安全分析报告： jasmin v5.1.9

安全分数


安全分数 45/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

0

用户/设备跟踪器


调研结果

高危 4
中危 7
信息 2
安全 2
关注 0

高危 基本配置不安全地配置为允许到所有域的明文流量。 

Scope:
*

高危 启用了调试配置。生产版本不能是可调试的 

启用了调试配置。生产版本不能是可调试的
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04c-Tampering-and-Reverse-Engineering.md#debugging-and-tracing

Files:
com/vpn/BuildConfig.java, line(s) 3,4

高危 如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击 

如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-7

Files:
i/runlibrary/app/v/C0074.java, line(s) 139,6
i/runlibrary/app/v/C0461.java, line(s) 140,6
i/runlibrary/app/v/llq.java, line(s) 136,6

高危 不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击 

不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#webview-server-certificate-verification

Files:
i/runlibrary/app/interfaces/onWebViewClient.java, line(s) 30,28

中危 应用程序数据存在被泄露的风险 

未设置[android:allowBackup]标志
这个标志 [android:allowBackup]应该设置为false。默认情况下它被设置为true，允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危 IP地址泄露 

IP地址泄露


Files:
i/app/C0004.java, line(s) 430
i/app/C0389.java, line(s) 430
i/app/ServerSocket.java, line(s) 350

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
i/app/FileProvider.java, line(s) 101,56
i/runlibrary/a/d.java, line(s) 89,574,21
i/runlibrary/b/b.java, line(s) 28
i/runlibrary/b/c.java, line(s) 57,36
i/runlibrary/b/i.java, line(s) 23
pl/droidsonroids/gif/transforms/C0313.java, line(s) 46
pl/droidsonroids/gif/transforms/C0544.java, line(s) 46

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
i/runlibrary/a/r.java, line(s) 6,70,104,104
i/runlibrary/app/C0121.java, line(s) 4,316
i/runlibrary/app/C0508.java, line(s) 4,316
i/runlibrary/app/sj.java, line(s) 6,422

中危 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/kongzue/dialogx/interfaces/OnBindView.java, line(s) 14
i/app/C0385.java, line(s) 13
i/runlibrary/a/f.java, line(s) 28

中危 可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息 

可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-6

Files:
i/runlibrary/app/v/C0074.java, line(s) 72,55
i/runlibrary/app/v/C0461.java, line(s) 73,56
i/runlibrary/app/v/llq.java, line(s) 77,60

中危 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
i/runlibrary/a/s.java, line(s) 62,168

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
com/kongzue/dialogx/DialogX.java, line(s) 75
com/kongzue/dialogx/impl/DialogFragmentImpl.java, line(s) 62
com/kongzue/dialogx/interfaces/BaseDialog.java, line(s) 133,127
com/kongzue/dialogx/util/views/BlurView.java, line(s) 647,641
fr/castorflex/android/verticalviewpager/VerticalViewPager.java, line(s) 427,433,458
i/runlibrary/app/gj.java, line(s) 680,679
top/zibin/luban/Checker.java, line(s) 70,90,96,121,129
top/zibin/luban/Luban.java, line(s) 80,79

信息 此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它 

此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04b-Mobile-App-Security-Testing.md#clipboard

Files:
i/runlibrary/b/m.java, line(s) 6,189

安全 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击 

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
i/runlibrary/a/f.java, line(s) 571,573

安全 此应用程序没有隐私跟踪程序 

此应用程序不包括任何用户或设备跟踪器。在静态分析期间没有找到任何跟踪器。

安全评分: ( jasmin 5.1.9)