移动应用安全检测报告: 大象助手 v5.2.3

安全基线评分


安全基线评分 61/100

综合风险等级


风险等级评定

  1. A
  2. B
  3. C
  4. F

漏洞与安全项分布(%)


隐私风险

0

检测到的第三方跟踪器数量


检测结果分布

高危安全漏洞 1
中危安全漏洞 10
安全提示信息 2
已通过安全项 3
重点安全关注 0

高危安全漏洞 Activity (io.dcloud.PandoraEntry) 容易受到StrandHogg 2.0的攻击

已发现活动存在 StrandHogg 2.0 栈劫持漏洞的风险。漏洞利用时,其他应用程序可以将恶意活动放置在易受攻击的应用程序的活动栈顶部,从而使应用程序成为网络钓鱼攻击的易受攻击目标。可以通过将启动模式属性设置为“singleInstance”并设置空 taskAffinity (taskAffinity="") 来修复此漏洞。您还可以将应用的目标 SDK 版本 (28) 更新到 29 或更高版本以在平台级别修复此问题。

中危安全漏洞 应用程序已启用明文网络流量

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量,例如明文HTTP,FTP协议,DownloadManager和MediaPlayer。针对API级别27或更低的应用程序,默认值为“true”。针对API级别28或更高的应用程序,默认值为“false”。避免使用明文流量的主要原因是缺乏机密性,真实性和防篡改保护;网络攻击者可以窃听传输的数据,并且可以在不被检测到的情况下修改它。

中危安全漏洞 Broadcast Receiver (androidx.profileinstaller.ProfileInstallReceiver) 受权限保护, 但是应该检查权限的保护级别。

Permission: android.permission.DUMP [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序,因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此,应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险,一个恶意应用程序可以请求并获得这个权限,并与该组件交互。如果它被设置为签名,只有使用相同证书签名的应用程序才能获得这个权限。

中危安全漏洞 应用程序可以读取/写入外部存储器,任何应用程序都可以读取写入外部存储器的数据

应用程序可以读取/写入外部存储器,任何应用程序都可以读取写入外部存储器的数据
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/ba/scannerview/ScanViewS.java, line(s) 76
com/dmcbig/mediapicker/utils/FileUtils.java, line(s) 23,24,26,51,111
com/jfile/choosefile/utils/FileUtils.java, line(s) 15
com/jfile/fileutils/FileModule.java, line(s) 77,78
com/jfile/futils/StorageHelper.java, line(s) 19
com/maning/mlkitscanner/scan/analyser/BarcodeAnalyser.java, line(s) 114,126
com/maning/mlkitscanner/scan/camera/CameraManager.java, line(s) 271,281
com/maning/mlkitscanner/scan/ui/ScanPreviewActivity.java, line(s) 434
com/nostra13/dcloudimageloader/utils/StorageUtils.java, line(s) 22,41,41,46
com/taobao/gcanvas/audio/GAudioPlayer.java, line(s) 64,65,116,117
com/yunagile/voice/AudioFeedback.java, line(s) 159
com/yunagile/voice/MediaCodecModule.java, line(s) 63,75
hpl/kivii/choosefile/util/FileScanner.java, line(s) 22
hpl/kivii/choosefile/util/SDCardUtils.java, line(s) 12
uts/sdk/modules/DCloudUniNetwork/SimpleDownloadCallback.java, line(s) 86
uts/sdk/modules/DCloudUniNetwork/UploadController.java, line(s) 323

中危安全漏洞 文件可能包含硬编码的敏感信息,如用户名、密码、密钥等

文件可能包含硬编码的敏感信息,如用户名、密码、密钥等
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/hjq/permissions/StartActivityManager.java, line(s) 9
uts/sdk/modules/DCloudUniNetwork/RequestNetworkListener.java, line(s) 75
uts/sdk/modules/wrsUtsNetwork/UTSNetwork.java, line(s) 35

中危安全漏洞 IP地址泄露

IP地址泄露


Files:
uts/sdk/modules/DCloudUniGetDeviceInfo/EmulatorCheckUtil.java, line(s) 239

中危安全漏洞 应用程序使用不安全的随机数生成器

应用程序使用不安全的随机数生成器
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/hjq/permissions/PermissionFragment.java, line(s) 15

中危安全漏洞 MD5是已知存在哈希冲突的弱哈希

MD5是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/nostra13/dcloudimageloader/cache/disc/naming/Md5FileNameGenerator.java, line(s) 19

中危安全漏洞 应用程序创建临时文件。敏感信息永远不应该被写进临时文件

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
com/dmcbig/mediapicker/TakePhotoActivity.java, line(s) 25
com/dmcbig/mediapicker/utils/FileUtils.java, line(s) 34

中危安全漏洞 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
hpl/kivii/choosefile/db/FileDbHelper.java, line(s) 4,5,18,23

中危安全漏洞 此应用可能包含硬编码机密信息

从应用程序中识别出以下机密确保这些不是机密或私人信息
DCLOUD的 "APPID" : "__UNI__B3B0DDC"
DCLOUD的 "DCLOUD_STREAMAPP_CHANNEL" : "cn.chinapost.jdpt.pda.daxiang|__UNI__B3B0DDC|127977080306|"
DCLOUD的 "AD_ID" : "127977080306"
DCLOUD的 "ApplicationId" : "cn.chinapost.jdpt.pda.daxiang"
"dcloud_permissions_reauthorization" : "reauthorize"
5ebf338d3004daa083b413773d954fb38

安全提示信息 应用程序记录日志信息,不得记录敏感信息

应用程序记录日志信息,不得记录敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
androidtranscoder/MediaTranscoder.java, line(s) 75,152,185,72,69
androidtranscoder/engine/MediaTranscoderEngine.java, line(s) 75,83,168,197
androidtranscoder/engine/QueuedMuxer.java, line(s) 95,97,105
androidtranscoder/engine/TextureRender.java, line(s) 49,61,62,77,80,98
androidtranscoder/format/ExportPreset960x540Strategy.java, line(s) 23
com/ba/scannerview/ScanViewS.java, line(s) 729,751,761,770
com/bun/miitmdid/core/MdidSdkHelper.java, line(s) 57,63
com/bun/miitmdid/core/Utils.java, line(s) 72,75,35,41,46
com/dmcbig/mediapicker/PreviewActivity.java, line(s) 246
com/jfile/choosefile/activity/MainActivity.java, line(s) 119
com/jfile/choosefile/adaper/DirAdapter.java, line(s) 86
com/jfile/choosefile/fragment/DirFragment.java, line(s) 382,385,390,81,338,359,365,381,391,426
com/jfile/fileutils/FileModule.java, line(s) 118,177,212
com/maning/mlkitscanner/scan/analyser/BarcodeAnalyser.java, line(s) 102
com/maning/mlkitscanner/scan/camera/CameraSizeUtils.java, line(s) 15,38
com/maning/mlkitscanner/scan/ui/ScanPreviewActivity.java, line(s) 82,304,326,340,351
com/maning/mlkitscanner/scan/utils/BitmapUtils.java, line(s) 38,125
com/maning/mlkitscanner/scan/utils/StatusBarUtil.java, line(s) 101,117
com/maning/mlkitscanner/scan/view/ScanResultPointView.java, line(s) 141,204,208
com/taobao/gcanvas/GCanvasJNI.java, line(s) 136,138,76,78,124
com/taobao/gcanvas/GFontConfigParser.java, line(s) 75,83,96,111,162,172,180,185
com/taobao/gcanvas/adapters/img/impl/fresco/GCanvasFrescoImageLoader.java, line(s) 50,54
com/taobao/gcanvas/audio/GAudioHandler.java, line(s) 54,100,251,261
com/taobao/gcanvas/audio/GAudioPlayer.java, line(s) 125
com/taobao/gcanvas/bridges/spec/module/AbsGBridgeModule.java, line(s) 96,110,155,166,169,192,205,354,125,177,213,350,364
com/taobao/gcanvas/bridges/weex/GCanvasWeexModule.java, line(s) 92,93,98,162,176,271,272,283,288,301,154,169,266
com/taobao/gcanvas/bridges/weex/WXGCanvasWeexComponent.java, line(s) 115,131,110
com/taobao/gcanvas/surface/GTextureView.java, line(s) 74,78,80
com/taobao/gcanvas/surface/GTextureViewCallback.java, line(s) 68,79,93,110,126,132
com/taobao/gcanvas/util/GCanvasHelper.java, line(s) 28,52
com/taobao/gcanvas/util/GLog.java, line(s) 44,91,97,56,62,75,81,129,135,110,116
com/yunagile/voice/AudioDecoder.java, line(s) 202
com/yunagile/voice/AudioEncoder.java, line(s) 99,287
com/yunagile/voice/AudioFeedback.java, line(s) 101,112,274,336,357,385
com/yunagile/voice/AudioPlayer.java, line(s) 45,146,162,178,216,52,59,70,86
com/yunagile/voice/HdAppProxy.java, line(s) 21
com/yunagile/voice/MediaCodecModule.java, line(s) 89
com/yunagile/voice/VoiceModule.java, line(s) 175,191,219,248

安全提示信息 此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板,因为其他应用程序可以访问它

此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板,因为其他应用程序可以访问它
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04b-Mobile-App-Security-Testing.md#clipboard

Files:
hpl/kivii/choosefile/util/AppUtils.java, line(s) 4,58

已通过安全项 此应用程序可能具有Root检测功能

此应用程序可能具有Root检测功能
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05j-Testing-Resiliency-Against-Reverse-Engineering.md#testing-root-detection-mstg-resilience-1

Files:
uts/sdk/modules/DCloudUniGetDeviceInfo/DeviceUtil.java, line(s) 28,28,28,28,28

已通过安全项 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
uts/sdk/modules/wrsUtsNetwork/IndexKt.java, line(s) 110,109,110,101,108,108

已通过安全项 此应用程序没有隐私跟踪程序

此应用程序不包括任何用户或设备跟踪器。在静态分析期间没有找到任何跟踪器。

综合安全基线评分: ( 大象助手 5.2.3)