移动应用安全检测报告： 私密相册 v1.0.0

安全基线评分


安全基线评分 52/100

综合风险等级


风险等级评定

  1. A
  2. B
  3. C
  4. F

漏洞与安全项分布（%）


隐私风险

0

检测到的第三方跟踪器数量


检测结果分布

高危安全漏洞 1
中危安全漏洞 7
安全提示信息 1
已通过安全项 1
重点安全关注 0

高危安全漏洞 应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。 

应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
q1/a.java, line(s) 32

中危安全漏洞 应用程序数据存在被泄露的风险 

未设置[android:allowBackup]标志
这个标志 [android:allowBackup]应该设置为false。默认情况下它被设置为true，允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危安全漏洞 Activity () 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危安全漏洞 Broadcast Receiver (androidx.profileinstaller.ProfileInstallReceiver) 未被保护。 

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危安全漏洞 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/fluttercandies/photo_manager/core/utils/IDBUtils.java, line(s) 128,278
h0/b.java, line(s) 54,55,212

中危安全漏洞 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/tekartik/sqflite/Database.java, line(s) 9,10,11,12,13,282

中危安全漏洞 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
d/g.java, line(s) 22
d2/a.java, line(s) 3

中危安全漏洞 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/fluttercandies/photo_manager/core/entity/filter/d.java, line(s) 41
com/tekartik/sqflite/Constant.java, line(s) 55
j/c.java, line(s) 74

安全提示信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
b/b.java, line(s) 33
b/j.java, line(s) 202,190
b/m.java, line(s) 62,50
b0/a$e.java, line(s) 24,25
b1/a.java, line(s) 51
c0/j.java, line(s) 36,33,45
com/elyudde/sms_advanced/SmsReceiver$createSmsReceiver$1.java, line(s) 54
com/elyudde/sms_advanced/status/SmsStateChangeReceiver.java, line(s) 43
com/fluttercandies/photo_manager/core/b.java, line(s) 260
com/fluttercandies/photo_manager/core/utils/AndroidQDBUtils.java, line(s) 435,440,478,482,487,492
com/fluttercandies/photo_manager/core/utils/DBUtils.java, line(s) 382,387,392
com/microsoft/notex/MainActivity.java, line(s) 109,117,130,131,136,102
com/tekartik/sqflite/Database.java, line(s) 88,138,211,288,328,484,562,311,493
com/tekartik/sqflite/SqflitePlugin$2.java, line(s) 28,32
com/tekartik/sqflite/SqflitePlugin.java, line(s) 43,52,125,182,245,260,301,314,320,337,342,47
com/tekartik/sqflite/Utils.java, line(s) 26
com/tekartik/sqflite/dev/Debug.java, line(s) 12
d/g.java, line(s) 64,97
e/a.java, line(s) 95,105,125
g/a.java, line(s) 17
g/p.java, line(s) 37,58,62,107,158,164,172
g/r.java, line(s) 29,33,38
g/s.java, line(s) 33
g0/b.java, line(s) 33
h/b.java, line(s) 296
i/d.java, line(s) 99,127,98,126
i/e.java, line(s) 66,87,105,65,86,104
i1/r.java, line(s) 48
k/c.java, line(s) 101,100
k/e.java, line(s) 50,49
l/e.java, line(s) 31,37,64,74,87,32,65,38,77,88
l/i.java, line(s) 90,74
m/a$e$b.java, line(s) 11,8
m1/a.java, line(s) 85,89
m2/a.java, line(s) 112,156,160,165,175,179,183,203
n/c.java, line(s) 16,15
n/d.java, line(s) 43,42
n/g.java, line(s) 93,92
n/t.java, line(s) 72,75
n/u.java, line(s) 65,83,88,102,68,84,89,105
n/v.java, line(s) 36,35
p/a.java, line(s) 72,73
p0/a.java, line(s) 18,28,38,48
r1/a.java, line(s) 40,43,45,38
s0/a.java, line(s) 60,172
s0/d.java, line(s) 55,129,137,141,150,162,165
s0/e.java, line(s) 36
s0/h.java, line(s) 15
s0/i.java, line(s) 41
t/a.java, line(s) 34,55,60,65,35,56,61,66
t/c.java, line(s) 24,25
t/h.java, line(s) 40,43
t1/b.java, line(s) 141,163,431
u0/d$c.java, line(s) 44
u0/d.java, line(s) 204,266
u0/e0.java, line(s) 78
u0/z.java, line(s) 35
v/e.java, line(s) 55,68,73,78,54,61,67,72,77,62
w0/b.java, line(s) 19,35
w0/c$g.java, line(s) 90
w0/c$i.java, line(s) 31
w0/c$k.java, line(s) 40,55
w0/c.java, line(s) 269,284,133,378,382,386,392
w0/e.java, line(s) 103,106,109,112,115,118,129,132,135,138,158,167
w0/f.java, line(s) 21
w0/i0.java, line(s) 114
w0/p0.java, line(s) 32
z/b.java, line(s) 21

已通过安全项 此应用程序没有隐私跟踪程序 

此应用程序不包括任何用户或设备跟踪器。在静态分析期间没有找到任何跟踪器。

综合安全基线评分: ( 私密相册 1.0.0)