安全分析报告： 仙迹（陆离光怪） v1.0.0

安全分数


安全分数 22/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

1

用户/设备跟踪器


调研结果

高危 20
中危 13
信息 2
安全 1
关注 23

高危 Activity (com.sdk.tysdk.ui.TYActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （com.sdk.tysdk.ui.TYActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危 Activity (com.switfpass.pay.activity.QQWapPayWebView) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （com.switfpass.pay.activity.QQWapPayWebView） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危 Activity (com.ipaynow.plugin.inner_plugin.wechatwp.activity.WeChatNotifyActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （com.ipaynow.plugin.inner_plugin.wechatwp.activity.WeChatNotifyActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危 Activity (com.sdk.tysdk.wxapi.WXEntryActivity) is vulnerable to StrandHogg 2.0 

已发现活动存在 StrandHogg 2.0 栈劫持漏洞的风险。漏洞利用时，其他应用程序可以将恶意活动放置在易受攻击的应用程序的活动栈顶部，从而使应用程序成为网络钓鱼攻击的易受攻击目标。可以通过将启动模式属性设置为“singleInstance”并设置空 taskAffinity (taskAffinity="") 来修复此漏洞。您还可以将应用的目标 SDK 版本 (26) 更新到 29 或更高版本以在平台级别修复此问题。

高危 Activity (com.tencent.tauth.AuthActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （com.tencent.tauth.AuthActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危 Activity (com.tencent.connect.common.AssistActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （com.tencent.connect.common.AssistActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危 Activity (com.sdk.tysdk.ui.TYPermissonActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （com.sdk.tysdk.ui.TYPermissonActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危 WebView域控制不严格漏洞 

WebView域控制不严格漏洞


Files:
com/kyzh/sdk2/ui/browser/BrowserActivity.java, line(s) 154,152
com/kyzh/sdk2/ui/usercenter/news/KyzhNewsDetailActivity.java, line(s) 46,44
com/kyzh/sdk2/ui/usercenter/pay/KyzhPayActivity.java, line(s) 159,154
com/qk/plugin/js/shell/MainActivity.java, line(s) 412,405,405,406,407,408,409,410,411,412,413,414,415,416,418
com/swiftfintech/pay/activity/UnifiedPay.java, line(s) 146,122,123,129,130,144,145,146,147,150,158,160

高危 应用程序在加密算法中使用ECB模式。ECB模式是已知的弱模式，因为它对相同的明文块[UNK]产生相同的密文 

应用程序在加密算法中使用ECB模式。ECB模式是已知的弱模式，因为它对相同的明文块[UNK]产生相同的密文
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-block-cipher-mode

Files:
com/datasdk/util/InitConfig.java, line(s) 32
com/kyzh/sdk2/utils/RequestUtils.java, line(s) 14,28
com/qk/plugin/js/shell/util/CommonUtil.java, line(s) 20
com/quicksdk/utility/k.java, line(s) 65,179

高危 启用了调试配置。生产版本不能是可调试的 

启用了调试配置。生产版本不能是可调试的
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04c-Tampering-and-Reverse-Engineering.md#debugging-and-tracing

Files:
com/qk/js/shell/model3/BuildConfig.java, line(s) 3,4

高危 如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击 

如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-7

Files:
com/kyzh/sdk2/ui/usercenter/news/KyzhNewsDetailActivity.java, line(s) 53,10
com/sdk/tysdk/fragment/WebViewFragment.java, line(s) 152,15,16
com/sdk/tysdk/utils/Dialogs.java, line(s) 361,27

高危 不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击 

不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#webview-server-certificate-verification

Files:
com/kyzh/sdk2/ui/browser/BrowserActivity.java, line(s) 68,64
com/kyzh/sdk2/ui/usercenter/pay/KyzhPayActivity.java, line(s) 120,116
com/qk/plugin/js/shell/MainActivity.java, line(s) 381,378
com/swiftfintech/pay/activity/j.java, line(s) 78,77

高危 使用弱加密算法 

使用弱加密算法
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/sdk/tysdk/utils/des/Des3.java, line(s) 25,42

高危 应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。 

应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/sdk/tysdk/utils/des/Des3.java, line(s) 25,42

中危 应用程序数据可以被备份 

[android:allowBackup=true]
这个标志允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危 Activity (com.sdk.tysdk.wxapi.WXEntryActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.tencent.tauth.AuthActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/quicksdk/c/a.java, line(s) 118,118
com/quicksdk/utility/f.java, line(s) 74,363
com/sdk/tysdk/db/DBHelper.java, line(s) 18,117
com/sdk/tysdk/handle/PhotoHandler.java, line(s) 96,115
com/sdk/tysdk/utils/AppUtils.java, line(s) 149,424,700
com/sdk/tysdk/utils/BitmapCache.java, line(s) 18
com/sdk/tysdk/utils/CrashHandler.java, line(s) 39,40,42
com/sdk/tysdk/utils/TYLog.java, line(s) 29
com/sdk/tysdk/utils/Util.java, line(s) 233
com/sdk/tysdk/utils/WriteToFileUtils.java, line(s) 89,138,139,156
com/sdk/tysdk/utils/web/ContentUtil.java, line(s) 46
com/sdk/tysdk/utils/web/ImageUtil.java, line(s) 21
com/switfpass/pay/utils/Util.java, line(s) 202
com/tygrm/sdk/TYRUtils.java, line(s) 391
com/tygrm/sdk/u/TYRCrashHandler.java, line(s) 38,39,41
com/zhy/base/imageloader/diskcache/disklrucache/DiskLruCacheHelper.java, line(s) 491

中危 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/datasdk/Constants.java, line(s) 5
com/datasdk/channel/undefined/UserAdapter.java, line(s) 145
com/qk/plugin/js/shell/MainActivity.java, line(s) 87
com/qk/plugin/js/shell/util/Constant.java, line(s) 4
com/sdk/tysdk/bean/LoginOtherParam.java, line(s) 12
com/sdk/tysdk/bean/TYParam.java, line(s) 11
com/sdk/tysdk/bean/TYUserInfo.java, line(s) 415,415,415
com/sdk/tysdk/db/impl/AgentNamedao.java, line(s) 9,12
com/sdk/tysdk/db/impl/UserLoginInfodao.java, line(s) 25,18,21
com/sdk/tysdk/utils/AccountValidatorUtil.java, line(s) 11,13
com/sdk/tysdk/utils/Config.java, line(s) 11
com/sdk/tysdk/utils/des/Des3.java, line(s) 12
com/swiftfintech/pay/bean/RequestMsg.java, line(s) 233
com/switfpass/pay/bean/RequestMsg.java, line(s) 197
com/switfpass/pay/utils/Constants.java, line(s) 11,16,5
com/tygrm/sdk/bean/TYRRLoginBean.java, line(s) 83
com/tygrm/sdk/net/TYRURL.java, line(s) 11
com/tygrm/sdk/switc/SwitchChannelHandler.java, line(s) 18

中危 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/quicksdk/utility/f.java, line(s) 29
com/sdk/tysdk/ui/DownView.java, line(s) 18
com/sdk/tysdk/utils/AppUtils.java, line(s) 68
com/sdk/tysdk/utils/DataSafeUtil.java, line(s) 4
com/sdk/tysdk/utils/DateUtils.java, line(s) 12
com/sdk/tysdk/utils/wxaes/AES.java, line(s) 8
com/switfpass/pay/utils/Util.java, line(s) 21
com/tygrm/sdk/net/encrypt/AES.java, line(s) 8
com/tygrm/sdk/net/encrypt/AES_CDN.java, line(s) 8
testact/RRActivity.java, line(s) 24

中危 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/datasdk/util/AppConfig.java, line(s) 43
com/ipaynow/plugin/b/d/a.java, line(s) 232
com/kyzh/sdk2/utils/RequestUtils.java, line(s) 51
com/quicksdk/utility/f.java, line(s) 190
com/quicksdk/utility/k.java, line(s) 42,124,157
com/sdk/tysdk/utils/Md5Util.java, line(s) 15,23
com/switfpass/pay/utils/MD5.java, line(s) 13,32
com/switfpass/pay/utils/Rsa.java, line(s) 48
com/zhy/base/imageloader/diskcache/disklrucache/Utils.java, line(s) 26

中危 不安全的Web视图实现。可能存在WebView任意代码执行漏洞 

不安全的Web视图实现。可能存在WebView任意代码执行漏洞
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#testing-javascript-execution-in-webviews-mstg-platform-5

Files:
com/qk/plugin/js/shell/MainActivity.java, line(s) 420,407
com/sdk/tysdk/fragment/WebViewFragment.java, line(s) 95,83
com/sdk/tysdk/handle/WebHandler.java, line(s) 60,56
com/tygrm/sdk/core/PorxyAct.java, line(s) 32,31

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/sdk/tysdk/db/DBHelper.java, line(s) 4,5,171
com/sdk/tysdk/db/impl/AgentDbDao.java, line(s) 7,8,36
com/sdk/tysdk/db/impl/UserLoginInfodao.java, line(s) 6,7,68

中危 SHA-1是已知存在哈希冲突的弱哈希 

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/sdk/tysdk/utils/SignUtils.java, line(s) 16
com/switfpass/pay/utils/Util.java, line(s) 326

中危 IP地址泄露 

IP地址泄露


Files:
com/ipaynow/plugin/b/d/a.java, line(s) 33,58,60

中危 应用程序包含隐私跟踪程序 

此应用程序有多个1隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
ed7ae3f36d6cfdf6d8ccfb4
hjwg16Y0G83C18H9wpMLWi25KDSLyNLA2I509GQ5wydMj2qRYVHjf9fV7Xl9cfcFstlYsOtRAxdUcMOa0nkO1qhsbeEqirQRJmnW0Yub6Yar1FzfWJTlHutV43HJmd8E
2FsPONw4QOqEQkzYvoiuVATWxbyQmsCJ
2FDgvkGVlKtvyo6NX8HbSycCiDHWR2gaqJRI3JrAqT9lGxZAxTnmUE8MNnhRWfoNZJHX2
0a54b19a13b6712dc04d1b49215423d8
891b9b2a1d867f95eefd537a56d4d805
2ad7451d1149bcd16ec80c5e076b3263
39280363481451541647
9bd9bb387f2edae5cc1ac258e0721d8e8648dfbf
9aee619d462ac4d32dea1f886407d208d5e2e718
892dea3fba7eb90835d030c70e8a24b152e5f4c0
6a8aa59a50d14e649d2a0359e7742e56
0dc1c1c001c4d6c48241ce1ac41fd5a0
-39280363481451541647

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
a/a/a/b/a.java, line(s) 34,42,59,63,69,81,97,108,111,117,123,131
a/a/a/b/b.java, line(s) 19,24,26,29,34,45,60,62
com/alipay/test/a.java, line(s) 13,14,17,18,21,22,25,26,29,30,33,34,37,38,41,42,45,46,49,50,53,54,57,58,64,65,71,72,78,79,85,86,92,93,99,100,106,107,113,114,120,121,127,128,134,135,141,142
com/datasdk/Payment.java, line(s) 37
com/datasdk/Sdk.java, line(s) 47,62
com/datasdk/channel/undefined/ActivityAdapter.java, line(s) 27,36,41,47,52,58,63,64,72,77
com/datasdk/channel/undefined/PayAdapter.java, line(s) 33,51,35,38
com/datasdk/channel/undefined/SdkAdapter.java, line(s) 32,57,78,55
com/datasdk/channel/undefined/UserAdapter.java, line(s) 125,132,145,162,147,150,153,156,164,45,48,74,76,88,134
com/datasdk/channel/undefined/utils/FloatUtil.java, line(s) 69,82,89
com/datasdk/util/AdapterFactoryUtil.java, line(s) 24
com/datasdk/util/AppConfig.java, line(s) 138,143,158,160,97,104,149,154
com/datasdk/util/InitConfig.java, line(s) 216
com/ipaynow/plugin/api/IpaynowPlugin.java, line(s) 31
com/ipaynow/plugin/api/a.java, line(s) 39
com/ipaynow/plugin/conf/e.java, line(s) 32,45,64,78
com/ipaynow/plugin/log/b.java, line(s) 62,95,71,104,65,98,59,92,68,74,101,107
com/ipaynow/plugin/manager/a/a.java, line(s) 24
com/ipaynow/plugin/manager/route/MerchantRouteManager.java, line(s) 108
com/ipaynow/plugin/presenter/d.java, line(s) 32
com/ipaynow/plugin/presenter/h.java, line(s) 95
com/ipaynow/plugin/presenter/i.java, line(s) 82
com/ipaynow/plugin/utils/b.java, line(s) 85,91,97,108,65
com/ipaynow/plugin/utils/g.java, line(s) 47,122,138
com/ipaynow/plugin/utils/j.java, line(s) 57,74,153,399
com/kyzh/sdk2/init/KyzhLib.java, line(s) 94,125,148,154,95,149,153
com/kyzh/sdk2/init/KyzhSdk.java, line(s) 50,54,61,67,74,76
com/kyzh/sdk2/ui/login/KyzhLoginActivity.java, line(s) 453
com/kyzh/sdk2/ui/usercenter/news/KyzhNewsDetailActivity.java, line(s) 52
com/kyzh/sdk2/weight/InfoView.java, line(s) 27
com/qk/plugin/js/shell/GameApplication.java, line(s) 14,17,19
com/qk/plugin/js/shell/MainActivity.java, line(s) 100,106,124,130,154,160,169,178,189,193,198,225,226,247,262,287,296,298,299,305,311,322,328,336,342,355,391,400,447,448,474,478,484,486,496,501,506,524,541,559,578,594,609,626,644,662,667,689,719,787,808,822,833,845,848,865,883,890,897,907,914,922,929,947,954,976,1022,122,152,213,222,255,270,380,744
com/qk/plugin/js/shell/SplashActivity.java, line(s) 56,86
com/qk/plugin/js/shell/util/CommonUtil.java, line(s) 41,49,52,53
com/qk/plugin/qkfx/Manager.java, line(s) 13
com/qk/plugin/qkfx/SetGameRolePlugin.java, line(s) 18,25,29,44,41
com/quicksdk/Extend.java, line(s) 48,60,73
com/quicksdk/Payment.java, line(s) 59,70,94,136,141
com/quicksdk/QuickSdkApplication.java, line(s) 44,65,53
com/quicksdk/QuickSdkSplashActivity.java, line(s) 116
com/quicksdk/Sdk.java, line(s) 64,86
com/quicksdk/User.java, line(s) 137,51,62,76,86,113,128,142,155
com/quicksdk/apiadapter/channel/check/d.java, line(s) 89,160
com/quicksdk/apiadapter/channel/check/g.java, line(s) 146
com/quicksdk/apiadapter/channel/check/z.java, line(s) 37,41,45,49,87,125,224,243
com/quicksdk/apiadapter/manbayouxi/ActivityAdapter.java, line(s) 35,44,49,56,63,69,75,81,91,97
com/quicksdk/apiadapter/manbayouxi/ChannelSpalaActivity.java, line(s) 17,19,22
com/quicksdk/apiadapter/manbayouxi/CheckGameRoleInfo.java, line(s) 127,20,27,33,38,47,54,60,65,74,81,87,92,101,106,115,122
com/quicksdk/apiadapter/manbayouxi/ExtendAdapter.java, line(s) 33,43,58,73,81,89,95,100
com/quicksdk/apiadapter/manbayouxi/PayAdapter.java, line(s) 66,91,92,93,94,95,96,97,98,99,100,101,111,138,68,118,130
com/quicksdk/apiadapter/manbayouxi/SdkAdapter.java, line(s) 56,96,124,132,133,156,180,184,188,192,202,208,239,43,46,47,77,88,220,231
com/quicksdk/apiadapter/manbayouxi/UserAdapter.java, line(s) 46,57,83,106,107,108,109,110,111,112,134,164,173,193,194,195,196,197,198,199,200,201,202,207,225,248,249,250,251,252,253,254,64,75,145,156,214
com/quicksdk/c/a.java, line(s) 101,96,123
com/quicksdk/c/b.java, line(s) 28,26
com/quicksdk/c/e.java, line(s) 211,214
com/quicksdk/ex/ExCollector.java, line(s) 30,50,61,65,79,93,118
com/quicksdk/ex/ExUtils.java, line(s) 44,47,48
com/quicksdk/ex/a.java, line(s) 37,285
com/quicksdk/ex/b.java, line(s) 23,38,49
com/quicksdk/net/Connect.java, line(s) 182,201,322,340,449,492,538,678,700,720,743,768,811,885,968,191,193,203,207,225,228,284,287,346,402,428,432,457,460,500,503,546,549,589,609,613,730,733,745,749,760,804,817,824,850,863,870,911,933,951,955
com/quicksdk/net/a.java, line(s) 499,354
com/quicksdk/notifier/a.java, line(s) 19,27
com/quicksdk/notifier/b.java, line(s) 21,34
com/quicksdk/notifier/c.java, line(s) 56,70,110,45,123
com/quicksdk/notifier/d.java, line(s) 23,32
com/quicksdk/notifier/e.java, line(s) 22,35,48
com/quicksdk/notifier/f.java, line(s) 19,27,35
com/quicksdk/plugin/PluginManager.java, line(s) 71,75,101,105,45,86,125
com/quicksdk/utility/AppConfig.java, line(s) 136,143
com/quicksdk/utility/FileUtils.java, line(s) 106
com/quicksdk/utility/b.java, line(s) 21,53,66,69,78
com/quicksdk/utility/c.java, line(s) 160
com/quicksdk/utility/d.java, line(s) 95
com/quicksdk/utility/f.java, line(s) 86,141,279,375
com/quicksdk/utility/h.java, line(s) 15,22,32,42
com/quicksdk/utility/i.java, line(s) 43,78
com/quicksdk/utility/k.java, line(s) 108,256,69
com/sdk/tysdk/TYEvent/BackgroundPoster.java, line(s) 41
com/sdk/tysdk/TYEvent/TYEvent.java, line(s) 169,119,121,130,437
com/sdk/tysdk/TYEvent/util/AsyncExecutor.java, line(s) 98
com/sdk/tysdk/TYEvent/util/ErrorDialogConfig.java, line(s) 38
com/sdk/tysdk/TYEvent/util/ErrorDialogManager.java, line(s) 165
com/sdk/tysdk/TYEvent/util/ExceptionToResourceMapping.java, line(s) 31
com/sdk/tysdk/TYInitProvider.java, line(s) 27
com/sdk/tysdk/TYSDKManager.java, line(s) 69,80,156,159,166,177,188,211,264,270,274,279,284,289,294,299,303,307,310,322,366,373,375,377,394,399,405,410,415,453,461,463,483,489,518,520,540,554
com/sdk/tysdk/adapter/FloatAdapter.java, line(s) 86
com/sdk/tysdk/adapter/MianItemAdapter.java, line(s) 72,73,74
com/sdk/tysdk/adapter/PayListAdapter.java, line(s) 103
com/sdk/tysdk/db/DBHelper.java, line(s) 34,39,90,97,111,121,126,139,143,148,170,174,180
com/sdk/tysdk/db/impl/UserLoginInfodao.java, line(s) 59,74,119,177
com/sdk/tysdk/fragment/ChooseDiscountFragment.java, line(s) 326,328,413,416,240
com/sdk/tysdk/fragment/GamePayFragment.java, line(s) 373,375,378,383,421,422,752,886,889,1049,1229,1305,1410,330,333,339,344,350,399,416,1069,1104,170,200,261,439,452,467,481,547,619,1246,1247,1252,1256,1260,1265,1267,1277,1281,1285
com/sdk/tysdk/fragment/MineFragment.java, line(s) 110,315,351,380,382,399,390
com/sdk/tysdk/fragment/PasswordManageFragment.java, line(s) 92
com/sdk/tysdk/fragment/PayTyFragment.java, line(s) 775,786,800,814,836,842,851,859,890,906,960,977,1109,1139,1172,1173,1194,1199,1200,1201,1202,1245,1246,1260,1283,1375,1406,1409,1419,1424,1437,1442,725,598,657,664,667,670,743,928,1587
com/sdk/tysdk/fragment/RechargeDiscountFra.java, line(s) 320,222,276
com/sdk/tysdk/fragment/WebViewFragment.java, line(s) 167,235
com/sdk/tysdk/handle/LoginHandler.java, line(s) 103,106
com/sdk/tysdk/handle/LoginingHandler.java, line(s) 94,119
com/sdk/tysdk/handle/NetHandler.java, line(s) 1560,859,861,865,1541,2828,2839,2847,2859,3190,3191,3193,126,128,487,498,694,712,831,842,1476,1478,1491,1497,1504,1507,1603,1760,1973,2033,2143,2178,2217,2364,2755,2885,2900,3054
com/sdk/tysdk/handle/RegisterHandler.java, line(s) 44
com/sdk/tysdk/net/request/HttpRequest.java, line(s) 31,36,40,44,63,69
com/sdk/tysdk/run/InfoRun.java, line(s) 36,41,49,54
com/sdk/tysdk/run/LoginedRun.java, line(s) 23
com/sdk/tysdk/ui/TYActivity.java, line(s) 429,178,541,642,643,644,645,646,647,648,649,671,674,842
com/sdk/tysdk/ui/TYWebViewJS.java, line(s) 202,624,204,635,446,451
com/sdk/tysdk/ui/view/PullToRefreshLayout.java, line(s) 196,255,314,532
com/sdk/tysdk/utils/AppUtils.java, line(s) 527,554,214,425,467,604,608,610,625,786,851,888,891,296,151,502,691,803,812
com/sdk/tysdk/utils/BitmapCache.java, line(s) 48,71
com/sdk/tysdk/utils/ChannelUtil.java, line(s) 22,56,62,68,80,88,95,100,110,117,126,132,137
com/sdk/tysdk/utils/CrashHandler.java, line(s) 74,68,76,123,38
com/sdk/tysdk/utils/DateUtil.java, line(s) 102,106,158,174,240,244
com/sdk/tysdk/utils/DateUtils.java, line(s) 374,174,185
com/sdk/tysdk/utils/Dialogs.java, line(s) 172,192,223,697,752,878,978,1010,1113,1143,1316,1349,1417,137,603,1161,1466
com/sdk/tysdk/utils/FloatWindowUtils.java, line(s) 91,98
com/sdk/tysdk/utils/HttpUtils.java, line(s) 142,192,41,44,48,137,140,146
com/sdk/tysdk/utils/IdCardUtil.java, line(s) 97
com/sdk/tysdk/utils/JsonUtil.java, line(s) 55
com/sdk/tysdk/utils/LG.java, line(s) 15,21,27,33
com/sdk/tysdk/utils/Md5Util.java, line(s) 17
com/sdk/tysdk/utils/PermissionUtil.java, line(s) 60,62
com/sdk/tysdk/utils/SPUtils.java, line(s) 46
com/sdk/tysdk/utils/ScreenShot.java, line(s) 40
com/sdk/tysdk/utils/SdkInfoUtil.java, line(s) 23,26,30,38,41,44,49,51,53,60,64,69,33,46,59,67,72
com/sdk/tysdk/utils/SensorManagerHelper.java, line(s) 47
com/sdk/tysdk/utils/TYLog.java, line(s) 13,30
com/sdk/tysdk/utils/UserStatasUtils.java, line(s) 11
com/sdk/tysdk/utils/Util.java, line(s) 120,123,378,434,466,148,164,380,384,388,400,464,145,151,161,372,257,265,269,462
com/sdk/tysdk/utils/WriteToFileUtils.java, line(s) 110,49,92,108,132,147,160
com/sdk/tysdk/utils/des/Base64.java, line(s) 66
com/sdk/tysdk/utils/des/Des3.java, line(s) 53
com/sdk/tysdk/utils/web/ImageUtil.java, line(s) 43,48,64,46,60
com/swiftfintech/pay/activity/BasePayActivity.java, line(s) 31,84
com/swiftfintech/pay/activity/PayPlugin.java, line(s) 74
com/swiftfintech/pay/activity/UnifiedPay.java, line(s) 256
com/swiftfintech/pay/activity/WebViewEx.java, line(s) 186
com/swiftfintech/pay/activity/j.java, line(s) 62,123,25,40,71,89
com/swiftfintech/pay/activity/l.java, line(s) 28
com/swiftfintech/pay/activity/m.java, line(s) 22,29,36,43
com/swiftfintech/pay/handle/PayHandlerManager.java, line(s) 78
com/swiftfintech/pay/service/OrderService.java, line(s) 37,80,104,113
com/swiftfintech/pay/service/b.java, line(s) 80,41,44
com/swiftfintech/pay/service/c.java, line(s) 58,32
com/swiftfintech/pay/service/d.java, line(s) 87,55,71
com/swiftfintech/pay/service/e.java, line(s) 81,39,58
com/swiftfintech/pay/service/f.java, line(s) 73,33,50
com/swiftfintech/pay/service/g.java, line(s) 69,50
com/swiftfintech/pay/service/h.java, line(s) 78,37,56
com/swiftfintech/pay/service/i.java, line(s) 63,37,55
com/swiftfintech/pay/service/j.java, line(s) 62
com/swiftfintech/pay/service/k.java, line(s) 87,55,71
com/swiftfintech/pay/service/l.java, line(s) 99,51,54
com/swiftfintech/pay/service/m.java, line(s) 101,52,55,71
com/swiftfintech/pay/thread/NetHelper.java, line(s) 158,174,227,241,145
com/swiftfintech/pay/utils/PayDialogInfo.java, line(s) 212,265,103
com/swiftfintech/pay/utils/ai.java, line(s) 23
com/swiftfintech/pay/utils/al.java, line(s) 35,67
com/swiftfintech/pay/utils/an.java, line(s) 36,76
com/swiftfintech/pay/utils/ap.java, line(s) 34
com/swiftfintech/pay/utils/ar.java, line(s) 33,76
com/swiftfintech/pay/utils/i.java, line(s) 35,75
com/swiftfintech/pay/utils/k.java, line(s) 35,75
com/switfpass/pay/activity/BasePayActivity.java, line(s) 22,43
com/switfpass/pay/activity/C0078n.java, line(s) 87
com/switfpass/pay/activity/D.java, line(s) 28,59
com/switfpass/pay/service/b.java, line(s) 59,32
com/switfpass/pay/service/c.java, line(s) 78,33,53
com/switfpass/pay/service/d.java, line(s) 69,54
com/switfpass/pay/service/e.java, line(s) 83,37,59
com/switfpass/pay/service/f.java, line(s) 64,37,56
com/switfpass/pay/service/g.java, line(s) 63
com/switfpass/pay/service/h.java, line(s) 71,37,57
com/switfpass/pay/service/i.java, line(s) 82,36
com/switfpass/pay/service/j.java, line(s) 85,41,44
com/switfpass/pay/thread/NetHelper.java, line(s) 155,159,214,229,146
com/switfpass/pay/utils/C0098n.java, line(s) 47,88
com/switfpass/pay/utils/HandlerC0094j.java, line(s) 19
com/switfpass/pay/utils/P.java, line(s) 23
com/switfpass/pay/utils/PayDialogInfo.java, line(s) 202,257,105
com/switfpass/pay/utils/Rsa.java, line(s) 22,23,25
com/switfpass/pay/utils/Util.java, line(s) 72,83,295,146,162,221,229,232,240,252,255,297,301,305,316,143,149,159,282
com/switfpass/pay/utils/W.java, line(s) 46
com/switfpass/pay/utils/Y.java, line(s) 45,87
com/tygrm/sdk/TYRL.java, line(s) 9
com/tygrm/sdk/TYRUtils.java, line(s) 98,192,195,198,359,392,420,426,432,577,188,201,219
com/tygrm/sdk/bean/TYRInitNetBean.java, line(s) 54
com/tygrm/sdk/bean/TYRLoginNetBean.java, line(s) 50,56,62
com/tygrm/sdk/bean/TYRPayGameParams.java, line(s) 151
com/tygrm/sdk/bean/TYRPayResult.java, line(s) 56
com/tygrm/sdk/bean/TYRRPayBean.java, line(s) 48
com/tygrm/sdk/bean/TYRUploadInfo.java, line(s) 71,76
com/tygrm/sdk/core/TYRSDK.java, line(s) 475,510,518,526,537,545,580,588,597,605,614,622,632,642,650,131,271,290,292,294,403,411,423,757,179,223,233,258,263,264,277,315,323,392,394,421,435,450,467,485,500,666,667,668,669,670,671,672,673,674,675,724,764,833,839,844,859,919
com/tygrm/sdk/net/NetCore.java, line(s) 65
com/tygrm/sdk/net/TYRNetHandler.java, line(s) 96,98,122,131,146,158,167,238
com/tygrm/sdk/net/TYRURL.java, line(s) 27,33,39,45,51,57,63,95,101
com/tygrm/sdk/net/request/HttpRequest.java, line(s) 34
com/tygrm/sdk/switc/SwitchChannelHandler.java, line(s) 22,49
com/tygrm/sdk/tyb/TYInit.java, line(s) 29,38
com/tygrm/sdk/tyb/TYPay.java, line(s) 31
com/tygrm/sdk/tyb/TYSubmit.java, line(s) 21
com/tygrm/sdk/u/TYRCrashHandler.java, line(s) 73,67,75,122
com/zhy/base/imageloader/L.java, line(s) 21,33,15,45,51,57,69,39,27,63
com/zhy/base/imageloader/diskcache/disklrucache/DiskLruCache.java, line(s) 108
com/zhy/base/imageloader/diskcache/disklrucache/DiskLruCacheHelper.java, line(s) 479,466
qd/TYInit.java, line(s) 32,38
qd/TYLogin.java, line(s) 30,42
qd/TYPay.java, line(s) 36,42
qd/TYSubmit.java, line(s) 30,33,37,42
testact/RRActivity.java, line(s) 34

信息 此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它 

此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04b-Mobile-App-Security-Testing.md#clipboard

Files:
com/kyzh/sdk2/utils/DialogUtils.java, line(s) 10,91
com/sdk/tysdk/utils/AppUtils.java, line(s) 7,788

安全 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击 

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
a/a/a/c/d.java, line(s) 68,53
a/a/a/c/e/a.java, line(s) 152,152
com/ipaynow/plugin/utils/b.java, line(s) 48,54
com/quickjoy/lib/jkhttp/Connect.java, line(s) 233,239,240
com/sdk/tysdk/net/request/MyX509TrustManager.java, line(s) 32,50,31,30,48,48
com/swiftfintech/pay/thread/NetHelper.java, line(s) 51,82
com/switfpass/pay/thread/NetHelper.java, line(s) 51,82
com/switfpass/pay/utils/Util.java, line(s) 350,360
com/tygrm/sdk/net/request/MyX509TrustManager.java, line(s) 32,50,31,30,48,48

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (api.92hwan.com) 通信。 

{'ip': '140.249.61.220', 'country_short': 'CN', 'country_long': '中国', 'region': '山东', 'city': '临沂', 'latitude': '35.063061', 'longitude': '118.342781'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (release.tianyuyou.cn) 通信。 

{'ip': '116.211.128.146', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (paygate-yf.meituan.com) 通信。 

{'ip': '103.37.152.89', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (cdn.tianyuyou.cn) 通信。 

{'ip': '139.196.37.167', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '扬州', 'latitude': '32.397221', 'longitude': '119.435600'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (pay.swiftpass.cn) 通信。 

{'ip': '116.211.128.146', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (api3.tianyuyou.com) 通信。 

{'ip': '139.196.37.167', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (pay.ipaynow.cn) 通信。 

{'ip': '116.211.128.146', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (statecheck.swiftpass.cn) 通信。 

{'ip': '116.211.128.146', 'country_short': 'CN', 'country_long': '中国', 'region': '湖北', 'city': '武汉', 'latitude': '30.583330', 'longitude': '114.266853'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (static.tianyuyou.cn) 通信。 

{'ip': '139.196.37.167', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (tianyuyou.com) 通信。 

{'ip': '47.100.64.23', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (sdk3.tianyuyou.com) 通信。 

{'ip': '139.196.37.167', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (db.92hwan.com) 通信。 

{'ip': '116.211.128.146', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (callback.sdk.quicksdk.net) 通信。 

{'ip': '106.75.99.122', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (posp.ipaynow.cn) 通信。 

{'ip': '211.154.166.174', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (cdn1.tianyuyou.cn) 通信。 

{'ip': '58.215.114.59', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '无锡', 'latitude': '31.569349', 'longitude': '120.288788'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (release.tianyuyou.com) 通信。 

{'ip': '101.132.94.126', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (api.ipaynow.cn) 通信。 

{'ip': '103.244.232.20', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (api.tianyuyou.com) 通信。 

{'ip': '139.224.218.57', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (cdn2.tianyuyou.cn) 通信。 

{'ip': '58.220.52.251', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '扬州', 'latitude': '32.397221', 'longitude': '119.435600'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (sdk3.tianyuyou.cn) 通信。 

{'ip': '101.132.94.126', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (configcdn.quicksdk.net) 通信。 

{'ip': '106.75.31.55', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (h5.m.taobao.com) 通信。 

{'ip': '180.97.251.239', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '苏州', 'latitude': '31.311365', 'longitude': '120.617691'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (mobilegw.alipaydev.com) 通信。 

{'ip': '110.75.132.131', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

安全评分: ( 仙迹（陆离光怪） 1.0.0)