安全分析报告： 香香腐宅boylove v1.062401

安全分数


安全分数 45/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

2

用户/设备跟踪器


调研结果

高危 1
中危 10
信息 1
安全 0
关注 5

高危 应用程序存在Janus漏洞 

应用程序使用了v1签名方案进行签名，如果只使用v1签名方案，那么它就容易受到安卓5.0-8.0上的Janus漏洞的攻击。在安卓5.0-7.0上运行的使用了v1签名方案的应用程序，以及同时使用了v2/v3签名方案的应用程序也同样存在漏洞。

中危 应用程序已启用明文网络流量 

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危 应用程序数据可以被备份 

[android:allowBackup=true]
这个标志允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
j/u/a.java, line(s) 3
j/u/b.java, line(s) 4

中危 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
b/c/a/n/o/q.java, line(s) 89

中危 SHA-1是已知存在哈希冲突的弱哈希 

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
org/repackage/a/a/a/a/c.java, line(s) 60

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
b/g/b/m/h.java, line(s) 40,63

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
h/s/r.java, line(s) 5,211
h/u/a/g/a.java, line(s) 4,5,6,7,90

中危 应用程序创建临时文件。敏感信息永远不应该被写进临时文件 

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
h/s/x.java, line(s) 153

中危 应用程序包含隐私跟踪程序 

此应用程序有多个2隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
6577c963a7208a5af18334e2
4e0c4957b3a164d09a1216bdd121e570
a6e9c90153156e92b5e4add0ce67bff0

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
b/b/a/a/a.java, line(s) 99,103
b/c/a/j.java, line(s) 100,99,234,235
b/c/a/l/a.java, line(s) 125
b/c/a/m/d.java, line(s) 33,180,32,179
b/c/a/m/e.java, line(s) 54,70,87,53,69,86
b/c/a/n/n/b.java, line(s) 29,28
b/c/a/n/n/j.java, line(s) 47,135,184,46,50,56,63,134,181,60,66
b/c/a/n/n/l.java, line(s) 31,30
b/c/a/n/n/o/b.java, line(s) 113,151,217,112,150,216
b/c/a/n/o/b0.java, line(s) 43,44
b/c/a/n/o/c0/i.java, line(s) 163,180,168,184
b/c/a/n/o/c0/j.java, line(s) 72,174,183,187,210,71,85,132,141,153,173,182,186,199,209,86,107,133,142,200
b/c/a/n/o/d0/e.java, line(s) 43,55,65,79,112,56,80,44,68,113
b/c/a/n/o/d0/j.java, line(s) 101,86
b/c/a/n/o/e0/a.java, line(s) 75,72
b/c/a/n/o/f0/a.java, line(s) 116,106
b/c/a/n/o/i.java, line(s) 343,125,342,434,472
b/c/a/n/o/j.java, line(s) 145,146
b/c/a/n/o/l.java, line(s) 18,257
b/c/a/n/o/r.java, line(s) 41
b/c/a/n/p/c.java, line(s) 16,15
b/c/a/n/p/d.java, line(s) 43,42
b/c/a/n/p/f.java, line(s) 117,116
b/c/a/n/p/s.java, line(s) 80,81
b/c/a/n/p/t.java, line(s) 38,37
b/c/a/n/q/a.java, line(s) 77,114,88,124
b/c/a/n/q/c/b0.java, line(s) 96,101,141,150,157,97,102,142,151,158,159,160,164
b/c/a/n/q/c/c.java, line(s) 57,56,73,74
b/c/a/n/q/c/d0.java, line(s) 147,146
b/c/a/n/q/c/l.java, line(s) 70,80,92,208,216,283,309,327,331,336,345,348,353,360,69,79,91,205,213,282,308,326,330,335,344,347,352,359
b/c/a/n/q/c/n.java, line(s) 377,533,598,328,376,403,429,532,553,568,597,358,404,454
b/c/a/n/q/c/o.java, line(s) 28,32,29,33
b/c/a/n/q/c/s.java, line(s) 76,82,88,94,100,107,113,121,145,77,83,89,95,101,108,114,122,146
b/c/a/n/q/g/a.java, line(s) 110,139,148,155,111,142,151,158
b/c/a/n/q/g/d.java, line(s) 16,17
b/c/a/n/q/g/j.java, line(s) 43,44
b/c/a/o/e.java, line(s) 37,34,58,79,59,80
b/c/a/o/o.java, line(s) 138,139,147
b/c/a/o/r.java, line(s) 59,66,60,67
b/c/a/r/g.java, line(s) 449,19,530,487
b/c/a/r/i/i.java, line(s) 94,161,162,95
b/c/a/t/k/a.java, line(s) 53,56
b/d/a/a/a0/b.java, line(s) 388
b/d/a/a/c0/b.java, line(s) 78,155
b/d/a/a/d0/a.java, line(s) 19
b/d/a/a/f0/g.java, line(s) 612
b/d/a/a/l/g.java, line(s) 71
b/g/b/g/i.java, line(s) 73
b/g/b/m/d.java, line(s) 98
com/kwai/library/ipneigh/KwaiIpNeigh.java, line(s) 47,50
com/lxj/xpopup/core/BasePopupView.java, line(s) 153,788,969,994
com/lxj/xpopup/impl/LoadingPopupView.java, line(s) 91
com/lxj/xpopup/util/XPermission.java, line(s) 136
com/lxj/xpopup/widget/SmartDivider.java, line(s) 27
h/b/k/j.java, line(s) 371
h/b/k/m.java, line(s) 2656,4799,1388,1402,1414,2935,2985,3060,3553,3571,3579,4829,4838,4848,4857,4875,4884,4900,4909,378,832,895,1545,1554,2615,2624,2902,2911,3424,3434,4378,4722,4725,2512,4350
h/b/k/w.java, line(s) 33
h/b/l/a/a.java, line(s) 72
h/b/o/f.java, line(s) 182,314,328,336,397
h/b/o/i/d.java, line(s) 296
h/b/o/i/g.java, line(s) 655
h/b/p/b1.java, line(s) 297,302
h/b/p/c0.java, line(s) 187,234,262,276
h/b/p/c1.java, line(s) 123,189
h/b/p/f1.java, line(s) 21,37,39,41,51
h/b/p/k.java, line(s) 153
h/b/p/m0.java, line(s) 383,163,168,175,290,366
h/b/p/o0.java, line(s) 113
h/b/p/p0.java, line(s) 417,47,62,84,104,205
h/b/p/t.java, line(s) 26
h/b/p/t0.java, line(s) 198,382,405,129,143,180,276,283,346,357
h/b/p/u0.java, line(s) 70
h/b/p/x.java, line(s) 89,99,171,176,551
h/f/b/d.java, line(s) 254
h/f/b/h/e.java, line(s) 531
h/f/c/b.java, line(s) 159,171,244
h/f/c/c.java, line(s) 178,91,150
h/f/c/d.java, line(s) 338,1095,1102,1103,1108,1116,1597,1168,357,367,1014,1642,1649
h/h/j/c.java, line(s) 101
h/h/j/d.java, line(s) 28
h/h/j/f.java, line(s) 47,49,51
h/h/j/i.java, line(s) 64,37,42
h/h/k/b/h.java, line(s) 22,30
h/h/l/c.java, line(s) 421,426
h/h/l/d.java, line(s) 29
h/h/l/e.java, line(s) 47
h/h/l/f.java, line(s) 42
h/h/l/g.java, line(s) 57,92
h/h/l/k/f.java, line(s) 40,63
h/h/n/b.java, line(s) 18
h/h/r/a.java, line(s) 242
h/h/r/b.java, line(s) 35
h/h/r/d0.java, line(s) 608,628,82,92,103,112,42,618
h/h/r/j.java, line(s) 28,79,101,123,162,205,223
h/h/r/r.java, line(s) 734,371,733,263
h/h/r/y.java, line(s) 20,31
h/h/s/e.java, line(s) 18,17
h/i/a/b.java, line(s) 33
h/j/b/e.java, line(s) 465
h/k/a/a.java, line(s) 256,381,398,460,473,526,578,584,648,673,798,1357,1367,1527,1676,1754,1774,1778,1788,1798,1818,1833,1872,1884,1900,1907,1910,1957,1975,1981,1988,2011,2023,2193,2269,2290,2310,2316,1069,1077,1110,1122,1134,1146,1158,1170,1182,1194,1206,1213,1224,1236,66,274,355,364,628,665,668,1219,1417,1697,1708
h/l/d/a.java, line(s) 343,356,371,391
h/l/d/c.java, line(s) 584,629,658,663
h/l/d/c0.java, line(s) 52,36,44,116,122
h/l/d/f0.java, line(s) 130,258,282,368,388,437,458,475,487,582,659,669,764,774,818,249,354,514,545,591,618,626,699,810
h/l/d/g0.java, line(s) 69,82,115
h/l/d/l.java, line(s) 102,262,297,316,324,326,432
h/l/d/u0.java, line(s) 17
h/l/d/v0.java, line(s) 76,126,144,235,298,307,314,323,341,356,375,438
h/l/d/x.java, line(s) 89,100
h/l/d/z.java, line(s) 1351,1424,745,746,754,762,331,348,357,388,396,429,460,510,516,529,713,908,1393,1481,1891,1904,1919,1938,1965,2013,96,103,126,133,226,233
h/p/a/a.java, line(s) 159,164,171,175,191,201
h/q/f/a.java, line(s) 24
h/s/k.java, line(s) 261
h/s/r.java, line(s) 119,124,208,427,478
h/s/s.java, line(s) 94,126
h/s/x.java, line(s) 115,118,123
h/u/a/c.java, line(s) 37,41
h/u/a/g/b.java, line(s) 105
h/v/d.java, line(s) 101,343
h/v/k.java, line(s) 30
h/v/m0.java, line(s) 32,72
h/w/a/a/g.java, line(s) 957,960,1023
h/y/a/b.java, line(s) 913,1988
k/a/a/g.java, line(s) 10,15

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (p1-lm.adkwai.com) 通信。 

{'ip': '223.109.148.179', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '无锡', 'latitude': '31.569349', 'longitude': '120.288788'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (ulogs.umengcloud.com) 通信。 

{'ip': '223.109.148.179', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '南京', 'latitude': '32.061668', 'longitude': '118.777992'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (static.yximgs.com) 通信。 

{'ip': '223.109.148.179', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '镇江', 'latitude': '32.209366', 'longitude': '119.434372'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (open.e.kuaishou.com) 通信。 

{'ip': '223.109.148.179', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '无锡', 'latitude': '31.569349', 'longitude': '120.288788'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (apps.samsung.com) 通信。 

{'ip': '117.91.193.4', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '扬州', 'latitude': '32.397221', 'longitude': '119.435600'}

安全评分: ( 香香腐宅boylove 1.062401)