移动应用安全检测报告： 八神脚本3 v1.7.0

安全基线评分


安全基线评分 23/100

综合风险等级


风险等级评定

  1. A
  2. B
  3. C
  4. F

漏洞与安全项分布（%）


隐私风险

3

检测到的第三方跟踪器数量


检测结果分布

高危安全漏洞 27
中危安全漏洞 17
安全提示信息 2
已通过安全项 2
重点安全关注 10

高危安全漏洞 应用程序容易受到 Janus 漏洞的影响 

应用程序使用 v1 签名方案进行签名，如果仅使用 v1 签名方案进行签名，则在 Android 5.0-8.0 上容易受到 Janus 漏洞的影响。在使用 v1 和 v2/v3 方案签名的 Android 5.0-7.0 上运行的应用程序也容易受到攻击。

高危安全漏洞 Activity (com.cyjh.elfin.activity.SplashActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危安全漏洞 Activity （com.cyjh.elfin.activity.SplashActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危安全漏洞 Activity (com.cyjh.elfin.activity.ElfinFreeActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危安全漏洞 Activity （com.cyjh.elfin.activity.ElfinFreeActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危安全漏洞 Activity (com.cyjh.elfin.activity.AdActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危安全漏洞 Activity （com.cyjh.elfin.activity.AdActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危安全漏洞 Activity (com.bytedance.sdk.openadsdk.activity.TTLandingPageActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危安全漏洞 Activity （com.bytedance.sdk.openadsdk.activity.TTLandingPageActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危安全漏洞 Activity (com.bytedance.sdk.openadsdk.activity.TTVideoLandingPageActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危安全漏洞 Activity （com.bytedance.sdk.openadsdk.activity.TTVideoLandingPageActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危安全漏洞 Activity (com.bytedance.sdk.openadsdk.activity.TTRewardVideoActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危安全漏洞 Activity （com.bytedance.sdk.openadsdk.activity.TTRewardVideoActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危安全漏洞 Activity (com.bytedance.sdk.openadsdk.activity.TTFullScreenVideoActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危安全漏洞 Activity （com.bytedance.sdk.openadsdk.activity.TTFullScreenVideoActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危安全漏洞 Activity (com.bytedance.sdk.openadsdk.activity.TTDelegateActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危安全漏洞 Activity （com.bytedance.sdk.openadsdk.activity.TTDelegateActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危安全漏洞 Activity (com.ss.android.socialbase.appdownloader.view.DownloadSizeLimitActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危安全漏洞 Activity （com.ss.android.socialbase.appdownloader.view.DownloadSizeLimitActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危安全漏洞 Activity (com.ss.android.socialbase.appdownloader.view.DownloadTaskDeleteActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危安全漏洞 Activity （com.ss.android.socialbase.appdownloader.view.DownloadTaskDeleteActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危安全漏洞 如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击 

如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-7

Files:
com/cyjh/elfin/fragment/MsgDetailFragment.java, line(s) 51,6
com/iflytek/voiceads/view/AdView.java, line(s) 110,16

高危安全漏洞 SSL的不安全实现。信任所有证书或接受自签名证书是一个关键的安全漏洞。此应用程序易受MITM攻击 

SSL的不安全实现。信任所有证书或接受自签名证书是一个关键的安全漏洞。此应用程序易受MITM攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#android-network-apis

Files:
com/lidroid/xutils/http/client/DefaultSSLSocketFactory.java, line(s) 61,13,14,15
com/lidroid/xutils/util/OtherUtils.java, line(s) 169,169,13,14,15,16,17

高危安全漏洞 使用弱加密算法 

使用弱加密算法
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/cyjh/share/Encrypt/DesUtil.java, line(s) 20,41

高危安全漏洞 应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。 

应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/cyjh/share/Encrypt/DesUtil.java, line(s) 20,41
com/goldcoast/sdk/c/a.java, line(s) 13,38

高危安全漏洞 应用程序在加密算法中使用ECB模式。ECB模式是已知的弱模式，因为它对相同的明文块[UNK]产生相同的密文 

应用程序在加密算法中使用ECB模式。ECB模式是已知的弱模式，因为它对相同的明文块[UNK]产生相同的密文
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-block-cipher-mode

Files:
com/iflytek/collector/a/a/a.java, line(s) 23
com/iflytek/voiceads/utils/d.java, line(s) 53

高危安全漏洞 不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击 

不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#webview-server-certificate-verification

Files:
com/iflytek/voiceads/bridge/l.java, line(s) 58,56
com/iflytek/voiceads/f/b.java, line(s) 61,59

中危安全漏洞 应用程序数据可以被备份 

[android:allowBackup=true]
这个标志允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危安全漏洞 Service (com.kaopu.download.kernel.DownloadService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危安全漏洞 Broadcast Receiver (com.cyjh.ad.receiver.DownLoadCompleteReceiver) 未被保护。 

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危安全漏洞 Broadcast Receiver (com.cyjh.elfin.receiver.InstallAndRemoveAppSuccessReceive) 未被保护。 

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危安全漏洞 Service (com.ss.android.socialbase.downloader.downloader.IndependentProcessDownloadService) 未被保护。 

存在一个intent-filter。
发现 Service与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Service是显式导出的。

中危安全漏洞 Service (com.ime.input.InputKb) 受权限保护, 但是应该检查权限的保护级别。 

Permission: android.permission.BIND_INPUT_METHOD [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危安全漏洞 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/cyjh/elfin/log/engine/MetaData.java, line(s) 122
com/cyjh/elfin/util/MD5Util.java, line(s) 14
com/cyjh/mobileanjian/ipc/log/b.java, line(s) 105
com/goldcoast/sdk/domain/EntryPoint.java, line(s) 718
com/iflytek/voiceads/utils/d.java, line(s) 21
com/lidroid/xutils/cache/MD5FileNameGenerator.java, line(s) 10
com/sun/mail/pop3/Protocol.java, line(s) 110
com/sun/mail/smtp/DigestMD5.java, line(s) 38

中危安全漏洞 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/cyjh/elfin/entity/NotifyMsgBean.java, line(s) 65
com/cyjh/elfin/listener/IFLYADListener.java, line(s) 9,11,8
com/cyjh/elfin/net/xutils/HttpTools.java, line(s) 31,32,46
com/cyjh/mq/sdk/entity/Script4Run.java, line(s) 248,248
com/kaopu/download/BaseDownloadWorker.java, line(s) 12

中危安全漏洞 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/cyjh/elfin/database/MsgDatabaseHelper.java, line(s) 4,5,22
com/iflytek/voiceads/download/c/b.java, line(s) 5,59
com/iflytek/voiceads/download/c/c.java, line(s) 4,5,16
com/lidroid/xutils/DbUtils.java, line(s) 5,792,801

中危安全漏洞 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/cyjh/elfin/AppContext.java, line(s) 216
com/cyjh/elfin/constant/Constants.java, line(s) 60,87
com/cyjh/elfin/dialog/UpdateDialog.java, line(s) 125
com/cyjh/elfin/log/AppCrashHandler.java, line(s) 55,56
com/cyjh/elfin/log/engine/MetaData.java, line(s) 23
com/cyjh/elfin/services/DownloadService.java, line(s) 32,37
com/cyjh/event/Injector.java, line(s) 958
com/cyjh/feedback/lib/fragment/ImageSelectFragment.java, line(s) 107
com/cyjh/mobileanjian/ipc/log/b.java, line(s) 20
com/cyjh/mobileanjian/ipc/uip/UipHelper.java, line(s) 45
com/cyjh/mobileanjian/ipc/utils/f.java, line(s) 15
com/cyjh/mq/c/d.java, line(s) 784,1123
com/cyjh/mq/service/IpcService.java, line(s) 262
com/cyjh/share/util/PathUtils.java, line(s) 14
com/iflytek/voiceads/download/c.java, line(s) 9
com/iflytek/voiceads/param/e.java, line(s) 363,392
com/iflytek/voiceads/utils/f.java, line(s) 74
com/iflytek/voiceads/utils/n.java, line(s) 11
com/lidroid/xutils/util/OtherUtils.java, line(s) 38

中危安全漏洞 应用程序创建临时文件。敏感信息永远不应该被写进临时文件 

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
com/iflytek/voiceads/utils/m.java, line(s) 19

中危安全漏洞 可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息 

可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-6

Files:
com/iflytek/voiceads/view/AdView.java, line(s) 208,201

中危安全漏洞 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/cyjh/elfin/mvp/managers/IFLYAdSwitchManager.java, line(s) 11
com/cyjh/elfin/mvp/presenters/IFLYAdSwitchPresenter.java, line(s) 14
com/lidroid/xutils/http/client/multipart/MultipartEntity.java, line(s) 11

中危安全漏洞 IP地址泄露 

IP地址泄露


Files:
com/cyjh/elfin/mvp/presenters/ScreenFullAdPresenter.java, line(s) 44
com/cyjh/elfin/util/EmulatorCheckUtil.java, line(s) 51
com/ss/android/downloadlib/a/h.java, line(s) 23

中危安全漏洞 不安全的Web视图实现。可能存在WebView任意代码执行漏洞 

不安全的Web视图实现。可能存在WebView任意代码执行漏洞
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#testing-javascript-execution-in-webviews-mstg-platform-5

Files:
com/iflytek/voiceads/bridge/DSBridgeWebView.java, line(s) 211,203

中危安全漏洞 应用程序包含隐私跟踪程序 

此应用程序有多个3隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危安全漏洞 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
友盟统计的=> "UMENG_APPKEY" : "579ad79de0f55a8b3c001633"
凭证信息=> "IFLYTEK_APPKEY_AD" : "589ac20e"
"library_processbutton_authorWebsite" : "http://dmytrodanylyk.com/"
30820268308201d102044a9c4610300d06092a864886f70d0101040500307a310b3009060355040613025553310b3009060355040813024341311230100603550407130950616c6f20416c746f31183016060355040a130f46616365626f6f6b204d6f62696c653111300f060355040b130846616365626f6f6b311d301b0603550403131446616365626f6f6b20436f72706f726174696f6e3020170d3039303833313231353231365a180f32303530303932353231353231365a307a310b3009060355040613025553310b3009060355040813024341311230100603550407130950616c6f20416c746f31183016060355040a130f46616365626f6f6b204d6f62696c653111300f060355040b130846616365626f6f6b311d301b0603550403131446616365626f6f6b20436f72706f726174696f6e30819f300d06092a864886f70d010101050003818d0030818902818100c207d51df8eb8c97d93ba0c8c1002c928fab00dc1b42fca5e66e99cc3023ed2d214d822bc59e8e35ddcf5f44c7ae8ade50d7e0c434f500e6c131f4a2834f987fc46406115de2018ebbb0d5a3c261bd97581ccfef76afc7135a6d59e8855ecd7eacc8f8737e794c60a761c536b72b11fac8e603f5da1a2d54aa103b8a13c0dbc10203010001300d06092a864886f70d0101040500038181005ee9be8bcbb250648d3b741290a82a1c9dc2e76a0af2f2228f1d9f9c4007529c446a70175c5a900d5141812866db46be6559e2141616483998211f4a673149fb2232a10d247663b26a9031e15f84bc1c74d141ff98a02d76f85b2c8ab2571b6469b232d8e768a7f7ca04f7abe4a775615916c07940656b58717457b42bd928a2
761D5F3C12409F07DCE571A8AA3C0480
DFEE16B42C8B2890D8FF2860AF5562B1
410D8AC18806EDFE511A00EFD3329F20
5FF8BF855D9553F32AA0CD1DB70FEDC6
21462E427898ADCCC2171718D603B0DE
MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCt8H0BF3SquJmk6xIo2bTldgvtazLIeSbR4cle
nmOYRYZP042vWRcKZ6iQLdLYmyg6tIzjYVfH0f6YX8OLIU7fy0TA/c88rzwIDAQAB
BA2159EDE8B5B1B06F70D35A9630B683
516cf79ca36f66e28a9caa8ad8a4c7bc
2FABB9840C76199A1E170A7C19698595
A9DDDF2A4F7D94594EC2EA98407A410E1
596f823f283d4af73ead3ea6

安全提示信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
com/cyjh/elfin/AppContext.java, line(s) 114,118,125,129,267,373,411,574,577
com/cyjh/elfin/activity/ElfinFreeActivity.java, line(s) 131,186,187,188
com/cyjh/elfin/activity/ScriptLogActivity.java, line(s) 162,167,86,87,88
com/cyjh/elfin/activity/ScriptLogDetailActivity.java, line(s) 106,127
com/cyjh/elfin/activity/SettingActivity.java, line(s) 150,151,152
com/cyjh/elfin/adpter/ScriptLogListViewAdapter.java, line(s) 73
com/cyjh/elfin/dialog/ScriptUIDialog.java, line(s) 121,136,173,185,198,206,214,226,235,243,267,276,284,315,325,334,341,370,380,386,406,431
com/cyjh/elfin/dialog/SettingDialog.java, line(s) 193,194,195
com/cyjh/elfin/dialog/UpdateDialog.java, line(s) 126
com/cyjh/elfin/download/AdApkDownloadPresenter.java, line(s) 156
com/cyjh/elfin/floatview/BottomScreenDisplayXunFeiFloat.java, line(s) 65,84,125,127,133
com/cyjh/elfin/floatview/DeleteFloatView.java, line(s) 52,53,76
com/cyjh/elfin/floatview/ElfinFloatView.java, line(s) 301,374
com/cyjh/elfin/floatview/XunFeiFloatManager.java, line(s) 28,32,39,43
com/cyjh/elfin/fragment/AdFragment.java, line(s) 73,102
com/cyjh/elfin/fragment/DescriptionFragment.java, line(s) 48
com/cyjh/elfin/fragment/OptionFragment.java, line(s) 283,485,622,628,639,650,660,672,687,695,703,717,726,734,757,767,775,806,809,816,826,833,836,864,874,883,887,905,922,925,929,933,950,985,995,1141,1146,1152,1157,1174,1175,1180,1183,1188,1191,1192,1197,1659
com/cyjh/elfin/fragment/RecommendGamesFragment.java, line(s) 49,115,120,146,155
com/cyjh/elfin/fragment/SplashFragment.java, line(s) 180,189,201,213,277,311,319,323,464,468,629,649,669,685,690,701,723,750,851,866,944,947,971,1309
com/cyjh/elfin/log/CommonLog.java, line(s) 28,40,32,24,36
com/cyjh/elfin/log/engine/MetaData.java, line(s) 116
com/cyjh/elfin/model/LogData.java, line(s) 53,60,65
com/cyjh/elfin/mvp/managers/IFLYAdSwitchManager.java, line(s) 44,50,55,61,68,70,73,76
com/cyjh/elfin/mvp/presenters/ScreenFullAdPresenter.java, line(s) 53
com/cyjh/elfin/mvp/presenters/ScreenFullAdRedownloadPresenter.java, line(s) 30
com/cyjh/elfin/mvp/presenters/UpdateVersionPresenter.java, line(s) 35,36,37,38,51
com/cyjh/elfin/net/volley/VollerHttpManager.java, line(s) 47,64,71,87
com/cyjh/elfin/net/xutils/HttpTools.java, line(s) 98,102,106,110,118,120,124,126,129,131,135,137,140,142,144,165,172,176,180,182,186,188,192,194,198,200,204,206,209,211
com/cyjh/elfin/rom/FloatWindowManager.java, line(s) 208,92,134,147,160,173,186,204
com/cyjh/elfin/rom/HuaweiUtils.java, line(s) 41,47,50,60,63
com/cyjh/elfin/rom/MeizuUtils.java, line(s) 29,32,43,46
com/cyjh/elfin/rom/MiuiUtils.java, line(s) 23,24,42,45,68,83,95,107,127
com/cyjh/elfin/rom/OppoUtils.java, line(s) 28,31
com/cyjh/elfin/rom/QikuUtils.java, line(s) 27,30,47
com/cyjh/elfin/rom/RomUtils.java, line(s) 28
com/cyjh/elfin/services/DownloadApkService.java, line(s) 61,62,78,88,106
com/cyjh/elfin/services/PhoneStateService.java, line(s) 61,62,66,69,71
com/cyjh/elfin/services/SavePicService.java, line(s) 29
com/cyjh/elfin/util/AppDeviceUtils.java, line(s) 320,326,335,366
com/cyjh/feedback/lib/fragment/FeedBackInfoFragment.java, line(s) 427
com/cyjh/mobileanjian/ipc/stuff/AnalyseResultWrapper.java, line(s) 20
com/cyjh/mobileanjian/ipc/utils/d.java, line(s) 39
com/cyjh/mobileanjian/screencap/ForScreenShotActivity.java, line(s) 28
com/cyjh/mq/service/IpcService.java, line(s) 77
com/goldcoast/sdk/c/g.java, line(s) 30
com/goldcoast/sdk/domain/EntryPoint.java, line(s) 657,672,688
com/iflytek/voiceads/config/SDKLogger.java, line(s) 10,16,22,28
com/iflytek/voiceads/utils/g.java, line(s) 10,20
com/kaopu/download/kernel/DownloadWorkerSupervisor.java, line(s) 18
com/kaopu/download/util/Log.java, line(s) 13,17,21,25,29,33,5,9,37,41,45,49,53,57
com/kuaiyou/loader/InitSDKManager.java, line(s) 111,115,119,126,134,524,531,570,571
com/lidroid/xutils/util/LogUtils.java, line(s) 64,75,86,97,108,119,130,141,152,163,174,185,196,207
com/orhanobut/logger/LoggerPrinter.java, line(s) 228,222,216,232,219,225
com/ss/android/downloadlib/d/a.java, line(s) 14,20
com/sun/activation/registries/LogSupport.java, line(s) 24,31
com/sun/mail/dsn/DeliveryStatus.java, line(s) 34,41,46,51
com/sun/mail/imap/protocol/BODYSTRUCTURE.java, line(s) 45,49,57,70,74,80,85,93,97,104,108,117,128,135,145,149,154,162,166,170,174,178,186,197,211,219,228,232,239,247,255,262,270,292,303,310
org/greenrobot/eventbus/BackgroundPoster.java, line(s) 40
org/greenrobot/eventbus/EventBus.java, line(s) 291,425,427,436,173
org/greenrobot/eventbus/util/AsyncExecutor.java, line(s) 98
org/greenrobot/eventbus/util/ErrorDialogConfig.java, line(s) 34
org/greenrobot/eventbus/util/ErrorDialogManager.java, line(s) 184
org/greenrobot/eventbus/util/ExceptionToResourceMapping.java, line(s) 26

安全提示信息 此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它 

此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04b-Mobile-App-Security-Testing.md#clipboard

Files:
com/cyjh/mobileanjian/ipc/rpc/AndroidHelper.java, line(s) 8,43

已通过安全项 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击 

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
com/b/a/ai.java, line(s) 102,101,115,100,100
com/github/kevinsawicki/http/HttpRequest.java, line(s) 163,1635
com/iflytek/voiceads/request/a.java, line(s) 186,179

已通过安全项 此应用程序可能具有Root检测功能 

此应用程序可能具有Root检测功能
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05j-Testing-Resiliency-Against-Reverse-Engineering.md#testing-root-detection-mstg-resilience-1

Files:
com/iflytek/voiceads/param/e.java, line(s) 50,50,50,50,50,50

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (bbs.anjian.com) 通信。 

{'ip': '116.196.97.47', 'country_short': 'CN', 'country_long': '中国', 'region': '福建', 'city': '福州', 'latitude': '26.061390', 'longitude': '119.306107'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (down.nishuoa.com) 通信。 

{'ip': '180.101.199.191', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '苏州', 'latitude': '31.311365', 'longitude': '120.617691'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (log.snssdk.com) 通信。 

{'ip': '116.196.97.47', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '镇江', 'latitude': '32.209366', 'longitude': '119.434372'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (imp.voiceads.cn) 通信。 

{'ip': '116.196.97.47', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (log.iflytek.com) 通信。 

{'ip': '116.196.97.47', 'country_short': 'CN', 'country_long': '中国', 'region': '安徽', 'city': '合肥', 'latitude': '31.863815', 'longitude': '117.280830'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (crm.bytedance.com) 通信。 

{'ip': '116.196.97.47', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '镇江', 'latitude': '32.209366', 'longitude': '119.434372'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (api.voiceads.cn) 通信。 

{'ip': '116.196.97.47', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (logconf.iflytek.com) 通信。 

{'ip': '116.196.97.47', 'country_short': 'CN', 'country_long': '中国', 'region': '安徽', 'city': '合肥', 'latitude': '31.863815', 'longitude': '117.280830'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (mt.voiceads.cn) 通信。 

{'ip': '116.196.97.47', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (m.anjian.com) 通信。 

{'ip': '117.27.139.140', 'country_short': 'CN', 'country_long': '中国', 'region': '福建', 'city': '福州', 'latitude': '26.061390', 'longitude': '119.306107'}

综合安全基线评分: ( 八神脚本3 1.7.0)