Device Junk Killer v1.3版本 - 安全评分 _南明离火移动安全分析平台

高危安全漏洞应用程序在加密算法中使用ECB模式。ECB模式是已知的弱模式，因为它对相同的明文块[UNK]产生相同的密文

应用程序在加密算法中使用ECB模式。ECB模式是已知的弱模式，因为它对相同的明文块[UNK]产生相同的密文
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-block-cipher-mode

Files:
com/inmobi/media/AbstractC0322u3.java, line(s) 19
com/inmobi/media/AbstractC0762u3.java, line(s) 19

高危安全漏洞如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击

CODE

如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-7

Files:
com/applovin/impl/adview/a.java, line(s) 408,771,15
com/applovin/impl/vm.java, line(s) 97,4
com/mbridge/msdk/click/m.java, line(s) 292,15,16
com/mbridge/msdk/video/bt/module/MBridgeBTWebView.java, line(s) 349,14
com/mbridge/msdk/video/module/MBridgeAlertWebview.java, line(s) 99,8
com/mbridge/msdk/video/module/MBridgeH5EndCardView.java, line(s) 899,18
sg/bigo/ads/controller/landing/c.java, line(s) 428,17
sg/bigo/ads/core/mraid/c.java, line(s) 374,18,19

高危安全漏洞应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。

CODE

应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
sg/bigo/ads/common/utils/o.java, line(s) 58,79

高危安全漏洞已启用远程WebView调试

CODE

已启用远程WebView调试
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04c-Tampering-and-Reverse-Engineering.md#debugging-and-tracing

Files:
com/applovin/impl/adview/AppLovinWebViewBase.java, line(s) 24,5
com/applovin/impl/adview/l.java, line(s) 26,6

高危安全漏洞应用程序包含隐私跟踪程序

TRACKERS

此应用程序有多个8隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危安全漏洞应用程序数据可以被备份

MANIFEST

[android:allowBackup=true]
这个标志允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危安全漏洞 Activity-Alias (com.junk.security.files.scanner.killer.stcleaner.WelcomeAct) 未被保护。

MANIFEST

[android:exported=true]
发现 Activity-Alias与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危安全漏洞 Content Provider (com.dvc.jk.kl.Mdhrbc) 未被保护。

MANIFEST

[android:exported=true]
发现 Content Provider与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危安全漏洞 Broadcast Receiver (com.opt.bu.ss.r) 未被保护。

MANIFEST

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危安全漏洞 Service (com.opt.bu.ss.e0) 未被保护。

MANIFEST

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危安全漏洞 Service (androidx.work.impl.background.systemjob.SystemJobService) 受权限保护, 但是应该检查权限的保护级别。

MANIFEST

Permission: android.permission.BIND_JOB_SERVICE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危安全漏洞 Broadcast Receiver (androidx.work.impl.diagnostics.DiagnosticsReceiver) 受权限保护, 但是应该检查权限的保护级别。

MANIFEST

Permission: android.permission.DUMP [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危安全漏洞 Broadcast Receiver (androidx.profileinstaller.ProfileInstallReceiver) 受权限保护, 但是应该检查权限的保护级别。

MANIFEST

Permission: android.permission.DUMP [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危安全漏洞 Broadcast Receiver (com.mbridge.msdk.foundation.same.broadcast.NetWorkChangeReceiver) 未被保护。

MANIFEST

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危安全漏洞应用程序使用不安全的随机数生成器

CODE

应用程序使用不安全的随机数生成器
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/apm/insight/e.java, line(s) 9
com/applovin/impl/mq.java, line(s) 15
com/applovin/impl/wj.java, line(s) 4
com/applovin/impl/yp.java, line(s) 53
com/inmobi/media/C0126f8.java, line(s) 19
com/inmobi/media/C0159i.java, line(s) 9
com/inmobi/media/C0566f8.java, line(s) 23
com/inmobi/media/C0599i.java, line(s) 9
com/inmobi/media/N1.java, line(s) 4
com/inmobi/media/O8.java, line(s) 10
com/inmobi/media/X0.java, line(s) 16
com/mbridge/msdk/dycreator/baseview/rewardpopview/MBAcquireRewardPopView.java, line(s) 27
com/mbridge/msdk/playercommon/exoplayer2/source/ShuffleOrder.java, line(s) 4
com/mbridge/msdk/playercommon/exoplayer2/trackselection/RandomTrackSelection.java, line(s) 7
com/mbridge/msdk/playercommon/exoplayer2/upstream/cache/CachedContentIndex.java, line(s) 21
com/mbridge/msdk/thrid/okhttp/OkHttpClient.java, line(s) 30
com/mbridge/msdk/thrid/okhttp/internal/ws/RealWebSocket.java, line(s) 28
com/mbridge/msdk/thrid/okhttp/internal/ws/WebSocketWriter.java, line(s) 10
d/r.java, line(s) 37
k8/d.java, line(s) 10
k8/g.java, line(s) 5
sg/bigo/ads/ad/interstitial/multi_img/view/IconListView.java, line(s) 12
sg/bigo/ads/common/utils/k.java, line(s) 9
sg/bigo/ads/common/utils/m.java, line(s) 6

中危安全漏洞文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

CODE

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/applovin/impl/sdk/AppLovinSdkInitializationConfigurationImpl.java, line(s) 208,154
com/applovin/mediation/MaxSegment.java, line(s) 37
com/applovin/mediation/ads/MaxAdView.java, line(s) 178,168
com/applovin/mediation/ads/MaxAppOpenAd.java, line(s) 77,67
com/applovin/mediation/ads/MaxInterstitialAd.java, line(s) 98,88
com/applovin/mediation/ads/MaxRewardedAd.java, line(s) 122,112
com/applovin/mediation/ads/MaxRewardedInterstitialAd.java, line(s) 93,83
com/applovin/mediation/nativeAds/MaxNativeAdLoader.java, line(s) 98,93
com/applovin/sdk/AppLovinSdk.java, line(s) 306
com/applovin/sdk/AppLovinSdkSettings.java, line(s) 154
com/applovin/sdk/AppLovinWebViewActivity.java, line(s) 25
com/inmobi/commons/core/configs/AdConfig.java, line(s) 393
com/inmobi/media/C0076c0.java, line(s) 14
com/inmobi/media/C0516c0.java, line(s) 14
com/inmobi/media/Cb.java, line(s) 54,53
com/mbridge/msdk/MBridgeConstans.java, line(s) 17,52
com/mbridge/msdk/foundation/download/core/DownloadCommon.java, line(s) 21
com/mbridge/msdk/foundation/download/core/DownloaderReporter.java, line(s) 12
com/mbridge/msdk/foundation/entity/CampaignEx.java, line(s) 39
com/mbridge/msdk/newreward/player/MBRewardVideoActivity.java, line(s) 48
com/mbridge/msdk/newreward/player/imodel/IBigTempModel.java, line(s) 10,13
com/mbridge/msdk/newreward/player/imodel/IECModel.java, line(s) 9,36,45,39,24,18,21,42,31
com/mbridge/msdk/newreward/player/imodel/IMoreOfferModel.java, line(s) 6,9,12,15
com/mbridge/msdk/newreward/player/imodel/IPlayModel.java, line(s) 14,40,49,69,82,43,55,72,79,46,34,28,31,66,52,37
com/mbridge/msdk/newreward/player/iview/IBaseWebView.java, line(s) 21,15,18
com/mbridge/msdk/newreward/player/iview/IMetaData.java, line(s) 18
com/mbridge/msdk/newreward/player/iview/IPlayTempleView.java, line(s) 12,15
com/mbridge/msdk/newreward/player/model/BigTemplateModel.java, line(s) 47
com/mbridge/msdk/newreward/player/model/ECTempleModel.java, line(s) 90,123,159,163
com/mbridge/msdk/newreward/player/model/MoreOfferModel.java, line(s) 47,43,39,51
com/mbridge/msdk/newreward/player/model/PlayTempleModel.java, line(s) 195,164,155,251,207
com/mbridge/msdk/newreward/player/model/WebTemplateModel.java, line(s) 253,170,161,209
com/mbridge/msdk/newreward/player/model/WebViewECModel.java, line(s) 99,134,174
com/mbridge/msdk/newreward/player/view/WebViewTemplate.java, line(s) 454,478,504
com/mbridge/msdk/newreward/player/view/ectemplate/WebViewEC.java, line(s) 201,225,249
com/mbridge/msdk/playercommon/exoplayer2/drm/DefaultDrmSessionManager.java, line(s) 38
com/mbridge/msdk/video/dynview/moffer/MOfferModel.java, line(s) 118
com/vungle/ads/internal/Constants.java, line(s) 4,8,16,5,12,24,7,13
com/vungle/ads/internal/model/Cookie.java, line(s) 10
com/vungle/ads/internal/signals/SignalManager.java, line(s) 29,31
com/vungle/ads/internal/task/CleanupJob.java, line(s) 20
com/vungle/ads/internal/task/CleanupJobKt.java, line(s) 5
l/b.java, line(s) 13
m2/j.java, line(s) 37
o2/f.java, line(s) 35
o2/h0.java, line(s) 85
o2/z.java, line(s) 82
sg/bigo/ads/api/AdConfig.java, line(s) 10
sg/bigo/ads/common/j/a.java, line(s) 37
u7/v0.java, line(s) 52

中危安全漏洞应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库

CODE

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/apm/insight/e/a/a.java, line(s) 4,37
com/apm/insight/e/a/b.java, line(s) 4,43,44,37
com/bykv/vk/openvk/preload/geckox/a/b.java, line(s) 6,7,99
com/inmobi/media/R2.java, line(s) 6,106,172
com/mbridge/msdk/foundation/db/BatchReportDao.java, line(s) 6,93
com/mbridge/msdk/foundation/db/c.java, line(s) 5,38
com/mbridge/msdk/foundation/db/e.java, line(s) 6,1112,1128,1190
com/mbridge/msdk/foundation/db/g.java, line(s) 4,33,34,35,36,37,38,39,40,41,42,43,44,45,46,47,48,49,50,60,61,62,63,64,65,66,67,68,69,70,71,72,73,74,75,76,77
com/mbridge/msdk/foundation/download/database/DatabaseHelper.java, line(s) 6,92,160,247,255
com/mbridge/msdk/newreward/function/d/c.java, line(s) 3,4,21,28,29
com/mbridge/msdk/tracker/b.java, line(s) 4,5,21,32,33,44,45
d/i.java, line(s) 6,136
i1/c.java, line(s) 5,6,37,49
j4/x.java, line(s) 4,33,34
l4/a.java, line(s) 3,4,11,12,13,14
sg/bigo/ads/common/g/a/b.java, line(s) 4,5,41,42,43,44,45,67,70,73,74

中危安全漏洞 MD5是已知存在哈希冲突的弱哈希

CODE

MD5是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
c2/c.java, line(s) 132
com/apm/insight/l/m.java, line(s) 69
com/bykv/vk/openvk/preload/geckox/utils/d.java, line(s) 36
com/mbridge/msdk/foundation/download/resource/MBResourceManager.java, line(s) 99
com/mbridge/msdk/foundation/tools/ac.java, line(s) 18,33
com/pgl/ssdk/t.java, line(s) 39
sg/bigo/ads/common/utils/m.java, line(s) 50
w3/a.java, line(s) 16

中危安全漏洞应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

CODE

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/apm/insight/entity/d.java, line(s) 18
com/apm/insight/l/n.java, line(s) 74,85,94
com/apm/insight/nativecrash/a.java, line(s) 614
com/inmobi/media/C0065b3.java, line(s) 75,78,141,144
com/inmobi/media/C0505b3.java, line(s) 84,87,152,155
com/mbridge/msdk/foundation/same/report/b/d.java, line(s) 232
com/mbridge/msdk/foundation/tools/ai.java, line(s) 89,104,114
com/pgl/ssdk/z.java, line(s) 83
com/vungle/ads/internal/platform/AndroidPlatform.java, line(s) 196
j4/z.java, line(s) 23
k4/c.java, line(s) 11
r4/f.java, line(s) 454
sg/bigo/ads/common/utils/p.java, line(s) 88,93
sg/bigo/ads/core/mraid/h.java, line(s) 463

中危安全漏洞 IP地址泄露

CODE

IP地址泄露


Files:
com/applovin/impl/af.java, line(s) 100,102,97,101,91,106,94,95,99,90,108,103,105,107,104,93,96,110,109,98,92
sg/bigo/ads/controller/c/l.java, line(s) 343
sg/bigo/ads/core/player/a/d.java, line(s) 266,270,277

中危安全漏洞 SHA-1是已知存在哈希冲突的弱哈希

CODE

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/applovin/impl/sdk/utils/StringUtils.java, line(s) 40
com/applovin/impl/vi.java, line(s) 144
com/pgl/ssdk/t.java, line(s) 60
k6/b.java, line(s) 41

中危安全漏洞可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息

CODE

可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-6

Files:
com/applovin/impl/adview/l.java, line(s) 24,20
com/mbridge/msdk/foundation/webview/BrowserView.java, line(s) 70,67
com/mbridge/msdk/mbsignalcommon/base/BaseWebView.java, line(s) 92,89
com/mbridge/msdk/newreward/player/view/hybrid/MBWebView.java, line(s) 68,65
com/vungle/ads/internal/ui/view/MRAIDAdWidget.java, line(s) 130,125
sg/bigo/ads/ad/interstitial/a/a/c.java, line(s) 212,218

中危安全漏洞不安全的Web视图实现。可能存在WebView任意代码执行漏洞

CODE

不安全的Web视图实现。可能存在WebView任意代码执行漏洞
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#testing-javascript-execution-in-webviews-mstg-platform-5

Files:
com/inmobi/media/S9.java, line(s) 630,568

中危安全漏洞应用程序创建临时文件。敏感信息永远不应该被写进临时文件

CODE

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
com/mbridge/msdk/playercommon/exoplayer2/util/Util.java, line(s) 258
h5/l.java, line(s) 142

中危安全漏洞此应用可能包含硬编码机密信息

SECRETS

从应用程序中识别出以下机密确保这些不是机密或私人信息
AdMob广告平台的=> "com.google.android.gms.ads.APPLICATION_ID" : "ca-app-pub-7478321770600945~6883851249"
"anythink_myoffer_feedback_violation_of_laws" : "Illegal"
"dyStrategy.privateAddress" : "privateAddress"
"oh_sync_content_authority" : "com.junk.security.files.scanner.killer.stcleaner.syncdata"
LdxThdi1WBKUL75ULBPBD+QqJk2MWrfXYN==
h7KsLkfPW+xUhoPwJ7JgY7K0DkeAWrfXYN==
DFeuWkH0W+xUhoPwJ7JgY7K0DkeAWrfXYN==
92762936dcbdd57fe235fd7cf61c2e93da3c4
h7KsLkfPW+xUhoPBD+QqJk2MWrfXYN==
LdxThdi1WBKUL75ULBPwJ7JgY7K0DkeAWrfXYN==
DFKwWgtuDkKwLZPwD+z8H+N/xj26Vjcdx5KanjKnxVN=
936dcbdd57fe235fd7cf61c2e93da3c4
HkzwDFeD4QuyLdx5igfZYcu9xTM9NN==
258EAFA5-E914-47DA-95CA-C5AB0DC85B11
DkPtYdQTLkfAW+xUhoPwJ7JgY7K0DkeAWrfXYN==
DFKwWgtuDkKwLZPwD+z8H+N/xj26Vjcdx5KyVj5GxVN=
cca47107bfcbdb211d88f3385aeede40
0000016742C00BDA259000000168CE0F13200000016588840DCE7118A0002FBF1C31C3275D78
DFKwWgtuDkKwLZPwD+z8H+N/xjK+n3eyNVx6ZVPn5jcincKZx5f5ncN=
Y7c14Z2TDbv/Y+xgHFeXDrcshBPUYFT=
DkP3hrKuHoPMH+zwL+fALkK/WQc5x5zH+TcincKNNVfWNVJcVM==
DFK/HrQgJ+zQW+xUhoPwJ7JgY7K0DkeAWrfXYN==
DFKwWgtuDkKwLZPwD+z8H+N/xjQZxVfV+T2SZVe6V2xS5c5n
HSrCHRtOan6wp2kwOIGJC1RDtuSrF2mWVbio2aBcMHX9KF3iTJ1lLSzCKP1ZSo5yNolPNw1kCTtWpxELFF4ah1
DFK/HrQgJ+zQW+xUhoPBD+QqJk2MWrfXYN==

安全提示信息应用程序记录日志信息,不得记录敏感信息

CODE

应用程序记录日志信息,不得记录敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
c/d.java, line(s) 46
c3/g.java, line(s) 23
com/inmobi/media/Ac.java, line(s) 112
com/inmobi/media/Z5.java, line(s) 16,44
com/mbridge/msdk/dycreator/a/a.java, line(s) 271
com/mbridge/msdk/foundation/tools/ac.java, line(s) 20
com/pairip/licensecheck/LicenseActivity.java, line(s) 93,71
com/pairip/licensecheck/LicenseClient.java, line(s) 77,90,121,138,168,196,187,112
com/vungle/ads/internal/util/Logger.java, line(s) 24,33,45,68,80,87,99
d/c.java, line(s) 355
d/r.java, line(s) 82
d3/f.java, line(s) 35
e0/t0.java, line(s) 212
e8/v.java, line(s) 243
h0/j.java, line(s) 16
h6/d.java, line(s) 704
h8/d.java, line(s) 43
k2/c.java, line(s) 71,77,112,122
k2/d.java, line(s) 163
k3/n.java, line(s) 70
l2/d.java, line(s) 174,199
n2/c.java, line(s) 57
o2/k0.java, line(s) 64,76
o2/m.java, line(s) 106,147,461
o2/n.java, line(s) 138
o2/r.java, line(s) 11
o6/c.java, line(s) 176
p0/g.java, line(s) 68
p2/h.java, line(s) 65,151
p2/i.java, line(s) 49,52,58,94,97,100,113,121,124,146,156
q/d.java, line(s) 209
q0/c.java, line(s) 51
q2/h.java, line(s) 37
q4/g.java, line(s) 126,149
s2/c.java, line(s) 107,115
s2/g.java, line(s) 50
s2/i.java, line(s) 94
s2/l.java, line(s) 101,106,114,126,147
t/n.java, line(s) 58
t5/g.java, line(s) 32
u2/b.java, line(s) 57
u5/j.java, line(s) 98,123
v2/c.java, line(s) 46
v2/i.java, line(s) 20,23
v2/l.java, line(s) 20,36,40,44,50,137,155,169,174,176,179,183,188,197
v2/r.java, line(s) 46,49
v2/v.java, line(s) 50,54,58,62,66,71,75,87,98
v2/y.java, line(s) 40,47,52
w/e.java, line(s) 35
x2/a.java, line(s) 82,91,97,104
x2/j.java, line(s) 43
z2/m.java, line(s) 46
z2/n.java, line(s) 188,199,218,220,234,243
z2/t.java, line(s) 72
z2/u.java, line(s) 60,66

安全提示信息此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它

CODE

此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04b-Mobile-App-Security-Testing.md#clipboard

Files:
sg/bigo/ads/common/utils/c.java, line(s) 5,131

已通过安全项此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击

CODE

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
com/inmobi/media/C0211l9.java, line(s) 58,62
com/inmobi/media/C0651l9.java, line(s) 62,66
com/mbridge/msdk/thrid/okhttp/internal/Util.java, line(s) 448,447,446,446
g8/d.java, line(s) 73,72,71
g8/g.java, line(s) 84,74,83,91,82,82
g8/k.java, line(s) 75,74,73,73
g8/l.java, line(s) 108,96,107,106,106

已通过安全项此应用程序可能具有Root检测功能

CODE

此应用程序可能具有Root检测功能
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05j-Testing-Resiliency-Against-Reverse-Engineering.md#testing-root-detection-mstg-resilience-1

Files:
com/apm/insight/nativecrash/a.java, line(s) 321,321,321,321,321
t5/g.java, line(s) 49

重点安全关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.adsbigo.com) 通信。

DOMAINS

{'ip': '116.63.156.224', 'country_short': 'CN', 'country_long': '中国', 'region': '贵州', 'city': '贵阳', 'latitude': '26.583330', 'longitude': '106.716667'}

重点安全关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.googletagmanager.com) 通信。

DOMAINS

{'ip': '180.163.150.41', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

重点安全关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (gdl.news-cdn.site) 通信。

DOMAINS

{'ip': '169.136.79.188', 'country_short': 'HK', 'country_long': '中国', 'region': '香港', 'city': '香港', 'latitude': '22.285521', 'longitude': '114.157692'}

移动应用安全检测报告： Device Junk Killer v1.3

安全基线评分

安全基线评分 45/100

综合风险等级

风险等级评定

漏洞与安全项分布（%）

隐私风险

检测到的第三方跟踪器数量

检测结果分布

高危安全漏洞 应用程序在加密算法中使用ECB模式。ECB模式是已知的弱模式，因为它对相同的明文块[UNK]产生相同的密文

高危安全漏洞 如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击

高危安全漏洞 应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。

高危安全漏洞 已启用远程WebView调试

高危安全漏洞 应用程序包含隐私跟踪程序

中危安全漏洞 应用程序数据可以被备份

中危安全漏洞 Activity-Alias (com.junk.security.files.scanner.killer.stcleaner.WelcomeAct) 未被保护。

中危安全漏洞 Content Provider (com.dvc.jk.kl.Mdhrbc) 未被保护。

中危安全漏洞 Broadcast Receiver (com.opt.bu.ss.r) 未被保护。

中危安全漏洞 Service (com.opt.bu.ss.e0) 未被保护。

中危安全漏洞 Service (androidx.work.impl.background.systemjob.SystemJobService) 受权限保护, 但是应该检查权限的保护级别。

中危安全漏洞 Broadcast Receiver (androidx.work.impl.diagnostics.DiagnosticsReceiver) 受权限保护, 但是应该检查权限的保护级别。

中危安全漏洞 Broadcast Receiver (androidx.profileinstaller.ProfileInstallReceiver) 受权限保护, 但是应该检查权限的保护级别。

中危安全漏洞 Broadcast Receiver (com.mbridge.msdk.foundation.same.broadcast.NetWorkChangeReceiver) 未被保护。

中危安全漏洞 应用程序使用不安全的随机数生成器

中危安全漏洞 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

中危安全漏洞 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库

中危安全漏洞 MD5是已知存在哈希冲突的弱哈希

中危安全漏洞 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

中危安全漏洞 IP地址泄露

中危安全漏洞 SHA-1是已知存在哈希冲突的弱哈希

中危安全漏洞 可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息

中危安全漏洞 不安全的Web视图实现。可能存在WebView任意代码执行漏洞

中危安全漏洞 应用程序创建临时文件。敏感信息永远不应该被写进临时文件

中危安全漏洞 此应用可能包含硬编码机密信息

安全提示信息 应用程序记录日志信息,不得记录敏感信息

安全提示信息 此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它

已通过安全项 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击

已通过安全项 此应用程序可能具有Root检测功能

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.adsbigo.com) 通信。

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.googletagmanager.com) 通信。

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (gdl.news-cdn.site) 通信。

综合安全基线评分: ( Device Junk Killer 1.3)

高危安全漏洞应用程序在加密算法中使用ECB模式。ECB模式是已知的弱模式，因为它对相同的明文块[UNK]产生相同的密文

高危安全漏洞如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击

高危安全漏洞应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。

高危安全漏洞已启用远程WebView调试

高危安全漏洞应用程序包含隐私跟踪程序

中危安全漏洞应用程序数据可以被备份

中危安全漏洞应用程序使用不安全的随机数生成器

中危安全漏洞文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

中危安全漏洞应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库

中危安全漏洞应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

中危安全漏洞可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息

中危安全漏洞不安全的Web视图实现。可能存在WebView任意代码执行漏洞

中危安全漏洞应用程序创建临时文件。敏感信息永远不应该被写进临时文件

中危安全漏洞此应用可能包含硬编码机密信息

安全提示信息应用程序记录日志信息,不得记录敏感信息

安全提示信息此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它

已通过安全项此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击

已通过安全项此应用程序可能具有Root检测功能

重点安全关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.adsbigo.com) 通信。

重点安全关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.googletagmanager.com) 通信。

重点安全关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (gdl.news-cdn.site) 通信。