移动应用安全检测报告： CRadio v4.5

安全基线评分


安全基线评分 50/100

综合风险等级


风险等级评定

  1. A
  2. B
  3. C
  4. F

漏洞与安全项分布（%）


隐私风险

1

检测到的第三方跟踪器数量


检测结果分布

高危安全漏洞 0
中危安全漏洞 8
安全提示信息 1
已通过安全项 0
重点安全关注 0

中危安全漏洞 应用程序已启用明文网络流量 

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危安全漏洞 应用程序数据可以被备份 

[android:allowBackup=true]
这个标志允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危安全漏洞 Service (androidx.work.impl.background.systemjob.SystemJobService) 受权限保护, 但是应该检查权限的保护级别。 

Permission: android.permission.BIND_JOB_SERVICE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危安全漏洞 Broadcast Receiver (androidx.work.impl.diagnostics.DiagnosticsReceiver) 受权限保护, 但是应该检查权限的保护级别。 

Permission: android.permission.DUMP [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危安全漏洞 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
d1/b.java, line(s) 4,31
e4/d.java, line(s) 9,1173,1182
m1/h.java, line(s) 5,25,41,42,54,55

中危安全漏洞 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
j4/a.java, line(s) 3
j4/b.java, line(s) 3
k4/a.java, line(s) 4
t2/h.java, line(s) 7

中危安全漏洞 应用程序创建临时文件。敏感信息永远不应该被写进临时文件 

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
v0/e.java, line(s) 81
y0/p.java, line(s) 54

中危安全漏洞 应用程序包含隐私跟踪程序 

此应用程序有多个1隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

安全提示信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
a0/d.java, line(s) 19,22,25
a0/l.java, line(s) 25,61,119
a3/a.java, line(s) 121,126
d0/l.java, line(s) 22
d3/b.java, line(s) 35
e/c.java, line(s) 116
e/f0.java, line(s) 91
e/l0.java, line(s) 489,976,978,981,572,650,653
e/n.java, line(s) 391
e/s.java, line(s) 42
e/x0.java, line(s) 65,71,77
e4/d.java, line(s) 305
f0/e.java, line(s) 35,49,58,71
h/i.java, line(s) 85,122,134,144
h/j.java, line(s) 152
h0/c.java, line(s) 80
h0/l0.java, line(s) 74
h0/q.java, line(s) 41,62,110,176,233,254,282
h0/r1.java, line(s) 31
h0/s1.java, line(s) 32,44,51,60
h0/w0.java, line(s) 343,240,342
h0/w1.java, line(s) 80,97,71
h0/z0.java, line(s) 20,31
i/i.java, line(s) 442
k0/c.java, line(s) 52
k2/c.java, line(s) 52,118,125
k2/d.java, line(s) 30
k2/i.java, line(s) 52
k2/k.java, line(s) 31
k2/m.java, line(s) 40
k2/q.java, line(s) 24
l0/t.java, line(s) 16,15
l1/g.java, line(s) 58,63,72,78,84,93,100
l1/o.java, line(s) 41,43,51,53,61,63,71,73
m2/d.java, line(s) 259,462
m2/p.java, line(s) 223,286
n/d.java, line(s) 247
n2/a0.java, line(s) 66
n2/f.java, line(s) 451,314,318,322,331,495
n2/m.java, line(s) 82,85,114,117,120,159,164
n2/p.java, line(s) 16
n2/w.java, line(s) 54
o0/d.java, line(s) 272
p2/a.java, line(s) 67,84
r2/a.java, line(s) 1416,186,904,918,929,993,1506,1515,1430,1440
r3/d.java, line(s) 100,134
s/b.java, line(s) 66,75
s/d.java, line(s) 635
s/e.java, line(s) 51
s/i.java, line(s) 343,412
s/m.java, line(s) 775,1303,1580,1586,1587,1588,1597,1653,1659,1660,1661,1670,1724,334,923,1388,1395,1512
s3/d.java, line(s) 29
t2/d.java, line(s) 66,77,333,109,153,188,292,171,73,174,203,206,235
t2/f.java, line(s) 172,447
u3/e.java, line(s) 396,418
u3/g.java, line(s) 129
v0/b.java, line(s) 65,185,29,36,38,44,32,40,46,60,71,87,105,149
v0/e.java, line(s) 38,49,51,82,103,184,196,200,204,209,247,249,263,308,75,194,244,251,277,287,312,331
v1/f.java, line(s) 92,95
v2/f.java, line(s) 32
w/e.java, line(s) 64
w3/g.java, line(s) 62
x0/e1.java, line(s) 166
x0/q0.java, line(s) 571
x0/z.java, line(s) 125,98
x0/z0.java, line(s) 47
y0/g.java, line(s) 76,170
y0/k.java, line(s) 47,59
y0/l.java, line(s) 65
y0/p.java, line(s) 144,147,152
y2/b.java, line(s) 29
y2/r.java, line(s) 42
z/g.java, line(s) 71,76
z/h.java, line(s) 27
z/i.java, line(s) 63
z/j.java, line(s) 43
z/k.java, line(s) 54,111

综合安全基线评分: ( CRadio 4.5)