安全分析报告： 网飞猫 v1.1.0

安全分数


安全分数 43/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

2

用户/设备跟踪器


调研结果

高危 3
中危 8
信息 1
安全 1
关注 8

高危 基本配置不安全地配置为允许到所有域的明文流量。 

Scope:
*

高危 基本配置配置为绕过证书固定。 

Scope:
*

高危 域配置不安全地配置为允许明文流量到达范围内的这些域。 

Scope:
localhost

中危 基本配置配置为信任系统证书。 

Scope:
*

中危 应用程序已启用明文网络流量 

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危 应用程序数据可以被备份 

[android:allowBackup=true]
这个标志允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危 SHA-1是已知存在哈希冲突的弱哈希 

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/jg/ids/i/i.java, line(s) 101
org/repackage/a/a/a/a/c.java, line(s) 59

中危 应用程序创建临时文件。敏感信息永远不应该被写进临时文件 

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
com/t0/c.java, line(s) 93

中危 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/w1/r.java, line(s) 86

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/x1/C0309a.java, line(s) 43

中危 应用程序包含隐私跟踪程序 

此应用程序有多个2隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
com/B/a.java, line(s) 157,160,161,166,170,278,284
com/B/c.java, line(s) 206,99,181
com/B/g.java, line(s) 82,160
com/B1/b.java, line(s) 16
com/C0/r.java, line(s) 40
com/C1/c.java, line(s) 64
com/C3/C0445d.java, line(s) 128,164
com/D2/j.java, line(s) 16
com/D3/C0477a.java, line(s) 42
com/F/e.java, line(s) 29
com/F/k.java, line(s) 52
com/G0/DialogInterfaceOnCancelListenerC0568a.java, line(s) 97,333,357
com/G0/i.java, line(s) 104,118
com/G0/p.java, line(s) 39,46,78,84
com/G0/x.java, line(s) 16
com/G4/k.java, line(s) 7
com/J/e.java, line(s) 98,103
com/J/f.java, line(s) 42
com/J/g.java, line(s) 58
com/J/h.java, line(s) 47
com/J/i.java, line(s) 59,236
com/J/m.java, line(s) 98
com/a/C0351c.java, line(s) 50
com/a1/C0361d.java, line(s) 143,146
com/b0/a.java, line(s) 29
com/c/data/VodLoadLog.java, line(s) 128,128,128,128,128,128,128,128,128,128,128
com/c/data/VodLog.java, line(s) 135,135,135,135,135,135,135,135,135,135
com/caverock/androidsvg/SVGImageView.java, line(s) 64,95,133,202,215
com/e1/Q.java, line(s) 29
com/h/a.java, line(s) 129
com/h0/d.java, line(s) 87,119,108
com/h2/h.java, line(s) 53
com/hjq/toast/ToastLogInterceptor.java, line(s) 23
com/i/j.java, line(s) 41
com/i/m.java, line(s) 36
com/n/f.java, line(s) 125,158,170,180,351
com/p/C0360g.java, line(s) 190
com/p/C0371s.java, line(s) 91,148,157,266
com/p/G.java, line(s) 30
com/p/S.java, line(s) 80,148
com/p/V.java, line(s) 24,34
com/p/b.java, line(s) 49,61,85,105,331
com/q3/a.java, line(s) 24
com/r/AbstractC0283a.java, line(s) 61
com/r/l.java, line(s) 28,41,91,156,199,217,240
com/r/w.java, line(s) 47,58
com/t0/c.java, line(s) 50,61,63,96,112,184,231,235,251,273,87,224,239,261,277,292
com/u/b.java, line(s) 25
com/v/m.java, line(s) 25,24
com/w1/z.java, line(s) 69
com/x/c.java, line(s) 356
com/x/d.java, line(s) 140
com/x/f.java, line(s) 275,87,134
com/x/g.java, line(s) 108,110
com/x/h.java, line(s) 28,55
com/x/i.java, line(s) 116,121
com/x/k.java, line(s) 136
com/x/l.java, line(s) 126
com/x/m.java, line(s) 172,176,180
com/x/o.java, line(s) 360,1682,2906
com/x/r.java, line(s) 120,122
com/x/s.java, line(s) 146,148,322
com/x0/d.java, line(s) 74,85
com/x1/s.java, line(s) 16
com/x2/c.java, line(s) 366
com/y1/b.java, line(s) 981,834
com/y1/d.java, line(s) 17
com/y1/n.java, line(s) 629,1100,2779,603,1418,1424
com/y1/q.java, line(s) 16
com/y1/r.java, line(s) 1964,1995,2021,2304,2026
me/jessyan/autosize/AutoSize.java, line(s) 114
me/jessyan/autosize/AutoSizeConfig.java, line(s) 330,343,356,244
me/jessyan/autosize/DefaultAutoAdaptStrategy.java, line(s) 21,31,34,15,28
me/jessyan/autosize/utils/AutoSizeLog.java, line(s) 15,21,35
xyz/doikki/videoplayer/util/L.java, line(s) 15,21,27,37

安全 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击 

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
com/S5/B.java, line(s) 112,111,120,110,110

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (v2.jegms.com) 通信。 

{'ip': '117.21.189.54', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '无锡', 'latitude': '31.569349', 'longitude': '120.288788'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (license.vod2.myqcloud.com) 通信。 

{'ip': '117.21.189.54', 'country_short': 'CN', 'country_long': '中国', 'region': '江西', 'city': '九江', 'latitude': '29.733330', 'longitude': '115.983330'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (doh.pub) 通信。 

{'ip': '117.21.189.54', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (doh.360.cn) 通信。 

{'ip': '117.21.189.54', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (塞浦路斯) 的服务器 (dns.adguard.com) 通信。 

{'ip': '37.77.81.69', 'country_short': 'CY', 'country_long': '塞浦路斯', 'region': 'Lemesos', 'city': '利马索尔', 'latitude': '34.674976', 'longitude': '33.033245'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (tvcache.keke19.com) 通信。 

{'ip': '37.77.81.69', 'country_short': 'HK', 'country_long': '中国', 'region': '香港', 'city': '香港', 'latitude': '22.285521', 'longitude': '114.157692'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.douyin.com) 通信。 

{'ip': '117.21.189.54', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '苏州', 'latitude': '31.311365', 'longitude': '120.617691'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (1080p.sbzyplay.com) 通信。 

{'ip': '117.21.189.54', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '无锡', 'latitude': '31.569349', 'longitude': '120.288788'}

安全评分: ( 网飞猫 1.1.0)