移动应用安全检测报告： 蜜蜂加速器 v4.17438.14629

安全基线评分


安全基线评分 40/100

综合风险等级


风险等级评定

  1. A
  2. B
  3. C
  4. F

漏洞与安全项分布（%）


隐私风险

0

检测到的第三方跟踪器数量


检测结果分布

高危安全漏洞 6
中危安全漏洞 17
安全提示信息 2
已通过安全项 1
重点安全关注 8

高危安全漏洞 基本配置不安全地配置为允许到所有域的明文流量。 

Scope:
*

高危安全漏洞 基本配置配置为信任用户安装的证书。 

Scope:
*

高危安全漏洞 App 链接 assetlinks.json 文件未找到 

[android:name=com.ljoy.chatbot.FAQActivity][android:host=https://cs30.net]
App Link 资产验证 URL （https://cs30.net/.well-known/assetlinks.json） 未找到或配置不正确。（状态代码：None）。应用程序链接允许用户从 Web URL/电子邮件重定向到移动应用程序。如果此文件丢失或为 App Link 主机/域配置不正确，则恶意应用程序可以劫持此类 URL。这可能会导致网络钓鱼攻击，泄露 URI 中的敏感数据，例如 PII、OAuth 令牌、魔术链接/密码重置令牌等。您必须通过托管 assetlinks.json 文件并通过 Activity intent-filter 中的 [android：autoVerify=“true”] 启用验证来验证 App Link 网域。

高危安全漏洞 启用了调试配置。生产版本不能是可调试的 

启用了调试配置。生产版本不能是可调试的
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04c-Tampering-and-Reverse-Engineering.md#debugging-and-tracing

Files:
com/crypt/box/BuildConfig.java, line(s) 3,5

高危安全漏洞 如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击 

如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-7

Files:
com/ljoy/chatbot/QAWebActivity.java, line(s) 417,18,19
com/ljoy/chatbot/WebViewActivity.java, line(s) 259,325,807,19,20

高危安全漏洞 该文件是World Writable。任何应用程序都可以写入文件 

该文件是World Writable。任何应用程序都可以写入文件
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#testing-local-storage-for-sensitive-data-mstg-storage-1-and-mstg-storage-2

Files:
me/dozen/dpreference/PreferenceImpl.java, line(s) 23,18

中危安全漏洞 基本配置配置为信任系统证书。 

Scope:
*

中危安全漏洞 应用程序已启用明文网络流量 

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危安全漏洞 Activity (com.honeybee.mf1743814629.ui.MainActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危安全漏洞 Activity (com.ljoy.chatbot.FAQActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危安全漏洞 Activity (com.ljoy.chatbot.WebViewActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危安全漏洞 Service (com.honeybee.mf1743814629.service.QSTileService) 受权限保护, 但是应该检查权限的保护级别。 

Permission: android.permission.BIND_QUICK_SETTINGS_TILE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危安全漏洞 Activity (com.honeybee.mf1743814629.ui.TaskerActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危安全漏洞 Broadcast Receiver (com.honeybee.mf1743814629.receiver.TaskerReceiver) 未被保护。 

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危安全漏洞 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/github/gzuliyujiang/oaid/DeviceID.java, line(s) 325,326
com/honeybee/mf1743814629/ui/MainActivity.java, line(s) 440,441
com/honeybee/mf1743814629/ui/ShareActivity.java, line(s) 696
com/honeybee/mf1743814629/util/LogRecorder.java, line(s) 359,362
com/ljoy/chatbot/controller/ElvaServiceController.java, line(s) 118
com/ljoy/chatbot/data/ElvaData.java, line(s) 58
com/ljoy/chatbot/utils/ABImageUtil.java, line(s) 101,171,52
com/nostra13/universalimageloader/utils/StorageUtils.java, line(s) 22,51,51,56,56,61

中危安全漏洞 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/ljoy/chatbot/db/FaqsDBHelper.java, line(s) 4,5,30,31,49,50
com/ljoy/chatbot/db/FaqsDBHelperForm.java, line(s) 4,5,30,31,49,50
com/ljoy/chatbot/db/FaqsYYDBHelper.java, line(s) 4,5,30,31,49,50

中危安全漏洞 IP地址泄露 

IP地址泄露


Files:
com/honeybee/mf1743814629/AppConfig.java, line(s) 25,28
com/honeybee/mf1743814629/service/V2RayVpnService.java, line(s) 210,65,255,69,70,211
com/honeybee/mf1743814629/util/Utils.java, line(s) 421
com/honeybee/mf1743814629/util/V2rayConfigUtil.java, line(s) 700,724
com/ljoy/chatbot/utils/Constants.java, line(s) 8,6

中危安全漏洞 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/honeybee/mf1743814629/dto/V2rayConfig.java, line(s) 2577,1331
com/ljoy/chatbot/FAQActivity.java, line(s) 485
com/ljoy/chatbot/OPActivity.java, line(s) 278,315
com/ljoy/chatbot/WebViewActivity.java, line(s) 465
com/ljoy/chatbot/manager/LocalNotificationManager.java, line(s) 21,23
com/ljoy/chatbot/utils/ABSharePreferenceUtil.java, line(s) 10,12
me/dozen/dpreference/PreferenceProvider.java, line(s) 24
org/fusesource/mqtt/codec/CONNECT.java, line(s) 249
rx/internal/schedulers/NewThreadWorker.java, line(s) 26,35

中危安全漏洞 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
bitoflife/chatterbean/Context.java, line(s) 16
com/ljoy/chatbot/core/mqtt/ProcessTask.java, line(s) 6

中危安全漏洞 可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息 

可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-6

Files:
com/honeybee/mf1743814629/ui/WebViewActivity.java, line(s) 227,220
com/ljoy/chatbot/WebViewActivity.java, line(s) 216,225,205

中危安全漏洞 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/honeybee/mf1743814629/ui/CommUrlApi.java, line(s) 1129,1130
com/ljoy/chatbot/utils/CommonUtils.java, line(s) 36

中危安全漏洞 SHA-1是已知存在哈希冲突的弱哈希 

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/github/gzuliyujiang/oaid/impl/OppoImpl.java, line(s) 75

中危安全漏洞 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
de18e79e-d0e2-41fe-b99e-7bd3b8950ca6
e0bc91b2-4eb0-4550-8764-925fb66a6185
9dba66dd81324f8f8ef81527344037e2
a3482e88-686a-4a58-8126-99c9df64b7bf
954d976c3c9fd5e5c63dab4016cc12da

安全提示信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
bitoflife/chatterbean/AliceBot.java, line(s) 49
bitoflife/chatterbean/parser/AliceBotParser.java, line(s) 89,94
com/beust/klaxon/Klaxon.java, line(s) 466,472
com/beust/klaxon/Lexer.java, line(s) 327
com/beust/klaxon/Parser.java, line(s) 342
com/github/gzuliyujiang/oaid/OAIDLog.java, line(s) 21
com/honeybee/mf1743814629/AngApplication.java, line(s) 192,217,341,349,380,427
com/honeybee/mf1743814629/service/V2RayVpnService.java, line(s) 256,270,275,281,285,295,298,328,342,390,416,423,431,544,561
com/honeybee/mf1743814629/ui/BaseDrawerActivity.java, line(s) 141
com/honeybee/mf1743814629/ui/CommUrlApi.java, line(s) 115,142,320,803,867,872,886,896,943,970,1065,1187,1209
com/honeybee/mf1743814629/ui/FaqActivity.java, line(s) 446,465,562,587,601
com/honeybee/mf1743814629/ui/FreeActivity.java, line(s) 281,500,510,593,764,906,1096
com/honeybee/mf1743814629/ui/LineActivity.java, line(s) 675,694,758,885,910,924
com/honeybee/mf1743814629/ui/LoadingActivity.java, line(s) 271,317
com/honeybee/mf1743814629/ui/LoginActivity.java, line(s) 427
com/honeybee/mf1743814629/ui/MainActivity.java, line(s) 462,4934,417,442,446,448,456,464,466,534,1101,1108,1136,1138,2800,3181,3882,3916,4077,4081,4098,4165,4178,4196,4198,4225,4264
com/honeybee/mf1743814629/ui/PerAppProxyActivity.java, line(s) 334,355,407,342,363
com/honeybee/mf1743814629/ui/ShareActivity.java, line(s) 111,635,636
com/honeybee/mf1743814629/ui/SplashActivity.java, line(s) 148,156
com/honeybee/mf1743814629/ui/TicketActivity.java, line(s) 399,418,450,530,555,569
com/honeybee/mf1743814629/ui/UserActivity.java, line(s) 613,820
com/honeybee/mf1743814629/ui/VipActivity.java, line(s) 276,456,498,508,591,762,802,864
com/honeybee/mf1743814629/ui/WebActivity.java, line(s) 145,150,162,171
com/honeybee/mf1743814629/ui/WebViewActivity.java, line(s) 234,263
com/honeybee/mf1743814629/util/IabHelper.java, line(s) 669,674,678
com/honeybee/mf1743814629/util/Security.java, line(s) 21,31,36,49,52,55,58,61
com/honeybee/mf1743814629/util/Utils.java, line(s) 598,601,602,605,606,614
com/ljoy/chatbot/NotificationReceiver.java, line(s) 12
com/ljoy/chatbot/bot/AIBotManager.java, line(s) 32,36,41,53,80,193,220,248,255
com/ljoy/chatbot/bot/SendSwitchLanRequestTask.java, line(s) 32,47,77
com/ljoy/chatbot/controller/ElvaServiceController.java, line(s) 102,128,178
com/ljoy/chatbot/controller/NetController.java, line(s) 43,56,63
com/ljoy/chatbot/core/http/SendDauStatNewProxyTask.java, line(s) 42,54,69,86
com/ljoy/chatbot/core/http/SendDauStatNewTask.java, line(s) 49
com/ljoy/chatbot/core/http/SendFcmTokenTask.java, line(s) 28
com/ljoy/chatbot/core/mqtt/NetMQTT.java, line(s) 154,272,281
com/ljoy/chatbot/core/sfsapi/SendFetchMsgTask.java, line(s) 25,58
com/ljoy/chatbot/core/sfsapi/SendRequestNewTask.java, line(s) 75,93
com/ljoy/chatbot/core/sfsapi/SendRequestProxyTask.java, line(s) 74,78,83
com/ljoy/chatbot/core/sfsapi/SendRequestTask.java, line(s) 82,86,96
com/ljoy/chatbot/core/sfsapi/SendSetVIPTask.java, line(s) 36,39
com/ljoy/chatbot/db/SectionsDataSource.java, line(s) 136,142,151,162
com/ljoy/chatbot/manager/LocalNotificationManager.java, line(s) 92,110,45,54,64,100,107
com/ljoy/chatbot/mqtt/ABKCPMqttHelper.java, line(s) 74,84,90
com/ljoy/chatbot/net/command/VipChatResponse.java, line(s) 128
com/ljoy/chatbot/sdk/ELvaChatServiceSdk.java, line(s) 159,420,65,71,125,162,172,198,204,222,229,259,265,314,323,352,358,374,403,409,438,477,483,519,544,550,556,582,588,688,691,697,700,727,763,790,796,613,661,667,713
com/ljoy/chatbot/sdk/MainLifecycleCallback.java, line(s) 48,52,53,59,60,96
com/ljoy/chatbot/utils/ABDownloadUtil.java, line(s) 120,140,160,196,204,234,251,323,330,344,351,367,374,377
com/ljoy/chatbot/utils/ABMqttUtil.java, line(s) 71,74,384,395,409,414,231
com/ljoy/chatbot/utils/HttpURLData.java, line(s) 152,167,200,215,242,259
com/ljoy/chatbot/utils/Log.java, line(s) 34,50,86,91,106,111,96,101,76,81,132
com/ljoy/chatbot/utils/NetWorkStateReceiver.java, line(s) 18,20,34
com/ljoy/chatbot/view/ChatClickListener.java, line(s) 56,62
com/ljoy/chatbot/view/view/FaqListView.java, line(s) 51,60
com/ljoy/chatbot/view/view/LeftView.java, line(s) 271,275,290,294,304,308,380,384,394,398,567,604,608,617,621,629,633,651,654
com/nostra13/universalimageloader/cache/disc/impl/ext/DiskLruCache.java, line(s) 115
com/tbruyelle/rxpermissions/RxPermissionsFragment.java, line(s) 85,48
me/dm7/barcodescanner/core/CameraPreview.java, line(s) 135,157,277,285
me/dm7/barcodescanner/zxing/ZXingScannerView.java, line(s) 155
org/fusesource/hawtdispatch/transport/SslProtocolCodec.java, line(s) 190
org/fusesource/hawtdispatch/transport/SslTransport.java, line(s) 463
org/fusesource/hawtdispatch/transport/UdpTransport.java, line(s) 352
org/fusesource/mqtt/cli/Listener.java, line(s) 59,55
org/fusesource/mqtt/cli/Publisher.java, line(s) 71,67,306
rx/internal/util/IndexedRingBuffer.java, line(s) 29
rx/internal/util/RxRingBuffer.java, line(s) 26
rx/plugins/RxJavaHooks.java, line(s) 207

安全提示信息 此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它 

此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04b-Mobile-App-Security-Testing.md#clipboard

Files:
com/honeybee/mf1743814629/ui/ShareActivity.java, line(s) 4,490,492
com/honeybee/mf1743814629/util/Utils.java, line(s) 5,107,123,125

已通过安全项 此应用程序没有隐私跟踪程序 

此应用程序不包括任何用户或设备跟踪器。在静态分析期间没有找到任何跟踪器。

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.mvk76f.cc) 通信。 

{'ip': '120.92.144.157', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (cs30.net) 通信。 

{'ip': '1.14.224.97', 'country_short': 'CN', 'country_long': '中国', 'region': '广东', 'city': '广州', 'latitude': '23.127361', 'longitude': '113.264572'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (proxy.aihelp.net) 通信。 

{'ip': '43.129.21.104', 'country_short': 'HK', 'country_long': '中国', 'region': '香港', 'city': '香港', 'latitude': '22.285521', 'longitude': '114.157692'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.mgv56f.cc) 通信。 

{'ip': '43.129.21.104', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.m3v2uf.cc) 通信。 

{'ip': '43.129.21.104', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.mwuwif.cc) 通信。 

{'ip': '120.92.144.157', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (pv.sohu.com) 通信。 

{'ip': '43.129.21.104', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '台州', 'latitude': '32.492168', 'longitude': '119.910767'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (aihelp.net) 通信。 

{'ip': '43.129.21.104', 'country_short': 'HK', 'country_long': '中国', 'region': '香港', 'city': '香港', 'latitude': '22.285521', 'longitude': '114.157692'}

综合安全基线评分: ( 蜜蜂加速器 4.17438.14629)