安全分析报告： 1药城 v6.9.93

安全分数


安全分数 42/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

7

用户/设备跟踪器


调研结果

高危 9
中危 29
信息 3
安全 2
关注 31

高危 基本配置不安全地配置为允许到所有域的明文流量。 

Scope:
*

高危 基本配置配置为信任用户安装的证书。 

Scope:
*

高危 使用弱加密算法 

使用弱加密算法
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/yhyc/utils/v.java, line(s) 22,33

高危 应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。 

应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
a/a/c/a/a/a/a/c.java, line(s) 30,79
com/zx/a/I8b7/f1.java, line(s) 123
com/zx/a/I8b7/t.java, line(s) 18

高危 应用程序在加密算法中使用ECB模式。ECB模式是已知的弱模式，因为它对相同的明文块[UNK]产生相同的密文 

应用程序在加密算法中使用ECB模式。ECB模式是已知的弱模式，因为它对相同的明文块[UNK]产生相同的密文
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-block-cipher-mode

Files:
com/yhyc/utils/c0.java, line(s) 25,40,56

高危 已启用远程WebView调试 

已启用远程WebView调试
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04c-Tampering-and-Reverse-Engineering.md#debugging-and-tracing

Files:
com/geetest/captcha/views/GTC4WebView.java, line(s) 97,16,17

高危 不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击 

不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#webview-server-certificate-verification

Files:
com/yhyc/mvp/ui/UserAgreementActivity.java, line(s) 60,59

高危 该文件是World Writable。任何应用程序都可以写入文件 

该文件是World Writable。任何应用程序都可以写入文件
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#testing-local-storage-for-sensitive-data-mstg-storage-1-and-mstg-storage-2

Files:
a/a/b/i/a.java, line(s) 70
com/geetest/captcha/i.java, line(s) 14

高危 应用程序包含隐私跟踪程序 

此应用程序有多个7隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危 应用程序已启用明文网络流量 

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危 Activity设置了TaskAffinity属性 

(com.yiwang.fangkuaiyi.wxapi.WXEntryActivity)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危 Activity (com.yiwang.fangkuaiyi.wxapi.WXEntryActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.yiwang.fangkuaiyi.wxapi.WXPayEntryActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.yhyc.mvp.ui.SubmitOrderActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (com.alipay.sdk.app.PayResultActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.alipay.sdk.app.AlipayResultActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (com.igexin.sdk.GTIntentService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (com.igexin.sdk.GService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.igexin.sdk.GetuiActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (com.xiaomi.mipush.sdk.PushMessageHandler) 受权限保护, 但是应该检查权限的保护级别。 

Permission: com.xiaomi.xmsf.permission.MIPUSH_RECEIVE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Broadcast Receiver (com.igexin.sdk.MiuiPushReceiver) 未被保护。 

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.xiaomi.mipush.sdk.NotificationClickedActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (com.igexin.sdk.OppoPushService) 受权限保护, 但是应该检查权限的保护级别。 

Permission: com.coloros.mcs.permission.RECIEVE_MCS_MESSAGE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Service (com.igexin.sdk.OppoAppPushService) 受权限保护, 但是应该检查权限的保护级别。 

Permission: com.heytap.mcs.permission.RECIEVE_PUSH_MESSAGE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Service (com.huawei.hms.support.api.push.service.HmsMsgService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Content Provider (com.huawei.hms.support.api.push.PushProvider) 未被保护。 

[android:exported=true]
发现 Content Provider与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
a/a/c/a/a/b/b.java, line(s) 425,622,623
a/a/c/a/a/c/c.java, line(s) 12,24,28
cn/bertsir/zbar/QRActivity.java, line(s) 58
cn/bertsir/zbar/utils/a.java, line(s) 50
com/gangling/android/core/PickImage.java, line(s) 164
com/geetest/captcha/a.java, line(s) 33
com/iflytek/sunflower/util/m.java, line(s) 29,179,183
com/pingan/ai/a.java, line(s) 57
com/pingan/pabrlib/root/RootToolsInternalMethods.java, line(s) 422,425
com/rs/permission/FileProvider.java, line(s) 145,196
com/rs/permission/checker/StorageReadTest.java, line(s) 11,14
com/rs/permission/checker/StorageWriteTest.java, line(s) 11,14
com/yalantis/ucrop/PictureMultiCuttingActivity.java, line(s) 113
com/yhyc/e/b/b.java, line(s) 34
com/yhyc/mvp/ui/PdfActivity.java, line(s) 384
com/yhyc/mvp/ui/ShareActivity.java, line(s) 289
com/yhyc/utils/k0.java, line(s) 45
com/yhyc/utils/n.java, line(s) 40,131
com/yhyc/utils/r1.java, line(s) 25
com/yhyc/utils/v.java, line(s) 57,56
com/yhyc/utils/w.java, line(s) 11,68

中危 此应用程序可能会请求root（超级用户）权限 

此应用程序可能会请求root（超级用户）权限
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05j-Testing-Resiliency-Against-Reverse-Engineering.md#testing-root-detection-mstg-resilience-1

Files:
com/pingan/pabrlib/root/RootToolsInternalMethods.java, line(s) 555,593,555,593

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
a/g/a/a/f/l/a.java, line(s) 3,43
a/g/a/a/f/l/b.java, line(s) 5,6,44
com/yhyc/db/dao/OrderDao.java, line(s) 4,5,131
com/yhyc/db/dao/ProviderDao.java, line(s) 4,5,26
com/yhyc/db/dao/SearchDao.java, line(s) 4,5,31
com/yhyc/db/dao/ViewHistoryDao.java, line(s) 4,5,39
com/yhyc/logs/LogContentProvider.java, line(s) 7,8,26
com/zx/a/I8b7/a.java, line(s) 4,5,22
com/zx/a/I8b7/u3.java, line(s) 5,33
de/greenrobot/dao/AbstractDao.java, line(s) 7,8,331
de/greenrobot/dao/DbUtils.java, line(s) 6,35
de/greenrobot/dao/query/DeleteQuery.java, line(s) 3,28

中危 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
a/a/b/j/l.java, line(s) 178
com/iflytek/sunflower/util/d.java, line(s) 174,206
com/iflytek/sunflower/util/m.java, line(s) 196
com/ijiami/residconfusion/ConfusionUtils.java, line(s) 91
com/tencent/mm/a/b.java, line(s) 10
com/yhyc/utils/q0.java, line(s) 10
com/zx/a/I8b7/i0.java, line(s) 255

中危 不安全的Web视图实现。可能存在WebView任意代码执行漏洞 

不安全的Web视图实现。可能存在WebView任意代码执行漏洞
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#testing-javascript-execution-in-webviews-mstg-platform-5

Files:
com/unionpay/WebViewJavascriptBridge.java, line(s) 46,33
com/yhyc/mvp/ui/UserAgreementActivity.java, line(s) 159,155

中危 IP地址泄露 

IP地址泄露


Files:
com/geetest/captcha/GTCaptcha4Client.java, line(s) 47
com/geetest/captcha/a0.java, line(s) 56,67
com/geetest/core/GeeGuard.java, line(s) 133
com/geetest/core/Utils.java, line(s) 32

中危 SHA-1是已知存在哈希冲突的弱哈希 

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
a/a/c/a/a/a/a/b.java, line(s) 12
a/a/c/a/a/a/a/c.java, line(s) 29,78
a/a/c/a/a/a/b.java, line(s) 85
a/b/a/a/a/c.java, line(s) 205,209
com/gangling/android/core/secure/DigestUtil.java, line(s) 38
com/geetest/core/OaidHelper.java, line(s) 396
com/geetest/core/Utils.java, line(s) 47
com/unionpay/utils/UPUtils.java, line(s) 38
com/yhyc/utils/i1.java, line(s) 81
com/zx/a/I8b7/a1.java, line(s) 476
f/b/a/a/a/a.java, line(s) 165

中危 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
ccc/rrr/hhh/s/l.java, line(s) 190,195
com/gangling/android/core/secure/RSA.java, line(s) 37,38
com/gangling/android/net/ParamsEncrypt.java, line(s) 15
com/pingan/pabrlib/Preferences.java, line(s) 12
com/yhyc/data/LoginData.java, line(s) 206
com/yhyc/mvp/ui/AddCarPopActivity.java, line(s) 51,52
com/yhyc/mvp/ui/BaoFuBankListActivity.java, line(s) 17,22,23
com/yhyc/mvp/ui/DeliveryAndFreeShippingActivity.java, line(s) 31,33,34,37
com/yhyc/mvp/ui/ExpiredQualificationDialogActivity.java, line(s) 20
com/yhyc/mvp/ui/HomeRecommendDialogActivity.java, line(s) 17
com/yhyc/mvp/ui/InvoiceListActivity.java, line(s) 20
com/yhyc/mvp/ui/LoginActivity.java, line(s) 291
com/yhyc/mvp/ui/LowPriceRecommendActivity.java, line(s) 20,21,22
com/yhyc/mvp/ui/NewAddCartActivity.java, line(s) 69,70,71
com/yhyc/mvp/ui/OrderDetailElectronicActivity.java, line(s) 17
com/yhyc/mvp/ui/OrderSearchResultActivity.java, line(s) 42
com/yhyc/mvp/ui/PingAnInputActivity.java, line(s) 29,30
com/yhyc/mvp/ui/SearchActivity.java, line(s) 71
com/yhyc/mvp/ui/SelectBankCityActivity.java, line(s) 20
com/yhyc/mvp/ui/SplicingOrderActivity.java, line(s) 70
com/yhyc/mvp/ui/SplicingOrderCartActivity.java, line(s) 42
com/yhyc/mvp/ui/SubmitOrderActivity.java, line(s) 102,110
com/yhyc/mvp/ui/billionsubsidy/BillionSubsidyActivity.java, line(s) 72,75,77
com/yhyc/mvp/ui/billionsubsidy/BillionSubsidySearchResultActivity.java, line(s) 19,20
com/yhyc/mvp/ui/campaign/CampaignActivity.java, line(s) 71,73,79
com/yhyc/mvp/ui/campaign/CampaignSearchResultActivity.java, line(s) 19,21,22
freemarker/core/BuiltinVariable.java, line(s) 32
freemarker/core/Configurable.java, line(s) 70,71,72,73,74,75,76,77,78,79,80,81,82,83,84,36,85,86,87,88
freemarker/template/Configuration.java, line(s) 94,95,96,97,56,98,99,100,101,102,103,104,105
freemarker/template/utility/StandardCompress.java, line(s) 13,15

中危 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
a/a/b/b/b.java, line(s) 20
a/a/b/i/a.java, line(s) 9
a/a/b/j/l.java, line(s) 37
com/geetest/core/Utils.java, line(s) 12
com/pingan/pabrlib/util/ActiveMotionUtils.java, line(s) 6
com/pingan/pabrlib/util/FileEncryptionUtils.java, line(s) 5
com/yhyc/live/ui/SendLoveView.java, line(s) 14
com/yhyc/manager/s.java, line(s) 10
de/greenrobot/dao/test/DbTest.java, line(s) 8
freemarker/debug/impl/DebuggerServer.java, line(s) 18

中危 应用程序创建临时文件。敏感信息永远不应该被写进临时文件 

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
com/soundcloud/android/crop/CropUtil.java, line(s) 177

中危 可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息 

可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-6

Files:
com/yhyc/l/a.java, line(s) 147,145

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
UniPush推送的=> "OPPOPUSH_APPKEY" : "OP_Cm9QmrOfB88CCOcggK8KWSwG8"
高德地图的=> "com.amap.api.v2.apikey" : "e9c33c5e8eb5cf640c8ec25ff7d7fc1b"
华为HMS Core 应用ID的=> "com.huawei.hms.client.appid" : "100216893"
UniPush推送的=> "OPPOPUSH_APPSECRET" : "OP_eb76164798C508e9De421E6f4f3C6e24"
UniPush推送的=> "MIPUSH_APPKEY" : "XM_5631740361638"
UniPush推送的=> "MIPUSH_APPID" : "XM_2882303761517403638"
友盟统计的=> "UMENG_APPKEY" : "5aa225b0f43e48183200004b"
卓信ID-SDK的=> "ZX_APPID_GETUI" : "913e6a50-c3b6-4989-8ac6-1ecb53649be3"
个推–推送服务的=> "GETUI_APPID" : "lbqOHcVihz6J60vHTgSPq8"
卓信ID-SDK的=> "ZX_CHANNEL_ID" : "C01-GEztJH0JLdBC"
4af132fbbb699d3b3522bacd238d5335
5a328260bebe265e5e2d1f76416f4171
536C79B93ACFBEA950AE365D8CE1AEF91FEA9535
6823f392a8c6ff0fae9a388067ba65aa
5aa225b0f43e48183200004b
amF2YXguY3J5cHRvLnNwZWMuU2VjcmV0S2V5U3BlYw==
amF2YXguY3J5cHRvLnNwZWMuSXZQYXJhbWV0ZXJTcGVj
54847f3301740c85982a1d3d566bd24e
a3bed8b8ac0f0f6da2a5d817c024f4ab
C77CE7BB3EF1B4DAF74351D9E8B35378
ee31d4e0640fe39e028eb5b0aa0c8528
Y29tLmFzdXMubXNhLlN1cHBsZW1lbnRhcnlESUQuSURpZEFpZGxJbnRlcmZhY2U=
2020d46075c30608141537
2021c17260c70812140930
Y29tLmFzdXMubXNhLlN1cHBsZW1lbnRhcnlESUQuU3VwcGxlbWVudGFyeURJRFNlcnZpY2U=
059e2480adf8c1c5b3d9ec007645ccfc442a23c5
a1e2a6c9ae95ad1269519660516fe08a
ab472620bd3e330318c5058aae482763
Y29tLmFzdXMubXNhLlN1cHBsZW1lbnRhcnlESUQ=
e4b990158477bb74e9030acb565c1fea
53545f4e3028fa95a834ac5ac44081b9
56cb688b11fa2395a0f31928dc34e6a3
Y29tLmFzdXMubXNhLmFjdGlvbi5BQ0NFU1NfRElE
094a25e2802d39c5c22f30584ed133bf
202120f431e41123165950
2021a39674500426173452
2020c4f4ea7f0608140810
3754244cc3ede570b0a6c9d8fa36affc
1663571f19ca714c05ad43c75645d9dc
036035c3716efbee62f68333ecf8152d
2020b061a2450608141757
14e8a4c80ae42e3570a7fbfd5d29bd19
45d3438d2baf4aab6a861858289c612f
2020fcb864140608142033
20F7B70588D139686A6587CD3CAEC966
20218be28a5e0426170216
b1b8bcd66fa85a40c2f091751ae9d814
ec60d4305b43308e9ad8f7ed7cbf9c0e
BXR/YZEsZikKgydkACAIi9ZlpwlaFcVU0svFCdqK+9k=
0000000023456789abcdef12123456786789abcd
2020dfe570a10608111609
9095F915D6C143A41CE029209AFECB87AB481DDD
2020a2b499d50608142526
6437acaf700b7fcb1c1ff49ac0e53b8c
MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDXQG8rnxhslm+2f7Epu3bB0inrnCaTHhUQCYE+2X+qWQgcpn+Hvwyks3A67mvkIcyvV0ED3HFDf+ANoMWV1Ex56dKqOmSUmjrk7s5cjQeiIsxX7Q3hSzO61/kLpKNH+NE6iAPpm96Fg15rCjbm+5rR96DhLNG7zt2JgOd2o1wXkQIDAQAB
915d4b4961d131ad3e589939565631f9
0f19d184dc00f49c90200be7914f2db7
633285e1c7bf9805705d23514274adda
71e81203a3440637751835680ad71cfe
9c8a45eb2e779a25fae3bc4bc73e5f0b

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
ccc/rrr/hhh/s/a.java, line(s) 30,44
ccc/rrr/hhh/s/l.java, line(s) 155,190,195,209,331,345
cn/bertsir/zbar/a.java, line(s) 49
com/pingan/pabrlib/FaceDetectorManager.java, line(s) 80,91
com/pingan/pabrlib/Global.java, line(s) 53,55,43,51
com/pingan/pabrlib/Preferences.java, line(s) 30,34
com/pingan/pabrlib/activity/FaceDetectImp.java, line(s) 31,38
com/pingan/pabrlib/check/FaceDistanceManager.java, line(s) 42
com/pingan/pabrlib/check/PoseDetector.java, line(s) 76
com/pingan/pabrlib/check/SensorController.java, line(s) 38
com/pingan/pabrlib/helper/GlareUploadHelper.java, line(s) 48
com/pingan/pabrlib/helper/KJRetryCountHolder.java, line(s) 45
com/pingan/pabrlib/helper/KjDetectExceptionReporter.java, line(s) 46,50,78
com/pingan/pabrlib/helper/LandmarkHelper.java, line(s) 83
com/pingan/pabrlib/helper/PaPhoneHelper.java, line(s) 38
com/pingan/pabrlib/helper/ReportHelper.java, line(s) 24,32,44,60,69,84,100,122,138,48
com/pingan/pabrlib/helper/SelfGlareColorDetector.java, line(s) 32
com/pingan/pabrlib/http/Downloader.java, line(s) 37
com/pingan/pabrlib/http/HttpUrls.java, line(s) 77,84,90
com/pingan/pabrlib/http/clients/BaseClients.java, line(s) 98,58,80,113
com/pingan/pabrlib/http/clients/OKBusinessClients.java, line(s) 57,65,130
com/pingan/pabrlib/http/ok/OkHttpClients.java, line(s) 37,60,33
com/pingan/pabrlib/listener/LiveOnDetectorListener.java, line(s) 57
com/pingan/pabrlib/manual/ocr/OCRIDListener.java, line(s) 41
com/pingan/pabrlib/mnn/ModelFileManager.java, line(s) 60,141
com/pingan/pabrlib/presenter/InitialPresenter.java, line(s) 93
com/pingan/pabrlib/presenter/KjGlareDetectPresenter.java, line(s) 42
com/pingan/pabrlib/presenter/ManualReviewPreparePresenter.java, line(s) 41
com/pingan/pabrlib/presenter/SelfGlareDetectPresenter.java, line(s) 57,65
com/pingan/pabrlib/root/RootNewUtil.java, line(s) 37,24,34,40
com/pingan/pabrlib/root/containers/RootClass.java, line(s) 61,64,138
com/pingan/pabrlib/util/AESUtil.java, line(s) 72,96,99
com/pingan/pabrlib/util/FileEncryptionUtils.java, line(s) 21
com/pingan/pabrlib/util/FileUtils.java, line(s) 19
com/pingan/pabrlib/util/RSAUtils.java, line(s) 40,85
com/pingan/pabrlib/util/SoundPoolManager.java, line(s) 52
com/pingan/pabrlib/view/ConfigLoadingDialog.java, line(s) 102
com/raizlabs/android/dbflow/config/f.java, line(s) 80
com/soundcloud/android/crop/CropImageActivity.java, line(s) 249,257,311,317,391
com/soundcloud/android/crop/CropUtil.java, line(s) 94,114
com/tencent/ijk/media/player/AndroidMediaPlayer.java, line(s) 156
com/tencent/ijk/media/player/IjkMediaPlayer.java, line(s) 254,285,263,292,898,912
com/tencent/live2/V2TXLivePremier.java, line(s) 63,64
com/tencent/live2/a/a.java, line(s) 80,605,84
com/tencent/live2/a/b.java, line(s) 959,1054,971
com/tencent/live2/a/c.java, line(s) 651,757,765,821,91,647,748,817,856,656,659
com/tencent/live2/impl/V2TXLivePlayerImpl.java, line(s) 59,491,63
com/tencent/live2/impl/V2TXLivePusherImpl.java, line(s) 59,70
com/tencent/live2/impl/V2TXLiveUtils.java, line(s) 298,484,301,446,449,455,460,463,466
com/unionpay/utils/j.java, line(s) 15,24,18,12,21
com/yalantis/ucrop/util/ImageHeaderParser.java, line(s) 170,180,190,199,207,214,234,250,252,257,266,269,274
com/yhyc/mvp/ui/ReturnCheckDetialActivity.java, line(s) 449
de/greenrobot/dao/AbstractDao.java, line(s) 354,538,572
de/greenrobot/dao/DaoException.java, line(s) 15,16
de/greenrobot/dao/DaoLog.java, line(s) 15,47,51,27,31,55,39,59,19,43,63,67
de/greenrobot/dao/DbUtils.java, line(s) 56,89
de/greenrobot/dao/async/AsyncOperationExecutor.java, line(s) 329
de/greenrobot/dao/internal/LongHashMap.java, line(s) 61
de/greenrobot/dao/query/QueryBuilder.java, line(s) 64,67
de/greenrobot/dao/test/AbstractDaoTest.java, line(s) 25,27,56
de/greenrobot/dao/test/AbstractDaoTestLongPk.java, line(s) 28,31
de/greenrobot/daogenerator/DaoGenerator.java, line(s) 112,113,27,28,29,107,125,139,151
de/greenrobot/daogenerator/ToMany.java, line(s) 49
de/greenrobot/daogenerator/ToOne.java, line(s) 114
freemarker/core/CommandLine.java, line(s) 10,11,12,14,15,16,18,20,21,23,24,25,26,27,28,29
freemarker/ext/dom/Transform.java, line(s) 65,174
freemarker/template/utility/ToCanonical.java, line(s) 60
org/greenrobot/eventbus/Logger.java, line(s) 47,52
top/zibin/luban/e.java, line(s) 147
uk/co/senab/photoview/d.java, line(s) 22
uk/co/senab/photoview/f/c.java, line(s) 8,13

信息 此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它 

此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04b-Mobile-App-Security-Testing.md#clipboard

Files:
com/yhyc/adapter/OrderRejRepListAdapter.java, line(s) 4,373
com/yhyc/live/ui/ShareLiveActivity.java, line(s) 4,103
com/yhyc/manager/q.java, line(s) 4,19
com/yhyc/mvp/ui/AfterSalesWholeFragment.java, line(s) 4,271
com/yhyc/mvp/ui/GroupBuyProductDetailActivity.java, line(s) 5,381
com/yhyc/mvp/ui/OrderDetailsActivity.java, line(s) 4,1304
com/yhyc/mvp/ui/OrderRejRepDetailActivity.java, line(s) 5,218
com/yhyc/mvp/ui/ProductDetailFragment.java, line(s) 6,661
com/yhyc/mvp/ui/ReturnCheckDetialActivity.java, line(s) 4,397
com/yhyc/mvp/ui/ReturnLogisticsActivity.java, line(s) 4,76
com/yhyc/mvp/ui/ShareActivity.java, line(s) 5,580
com/yhyc/mvp/ui/SharePayActivity.java, line(s) 5,160
com/yhyc/mvp/ui/ThirdLogisticsActivity.java, line(s) 4,115
com/yhyc/utils/a2/b.java, line(s) 5,1001

信息 应用程序可以写入应用程序目录。敏感信息应加密 

应用程序可以写入应用程序目录。敏感信息应加密


Files:
com/yhyc/utils/a2/c.java, line(s) 34,34
com/yhyc/utils/t.java, line(s) 59,59

安全 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击 

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
com/gangling/android/net/DownloadService.java, line(s) 24,24
com/gangling/android/net/VenusModule.java, line(s) 73,73
com/unionpay/a/b.java, line(s) 28,27,26,26
com/yhyc/b/m2.java, line(s) 13,13
com/yhyc/c/c.java, line(s) 41,41,45,49,53
com/yhyc/e/a/c.java, line(s) 58,58
com/zx/a/I8b7/i0.java, line(s) 98,90,56,91,91

安全 此应用程序可能具有Root检测功能 

此应用程序可能具有Root检测功能
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05j-Testing-Resiliency-Against-Reverse-Engineering.md#testing-root-detection-mstg-resilience-1

Files:
a/a/b/h/b.java, line(s) 24,24,24,24,24,24
com/pingan/pabrlib/root/RootNewUtil.java, line(s) 53
com/unionpay/UPPayAssistEx.java, line(s) 389
com/yhyc/mvp/ui/InitActivity.java, line(s) 80

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (license.vod2.myqcloud.com) 通信。 

{'ip': '47.96.193.49', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '湖州', 'latitude': '30.870550', 'longitude': '120.093300'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (p8.maiyaole.com) 通信。 

{'ip': '61.129.122.135', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '台州', 'latitude': '32.492168', 'longitude': '119.910767'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (bfiles.pingan.com.cn) 通信。 

{'ip': '202.69.23.232', 'country_short': 'CN', 'country_long': '中国', 'region': '广东', 'city': '深圳', 'latitude': '22.545673', 'longitude': '114.068108'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (lu.10010.wiki) 通信。 

{'ip': '112.124.42.75', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (logconf.iflytek.com) 通信。 

{'ip': '61.129.122.135', 'country_short': 'CN', 'country_long': '中国', 'region': '安徽', 'city': '合肥', 'latitude': '31.863815', 'longitude': '117.280830'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (mobilegw.alipaydev.com) 通信。 

{'ip': '61.129.122.135', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (datasink.yaoex.com) 通信。 

{'ip': '61.129.122.135', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (scs.openspeech.cn) 通信。 

{'ip': '47.96.193.49', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (riskct.geetest.com) 通信。 

{'ip': '61.129.122.135', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (nest.111.com.cn) 通信。 

{'ip': '47.96.193.49', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (nisportal.10010.com) 通信。 

{'ip': '61.129.122.135', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (bfiles-stg.pingan.com.cn) 通信。 

{'ip': '47.96.193.49', 'country_short': 'CN', 'country_long': '中国', 'region': '广东', 'city': '深圳', 'latitude': '22.545673', 'longitude': '114.068108'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.111.com.cn) 通信。 

{'ip': '47.96.193.49', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (m.yaoex.com) 通信。 

{'ip': '112.124.42.75', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (mall.yaoex.com) 通信。 

{'ip': '61.129.122.135', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (payment.chinapay.com) 通信。 

{'ip': '61.129.122.135', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (m.91xsj.com) 通信。 

{'ip': '114.112.71.102', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (iws.openspeech.cn) 通信。 

{'ip': '36.7.109.160', 'country_short': 'CN', 'country_long': '中国', 'region': '安徽', 'city': '合肥', 'latitude': '31.863815', 'longitude': '117.280830'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (log.iflytek.com) 通信。 

{'ip': '58.222.45.116', 'country_short': 'CN', 'country_long': '中国', 'region': '安徽', 'city': '合肥', 'latitude': '31.863815', 'longitude': '117.280830'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (msg.cmpassport.com) 通信。 

{'ip': '112.33.111.254', 'country_short': 'CN', 'country_long': '中国', 'region': '安徽', 'city': '合肥', 'latitude': '31.863815', 'longitude': '117.280830'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (data.openspeech.cn) 通信。 

{'ip': '117.48.148.47', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (upload.111.com.cn) 通信。 

{'ip': '139.224.21.106', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (gateway-b2b.fangkuaiyi.com) 通信。 

{'ip': '47.96.193.49', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (zxid-m.mobileservice.cn) 通信。 

{'ip': '115.231.163.68', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '嘉兴', 'latitude': '30.752199', 'longitude': '120.750000'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (aid.mobileservice.cn) 通信。 

{'ip': '115.231.163.68', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '嘉兴', 'latitude': '30.752199', 'longitude': '120.750000'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (yhycstatic.yaoex.com) 通信。 

{'ip': '58.222.45.116', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '台州', 'latitude': '32.492168', 'longitude': '119.910767'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.yaowang.hk) 通信。 

{'ip': '47.79.65.188', 'country_short': 'HK', 'country_long': '中国', 'region': '香港', 'city': '香港', 'latitude': '22.285521', 'longitude': '114.157692'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (usermanage.yaoex.com) 通信。 

{'ip': '47.96.193.49', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (id6.me) 通信。 

{'ip': '47.96.193.49', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (h5.m.taobao.com) 通信。 

{'ip': '49.79.224.209', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '南通', 'latitude': '32.030296', 'longitude': '120.874779'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.fangkuaiyi.com) 通信。 

{'ip': '47.106.34.11', 'country_short': 'CN', 'country_long': '中国', 'region': '广东', 'city': '深圳', 'latitude': '22.545673', 'longitude': '114.068108'}

安全评分: ( 1药城 6.9.93)