移动应用安全检测报告： 雷霆加速器 v3.17449.66333

安全基线评分


安全基线评分 37/100

综合风险等级


风险等级评定

  1. A
  2. B
  3. C
  4. F

漏洞与安全项分布（%）


隐私风险

2

检测到的第三方跟踪器数量


检测结果分布

高危安全漏洞 6
中危安全漏洞 18
安全提示信息 2
已通过安全项 0
重点安全关注 6

高危安全漏洞 基本配置不安全地配置为允许到所有域的明文流量。 

Scope:
*

高危安全漏洞 基本配置配置为信任用户安装的证书。 

Scope:
*

高危安全漏洞 App 链接 assetlinks.json 文件未找到 

[android:name=com.ljoy.chatbot.FAQActivity][android:host=https://cs30.net]
App Link 资产验证 URL （https://cs30.net/.well-known/assetlinks.json） 未找到或配置不正确。（状态代码：None）。应用程序链接允许用户从 Web URL/电子邮件重定向到移动应用程序。如果此文件丢失或为 App Link 主机/域配置不正确，则恶意应用程序可以劫持此类 URL。这可能会导致网络钓鱼攻击，泄露 URI 中的敏感数据，例如 PII、OAuth 令牌、魔术链接/密码重置令牌等。您必须通过托管 assetlinks.json 文件并通过 Activity intent-filter 中的 [android：autoVerify=“true”] 启用验证来验证 App Link 网域。

高危安全漏洞 启用了调试配置。生产版本不能是可调试的 

启用了调试配置。生产版本不能是可调试的
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04c-Tampering-and-Reverse-Engineering.md#debugging-and-tracing

Files:
com/crypt/box/BuildConfig.java, line(s) 3,5

高危安全漏洞 如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击 

如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-7

Files:
com/ljoy/chatbot/QAWebActivity.java, line(s) 417,18,19
com/ljoy/chatbot/WebViewActivity.java, line(s) 260,326,808,19,20

高危安全漏洞 该文件是World Writable。任何应用程序都可以写入文件 

该文件是World Writable。任何应用程序都可以写入文件
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#testing-local-storage-for-sensitive-data-mstg-storage-1-and-mstg-storage-2

Files:
me/dozen/dpreference/PreferenceImpl.java, line(s) 23,18

中危安全漏洞 基本配置配置为信任系统证书。 

Scope:
*

中危安全漏洞 应用程序已启用明文网络流量 

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危安全漏洞 Activity (com.leiting.lt1744966333.ui.MainActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危安全漏洞 Activity (com.ljoy.chatbot.FAQActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危安全漏洞 Activity (com.ljoy.chatbot.WebViewActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危安全漏洞 Service (com.leiting.lt1744966333.service.QSTileService) 受权限保护, 但是应该检查权限的保护级别。 

Permission: android.permission.BIND_QUICK_SETTINGS_TILE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危安全漏洞 Activity (com.leiting.lt1744966333.ui.TaskerActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危安全漏洞 Broadcast Receiver (com.leiting.lt1744966333.receiver.TaskerReceiver) 未被保护。 

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危安全漏洞 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/leiting/lt1744966333/dto/V2rayConfig.java, line(s) 2562,1330
com/ljoy/chatbot/FAQActivity.java, line(s) 486
com/ljoy/chatbot/OPActivity.java, line(s) 278,315
com/ljoy/chatbot/WebViewActivity.java, line(s) 466
com/ljoy/chatbot/manager/LocalNotificationManager.java, line(s) 21,23
com/ljoy/chatbot/utils/ABSharePreferenceUtil.java, line(s) 10,12
me/dozen/dpreference/PreferenceProvider.java, line(s) 24
org/fusesource/mqtt/codec/CONNECT.java, line(s) 248
rx/internal/schedulers/NewThreadWorker.java, line(s) 26,35

中危安全漏洞 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/ljoy/chatbot/db/FaqsDBHelper.java, line(s) 4,5,30,31,49,50
com/ljoy/chatbot/db/FaqsDBHelperForm.java, line(s) 4,5,30,31,49,50
com/ljoy/chatbot/db/FaqsYYDBHelper.java, line(s) 4,5,30,31,49,50

中危安全漏洞 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/leiting/lt1744966333/ui/CommUrlApi.java, line(s) 872,873
com/ljoy/chatbot/utils/CommonUtils.java, line(s) 37

中危安全漏洞 可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息 

可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-6

Files:
com/leiting/lt1744966333/ui/WebViewActivity.java, line(s) 234,227
com/ljoy/chatbot/WebViewActivity.java, line(s) 217,226,206

中危安全漏洞 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/github/gzuliyujiang/oaid/DeviceID.java, line(s) 325,326
com/leiting/lt1744966333/ui/MainActivity.java, line(s) 618,619,2943
com/leiting/lt1744966333/ui/ShareActivity.java, line(s) 721,783
com/leiting/lt1744966333/util/LogRecorder.java, line(s) 256,259
com/ljoy/chatbot/controller/ElvaServiceController.java, line(s) 118
com/ljoy/chatbot/data/ElvaData.java, line(s) 58
com/ljoy/chatbot/utils/ABImageUtil.java, line(s) 101,171,52
com/nostra13/universalimageloader/utils/StorageUtils.java, line(s) 22,51,51,56,56,61

中危安全漏洞 IP地址泄露 

IP地址泄露


Files:
com/leiting/lt1744966333/AppConfig.java, line(s) 25,28
com/leiting/lt1744966333/service/V2RayVpnService.java, line(s) 208,64,253,68,69,209
com/leiting/lt1744966333/util/V2rayConfigUtil.java, line(s) 557,581
com/ljoy/chatbot/utils/Constants.java, line(s) 8,6

中危安全漏洞 SHA-1是已知存在哈希冲突的弱哈希 

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/github/gzuliyujiang/oaid/impl/OppoImpl.java, line(s) 75

中危安全漏洞 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
bitoflife/chatterbean/Context.java, line(s) 16
com/ljoy/chatbot/core/mqtt/ProcessTask.java, line(s) 6

中危安全漏洞 应用程序包含隐私跟踪程序 

此应用程序有多个2隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危安全漏洞 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
AdMob广告平台的=> "com.google.android.gms.ads.APPLICATION_ID" : "ca-app-pub-3257259089849207~9339380699"
a3482e88-686a-4a58-8126-99c9df64b7bf
de18e79e-d0e2-41fe-b99e-7bd3b8950ca6
954d976c3c9fd5e5c63dab4016cc12da

安全提示信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
bitoflife/chatterbean/AliceBot.java, line(s) 49
bitoflife/chatterbean/parser/AliceBotParser.java, line(s) 89,94
com/beust/klaxon/Klaxon.java, line(s) 466,472
com/beust/klaxon/Lexer.java, line(s) 327
com/beust/klaxon/Parser.java, line(s) 326
com/github/gzuliyujiang/oaid/OAIDLog.java, line(s) 21
com/leiting/lt1744966333/AngApplication.java, line(s) 183,208,344
com/leiting/lt1744966333/service/V2RayVpnService.java, line(s) 254,268,273,279,283,293,296,325,339,387,413,420,428,538,553
com/leiting/lt1744966333/ui/BaseDrawerActivity.java, line(s) 141
com/leiting/lt1744966333/ui/CommUrlApi.java, line(s) 138,165,345,527,531,535,539,543,610,615,629,639,686,713,808,930,952
com/leiting/lt1744966333/ui/FaqActivity.java, line(s) 675,694,791,816,830
com/leiting/lt1744966333/ui/FreeActivity.java, line(s) 259,689,699,782,953,1095,1234,1292
com/leiting/lt1744966333/ui/FreeAdapter.java, line(s) 145
com/leiting/lt1744966333/ui/LineActivity.java, line(s) 867,886,950,1077
com/leiting/lt1744966333/ui/LoadingActivity.java, line(s) 288,334
com/leiting/lt1744966333/ui/LoginActivity.java, line(s) 635
com/leiting/lt1744966333/ui/MainActivity.java, line(s) 640,5088,5160,7428,595,620,624,626,634,642,644,712,1265,1269,1277,1912,2016,2882,2883,4542,4745,5254,5523,5679,5891,5892,5995,6043,6126,6160,6316,6320,6337,6404,6417,6435,6437,6464,6503,6554,6576,5699,5704,5708
com/leiting/lt1744966333/ui/PerAppProxyActivity.java, line(s) 328,349,399,336,357
com/leiting/lt1744966333/ui/ShareActivity.java, line(s) 192,193,242,1031
com/leiting/lt1744966333/ui/SplashActivity.java, line(s) 151,189,198
com/leiting/lt1744966333/ui/TicketActivity.java, line(s) 647,666,698,778
com/leiting/lt1744966333/ui/VipActivity.java, line(s) 609,1036,1077,1087,1170,1341,1453,1512
com/leiting/lt1744966333/ui/VipAdapter.java, line(s) 167
com/leiting/lt1744966333/ui/WebActivity.java, line(s) 156,161,173,182
com/leiting/lt1744966333/ui/WebViewActivity.java, line(s) 241,270
com/leiting/lt1744966333/util/IabHelper.java, line(s) 620,625,629
com/leiting/lt1744966333/util/Security.java, line(s) 21,31,36,49,52,55,58,61
com/leiting/lt1744966333/util/Utils.java, line(s) 533
com/leiting/lt1744966333/util/V2rayConfigUtil.java, line(s) 164
com/ljoy/chatbot/NotificationReceiver.java, line(s) 12
com/ljoy/chatbot/bot/AIBotManager.java, line(s) 34,38,43,55,82,195,222,250,257
com/ljoy/chatbot/bot/SendSwitchLanRequestTask.java, line(s) 32,47,77
com/ljoy/chatbot/controller/ElvaServiceController.java, line(s) 102,128,178
com/ljoy/chatbot/controller/NetController.java, line(s) 43,56,63
com/ljoy/chatbot/core/http/SendDauStatNewProxyTask.java, line(s) 42,54,69,86
com/ljoy/chatbot/core/http/SendDauStatNewTask.java, line(s) 49
com/ljoy/chatbot/core/http/SendFcmTokenTask.java, line(s) 28
com/ljoy/chatbot/core/mqtt/NetMQTT.java, line(s) 152,263,271
com/ljoy/chatbot/core/sfsapi/SendFetchMsgTask.java, line(s) 25,58
com/ljoy/chatbot/core/sfsapi/SendRequestNewTask.java, line(s) 75,93
com/ljoy/chatbot/core/sfsapi/SendRequestProxyTask.java, line(s) 74,78,83
com/ljoy/chatbot/core/sfsapi/SendRequestTask.java, line(s) 82,86,96
com/ljoy/chatbot/core/sfsapi/SendSetVIPTask.java, line(s) 36,39
com/ljoy/chatbot/db/SectionsDataSource.java, line(s) 136,142,151,162
com/ljoy/chatbot/manager/LocalNotificationManager.java, line(s) 92,110,45,54,64,100,107
com/ljoy/chatbot/mqtt/ABKCPMqttHelper.java, line(s) 74,84,90
com/ljoy/chatbot/net/command/VipChatResponse.java, line(s) 128
com/ljoy/chatbot/sdk/ELvaChatServiceSdk.java, line(s) 161,422,67,73,127,164,174,200,206,224,231,261,267,316,325,354,360,376,405,411,440,479,485,521,546,552,558,584,590,690,693,699,702,729,765,792,798,615,663,669,715
com/ljoy/chatbot/sdk/MainLifecycleCallback.java, line(s) 48,52,53,59,60,96
com/ljoy/chatbot/utils/ABDownloadUtil.java, line(s) 113,133,153,196,203,217,224,240,247,250
com/ljoy/chatbot/utils/ABMqttUtil.java, line(s) 71,74,384,395,409,414,231
com/ljoy/chatbot/utils/HttpURLData.java, line(s) 79,94,127,142,169,186
com/ljoy/chatbot/utils/Log.java, line(s) 34,50,86,91,106,111,96,101,76,81,132
com/ljoy/chatbot/utils/NetWorkStateReceiver.java, line(s) 18,20,34
com/ljoy/chatbot/view/ChatClickListener.java, line(s) 56,62
com/ljoy/chatbot/view/view/FaqListView.java, line(s) 51,60
com/ljoy/chatbot/view/view/LeftView.java, line(s) 271,275,290,294,304,308,380,384,394,398,567,604,608,617,621,629,633,651,654
com/nostra13/universalimageloader/cache/disc/impl/ext/DiskLruCache.java, line(s) 115
com/tbruyelle/rxpermissions/RxPermissionsFragment.java, line(s) 85,48
me/dm7/barcodescanner/core/CameraPreview.java, line(s) 135,157,277,285
me/dm7/barcodescanner/zxing/ZXingScannerView.java, line(s) 155
org/fusesource/hawtdispatch/transport/SslProtocolCodec.java, line(s) 190
org/fusesource/hawtdispatch/transport/UdpTransport.java, line(s) 352
org/fusesource/mqtt/cli/Listener.java, line(s) 59,55
org/fusesource/mqtt/cli/Publisher.java, line(s) 71,67,306
rx/internal/util/IndexedRingBuffer.java, line(s) 29
rx/internal/util/RxRingBuffer.java, line(s) 26
rx/plugins/RxJavaHooks.java, line(s) 207

安全提示信息 此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它 

此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04b-Mobile-App-Security-Testing.md#clipboard

Files:
com/leiting/lt1744966333/ui/MainActivity.java, line(s) 8,2736,2738
com/leiting/lt1744966333/ui/ShareActivity.java, line(s) 4,502,818,504,820
com/leiting/lt1744966333/util/Utils.java, line(s) 5,101,117,119

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.lgitst.cc) 通信。 

{'ip': '120.92.149.69', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.lj09pt.cc) 通信。 

{'ip': '120.92.149.69', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (proxy.aihelp.net) 通信。 

{'ip': '104.18.52.240', 'country_short': 'HK', 'country_long': '中国', 'region': '香港', 'city': '香港', 'latitude': '22.285521', 'longitude': '114.157692'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.le22pt.cc) 通信。 

{'ip': '120.92.149.69', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.ll71at.cc) 通信。 

{'ip': '104.18.52.240', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (aihelp.net) 通信。 

{'ip': '104.18.52.240', 'country_short': 'HK', 'country_long': '中国', 'region': '香港', 'city': '香港', 'latitude': '22.285521', 'longitude': '114.157692'}

综合安全基线评分: ( 雷霆加速器 3.17449.66333)