安全分析报告： 云服务 v8.0.9

安全分数


安全分数 47/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

0

用户/设备跟踪器


调研结果

高危 3
中危 24
信息 1
安全 1
关注 3

高危 应用程序存在Janus漏洞 

应用程序使用了v1签名方案进行签名，如果只使用v1签名方案，那么它就容易受到安卓5.0-8.0上的Janus漏洞的攻击。在安卓5.0-7.0上运行的使用了v1签名方案的应用程序，以及同时使用了v2/v3签名方案的应用程序也同样存在漏洞。

高危 Activity (io.dcloud.PandoraEntry) is vulnerable to StrandHogg 2.0 

已发现活动存在 StrandHogg 2.0 栈劫持漏洞的风险。漏洞利用时，其他应用程序可以将恶意活动放置在易受攻击的应用程序的活动栈顶部，从而使应用程序成为网络钓鱼攻击的易受攻击目标。可以通过将启动模式属性设置为“singleInstance”并设置空 taskAffinity (taskAffinity="") 来修复此漏洞。您还可以将应用的目标 SDK 版本 (28) 更新到 29 或更高版本以在平台级别修复此问题。

高危 该文件是World Writable。任何应用程序都可以写入文件 

该文件是World Writable。任何应用程序都可以写入文件
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#testing-local-storage-for-sensitive-data-mstg-storage-1-and-mstg-storage-2

Files:
com/zzdy/calltransfer/util/SharedPrefsUtil.java, line(s) 36

中危 应用程序已启用明文网络流量 

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危 Activity设置了TaskAffinity属性 

(io.dcloud.feature.sdk.multi.DCUniMPEntry0)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危 Activity设置了TaskAffinity属性 

(io.dcloud.feature.sdk.multi.DCUniMPEntry1)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危 Activity设置了TaskAffinity属性 

(io.dcloud.feature.sdk.multi.DCUniMPEntry2)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危 Activity设置了TaskAffinity属性 

(io.dcloud.feature.sdk.multi.DCUniMPEntry3)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危 Activity设置了TaskAffinity属性 

(io.dcloud.feature.sdk.multi.DCUniMPEntry4)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危 Activity设置了TaskAffinity属性 

(io.dcloud.feature.sdk.multi.DCUniMPNoRecentsEntry0)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危 Activity设置了TaskAffinity属性 

(io.dcloud.feature.sdk.multi.DCUniMPNoRecentsEntry1)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危 Activity设置了TaskAffinity属性 

(io.dcloud.feature.sdk.multi.DCUniMPNoRecentsEntry2)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危 Activity设置了TaskAffinity属性 

(io.dcloud.feature.sdk.multi.DCUniMPNoRecentsEntry3)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危 Activity设置了TaskAffinity属性 

(io.dcloud.feature.sdk.multi.DCUniMPNoRecentsEntry4)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危 Activity设置了TaskAffinity属性 

(io.dcloud.feature.sdk.multi.DCUniMPActivity0)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危 Activity设置了TaskAffinity属性 

(io.dcloud.feature.sdk.multi.DCUniMPActivity1)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危 Activity设置了TaskAffinity属性 

(io.dcloud.feature.sdk.multi.DCUniMPActivity2)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危 Activity设置了TaskAffinity属性 

(io.dcloud.feature.sdk.multi.DCUniMPActivity3)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危 Activity设置了TaskAffinity属性 

(io.dcloud.feature.sdk.multi.DCUniMPActivity4)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危 应用程序创建临时文件。敏感信息永远不应该被写进临时文件 

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
com/dmcbig/mediapicker/TakePhotoActivity.java, line(s) 25
com/dmcbig/mediapicker/utils/FileUtils.java, line(s) 38

中危 IP地址泄露 

IP地址泄露


Files:
com/open/net/client/impl/tcp/bio/processor/BioReadWriteProcessor.java, line(s) 32
com/open/net/client/impl/tcp/nio/processor/NioReadWriteProcessor.java, line(s) 29
com/open/net/client/impl/udp/bio/processor/UdpBioReadWriteProcessor.java, line(s) 31
com/open/net/client/impl/udp/nio/processor/UdpNioReadWriteProcessor.java, line(s) 28

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/dmcbig/mediapicker/utils/FileUtils.java, line(s) 27,28,30,55,115
com/nostra13/dcloudimageloader/utils/StorageUtils.java, line(s) 22,44,44,53
com/tx/liteav/trtc/NativeTRTCCloud.java, line(s) 100,274,284,1043,1198,1201
com/tx/liteav/trtc/TXTRTCCloud.java, line(s) 91,101,147,540,541
io/agora/rtc2/internal/CommonUtility.java, line(s) 450,450
op234qwojf/op234qwojf/op234qwojf/op234qwojf/g.java, line(s) 34
op234qwojf/op234qwojf/op234qwojf/op234qwojf/j.java, line(s) 781,782

中危 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
io/agora/rtc2/internal/AudioFocusManager.java, line(s) 10
io/agora/rtc2/internal/SimpleMediaPlayerSource.java, line(s) 27
io/agora/rtc2/internal/SurfaceEglRendererHelper.java, line(s) 27

中危 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/nostra13/dcloudimageloader/cache/disc/naming/Md5FileNameGenerator.java, line(s) 14

中危 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
io/agora/metachat/MetachatUserInfo.java, line(s) 43

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
io/agora/utils/SqliteWrapper.java, line(s) 4,5,139

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
DCLOUD的 "DCLOUD_STREAMAPP_CHANNEL" : "uni.UNIP891207"
"dcloud_permissions_reauthorization" : "reauthorize"
c06c8400-8e06-11e0-9cb6-0002a5d5c51b
aa8130e0-66fc-11e0-bad0-0002a5d5c51b
bb392ec0-8d4d-11e0-a896-0002a5d5c51b

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
androidtranscoder/MediaTranscoder.java, line(s) 75,152,185,72,69
androidtranscoder/engine/MediaTranscoderEngine.java, line(s) 79,87,170,200
androidtranscoder/engine/QueuedMuxer.java, line(s) 95,97,105
androidtranscoder/engine/TextureRender.java, line(s) 50,62,63,78,82,100
androidtranscoder/format/ExportPreset960x540Strategy.java, line(s) 20
com/bun/miitmdid/core/MdidSdkHelper.java, line(s) 59,65
com/bun/miitmdid/core/Utils.java, line(s) 72,75,35,41,46
com/dmcbig/mediapicker/PreviewActivity.java, line(s) 260
com/jsoft/app/service/DaemonService.java, line(s) 67,53,36
com/open/net/client/impl/tcp/nio/processor/NioReadWriteProcessor.java, line(s) 85
com/open/net/client/impl/udp/nio/processor/UdpNioReadWriteProcessor.java, line(s) 76
com/tencent/live2/impl/V2TXLiveUtils.java, line(s) 156,14,17
com/tencent/live2/impl/a.java, line(s) 55
com/tencent/tmediacodec/f/a.java, line(s) 17,41,47,23,11,29,35
com/tencent/trtc/TRTCCloud.java, line(s) 285
com/tx/liteav/trtc/NativeTRTCCloud.java, line(s) 279
com/tx/liteav/trtc/TXTRTCCloud.java, line(s) 96
com/zzdy/calltransfer/CallTransferModel.java, line(s) 273,85,246,248
com/zzdy/calltransfer/service/callStateService.java, line(s) 37,36
io/agora/base/internal/video/EglRenderer.java, line(s) 1117
io/agora/metachat/internal/MetachatServiceImpl.java, line(s) 95,115
io/agora/rtc2/extensions/MediaProjectionSource.java, line(s) 397,405,401
io/agora/rtc2/internal/CommonUtility.java, line(s) 397,1025,1469,1048
io/agora/rtc2/internal/RtcEngineImpl.java, line(s) 3676,1191
io/agora/rtc2/video/VideoCaptureCamera1.java, line(s) 767
io/agora/utils/HttpAsyncTask.java, line(s) 136,178,195,229,234,239,110
io/agora/utils/NetUtil.java, line(s) 19,30,39,66
op234qwojf/op234qwojf/op234qwojf/op234qwojf/a.java, line(s) 29,57,75
op234qwojf/op234qwojf/op234qwojf/op234qwojf/r.java, line(s) 54,71,83,99,93
op234qwojf/op234qwojf/op234qwojf/op234qwojf/s.java, line(s) 142,168
uni/dcloud/io/uniplugin_richalert/RichAlertWXModule.java, line(s) 85,93,102,110,119,127,136,144,153,161,170,178,187,195,204,212,221,229,238,246,255,263,272,280,289,297,306,314,323,331,340,348,357,365,374,382,391,399,408,416,457,458,465,480,486,553,557,581,586,611,617,641,647,671,677,701,707,731,737,761,767,791,797,821,827,889,896,900,921,928,942,949,963,970,984,991,1005,1012,1026,1033,1047,1054,1075,1081,1094,1102,1122,1126,1130,1134,1138,1142,1146,1150,1154,1171,1176,1199,1206,1245,1249,1253,1257,1261,1265,1269,1273,1299,1401,1402,1403,1578,1584,1587,1592,1597,1602,1607,1612,1617,1622,1627,1632,1637,1642,1647,1652,1657,1662,1667,1671,1676,1683,1689,1694,1705,1720,1725,1730,1735,1740,1745,1750,1755,1760,1765,1770,1775,1780,1785,1790,1795,1800,1804,1809,1816,1819,1831,1839,1845,1851,1857,1863,1869,1875,1881,1887,1893,1899,1905,1911,1917,1923,1929,1935,1940,1946,1954,1958

安全 此应用程序没有隐私跟踪程序 

此应用程序不包括任何用户或设备跟踪器。在静态分析期间没有找到任何跟踪器。

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (ask.dcloud.net.cn) 通信。 

{'ip': '43.142.62.113', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '常州', 'latitude': '31.783331', 'longitude': '119.966667'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (m3w.cn) 通信。 

{'ip': '60.188.67.206', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '台州', 'latitude': '28.666668', 'longitude': '121.349998'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (er.dcloud.net.cn) 通信。 

{'ip': '43.142.62.113', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

安全评分: ( 云服务 8.0.9)