安全分析报告： 草苺影盒V03201737 v1.8

安全分数


安全分数 44/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

1

用户/设备跟踪器


调研结果

高危 1
中危 8
信息 1
安全 0
关注 3

高危 启用了调试配置。生产版本不能是可调试的 

启用了调试配置。生产版本不能是可调试的
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04c-Tampering-and-Reverse-Engineering.md#debugging-and-tracing

Files:
com/ashokvarma/bottomnavigation/BuildConfig.java, line(s) 3,6

中危 应用程序数据存在被泄露的风险 

未设置[android:allowBackup]标志
这个标志 [android:allowBackup]应该设置为false。默认情况下它被设置为true，允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危 Activity (com.e4a.runtime.android.mainActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
u/aly/bo.java, line(s) 13

中危 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
u/aly/bv.java, line(s) 34,51,71
u/aly/c.java, line(s) 131

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/nostra13/universalimageloader/utils/StorageUtils.java, line(s) 20,39,39,44
u/aly/bi.java, line(s) 209
u/aly/i.java, line(s) 55,57

中危 IP地址泄露 

IP地址泄露


Files:
u/aly/r.java, line(s) 32

中危 应用程序包含隐私跟踪程序 

此应用程序有多个1隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
9FABC82B8C1C08354D76B90D227243985007AE64EE87F5FF4C65FF562958D86FBD0D7C19FED8
9FABC82BC509082E0D2FFF13773A0AD0044AF27FA28CF9A44971F95B6D04C465AC
9FABC82B8C1C08354D76B90D2D79578A4A15A864F987E8FF4C65FF562958D83CF2163A19
9FABC82B8C1C08354D76B90D227243985007A964EE87F5FF4C65FF562958D86FBD0D7C19FED8
9FABC82B8C1C08354D76B90D2D79578A4A15AB64F987E8FF4C65FF562958D83CF2163A19
6255560c0059ce2bad32aaf5
9FABC82BC509082E092FFF10793A0ADB064AF87BA28CF9A44971F95B6D04C465AC

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
com/nostra13/universalimageloader/cache/disc/impl/ext/DiskLruCache.java, line(s) 115
u/aly/bj.java, line(s) 37,43,22,28,30,10,16,49,55,61,67,69

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (bbs.e4asoft.com) 通信。 

{'ip': '43.248.189.45', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '宿迁', 'latitude': '33.933334', 'longitude': '118.283333'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (log.umsns.com) 通信。 

{'ip': '59.82.29.249', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.123cha.com) 通信。 

{'ip': '59.82.29.249', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '扬州', 'latitude': '32.397221', 'longitude': '119.435600'}

安全评分: ( 草苺影盒V03201737 1.8)