移动应用安全检测报告： MomsLab v0.9.108

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

Permission: com.google.android.c2dm.permission.SEND [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

Permission: android.permission.RECEIVE_BOOT_COMPLETED [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

[android:exported=true]
发现 Content Provider与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

Permission: com.google.android.gms.auth.api.signin.permission.REVOCATION_NOTIFICATION [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

[android:exported=true]
发现 Content Provider与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

Permission: android.permission.BIND_JOB_SERVICE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

Permission: android.permission.DUMP [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

Permission: android.permission.DUMP [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/pushwoosh/internal/network/a.java, line(s) 6,7,121,153
com/pushwoosh/j0/p.java, line(s) 6,7,34,66,110
com/pushwoosh/j0/r.java, line(s) 6,7,30,187,223
com/pushwoosh/m/b.java, line(s) 6,7,163,171,172,175,180
com/pushwoosh/repository/InboxNotificationStorageImpl.java, line(s) 6,7,35,51
com/pushwoosh/repository/LockScreenMediaStorageImpl.java, line(s) 6,7,53,62,71,191,253,254
com/pushwoosh/repository/PushBundleStorageImpl.java, line(s) 6,7,104,169,280,281
com/pushwoosh/repository/a.java, line(s) 7,8,100,104
com/yandex/metrica/impl/ob/A8.java, line(s) 3,11
com/yandex/metrica/impl/ob/B8.java, line(s) 3,11
com/yandex/metrica/impl/ob/C0112b.java, line(s) 7,153
com/yandex/metrica/impl/ob/C0173b.java, line(s) 7,152
com/yandex/metrica/impl/ob/C0370l8.java, line(s) 3,9
com/yandex/metrica/impl/ob/C0395m8.java, line(s) 3,9
com/yandex/metrica/impl/ob/C0420n8.java, line(s) 3,9
com/yandex/metrica/impl/ob/C0431l8.java, line(s) 3,9
com/yandex/metrica/impl/ob/C0445o8.java, line(s) 3,9
com/yandex/metrica/impl/ob/C0456m8.java, line(s) 3,9
com/yandex/metrica/impl/ob/C0470p8.java, line(s) 3,10,11,12,13
com/yandex/metrica/impl/ob/C0481n8.java, line(s) 3,9
com/yandex/metrica/impl/ob/C0494q8.java, line(s) 3,9,10,11
com/yandex/metrica/impl/ob/C0506o8.java, line(s) 3,9
com/yandex/metrica/impl/ob/C0517r8.java, line(s) 3,9
com/yandex/metrica/impl/ob/C0531p8.java, line(s) 3,10,11,12,13
com/yandex/metrica/impl/ob/C0541s8.java, line(s) 3,9
com/yandex/metrica/impl/ob/C0555q8.java, line(s) 3,9,10,11
com/yandex/metrica/impl/ob/C0565t8.java, line(s) 3,10,11,12,13,14
com/yandex/metrica/impl/ob/C0578r8.java, line(s) 3,9
com/yandex/metrica/impl/ob/C0589u8.java, line(s) 3,10,11,12,13,14,15,16
com/yandex/metrica/impl/ob/C0602s8.java, line(s) 3,9
com/yandex/metrica/impl/ob/C0613v8.java, line(s) 4,11
com/yandex/metrica/impl/ob/C0626t8.java, line(s) 3,10,11,12,13,14
com/yandex/metrica/impl/ob/C0637w8.java, line(s) 3,9,10
com/yandex/metrica/impl/ob/C0650u8.java, line(s) 3,10,11,12,13,14,15,16
com/yandex/metrica/impl/ob/C0661x8.java, line(s) 3,9,10
com/yandex/metrica/impl/ob/C0674v8.java, line(s) 4,11
com/yandex/metrica/impl/ob/C0685y8.java, line(s) 3,9
com/yandex/metrica/impl/ob/C0698w8.java, line(s) 3,9,10
com/yandex/metrica/impl/ob/C0709z8.java, line(s) 3,8
com/yandex/metrica/impl/ob/C0722x8.java, line(s) 3,9,10
com/yandex/metrica/impl/ob/C0746y8.java, line(s) 3,9
com/yandex/metrica/impl/ob/C0770z8.java, line(s) 3,8
com/yandex/metrica/impl/ob/C8.java, line(s) 3,10
com/yandex/metrica/impl/ob/D8.java, line(s) 3,11
com/yandex/metrica/impl/ob/E8.java, line(s) 6,24
com/yandex/metrica/impl/ob/F8.java, line(s) 3,9,10,14,19,20,21,22
com/yandex/metrica/impl/ob/G8.java, line(s) 6,20
com/yandex/metrica/impl/ob/H8.java, line(s) 3,9
com/yandex/metrica/impl/ob/I8.java, line(s) 3,10,11
com/yandex/metrica/impl/ob/J7.java, line(s) 5,113
com/yandex/metrica/impl/ob/J8.java, line(s) 3,9,10
com/yandex/metrica/impl/ob/K8.java, line(s) 3,9,10
com/yandex/metrica/impl/ob/L7.java, line(s) 7,8,186,222,409
com/yandex/metrica/impl/ob/L8.java, line(s) 3,10
com/yandex/metrica/impl/ob/M8.java, line(s) 3,12,13,14
com/yandex/metrica/impl/ob/N8.java, line(s) 3,11,12
com/yandex/metrica/impl/ob/O8.java, line(s) 3,9
com/yandex/metrica/impl/ob/Q8.java, line(s) 3,12,13
com/yandex/metrica/impl/ob/R8.java, line(s) 3,9
com/yandex/metrica/impl/ob/S8.java, line(s) 3,14,15,16
com/yandex/metrica/impl/ob/T8.java, line(s) 3,11
com/yandex/metrica/impl/ob/U8.java, line(s) 3,11
com/yandex/metrica/impl/ob/V7.java, line(s) 4,22
com/yandex/metrica/impl/ob/V8.java, line(s) 3,11
com/yandex/metrica/impl/ob/W8.java, line(s) 3,11
com/yandex/metrica/impl/ob/X8.java, line(s) 3,12
ru/rustore/sdk/metrics/internal/b0.java, line(s) 4,58
ru/rustore/sdk/metrics/internal/i0.java, line(s) 4,66
ru/rustore/sdk/metrics/internal/o.java, line(s) 4,5,21

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/adapty/internal/data/cache/CacheKeysKt.java, line(s) 10,18,40,41,42,43,44
com/adapty/internal/data/cloud/RequestFactory.java, line(s) 51
com/adapty/internal/utils/AnalyticsEventTypeAdapter.java, line(s) 40
com/amplitude/android/migration/RemnantDataMigration.java, line(s) 16,17,18,19,20
com/amplitude/id/FileIdentityStorage.java, line(s) 13,14,15,17
com/amplitude/id/IdentityConfiguration.java, line(s) 123
com/capacitorjs/plugins/localnotifications/LocalNotificationManager.java, line(s) 39,37,40,38,34
com/capacitorjs/plugins/localnotifications/NotificationStorage.java, line(s) 16
com/capacitorjs/plugins/localnotifications/TimedNotificationPublisher.java, line(s) 16,17
com/getcapacitor/AppUUID.java, line(s) 13
com/getcapacitor/Bridge.java, line(s) 57,56,58,59
com/getcapacitor/Plugin.java, line(s) 33
com/pushwoosh/repository/RegistrationPrefs.java, line(s) 40
com/vk/id/internal/api/VKIDApi.java, line(s) 19
com/vk/id/internal/auth/AuthOptions.java, line(s) 148
com/vk/id/internal/auth/ServiceCredentials.java, line(s) 72
com/vk/id/internal/auth/VKIDTokenPayload.java, line(s) 90
com/yandex/metrica/impl/ob/C0292i4.java, line(s) 76
com/yandex/metrica/impl/ob/C0353i4.java, line(s) 77
com/yandex/metrica/impl/ob/D4.java, line(s) 40
com/yandex/metrica/impl/ob/Lg.java, line(s) 380
com/yandex/metrica/impl/ob/Ln.java, line(s) 17
io/branch/referral/Branch.java, line(s) 49
io/branch/referral/BranchPreinstall.java, line(s) 18,17
io/branch/referral/PrefHelper.java, line(s) 32
io/branch/referral/ServerRequest.java, line(s) 17,18
io/branch/referral/ServerRequestQueue.java, line(s) 26
io/branch/referral/UniversalResourceAnalyser.java, line(s) 15,14,17
io/branch/referral/validators/DeepLinkRoutingValidator.java, line(s) 22,19,25,24
io/grpc/internal/DnsNameResolver.java, line(s) 72,70,71,73
io/grpc/internal/TransportFrameUtil.java, line(s) 33
io/sentry/Baggage.java, line(s) 35
io/sentry/SpanDataConvention.java, line(s) 4,5,8,9,15,17,16,20,18
io/sentry/TraceContext.java, line(s) 25
io/sentry/protocol/User.java, line(s) 41
ru/rustore/sdk/core/BuildConfig.java, line(s) 8,7
ru/rustore/sdk/core/config/SdkType.java, line(s) 20

应用程序使用不安全的随机数生成器
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/pushwoosh/internal/network/c.java, line(s) 21
im/crisp/client/internal/v/f.java, line(s) 22
io/grpc/internal/DnsNameResolver.java, line(s) 31
io/grpc/internal/ExponentialBackoffPolicy.java, line(s) 5
io/grpc/internal/RetriableStream.java, line(s) 23
io/grpc/okhttp/OkHttpClientTransport.java, line(s) 72
io/grpc/util/OutlierDetectionLoadBalancer.java, line(s) 26
io/grpc/util/RoundRobinLoadBalancer.java, line(s) 20
org/junit/runner/manipulation/Ordering.java, line(s) 7

MD5是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/pushwoosh/d0/d.java, line(s) 51
com/pushwoosh/internal/platform/utils/GeneralUtils.java, line(s) 136
com/vk/id/internal/util/MD5.java, line(s) 38
com/yandex/metrica/impl/ob/Pl.java, line(s) 69
com/yandex/metrica/impl/ob/Tl.java, line(s) 90

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/capacitorjs/plugins/camera/CameraUtils.java, line(s) 19
com/capacitorjs/plugins/filesystem/Filesystem.java, line(s) 167,169,176
com/getcapacitor/BridgeWebChromeClient.java, line(s) 455
com/getcapacitor/FileUtils.java, line(s) 94
io/sentry/android/core/DeviceInfoUtil.java, line(s) 166,341

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
com/capacitorjs/plugins/camera/CameraUtils.java, line(s) 19
com/getcapacitor/BridgeWebChromeClient.java, line(s) 455
io/noties/markwon/image/DefaultDownScalingMediaDecoder.java, line(s) 56
org/junit/rules/TemporaryFolder.java, line(s) 79,164

此应用程序可能会请求root（超级用户）权限
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05j-Testing-Resiliency-Against-Reverse-Engineering.md#testing-root-detection-mstg-resilience-1

Files:
io/sentry/android/core/internal/util/RootChecker.java, line(s) 23,23,23,23,23

可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-6

Files:
com/pushwoosh/inapp/view/c.java, line(s) 211,244
ee/forgr/capacitor_inappbrowser/WebViewDialog.java, line(s) 133,125

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/yandex/metrica/impl/ob/H.java, line(s) 43
io/sentry/util/StringUtils.java, line(s) 73

不安全的Web视图实现。可能存在WebView任意代码执行漏洞
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#testing-javascript-execution-in-webviews-mstg-platform-5

Files:
ee/forgr/capacitor_inappbrowser/WebViewDialog.java, line(s) 123,124,125

IP地址泄露


Files:
io/grpc/okhttp/OkHttpClientTransport.java, line(s) 251
io/grpc/okhttp/OkHttpServerTransport.java, line(s) 601,607,613,698

Firebase远程配置URL （ https://firebaseremoteconfig.googleapis.com/v1/projects/817694478994/namespaces/firebase:fetch?key=AIzaSyAZbj1vKsmxAtMyCxLxavVaauDS8t0d9hs ） 已启用。请确保这些配置不包含敏感信息。响应内容如下所示：

{
    "entries": {
        "googlePlayBillingAvailable": "true",
        "launchPlacementId": "launch_placement",
        "liveStream": "{}",
        "mainPlacementId": "test_customsation_v3",
        "onboardingRateAppPaneActive": "true",
        "payOnWebsiteLink": "https://momslab.app/ru/actual_programs_new#tariffs",
        "pushNotificationsRequestLocation": "onboarding-program-selected",
        "surveyFirstHear": "{\"isActive\":false,\"options\":[]}",
        "tinkoffPaymentActive": "false"
    },
    "state": "UPDATE",
    "templateVersion": "111"
}

从应用程序中识别出以下机密确保这些不是机密或私人信息
凭证信息=> "io.branch.sdk.BranchKey.test" : "@string/branch_test_key"
凭证信息=> "io.branch.sdk.BranchKey" : "@string/branch_key"
凭证信息=> "com.pushwoosh.appid" : "@string/pushwoosh_app_id"
Google_Drive_API_Key: AIzaSyAZkYOg3NmgiXAVC6R8wyiW4VQPP3_MOis
"google_app_id" : "1:817694478994:android:ba1e18386c6ce39b390c4b"
"firebase_database_url" : "https://momslab.firebaseio.com"
"fb_app_id" : "388235655240118"
"facebook_client_token" : "2e000b90b91eca37c49f72999603f259"
"google_api_key" : "AIzaSyAZbj1vKsmxAtMyCxLxavVaauDS8t0d9hs"
"pushwoosh_api_token" : "aHLKAmyNCPY6Nj7U0E6YHbbLQCh6K1ePM9RxLRiK1D"
"appmetrica_api_key" : "fcf1c352-c867-4104-92b9-3f7ae144e732"
"branch_key" : "key_live_oo7jZVi5LzFK2r0QsdPU0hkirue42HGk"
"branch_test_key" : "key_test_leYd7Sp2GztG2F4IAgGJ2hfbEtj1WTVD"
"facebook_app_id" : "388235655240118"
"adapty_sdk_key" : "public_live_jHtUZqYz.XISoQeOh7UftVzjCxY1P"
"google_crash_reporting_api_key" : "AIzaSyAZbj1vKsmxAtMyCxLxavVaauDS8t0d9hs"
"pushwoosh_app_id" : "C5ADE-68CDF"
"amplitude_api_key" : "2688237e6460ce386c402b7641bbdc00"
8a3c4b262d721acd49a4bf97d5213199c86fa2b9
6c5f504e-8928-47b5-bfb5-73af8d8bf4b4
4e610cd2-753f-4bfc-9b05-772ce8905c5e
9b8f518b086098de3d77736f9458a3d2f6f95a37
sha256/K87oWBWM9UZfyddvDfoxL+8lpNyoUB2ptGtn0fv6G2Q=
67bb016b-be40-4c08-a190-96a3f3b503d3
86259288a43f6c409a922bc3ce40ba08085bbadb
ABi2fbt8vkzj7SJ8aD5jc4xJFTDFntdkMrYXL3itsvqY1QIw
0e5e9c33-f8c3-4568-86c5-2e4f57523f72
bbf54f5f-e380-46ee-8506-384200b4448a
c56fb7d591ba6704df047fd98f535372fea00211
7d962ba4-a392-449a-a02d-6c5be5613928
e4250327-8d3c-4d35-b9e8-3c1720a64b91
dZozdop5rgKNxjbrQAd5nntAGpgh9w84O1Xgg==
20799a27-fa80-4b36-b2db-0f8141f24180
a4b7452e2ed8f5f191058ca7bbfd26b0d3214bfc
a72bf6f57701ed3c2b8ed570054febbff4e58c12
2438bce1ddb7bd026d5ff89f598b3b5e5bb824b3
48761eef50ee53afc4cc9c5f10e6bde7f8f5b82f
cc2751449a350f668590264ed76692694a80308a
df6b721c8b4d3b6eb44c861d4415007e5a35fc95
01528cc0-dd34-494d-9218-24af1317e1ee
7fmduHKTdHHrlMvldlEqAIlSfii1tl35bxj1OXN5Ve8c4lU6URVu4xtSHc3BVZxS6WWJnxMDhIfQN0N0K2NDJg==