安全基线评分
安全基线评分 61/100
综合风险等级
风险等级评定
- A
- B
- C
- F
漏洞与安全项分布(%)
隐私风险
0
检测到的第三方跟踪器数量
检测结果分布
高危安全漏洞
1
中危安全漏洞
10
安全提示信息
2
已通过安全项
3
重点安全关注
0
高危安全漏洞 Activity (io.dcloud.PandoraEntry) 容易受到StrandHogg 2.0的攻击
已发现活动存在 StrandHogg 2.0 栈劫持漏洞的风险。漏洞利用时,其他应用程序可以将恶意活动放置在易受攻击的应用程序的活动栈顶部,从而使应用程序成为网络钓鱼攻击的易受攻击目标。可以通过将启动模式属性设置为“singleInstance”并设置空 taskAffinity (taskAffinity="") 来修复此漏洞。您还可以将应用的目标 SDK 版本 (28) 更新到 29 或更高版本以在平台级别修复此问题。
中危安全漏洞 应用程序已启用明文网络流量
[android:usesCleartextTraffic=true] 应用程序打算使用明文网络流量,例如明文HTTP,FTP协议,DownloadManager和MediaPlayer。针对API级别27或更低的应用程序,默认值为“true”。针对API级别28或更高的应用程序,默认值为“false”。避免使用明文流量的主要原因是缺乏机密性,真实性和防篡改保护;网络攻击者可以窃听传输的数据,并且可以在不被检测到的情况下修改它。
中危安全漏洞 Broadcast Receiver (androidx.profileinstaller.ProfileInstallReceiver) 受权限保护, 但是应该检查权限的保护级别。
Permission: android.permission.DUMP [android:exported=true] 发现一个 Broadcast Receiver被共享给了设备上的其他应用程序,因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此,应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险,一个恶意应用程序可以请求并获得这个权限,并与该组件交互。如果它被设置为签名,只有使用相同证书签名的应用程序才能获得这个权限。
中危安全漏洞 应用程序可以读取/写入外部存储器,任何应用程序都可以读取写入外部存储器的数据
应用程序可以读取/写入外部存储器,任何应用程序都可以读取写入外部存储器的数据 https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage Files: com/ba/scannerview/ScanViewS.java, line(s) 76 com/dmcbig/mediapicker/utils/FileUtils.java, line(s) 23,24,26,51,111 com/jfile/choosefile/utils/FileUtils.java, line(s) 15 com/jfile/fileutils/FileModule.java, line(s) 77,78 com/jfile/futils/StorageHelper.java, line(s) 19 com/maning/mlkitscanner/scan/analyser/BarcodeAnalyser.java, line(s) 114,126 com/maning/mlkitscanner/scan/camera/CameraManager.java, line(s) 271,281 com/maning/mlkitscanner/scan/ui/ScanPreviewActivity.java, line(s) 434 com/nostra13/dcloudimageloader/utils/StorageUtils.java, line(s) 22,41,41,46 com/taobao/gcanvas/audio/GAudioPlayer.java, line(s) 64,65,116,117 com/yunagile/voice/AudioFeedback.java, line(s) 159 com/yunagile/voice/MediaCodecModule.java, line(s) 63,75 hpl/kivii/choosefile/util/FileScanner.java, line(s) 22 hpl/kivii/choosefile/util/SDCardUtils.java, line(s) 12 uts/sdk/modules/DCloudUniNetwork/SimpleDownloadCallback.java, line(s) 86 uts/sdk/modules/DCloudUniNetwork/UploadController.java, line(s) 323
中危安全漏洞 文件可能包含硬编码的敏感信息,如用户名、密码、密钥等
文件可能包含硬编码的敏感信息,如用户名、密码、密钥等 https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10 Files: com/hjq/permissions/StartActivityManager.java, line(s) 9 uts/sdk/modules/DCloudUniNetwork/RequestNetworkListener.java, line(s) 75 uts/sdk/modules/wrsUtsNetwork/UTSNetwork.java, line(s) 35
中危安全漏洞 IP地址泄露
IP地址泄露 Files: uts/sdk/modules/DCloudUniGetDeviceInfo/EmulatorCheckUtil.java, line(s) 239
中危安全漏洞 应用程序使用不安全的随机数生成器
应用程序使用不安全的随机数生成器 https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators Files: com/hjq/permissions/PermissionFragment.java, line(s) 15
中危安全漏洞 MD5是已知存在哈希冲突的弱哈希
MD5是已知存在哈希冲突的弱哈希 https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4 Files: com/nostra13/dcloudimageloader/cache/disc/naming/Md5FileNameGenerator.java, line(s) 19
中危安全漏洞 应用程序创建临时文件。敏感信息永远不应该被写进临时文件
应用程序创建临时文件。敏感信息永远不应该被写进临时文件 Files: com/dmcbig/mediapicker/TakePhotoActivity.java, line(s) 25 com/dmcbig/mediapicker/utils/FileUtils.java, line(s) 34
中危安全漏洞 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2 Files: hpl/kivii/choosefile/db/FileDbHelper.java, line(s) 4,5,18,23
中危安全漏洞 此应用可能包含硬编码机密信息
从应用程序中识别出以下机密确保这些不是机密或私人信息 DCLOUD的 "APPID" : "__UNI__B3B0DDC" DCLOUD的 "DCLOUD_STREAMAPP_CHANNEL" : "cn.chinapost.jdpt.pda.daxiang|__UNI__B3B0DDC|127977080306|" DCLOUD的 "AD_ID" : "127977080306" DCLOUD的 "ApplicationId" : "cn.chinapost.jdpt.pda.daxiang" "dcloud_permissions_reauthorization" : "reauthorize" 5ebf338d3004daa083b413773d954fb38
安全提示信息 应用程序记录日志信息,不得记录敏感信息
应用程序记录日志信息,不得记录敏感信息 https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs Files: androidtranscoder/MediaTranscoder.java, line(s) 75,152,185,72,69 androidtranscoder/engine/MediaTranscoderEngine.java, line(s) 75,83,168,197 androidtranscoder/engine/QueuedMuxer.java, line(s) 95,97,105 androidtranscoder/engine/TextureRender.java, line(s) 49,61,62,77,80,98 androidtranscoder/format/ExportPreset960x540Strategy.java, line(s) 23 com/ba/scannerview/ScanViewS.java, line(s) 729,751,761,770 com/bun/miitmdid/core/MdidSdkHelper.java, line(s) 57,63 com/bun/miitmdid/core/Utils.java, line(s) 72,75,35,41,46 com/dmcbig/mediapicker/PreviewActivity.java, line(s) 246 com/jfile/choosefile/activity/MainActivity.java, line(s) 119 com/jfile/choosefile/adaper/DirAdapter.java, line(s) 86 com/jfile/choosefile/fragment/DirFragment.java, line(s) 382,385,390,81,338,359,365,381,391,426 com/jfile/fileutils/FileModule.java, line(s) 118,177,212 com/maning/mlkitscanner/scan/analyser/BarcodeAnalyser.java, line(s) 102 com/maning/mlkitscanner/scan/camera/CameraSizeUtils.java, line(s) 15,38 com/maning/mlkitscanner/scan/ui/ScanPreviewActivity.java, line(s) 82,304,326,340,351 com/maning/mlkitscanner/scan/utils/BitmapUtils.java, line(s) 38,125 com/maning/mlkitscanner/scan/utils/StatusBarUtil.java, line(s) 101,117 com/maning/mlkitscanner/scan/view/ScanResultPointView.java, line(s) 141,204,208 com/taobao/gcanvas/GCanvasJNI.java, line(s) 136,138,76,78,124 com/taobao/gcanvas/GFontConfigParser.java, line(s) 75,83,96,111,162,172,180,185 com/taobao/gcanvas/adapters/img/impl/fresco/GCanvasFrescoImageLoader.java, line(s) 50,54 com/taobao/gcanvas/audio/GAudioHandler.java, line(s) 54,100,251,261 com/taobao/gcanvas/audio/GAudioPlayer.java, line(s) 125 com/taobao/gcanvas/bridges/spec/module/AbsGBridgeModule.java, line(s) 96,110,155,166,169,192,205,354,125,177,213,350,364 com/taobao/gcanvas/bridges/weex/GCanvasWeexModule.java, line(s) 92,93,98,162,176,271,272,283,288,301,154,169,266 com/taobao/gcanvas/bridges/weex/WXGCanvasWeexComponent.java, line(s) 115,131,110 com/taobao/gcanvas/surface/GTextureView.java, line(s) 74,78,80 com/taobao/gcanvas/surface/GTextureViewCallback.java, line(s) 68,79,93,110,126,132 com/taobao/gcanvas/util/GCanvasHelper.java, line(s) 28,52 com/taobao/gcanvas/util/GLog.java, line(s) 44,91,97,56,62,75,81,129,135,110,116 com/yunagile/voice/AudioDecoder.java, line(s) 202 com/yunagile/voice/AudioEncoder.java, line(s) 99,287 com/yunagile/voice/AudioFeedback.java, line(s) 101,112,274,336,357,385 com/yunagile/voice/AudioPlayer.java, line(s) 45,146,162,178,216,52,59,70,86 com/yunagile/voice/HdAppProxy.java, line(s) 21 com/yunagile/voice/MediaCodecModule.java, line(s) 89 com/yunagile/voice/VoiceModule.java, line(s) 175,191,219,248
安全提示信息 此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板,因为其他应用程序可以访问它
此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板,因为其他应用程序可以访问它 https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04b-Mobile-App-Security-Testing.md#clipboard Files: hpl/kivii/choosefile/util/AppUtils.java, line(s) 4,58
已通过安全项 此应用程序可能具有Root检测功能
此应用程序可能具有Root检测功能 https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05j-Testing-Resiliency-Against-Reverse-Engineering.md#testing-root-detection-mstg-resilience-1 Files: uts/sdk/modules/DCloudUniGetDeviceInfo/DeviceUtil.java, line(s) 28,28,28,28,28
已通过安全项 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击 https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4 Files: uts/sdk/modules/wrsUtsNetwork/IndexKt.java, line(s) 110,109,110,101,108,108
已通过安全项 此应用程序没有隐私跟踪程序
此应用程序不包括任何用户或设备跟踪器。在静态分析期间没有找到任何跟踪器。