太阳直播 v1.0.1016版本 - 安全评分 _南明离火移动安全分析平台

高危基本配置不安全地配置为允许到所有域的明文流量。

Scope:
*

高危域配置不安全地配置为允许明文流量到达范围内的这些域。

NETWORK

Scope:
127.0.0.1

高危 Activity (com.vaci.starryskylive.ui.act.ThirdLaunchActivity) 的启动模式不是standard模式

MANIFEST

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.umeng.message.notify.UPushMessageNotifyActivity) 的启动模式不是standard模式

MANIFEST

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危该文件是World Writable。任何应用程序都可以写入文件

CODE

该文件是World Writable。任何应用程序都可以写入文件
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#testing-local-storage-for-sensitive-data-mstg-storage-1-and-mstg-storage-2

Files:
d/h/a/c0/r0.java, line(s) 92
d/h/c/i/b.java, line(s) 31
d/j/d/b/b.java, line(s) 19
d/j/d/d/a.java, line(s) 256

高危应用程序在加密算法中使用ECB模式。ECB模式是已知的弱模式，因为它对相同的明文块[UNK]产生相同的密文

CODE

应用程序在加密算法中使用ECB模式。ECB模式是已知的弱模式，因为它对相同的明文块[UNK]产生相同的密文
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-block-cipher-mode

Files:
d/h/a/c0/f1.java, line(s) 18

中危基本配置配置为信任系统证书。

NETWORK

Scope:
*

中危应用程序已启用明文网络流量

MANIFEST

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危 Activity (com.vaci.starryskylive.ui.act.EquityActivity) 未被保护。

MANIFEST

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.vaci.starryskylive.ui.act.SSSplashActivity) 未被保护。

MANIFEST

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.vaci.starryskylive.ui.act.ThirdLaunchActivity) 未被保护。

MANIFEST

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Broadcast Receiver (com.vaci.starryskylive.thridaccess.XiaoJiuReceiver) 未被保护。

MANIFEST

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (com.vaci.starryskylive.console.IntentService) 未被保护。

MANIFEST

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (com.vaci.starryskylive.console.XiriService) 未被保护。

MANIFEST

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Content Provider (com.starry.base.util.PromoteMessenger) 未被保护。

MANIFEST

[android:exported=true]
发现 Content Provider与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Broadcast Receiver (com.starry.base.boot.BootReceiver) 未被保护。

MANIFEST

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (com.starry.base.remote.RemotePlayService) 未被保护。

MANIFEST

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity设置了TaskAffinity属性

MANIFEST

(com.umeng.message.notify.UPushMessageNotifyActivity)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危 Activity-Alias (com.umeng.message.UMessageNotifyActivity) 未被保护。

MANIFEST

[android:exported=true]
发现 Activity-Alias与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

CODE

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/vaci/starryskylive/thridaccess/XiaoJiuReceiver.java, line(s) 86,112
d/a/a/a.java, line(s) 44
d/b/a/p/i.java, line(s) 84
d/b/a/p/p/d.java, line(s) 38
d/b/a/p/p/p.java, line(s) 103
d/b/a/p/p/x.java, line(s) 85
j/tG.java, line(s) 84
org/android/spdy/SpdyProtocol.java, line(s) 43

中危应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

CODE

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
d/h/a/c0/r.java, line(s) 52
d/h/a/c0/v.java, line(s) 117
d/h/a/t/b.java, line(s) 19
d/h/a/y/e.java, line(s) 192
d/j/c/l/i.java, line(s) 9
j/C0546n.java, line(s) 73
j/fF.java, line(s) 321

中危 IP地址泄露

CODE

IP地址泄露


Files:
d/h/a/r/f.java, line(s) 6,8,9,10,11,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29
d/h/a/y/d.java, line(s) 182
d/h/c/j/a.java, line(s) 336,455
e/a/a/a.java, line(s) 378
org/android/spdy/SpdyAgent.java, line(s) 738
org/android/spdy/SpdyRequest.java, line(s) 26,161,180,203,228,248,274,293,316,341

中危应用程序创建临时文件。敏感信息永远不应该被写进临时文件

CODE

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
com/bytedance/boost_multidex/Utility.java, line(s) 337,389
e/a/a/a.java, line(s) 282

中危 MD5是已知存在哈希冲突的弱哈希

CODE

MD5是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/vaci/tvsdk/plugin/PluginManager.java, line(s) 300
d/h/a/c0/i0.java, line(s) 12
d/h/c/j/a.java, line(s) 100,430
d/j/d/d/a.java, line(s) 374
d/k/a/d/b.java, line(s) 90,99

中危应用程序使用不安全的随机数生成器

CODE

应用程序使用不安全的随机数生成器
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/bytedance/boost_multidex/DexInstallProcessor.java, line(s) 13
com/vaci/starryskylive/ui/maincontent/data/DataUtil.java, line(s) 24
d/h/a/c.java, line(s) 22
d/h/a/s/d.java, line(s) 17
d/h/a/t/a.java, line(s) 13
d/j/c/g/a.java, line(s) 8
g/g0/n/a.java, line(s) 18
g/g0/n/d.java, line(s) 7
g/v.java, line(s) 18
j/C0631qd.java, line(s) 16
j/iI.java, line(s) 31
org/android/spdy/SpdyBytePool.java, line(s) 3

中危 SHA-1是已知存在哈希冲突的弱哈希

CODE

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
i/d/a/a/a/a.java, line(s) 175
j/C0675ru.java, line(s) 220

中危应用程序包含隐私跟踪程序

TRACKERS

此应用程序有多个4隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危此应用可能包含硬编码机密信息

SECRETS

从应用程序中识别出以下机密确保这些不是机密或私人信息
40fcf2a85e97d56a2573f10d02910b03
aHR0cDovLzQ3Ljk0LjEzLjcvYXBpL2FwcC92MS9wbHVnaW5fdXBncmFkZQ==
Y29tLnN5c3RlbS5taXVpLmNvb2wuaXB0dg==
Y29tLnZhY2kucDJwLnNwaWRlci5TcGlkZXJJbXBs
aHR0cDovL3hpbmdrb25nLXByb2Qub3NzLWNuLWJlaWppbmcuYWxpeXVuY3MuY29tL2tzZGZsMmlqMG1zZGZuc2prbmpod2Vpb3Bqb3BrZ2Rzam5xMS9za2RzZnNmc2RsZmt3ZQ==
01221d306b69a77cfb22094559ea3eff
aHR0cDovL2Nkbi5mZWlzaGF6Yi5jbi9hcHAvYXBrL3BwY29udGVudF9vZmZvbi50eHQ=
aHR0cDovL2Nkbi50aWdlcnNjb2xvcnMuY29tL2FwcC9hcGsvcHBjb25maWcvdXNlcmNvbnRlbnRfaml5dWUudHh0
b15e89a00200ad308a4f10a2e8841cd1
f8a1a6b7fed6e330d9f0d671f07f2b4c
aHR0cDovL2Nkbi5uZXh0YWlsaWZlLmNvbS9hcHAvYXBrL3BwY29uZmlnL3BwY29udGVudF9mcy50eHQ=
aHR0cDovL2Nkbi5uZXh0YWlmdW4uY29tL2FwcC9hcGsvcHBjb250ZW50X29mZm9uLnR4dA==
aHR0cDovL2Nkbi50aWdlcnNjb2xvcnMuY29tL2FwcC9hcGsvcHBjb25maWcvdXNlcmNvbnRlbnRfaGRsaXZlLnR4dA==
aHR0cDovL2Nkbi5mZWlzaGF6Yi5jbi9hcHAvYXBrL3BwY29uZmlnL3VzZXJjb250ZW50X2x4a2sudHh0
aHR0cDovL2Nkbi5uZXh0YWlsaWZlLmNvbS9hcHAvYXBrL3BwY29uZmlnL3VzZXJjb250ZW50X2ZzLnR4dA==
258EAFA5-E914-47DA-95CA-C5AB0DC85B11
aHR0cDovL2Nkbi50aWdlcnNjb2xvcnMuY29tL2FwcC9hcGsvcHBjb25maWcvcHBjb250ZW50X2hkbGl2ZS50eHQ=
5917e53ec449d8e672c71f112e5881bf
aHR0cDovL2Nkbi50aWdlcnNjb2xvcnMuY29tL2FwcC9hcGsvcHBjb250ZW50X29mZm9uLnR4dA==
aHR0cDovL2Nkbi5mZWlzaGF6Yi5jbi9hcHAvYXBrL3BwY29uZmlnL3BwY29udGVudF9seGtrLnR4dA==
290b593960353c3fabc0c81398a377d4cf8afa5a
23a9953f5339e6db935e7c02bd28a2dc
7577cbf14bf132ca0f39ba05aa2ca365
208f70e36048b496a240c8541d83023d
Y29tLnZhY2kuc2lsZW50LlNpbGVudEVudHJhbmNl
aHR0cDovL2Nkbi5uZXh0YWlmdW4uY29tL2FwcC9hcGsvcHBjb25maWcvdXNlcmNvbnRlbnRfeGsudHh0
aea1b5b454438f25955738ea37a914a4
Y29tLnRlbGV2aXNpb24uZW50aHVzaWFzdHM=
4610ad717ca0019e740b8cef0ad78fe1
aHR0cDovL2Nkbi5uZXh0YWlmdW4uY29tL2FwcC9hcGsvcHBjb25maWcvcHBjb250ZW50X3hrLnR4dA==
aHR0cDovL2Nkbi5uZXh0YWlsaWZlLmNvbS9hcHAvYXBrL3BwY29udGVudF9vZmZvbi50eHQ=
cd0f607b1590a1bf28ffcbb513c652d7
659d38bfa7208a5af199f9a5
aHR0cDovL2Nkbi50aWdlcnNjb2xvcnMuY29tL2FwcC9hcGsvcHBjb25maWcvcHBjb250ZW50X2ppeXVlLnR4dA==
6b6be9a3a3747148735e1e45799941d8

信息应用程序记录日志信息,不得记录敏感信息

CODE

应用程序记录日志信息,不得记录敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
c/a/j/j/b.java, line(s) 32
c/a/j/j/d.java, line(s) 86,98,107,120,123,85,97,106,119
c/a/k/b.java, line(s) 69
c/a/l/b.java, line(s) 78,133,173,325,396,109,114,115,138,139,344,361,362
c/a/m/a.java, line(s) 64,80,124,143,165,197,200
c/a/m/b.java, line(s) 20
c/a/m/c.java, line(s) 44
c/a/m/d.java, line(s) 62
c/a/o/d.java, line(s) 40,41,78,79
c/a/o/g.java, line(s) 65,80
c/a/o/h.java, line(s) 73,160
c/a/p/b.java, line(s) 46,59,79,30,32
c/a/u/b.java, line(s) 32,85
c/a/u/c.java, line(s) 54,65,79,81
c/a/u/e.java, line(s) 57,59
c/a/u/g.java, line(s) 314,113,119,235,269,270,284,286,299,301
c/a/u/j.java, line(s) 41,50
c/a/u/k.java, line(s) 110,149,168,215,52,55,86,102,103,195,196,197,243,90,276
c/a/u/m.java, line(s) 85,99,41
c/a/u/p.java, line(s) 26
com/bytedance/boost_multidex/Monitor.java, line(s) 62,70,74,78,82,86
com/bytedance/boost_multidex/Result.java, line(s) 33
com/iflytek/xiri/AppService.java, line(s) 77,88,131,159,173
com/starry/base/player/LiveHost.java, line(s) 140,145,162,182
com/starry/base/remote/RemotePlayService.java, line(s) 129,130,50
com/starry/player/ijkwidget/IjkVideoView.java, line(s) 151,155,159,164,174,177,180,183,188,191,194,201,212,267,284,298,362,515
com/starry/player/ijkwidget/MediaService.java, line(s) 99,103,107,111,117,120,123,126,131,134,137,144,155,249,320
com/starry/player/ijkwidget/SurfaceRenderView.java, line(s) 219
com/starry/player/ijkwidget/TextureRenderView.java, line(s) 122,135,163,187,192,196,200,206,210,214,219,222,225
com/starry/tvrecyclerview/FocusBorderView.java, line(s) 199,206,251,268,129,143,157
com/starry/tvrecyclerview/ModuleLayoutManager.java, line(s) 120,158,431,462,482,537
com/starry/tvrecyclerview/TvRecyclerView.java, line(s) 74,82,359,407,442,479,507,607,618,708,783,790,825,493,166,855
com/starry/uicompat/InflaterFactoryDelegate.java, line(s) 43
com/vaci/starryskylive/StarrySkyLiveApplication.java, line(s) 66
com/vaci/starryskylive/console/IntentService.java, line(s) 66
com/vaci/starryskylive/console/XiriService.java, line(s) 151,157,166,172,178,190,196,204,43,45,56,69,75,77,91,105,111,113,127,141,181
com/vaci/starryskylive/thridaccess/XiaoJiuReceiver.java, line(s) 37,39,43,48,57,78,86,88,98,101,106,112,114,124,127,132,137,139,142,152
com/vaci/starryskylive/ui/act/SSSplashActivity.java, line(s) 140,144,156,160,184,200,213,293,396,452,460,492
com/vaci/starryskylive/ui/maincontent/data/DataUtil.java, line(s) 192
com/vaci/tvsdk/p2p/P2PService.java, line(s) 47,50,59,66,72,78
com/vaci/tvsdk/p2p/P2PServiceCompat.java, line(s) 47,50,59,66,72,78
d/b/a/c.java, line(s) 231,240,187,230,237,188
d/b/a/m/a.java, line(s) 271
d/b/a/n/d.java, line(s) 104,134,103,133
d/b/a/n/e.java, line(s) 67,88,106,66,87,105
d/b/a/o/a/b.java, line(s) 82,81
d/b/a/p/o/b.java, line(s) 50,49
d/b/a/p/o/j.java, line(s) 56,122,151,53,121,125,131,138,150,135,139
d/b/a/p/o/l.java, line(s) 51,50
d/b/a/p/o/o/c.java, line(s) 105,104
d/b/a/p/o/o/e.java, line(s) 60,92,59,91
d/b/a/p/p/a0/j.java, line(s) 165,205,166,206
d/b/a/p/p/a0/k.java, line(s) 113,125,201,236,112,124,141,148,181,200,210,225,235,142,149,187,211,226
d/b/a/p/p/b0/e.java, line(s) 37,43,72,82,38,73,44,85
d/b/a/p/p/b0/i.java, line(s) 135,119
d/b/a/p/p/c0/a.java, line(s) 137,134
d/b/a/p/p/c0/b.java, line(s) 39,38
d/b/a/p/p/h.java, line(s) 525,338,352,524,469
d/b/a/p/p/i.java, line(s) 60,61
d/b/a/p/p/k.java, line(s) 18,159
d/b/a/p/p/q.java, line(s) 140
d/b/a/p/p/z.java, line(s) 113,114
d/b/a/p/q/c.java, line(s) 17,16
d/b/a/p/q/d.java, line(s) 41,40
d/b/a/p/q/f.java, line(s) 103,102
d/b/a/p/q/s.java, line(s) 113,116
d/b/a/p/q/t.java, line(s) 38,37
d/b/a/p/r/a.java, line(s) 84,85
d/b/a/p/r/d/b0.java, line(s) 135,140,185,194,201,136,141,186,195,202,203,204,208
d/b/a/p/r/d/c.java, line(s) 60,59,76,77
d/b/a/p/r/d/d.java, line(s) 16,17
d/b/a/p/r/d/d0.java, line(s) 189,186
d/b/a/p/r/d/l.java, line(s) 186,204,208,213,222,225,230,259,266,354,364,376,385,393,185,203,207,212,221,224,229,258,265,353,363,375,384,392
d/b/a/p/r/d/n.java, line(s) 199,220,367,188,198,219,366,459,483,189,301,460
d/b/a/p/r/d/o.java, line(s) 44,50,45,51
d/b/a/p/r/d/s.java, line(s) 117,126,132,138,144,150,157,163,171,127,133,139,145,151,158,164,172,118
d/b/a/p/r/h/a.java, line(s) 67,93,98,103,68,94,99,104
d/b/a/p/r/h/d.java, line(s) 23,24
d/b/a/p/r/h/j.java, line(s) 42,45
d/b/a/q/e.java, line(s) 37,36,61,77,62,78
d/b/a/q/f.java, line(s) 15,14
d/b/a/q/o.java, line(s) 159,160
d/b/a/q/p.java, line(s) 191,192,200
d/b/a/q/r.java, line(s) 94,95
d/b/a/q/s.java, line(s) 125,132,126,133
d/b/a/r/e.java, line(s) 50,57,68,73,49,56,61,67,72,62
d/b/a/t/h.java, line(s) 568,20,499,525
d/b/a/t/j/i.java, line(s) 67,147,148,68
d/b/a/u/b.java, line(s) 23
d/b/a/v/l/a.java, line(s) 57,58
d/c/a/i/b.java, line(s) 39,49,77,86
d/c/a/j/b.java, line(s) 9
d/e/a/a/a/c/d.java, line(s) 163
d/h/a/c0/a1.java, line(s) 44
d/h/a/c0/c.java, line(s) 129,131
d/h/a/c0/f.java, line(s) 110
d/h/a/c0/t0.java, line(s) 11
d/h/a/c0/y0.java, line(s) 86,89,142
d/h/a/q/d/a.java, line(s) 41,49,45,56,51
d/h/a/u/e.java, line(s) 124,159
d/h/a/y/d.java, line(s) 110,208
d/h/a/y/e.java, line(s) 95,106,164,204,219,239,89,90,102
d/h/c/c.java, line(s) 239,242,245
d/h/c/h.java, line(s) 46
d/h/c/j/a.java, line(s) 52
d/h/c/j/b.java, line(s) 11,17,23
d/j/c/d/b/e.java, line(s) 99
d/j/c/k/h/a.java, line(s) 99,104,113,121,45,155
d/j/c/l/i.java, line(s) 10,13
d/j/c/l/m.java, line(s) 60,62,88,93,127,131
d/j/d/c/a.java, line(s) 14,25,18,10,20
d/j/d/f/a.java, line(s) 81,90,34,38,44,59,65,84,96,108,114,120
d/j/d/i/d.java, line(s) 22,27,44
d/j/d/i/e.java, line(s) 23
d/j/d/i/f.java, line(s) 45
d/k/a/a/a.java, line(s) 84
i/d/b/b/a/a/b.java, line(s) 21
i/d/b/b/a/a/f.java, line(s) 89
i/d/b/c/a/a.java, line(s) 31,47
i/d/b/d/a/a.java, line(s) 36
i/d/b/d/a/b.java, line(s) 130,55,141,153
i/d/b/d/a/c.java, line(s) 27
i/d/b/e/b/a.java, line(s) 93,87
j/AbstractC0495lc.java, line(s) 18
j/C0212ag.java, line(s) 24
j/C0234bc.java, line(s) 21
j/C0336fb.java, line(s) 42,101,141
j/C0398hl.java, line(s) 9
j/C0427ip.java, line(s) 40
j/C0485kt.java, line(s) 26
j/C0494lb.java, line(s) 62
j/C0569nw.java, line(s) 87
j/C0577od.java, line(s) 57,72
j/C0673rs.java, line(s) 439
j/C0684sc.java, line(s) 22
j/C0685sd.java, line(s) 36,63
j/Cif.java, line(s) 56
j/ComponentCallbacks2C0463jy.java, line(s) 204,209,211,217,220,235,242,395
j/ComponentCallbacks2C0624px.java, line(s) 67,200
j/RunnableC0556nj.java, line(s) 73,151,362
j/ViewTreeObserverOnPreDrawListenerC0426io.java, line(s) 20
j/Y.java, line(s) 92,115,129,135,140
j/aF.java, line(s) 32
j/bD.java, line(s) 43,183
j/bK.java, line(s) 35,45,56,88
j/bQ.java, line(s) 25
j/bT.java, line(s) 234,335,350,373,395,467,485,502,543
j/bW.java, line(s) 57,69,76,81
j/cK.java, line(s) 155,171,186
j/cL.java, line(s) 30
j/cQ.java, line(s) 39
j/cU.java, line(s) 48,58
j/cZ.java, line(s) 53
j/dR.java, line(s) 115
j/eC.java, line(s) 18
j/fL.java, line(s) 37
j/fO.java, line(s) 120
j/fT.java, line(s) 37,43
j/iY.java, line(s) 43
j/jD.java, line(s) 15
j/lN.java, line(s) 34
j/lT.java, line(s) 54,57,63,70,75
j/nZ.java, line(s) 136
j/oL.java, line(s) 113,154
j/pG.java, line(s) 22
j/pJ.java, line(s) 63,80,92,106,146,155,169,171,182,193
j/tF.java, line(s) 47,51,53,59,123
org/android/spdy/NetTimeGaurd.java, line(s) 26,36
org/android/spdy/ProtectedPointerTest.java, line(s) 12,17,55
org/android/spdy/spduLog.java, line(s) 12,26,19,33,69,40,47

安全此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击

CODE

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
d/h/a/c0/s0.java, line(s) 63,48,61,61
g/v.java, line(s) 169,158,167,167
j/eJ.java, line(s) 106,105,104,104

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (data.feishazb.cn) 通信。

DOMAINS

{'ip': '124.239.14.132', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (msg.umengcloud.com) 通信。

DOMAINS

{'ip': '124.239.14.132', 'country_short': 'CN', 'country_long': '中国', 'region': '河北', 'city': '张家口', 'latitude': '40.810024', 'longitude': '114.879349'}

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (ulogs.umengcloud.com) 通信。

DOMAINS

{'ip': '124.239.14.132', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '南京', 'latitude': '32.061668', 'longitude': '118.777992'}

安全分析报告： 太阳直播 v1.0.1016

安全分数

安全分数 42/100

风险评级

等级

严重性分布 (%)

隐私风险

用户/设备跟踪器

调研结果

高危 基本配置不安全地配置为允许到所有域的明文流量。

高危 域配置不安全地配置为允许明文流量到达范围内的这些域。

高危 Activity (com.vaci.starryskylive.ui.act.ThirdLaunchActivity) 的启动模式不是standard模式

高危 Activity (com.umeng.message.notify.UPushMessageNotifyActivity) 的启动模式不是standard模式

高危 该文件是World Writable。任何应用程序都可以写入文件

高危 应用程序在加密算法中使用ECB模式。ECB模式是已知的弱模式，因为它对相同的明文块[UNK]产生相同的密文

中危 基本配置配置为信任系统证书。

中危 应用程序已启用明文网络流量

中危 Activity (com.vaci.starryskylive.ui.act.EquityActivity) 未被保护。

中危 Activity (com.vaci.starryskylive.ui.act.SSSplashActivity) 未被保护。

中危 Activity (com.vaci.starryskylive.ui.act.ThirdLaunchActivity) 未被保护。

中危 Broadcast Receiver (com.vaci.starryskylive.thridaccess.XiaoJiuReceiver) 未被保护。

中危 Service (com.vaci.starryskylive.console.IntentService) 未被保护。

中危 Service (com.vaci.starryskylive.console.XiriService) 未被保护。

中危 Content Provider (com.starry.base.util.PromoteMessenger) 未被保护。

中危 Broadcast Receiver (com.starry.base.boot.BootReceiver) 未被保护。

中危 Service (com.starry.base.remote.RemotePlayService) 未被保护。

中危 Activity设置了TaskAffinity属性

中危 Activity-Alias (com.umeng.message.UMessageNotifyActivity) 未被保护。

中危 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

中危 IP地址泄露

中危 应用程序创建临时文件。敏感信息永远不应该被写进临时文件

中危 MD5是已知存在哈希冲突的弱哈希

中危 应用程序使用不安全的随机数生成器

中危 SHA-1是已知存在哈希冲突的弱哈希

中危 应用程序包含隐私跟踪程序

中危 此应用可能包含硬编码机密信息

信息 应用程序记录日志信息,不得记录敏感信息

安全 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (data.feishazb.cn) 通信。

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (msg.umengcloud.com) 通信。

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (ulogs.umengcloud.com) 通信。

安全评分: ( 太阳直播 1.0.1016)

安全分析报告：太阳直播 v1.0.1016

高危基本配置不安全地配置为允许到所有域的明文流量。

高危域配置不安全地配置为允许明文流量到达范围内的这些域。

高危该文件是World Writable。任何应用程序都可以写入文件

高危应用程序在加密算法中使用ECB模式。ECB模式是已知的弱模式，因为它对相同的明文块[UNK]产生相同的密文

中危基本配置配置为信任系统证书。

中危应用程序已启用明文网络流量

中危文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

中危应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

中危应用程序创建临时文件。敏感信息永远不应该被写进临时文件

中危应用程序使用不安全的随机数生成器

中危应用程序包含隐私跟踪程序

中危此应用可能包含硬编码机密信息

信息应用程序记录日志信息,不得记录敏感信息

安全此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (data.feishazb.cn) 通信。

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (msg.umengcloud.com) 通信。

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (ulogs.umengcloud.com) 通信。