安全分析报告： 实时应用 v5.2.5.3

安全分数


安全分数 48/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

0

用户/设备跟踪器


调研结果

高危 3
中危 4
信息 3
安全 2
关注 1

高危 应用程序使用了调试证书进行签名 

应用程序使用了调试证书进行签名。生产环境的应用程序不能使用调试证书发布。

高危 程序可被任意调试 

[android:debuggable=true]
应用可调试标签被开启，这使得逆向工程师更容易将调试器挂接到应用程序上。这允许导出堆栈跟踪和访问调试助手类。

高危 启用了调试配置。生产版本不能是可调试的 

启用了调试配置。生产版本不能是可调试的
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04c-Tampering-and-Reverse-Engineering.md#debugging-and-tracing

Files:
artisoft/rasc/BuildConfig.java, line(s) 3,6
org/qtproject/example/rasc/BuildConfig.java, line(s) 3,6

中危 应用程序数据存在被泄露的风险 

未设置[android:allowBackup]标志
这个标志 [android:allowBackup]应该设置为false。默认情况下它被设置为true，允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
org/qtproject/qt5/android/QtActivityDelegate.java, line(s) 45,50,55,56,57,58,59,60,61
org/qtproject/qt5/android/QtServiceDelegate.java, line(s) 12,17,13,14,15,16,18,19,20,21
org/qtproject/qt5/android/bindings/QtLoader.java, line(s) 38,39,58,34,35,36,40,41,42,43,44,45,46,48,49,50,51,52,55,57,60,61,62,63

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
org/qtproject/qt5/android/multimedia/QtMultimediaUtils.java, line(s) 64,66

中危 IP地址泄露 

IP地址泄露


Files:
artisoft/rasc/BuildConfig.java, line(s) 9

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
org/qtproject/qt5/android/ExtractStyle.java, line(s) 942
org/qtproject/qt5/android/QtActivityDelegate.java, line(s) 1024,1034
org/qtproject/qt5/android/QtNative.java, line(s) 303,852,226,229,231,252,266,269
org/qtproject/qt5/android/accessibility/QtAccessibilityDelegate.java, line(s) 190,191,195,198,82,110,151,156,182,239
org/qtproject/qt5/android/bindings/QtLoader.java, line(s) 100,477,478,533,540,587
org/qtproject/qt5/android/multimedia/QtAndroidMediaPlayer.java, line(s) 168,180,192,203,214,227,276,289,302,315,328,366,387,408,429,450,520,532,558

信息 此应用侦听剪贴板更改。一些恶意软件也会监听剪贴板更改 

此应用侦听剪贴板更改。一些恶意软件也会监听剪贴板更改
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04b-Mobile-App-Security-Testing.md#clipboard

Files:
org/qtproject/qt5/android/QtNative.java, line(s) 655,6

信息 此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它 

此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04b-Mobile-App-Security-Testing.md#clipboard

Files:
org/qtproject/qt5/android/QtNative.java, line(s) 6,726,729

安全 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击 

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
org/qtproject/qt5/android/QtNative.java, line(s) 844,843,842,842

安全 此应用程序没有隐私跟踪程序 

此应用程序不包括任何用户或设备跟踪器。在静态分析期间没有找到任何跟踪器。

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.artisoft.cn) 通信。 

{'ip': '111.225.211.222', 'country_short': 'CN', 'country_long': '中国', 'region': '河北', 'city': '保定', 'latitude': '38.851109', 'longitude': '115.490280'}

安全评分: ( 实时应用 5.2.5.3)