif.java, line(s) 53
top/zibin/luban/Celse.java, line(s) 126,123
top/zibin/luban/Checker.java, line(s) 149,163,191,199,203
u7/Cgoto.java, line(s) 97,100
v0/Cdo.java, line(s) 45,49,60,64,96,121
v7/Cnew.java, line(s) 43
y4/Cdo.java, line(s) 171
y7/Ccase.java, line(s) 10,15

安全 此应用程序可能具有Root检测功能 

此应用程序可能具有Root检测功能
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05j-Testing-Resiliency-Against-Reverse-Engineering.md#testing-root-detection-mstg-resilience-1

Files:
com/caoliu/lib_common/manager/BaseRetrofit.java, line(s) 70

安全 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击 

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
com/caoliu/lib_common/manager/Ctry.java, line(s) 14,13,12,12
u7/Celse.java, line(s) 69,68,67,67
u7/Cfor.java, line(s) 71,70,69
u7/Cgoto.java, line(s) 203,191,201,201
u7/Cnew.java, line(s) 101,91,107,99,99

安全 此应用程序没有隐私跟踪程序 

此应用程序不包括任何用户或设备跟踪器。在静态分析期间没有找到任何跟踪器。

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.ikb66.com) 通信。 

{'ip': '61.160.148.90', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '台州', 'latitude': '32.492168', 'longitude': '119.910767'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (jojolive-test.s3.ap-southeast-1.amazonaws.com) 通信。 

{'ip': '61.160.148.90', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '台州', 'latitude': '32.492168', 'longitude': '119.910767'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (52kbhl.com) 通信。 

{'ip': '61.160.148.90', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '台州', 'latitude': '32.492168', 'longitude': '119.910767'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (d379lwrmf6sjrq.cloudfront.net) 通信。 

{'ip': '61.160.148.90', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '台州', 'latitude': '32.492168', 'longitude': '119.910767'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (s3.ap-east-1.amazonaws.com) 通信。 

{'ip': '52.95.160.69', 'country_short': 'HK', 'country_long': '中国', 'region': '香港', 'city': '香港', 'latitude': '22.285521', 'longitude': '114.157692'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (aomedia.org) 通信。 

{'ip': '61.160.148.90', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '台州', 'latitude': '32.492168', 'longitude': '119.910767'}

安全评分: ( 51禁域 1.2.3)