移动应用安全检测报告： OceanIsHome v3.4.5.0

安全基线评分


安全基线评分 57/100

综合风险等级


风险等级评定

  1. A
  2. B
  3. C
  4. F

漏洞与安全项分布（%）


隐私风险

2

检测到的第三方跟踪器数量


检测结果分布

高危安全漏洞 0
中危安全漏洞 8
安全提示信息 2
已通过安全项 1
重点安全关注 0

中危安全漏洞 应用程序数据存在被泄露的风险 

未设置[android:allowBackup]标志
这个标志 [android:allowBackup]应该设置为false。默认情况下它被设置为true，允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危安全漏洞 Service (androidx.work.impl.background.systemjob.SystemJobService) 受权限保护, 但是应该检查权限的保护级别。 

Permission: android.permission.BIND_JOB_SERVICE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危安全漏洞 Broadcast Receiver (androidx.work.impl.diagnostics.DiagnosticsReceiver) 受权限保护, 但是应该检查权限的保护级别。 

Permission: android.permission.DUMP [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危安全漏洞 Service (com.google.android.gms.auth.api.signin.RevocationBoundService) 受权限保护, 但是应该检查权限的保护级别。 

Permission: com.google.android.gms.auth.api.signin.permission.REVOCATION_NOTIFICATION [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危安全漏洞 IP地址泄露 

IP地址泄露


Files:
com/birdydogstudio/oceanishome/BuildConfig.java, line(s) 8

中危安全漏洞 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/unity3d/plugin/downloader/UnityDownloaderService.java, line(s) 4

中危安全漏洞 应用程序包含隐私跟踪程序 

此应用程序有多个2隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危安全漏洞 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
凭证信息=> "com.google.android.gms.games.APP_ID" : "\ 632470942663"
"firebase_database_url" : "https://oceanishome-14c7c.firebaseio.com"
"google_crash_reporting_api_key" : "AIzaSyCxpIEpcq03RdQBZO6juhjlo3iKePg1Ev0"
"google_app_id" : "1:164142153838:android:912420296c8c756b"
"google_api_key" : "AIzaSyCxpIEpcq03RdQBZO6juhjlo3iKePg1Ev0"
"com.google.firebase.crashlytics.unity_version" : "2020.3.47f1"
Y29tLmFuZHJvaWQudmVuZGluZy5saWNlbnNpbmcuSUxpY2Vuc2luZ1NlcnZpY2U=

安全提示信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
bitter/jnibridge/JNIBridge.java, line(s) 62
com/kgs/billinglibrary/BillingClientProxy.java, line(s) 181,186,198,203,213
com/unity3d/plugin/downloader/UnityDownloaderActivity.java, line(s) 66
org/fmod/FMODAudioDevice.java, line(s) 73
org/fmod/a.java, line(s) 77

安全提示信息 应用与Firebase数据库通信 

该应用与位于 https://oceanishome-14c7c.firebaseio.com 的 Firebase 数据库进行通信

已通过安全项 Firebase远程配置已禁用 

Firebase远程配置URL （ https://firebaseremoteconfig.googleapis.com/v1/projects/164142153838/namespaces/firebase:fetch?key=AIzaSyCxpIEpcq03RdQBZO6juhjlo3iKePg1Ev0 ） 已禁用。响应内容如下所示：

{
    "state": "NO_TEMPLATE"
}

综合安全基线评分: ( OceanIsHome 3.4.5.0)