Tcash v4.1版本 - 安全评分 _南明离火移动安全分析平台

高危安全漏洞如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击

如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-7

Files:
com/unity3d/services/core/webview/WebViewApp.java, line(s) 270,9,347,376,382,388

高危安全漏洞启用了调试配置。生产版本不能是可调试的

CODE

启用了调试配置。生产版本不能是可调试的
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04c-Tampering-and-Reverse-Engineering.md#debugging-and-tracing

Files:
com/mursaat/extendedtextview/BuildConfig.java, line(s) 3,6

高危安全漏洞已启用远程WebView调试

CODE

已启用远程WebView调试
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04c-Tampering-and-Reverse-Engineering.md#debugging-and-tracing

Files:
com/onesignal/WebViewManager.java, line(s) 312,12

高危安全漏洞 WebView域控制不严格漏洞

CODE

WebView域控制不严格漏洞


Files:
com/unity3d/services/core/webview/WebView.java, line(s) 24,19

中危安全漏洞应用程序可以安装在有漏洞的已更新 Android 版本上

MANIFEST

Android 5.0-5.0.2, [minSdk=21]
该应用程序可以安装在具有多个未修复漏洞的旧版本 Android 上。这些设备不会从 Google 接收合理的安全更新。支持 Android 版本 => 10、API 29 以接收合理的安全更新。

中危安全漏洞应用程序已启用明文网络流量

MANIFEST

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危安全漏洞应用程序数据可以被备份

MANIFEST

[android:allowBackup=true]
这个标志允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危安全漏洞 Broadcast Receiver (com.google.firebase.iid.FirebaseInstanceIdReceiver) 受权限保护, 但是应该检查权限的保护级别。

MANIFEST

Permission: com.google.android.c2dm.permission.SEND [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危安全漏洞 Broadcast Receiver (com.onesignal.GcmBroadcastReceiver) 受权限保护, 但是应该检查权限的保护级别。

MANIFEST

Permission: com.google.android.c2dm.permission.SEND [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危安全漏洞高优先级的Intent (999)

MANIFEST

[android:priority]
通过设置一个比另一个Intent更高的优先级，应用程序有效地覆盖了其他请求。

中危安全漏洞文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

CODE

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/onesignal/GcmBroadcastReceiver.java, line(s) 19
com/onesignal/NotificationBundleProcessor.java, line(s) 28,27
com/onesignal/OSInAppMessageController.java, line(s) 28
com/onesignal/OSInAppMessageLocationPrompt.java, line(s) 6
com/onesignal/OSInAppMessagePrompt.java, line(s) 21
com/onesignal/OSViewUtils.java, line(s) 41
com/onesignal/OneSignalNotificationManager.java, line(s) 20
com/onesignal/OneSignalRemoteParams.java, line(s) 16
com/onesignal/WebViewManager.java, line(s) 126,127,123
com/unity3d/ads/metadata/InAppPurchaseMetaData.java, line(s) 13
com/unity3d/services/ads/gmascar/utils/ScarConstants.java, line(s) 4,5,6,8,9
com/unity3d/services/core/configuration/ExperimentObject.java, line(s) 7,8
com/unity3d/services/core/device/reader/DeviceInfoReaderFilterProvider.java, line(s) 11,12
com/unity3d/services/core/device/reader/JsonStorageKeyNames.java, line(s) 4,6,7,9,10,11,8,12,5,13,14,15
com/unity3d/services/core/properties/SdkProperties.java, line(s) 25

中危安全漏洞应用程序使用不安全的随机数生成器

CODE

应用程序使用不安全的随机数生成器
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/onesignal/GenerateNotification.java, line(s) 39
com/unity3d/services/core/request/metrics/SDKMetrics.java, line(s) 9
qgrapx/AbstractC0244.java, line(s) 3
qgrapx/C0151.java, line(s) 10
qgrapx/C0233.java, line(s) 3
qgrapx/C0237.java, line(s) 3

中危安全漏洞应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库

CODE

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/onesignal/OneSignalDbHelper.java, line(s) 5,6,7,8,9,186
com/onesignal/outcomes/OSOutcomeTableProvider.java, line(s) 3,4,25

中危安全漏洞不安全的Web视图实现。可能存在WebView任意代码执行漏洞

CODE

不安全的Web视图实现。可能存在WebView任意代码执行漏洞
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#testing-javascript-execution-in-webviews-mstg-platform-5

Files:
com/onesignal/WebViewManager.java, line(s) 271,270
com/unity3d/services/ads/webplayer/WebPlayerView.java, line(s) 88,72
com/unity3d/services/core/webview/WebView.java, line(s) 74,47

中危安全漏洞 SHA-1是已知存在哈希冲突的弱哈希

CODE

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/unity3d/services/core/device/Device.java, line(s) 488
org/jf/dexlib/DexFile.java, line(s) 448

中危安全漏洞应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

CODE

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/unity3d/services/core/cache/CacheDirectory.java, line(s) 32

中危安全漏洞应用程序包含隐私跟踪程序

TRACKERS

此应用程序有多个3隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危安全漏洞此应用可能包含硬编码机密信息

SECRETS

从应用程序中识别出以下机密确保这些不是机密或私人信息
"firebase_database_url" : "https://newswb-2196c-default-rtdb.firebaseio.com/"
"google_api_key" : "AIzaSyC8rJtN5L1p00uhhOQYX76JbuEWofJJy2E"
JTwpQ111OjNAWjAmZkxUJzEnSUF1JiNKUSYgI19dMQ==
79350b666c61fb98f585652cf8eb3be7850d2ab8c16c1e890d0171be2ca2d761
ATsiTEF1PTUNWTkmI0xcLHQ0SFwwMSsNVTo6I1QWdSQqSFkmMWZZSix0J0pZPDpmWVc4OzRfVyJ0Zw==
DDszXxglNT9AXTsgZl9dNj0jW111OSlDXSx0dBkVYWxmRVcgJjUD
HDowTFQ8MGZZVxshK09dJ3QkQVc2P2ZCSDAmJ1lROjpM
X14DX0o6JmZaUDw4Iw1fMCAyRFYydCNfSjomfA0=
ATsiTEF1HTUNCWV0FU5KNCAlRRgWOytdVDAgI0k=
c682b8144a8dd52bc1ad63
FzUqQWs2NSpIajwkNkFdGCEqWVElOCM=
HDowTFQ8MGZeTCc9KEoYOiQjX1khPSlDMg==
NDoiX1c8MGhEViExKFkWNDcyRFc7egJkeRk=
NDoiX1c8MGhEViExKFkWMCwyX1l7AAN1bA==
PSAyXUtve2lEFjI9IEhKezcpQBc6Ji9KUTt7d0wXZDUgFVxmNnIVDzdjcR0AYDBzHwBtbHcZXmRhd0gJMTFoSlEz
ZGRmfkg8OmZ5VzE1Pw17Ojk2QV0hMWYM
MzsoWUt6OzZIViY1KF5nODEiRE04ejJZXg==
HDoySEomIC9ZUTQ4GWxWMSYpRFw=
GTshSl0ndCFCTHU/L0FUMDBoDWowJzJMSiE9KEoW
PSAyXUtve2lZWSY/J0NcMDU0Q1klJGhPVDozNV1XIXolQlV6JGlZXSc5NQBZOzBrTlc7MC9ZUTo6NQBMNCctAFk=
GzsyDV07OzNKUHU3KURWJnRnDUg5MSdeXXUxJ19WdTkpQ10sdDJfQXUmI0ldMDk=
GTshSl0ndCdBSjA1IlQYJyEoQ1E7Mw==
Dgg2VnE7FylAWjw6L0NfET0nTko8IC9OWTkZJ19TJikb
HDowTFQ8MGZEViExKFkYOiQjX1khPSlD
X14CSEw0PSpIXHUxNF9XJ3QrSEsmNSFIAl8=
PSAyXUtve2lZWSY/J0NcMDU0Q1klJGhPVDozNV1XIXolQlV6JGldSjwiJ05BeCQpQVE2LWs=
5eb5a37e-b458-11e3-ac11-000c2940e62c
JTgjTEswdCNDTDAmZltZOT0iDUowMiNfGDY7Ikg=
PSAyXUtve2laTyJ6P0JNISEkSBY2OysCVzA5JEhcX2szX1RoPDJZSCZuaQJPIiNoVFcgIDNPXXs3KUAyeiMnWVs9azAQMl9e
ETtmdFcgdBFMViF0EkIYFjwjTlM8OiENbDowJ1QYag==
BiA0RFYyHShJXS0bM1l3MxYpWFYxJwNVWzAkMkRXOw==
FBUHbA5hExwdcmVuB315bGUkZWA7eTFVWzsQCxhNHiYWaQ0+ETJcQTEdPmNtOC0XXnUaHR9qTh9kLRl1MWUhe0ItPCVJVjh5IGJtOTcCYFMXDgsYbwcxNnsPYmEFSFtsAT4fYDkmI24IEQQQHHJlODJXTwAdL35zZx0lR10SEy16bzEDKEsKMiMDQ1QwDHIdCWYZJFxXBjs=
PSAyXUtve2lZFjgxaUxcOD0ocl4zMyE=
ET0iQx8hdCBEVjF0P0JNJ3QlQVkmJ2YBGDY8I05TdSAuSBg7NStIGDQzJ0RWdXU=
NDoiX1c8MGhEViExKFkWNDcyRFc7ehBkfQI=
b2f7f966-d8cc-11e4-bed1-df8f05be55ba
FzUqQXs5PTZ/VyE1MkhoIDg1SA==
HDowTFQ8MGZMSjwgLkBdIT0lTFR1OzZISjQgL0JWXw==
pcvIpHs6OiFfWSEhKkxMPDsoXsjK2s8=
HDowTFQ8MGZBUSYgZkJIMCYnWVE6Okw=
ATsiTEF1PTUNCWV0JUxIITcuTBg6IiNfFiEmPw1ZMjUvQxghOytCSic7MQ==
HDoiSEAaITJiXhc7M0NcJhE+Tl0lIC9CVg==
dRcpRFYmdCdJXHUgKQ1PNDgqSEx1dWZiVnU3KkRbPnQpRhg3ITJZVzs=
FjsrSBgXNSVGGBQyMkhKdWZyDXA6ITReGBk1MlldJw==
PSAyXUtve2laTyJ6P0JNISEkSBY2OysCTzQgJUUHI2k=
NjsrA0s+MTJOUCI1NEgWJzErQlx7FQV5cRoaGWN9AgsCaHoAExlhdxI=

安全提示信息应用程序记录日志信息,不得记录敏感信息

CODE

应用程序记录日志信息,不得记录敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
com/mao/ARSCDecoder.java, line(s) 62,74
com/mao/AXmlDecoder.java, line(s) 65
com/mao/FileUtils.java, line(s) 54,59,71,69
com/mao/IOUtils.java, line(s) 33,39,48,53
com/mao/StringBlock.java, line(s) 33,35,38,43,46,64,66,102,110,115
com/mao/ViewInflater.java, line(s) 514,517,520,523
com/onesignal/AndroidSupportV4Compat.java, line(s) 28
com/onesignal/JobIntentService.java, line(s) 182,184,232
com/onesignal/OneSignal.java, line(s) 902,908,931,904,900,906
com/onesignal/shortcutbadger/ShortcutBadger.java, line(s) 59,125,134,58,94,101,124,107
com/unity3d/ads/UnityAdsBaseOptions.java, line(s) 18
com/unity3d/ads/metadata/InAppPurchaseMetaData.java, line(s) 62,77,81
com/unity3d/ads/metadata/MetaData.java, line(s) 73,82
com/unity3d/services/UnityServices.java, line(s) 29,66,73,78,89,94,107,123,99,101,111,42
com/unity3d/services/ads/UnityAdsImplementation.java, line(s) 44,138
com/unity3d/services/ads/adunit/AdUnitActivity.java, line(s) 428,430,50,113,135,157,180,218,349,394,185
com/unity3d/services/ads/adunit/AdUnitViewHandlerFactory.java, line(s) 22
com/unity3d/services/ads/adunit/VideoPlayerHandler.java, line(s) 33,51
com/unity3d/services/ads/api/AdUnit.java, line(s) 76,79,82,85,108,422,428,480,484,489,493,99,112,117,122,154,244,336,352,381,388
com/unity3d/services/ads/api/VideoPlayer.java, line(s) 57,75,93,111,129,165
com/unity3d/services/ads/api/WebPlayer.java, line(s) 133
com/unity3d/services/ads/configuration/AdsModuleConfiguration.java, line(s) 48,59,67
com/unity3d/services/ads/gmascar/adapters/ScarAdapterFactory.java, line(s) 66
com/unity3d/services/ads/gmascar/bridges/AdapterStatusBridge.java, line(s) 26,35
com/unity3d/services/ads/gmascar/bridges/InitializeListenerBridge.java, line(s) 26,49
com/unity3d/services/ads/gmascar/bridges/mobileads/MobileAdsBridge.java, line(s) 35
com/unity3d/services/ads/gmascar/bridges/mobileads/MobileAdsBridgeLegacy.java, line(s) 42
com/unity3d/services/ads/gmascar/finder/GMAInitializer.java, line(s) 49
com/unity3d/services/ads/gmascar/finder/ScarVersionFinder.java, line(s) 33,49
com/unity3d/services/ads/token/AsyncTokenStorage.java, line(s) 175,205
com/unity3d/services/ads/token/NativeTokenGenerator.java, line(s) 41
com/unity3d/services/ads/video/VideoPlayerView.java, line(s) 55,91,94,115,158,164,218,229,256
com/unity3d/services/ads/webplayer/WebPlayerView.java, line(s) 64,164,199,203,297,310,322,335,354,418
com/unity3d/services/banners/BannerView.java, line(s) 110
com/unity3d/services/banners/UnityBanners.java, line(s) 135
com/unity3d/services/core/api/Cache.java, line(s) 180,194,46,116,133,160,199,209
com/unity3d/services/core/api/DeviceInfo.java, line(s) 207,230,248,303,310,340,512
com/unity3d/services/core/api/Intent.java, line(s) 90,108,132,168,182
com/unity3d/services/core/api/Request.java, line(s) 32,44,62,74,91,103
com/unity3d/services/core/api/Sdk.java, line(s) 17,43,98,110,80,92,86
com/unity3d/services/core/broadcast/BroadcastEventReceiver.java, line(s) 36
com/unity3d/services/core/cache/CacheDirectory.java, line(s) 43,47,54,94,98,104,111,120,122,36,57,125
com/unity3d/services/core/cache/CacheThread.java, line(s) 31
com/unity3d/services/core/cache/CacheThreadHandler.java, line(s) 48,148,151,155,628,631,635,261,336,348,369,393,414,438,459,483,504,528,549,573,594
com/unity3d/services/core/configuration/ConfigurationReader.java, line(s) 40
com/unity3d/services/core/configuration/ConfigurationRequestFactory.java, line(s) 39
com/unity3d/services/core/configuration/EnvironmentCheck.java, line(s) 21,40,24,27,30,33,43
com/unity3d/services/core/configuration/ExperimentObject.java, line(s) 32
com/unity3d/services/core/configuration/ExperimentsReader.java, line(s) 33
com/unity3d/services/core/configuration/InitializationNotificationCenter.java, line(s) 66
com/unity3d/services/core/configuration/InitializeEventsMetricSender.java, line(s) 68,85,108,123,131,152
com/unity3d/services/core/configuration/InitializeThread.java, line(s) 189,197,220,413,428,504,536,634,646,666,61,70,478,513,516,543,546,586,620,670,734,827,333,420,456,808
com/unity3d/services/core/configuration/PrivacyConfigurationLoader.java, line(s) 29
com/unity3d/services/core/connectivity/ConnectivityMonitor.java, line(s) 113,130,157,102,149
com/unity3d/services/core/device/AdvertisingId.java, line(s) 178,50,60
com/unity3d/services/core/device/Device.java, line(s) 318,326,337,347,377,393,403,490,598,611,626,126
com/unity3d/services/core/device/OpenAdvertisingId.java, line(s) 169,58,65
com/unity3d/services/core/device/Storage.java, line(s) 36,40,70
com/unity3d/services/core/device/reader/DeviceInfoReaderCompressor.java, line(s) 40,44
com/unity3d/services/core/device/reader/DeviceInfoReaderExtended.java, line(s) 45
com/unity3d/services/core/domain/task/InitializeStateConfig$doWork$2.java, line(s) 58
com/unity3d/services/core/domain/task/InitializeStateCreate$doWork$2.java, line(s) 58,64,82
com/unity3d/services/core/domain/task/InitializeStateCreateWithRemote$doWork$2.java, line(s) 58,63,81
com/unity3d/services/core/domain/task/InitializeStateError$doWork$2.java, line(s) 55
com/unity3d/services/core/domain/task/InitializeStateLoadCache$doWork$2.java, line(s) 59,66
com/unity3d/services/core/domain/task/InitializeStateLoadCache.java, line(s) 94
com/unity3d/services/core/domain/task/InitializeStateLoadConfigFile$doWork$2.java, line(s) 59,67
com/unity3d/services/core/domain/task/InitializeStateLoadWeb$doWork$2.java, line(s) 110,83
com/unity3d/services/core/domain/task/InitializeStateNetworkError$doWork$2.java, line(s) 56
com/unity3d/services/core/domain/task/InitializeStateNetworkError.java, line(s) 53,71
com/unity3d/services/core/domain/task/InitializeStateReset$doWork$2.java, line(s) 67
com/unity3d/services/core/extensions/TaskExtensionsKt.java, line(s) 205
com/unity3d/services/core/log/DeviceLog.java, line(s) 187,227,234
com/unity3d/services/core/misc/JsonFlattener.java, line(s) 39
com/unity3d/services/core/misc/JsonStorage.java, line(s) 62,56,65,74,86,122,142,160,166
com/unity3d/services/core/misc/JsonStorageAggregator.java, line(s) 24
com/unity3d/services/core/misc/Utilities.java, line(s) 137,47,68,107,113,118,131
com/unity3d/services/core/misc/ViewUtilities.java, line(s) 18,27
com/unity3d/services/core/preferences/AndroidPreferences.java, line(s) 19,31,43,55,67
com/unity3d/services/core/properties/ClientProperties.java, line(s) 67,86,98,100
com/unity3d/services/core/properties/SdkProperties.java, line(s) 216,218,139
com/unity3d/services/core/reflection/GenericBridge.java, line(s) 32,39,58,73,82,88,95,101
com/unity3d/services/core/request/WebRequest.java, line(s) 251,151,157
com/unity3d/services/core/request/WebRequestRunnable.java, line(s) 35,39,82
com/unity3d/services/core/request/WebRequestThread.java, line(s) 46,159,173
com/unity3d/services/core/request/metrics/MetricCommonTags.java, line(s) 127
com/unity3d/services/core/request/metrics/MetricSender.java, line(s) 52,71,75,79,91,93,96
com/unity3d/services/core/request/metrics/MetricSenderWithBatch.java, line(s) 40
com/unity3d/services/core/request/metrics/SDKMetrics.java, line(s) 20,31,76,91,96
com/unity3d/services/core/sensorinfo/SensorInfoListener.java, line(s) 53
com/unity3d/services/core/timer/BaseTimer.java, line(s) 147
com/unity3d/services/core/webview/WebView.java, line(s) 83,29,107,111
com/unity3d/services/core/webview/WebViewApp.java, line(s) 114,133,154,183,378,383,146,176,219,257,273,307,360,391,395,398
com/unity3d/services/core/webview/WebViewUrlBuilder.java, line(s) 27
com/unity3d/services/core/webview/bridge/Invocation.java, line(s) 55
com/unity3d/services/core/webview/bridge/NativeCallback.java, line(s) 44
com/unity3d/services/core/webview/bridge/WebViewBridge.java, line(s) 101
com/unity3d/services/core/webview/bridge/WebViewBridgeInterface.java, line(s) 10,26
com/unity3d/services/core/webview/bridge/WebViewCallback.java, line(s) 56
com/unity3d/services/store/core/StoreLifecycleListener.java, line(s) 55
com/unity3d/services/store/gpbl/bridges/CommonJsonResponseBridge.java, line(s) 38
com/unity3d/services/store/gpbl/bridges/PurchaseBridge.java, line(s) 37
com/xd/user/MainActivity.java, line(s) 470
org/jf/dexlib/Code/Analysis/ClassPath.java, line(s) 152
org/jf/dexlib/Code/InstructionIterator.java, line(s) 29
org/jf/dexlib/HeaderItem.java, line(s) 40

安全提示信息此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它

CODE

此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04b-Mobile-App-Security-Testing.md#clipboard

Files:
qgrapx/ViewOnClickListenerC1313.java, line(s) 4,25

重点安全关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (pagead2.googlesyndication.com) 通信。

DOMAINS

{'ip': '180.163.151.166', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

移动应用安全检测报告： Tcash v4.1

安全基线评分

安全基线评分 38/100

综合风险等级

风险等级评定

漏洞与安全项分布（%）

隐私风险

检测到的第三方跟踪器数量

检测结果分布

高危安全漏洞如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击

高危安全漏洞启用了调试配置。生产版本不能是可调试的

高危安全漏洞已启用远程WebView调试

高危安全漏洞 WebView域控制不严格漏洞

中危安全漏洞应用程序可以安装在有漏洞的已更新 Android 版本上

中危安全漏洞应用程序已启用明文网络流量

中危安全漏洞应用程序数据可以被备份

中危安全漏洞 Broadcast Receiver (com.google.firebase.iid.FirebaseInstanceIdReceiver) 受权限保护, 但是应该检查权限的保护级别。

中危安全漏洞 Broadcast Receiver (com.onesignal.GcmBroadcastReceiver) 受权限保护, 但是应该检查权限的保护级别。

中危安全漏洞高优先级的Intent (999)

中危安全漏洞文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

中危安全漏洞应用程序使用不安全的随机数生成器

中危安全漏洞应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库

中危安全漏洞不安全的Web视图实现。可能存在WebView任意代码执行漏洞

中危安全漏洞 SHA-1是已知存在哈希冲突的弱哈希

中危安全漏洞应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

中危安全漏洞应用程序包含隐私跟踪程序

中危安全漏洞此应用可能包含硬编码机密信息

安全提示信息应用程序记录日志信息,不得记录敏感信息

安全提示信息此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它

重点安全关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (pagead2.googlesyndication.com) 通信。

综合安全基线评分: ( Tcash 4.1)

移动应用安全检测报告： Tcash v4.1

安全基线评分

安全基线评分 38/100

综合风险等级

风险等级评定

漏洞与安全项分布（%）

隐私风险

检测到的第三方跟踪器数量

检测结果分布

高危安全漏洞 如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击

高危安全漏洞 启用了调试配置。生产版本不能是可调试的

高危安全漏洞 已启用远程WebView调试

高危安全漏洞 WebView域控制不严格漏洞

中危安全漏洞 应用程序可以安装在有漏洞的已更新 Android 版本上

中危安全漏洞 应用程序已启用明文网络流量

中危安全漏洞 应用程序数据可以被备份

中危安全漏洞 Broadcast Receiver (com.google.firebase.iid.FirebaseInstanceIdReceiver) 受权限保护, 但是应该检查权限的保护级别。

中危安全漏洞 Broadcast Receiver (com.onesignal.GcmBroadcastReceiver) 受权限保护, 但是应该检查权限的保护级别。

中危安全漏洞 高优先级的Intent (999)

中危安全漏洞 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

中危安全漏洞 应用程序使用不安全的随机数生成器

中危安全漏洞 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库

中危安全漏洞 不安全的Web视图实现。可能存在WebView任意代码执行漏洞

中危安全漏洞 SHA-1是已知存在哈希冲突的弱哈希

中危安全漏洞 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

中危安全漏洞 应用程序包含隐私跟踪程序

中危安全漏洞 此应用可能包含硬编码机密信息

安全提示信息 应用程序记录日志信息,不得记录敏感信息

安全提示信息 此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (pagead2.googlesyndication.com) 通信。

综合安全基线评分: ( Tcash 4.1)

高危安全漏洞如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击

高危安全漏洞启用了调试配置。生产版本不能是可调试的

高危安全漏洞已启用远程WebView调试

中危安全漏洞应用程序可以安装在有漏洞的已更新 Android 版本上

中危安全漏洞应用程序已启用明文网络流量

中危安全漏洞应用程序数据可以被备份

中危安全漏洞高优先级的Intent (999)

中危安全漏洞文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

中危安全漏洞应用程序使用不安全的随机数生成器

中危安全漏洞应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库

中危安全漏洞不安全的Web视图实现。可能存在WebView任意代码执行漏洞

中危安全漏洞应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

中危安全漏洞应用程序包含隐私跟踪程序

中危安全漏洞此应用可能包含硬编码机密信息

安全提示信息应用程序记录日志信息,不得记录敏感信息

安全提示信息此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它

重点安全关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (pagead2.googlesyndication.com) 通信。