安全分析报告： Update service v1.4.8

安全分数


安全分数 45/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

0

用户/设备跟踪器


调研结果

高危 3
中危 13
信息 1
安全 1
关注 1

高危 程序可被任意调试 

[android:debuggable=true]
应用可调试标签被开启，这使得逆向工程师更容易将调试器挂接到应用程序上。这允许导出堆栈跟踪和访问调试助手类。

高危 Activity (com.example.variousdata.activity.PriorityActivity) 容易受到StrandHogg 2.0的攻击 

已发现活动存在 StrandHogg 2.0 栈劫持漏洞的风险。漏洞利用时，其他应用程序可以将恶意活动放置在易受攻击的应用程序的活动栈顶部，从而使应用程序成为网络钓鱼攻击的易受攻击目标。可以通过将启动模式属性设置为“singleInstance”并设置空 taskAffinity (taskAffinity="") 来修复此漏洞。您还可以将应用的目标 SDK 版本 (26) 更新到 29 或更高版本以在平台级别修复此问题。

高危 启用了调试配置。生产版本不能是可调试的 

启用了调试配置。生产版本不能是可调试的
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04c-Tampering-and-Reverse-Engineering.md#debugging-and-tracing

Files:
com/example/variousdata/BuildConfig.java, line(s) 3,6

中危 Broadcast Receiver (com.example.variousdata.receiver.BootReceiver) 未被保护。 

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危 Service (com.example.variousdata.service.UpdateService) 受权限保护, 但是应该检查权限的保护级别。 

Permission: android.permission.BIND_ACCESSIBILITY_SERVICE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Broadcast Receiver (com.example.variousdata.receiver.MyDeviceAdminReceiver) 受权限保护, 但是应该检查权限的保护级别。 

Permission: android.permission.BIND_DEVICE_ADMIN [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Service (androidx.work.impl.background.systemjob.SystemJobService) 受权限保护, 但是应该检查权限的保护级别。 

Permission: android.permission.BIND_JOB_SERVICE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Broadcast Receiver (androidx.work.impl.diagnostics.DiagnosticsReceiver) 受权限保护, 但是应该检查权限的保护级别。 

Permission: android.permission.DUMP [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/example/variousdata/data/CalendarEventFetcher.java, line(s) 34
com/example/variousdata/data/SmsReader.java, line(s) 49,82
com/example/variousdata/service/BackgroundService.java, line(s) 1837,1903,1958,2057,2178
com/example/variousdata/utils/MD5Example.java, line(s) 13
com/example/variousdata/utils/MD5Utils.java, line(s) 9
com/tencent/qimei/m/a.java, line(s) 65
com/tencent/qmsp/oaid2/l.java, line(s) 78

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/example/variousdata/DBHelper.java, line(s) 6,7,79,150,218,272,374,481,551,665,746,809,869,922,1000,1077,1133,1138,1151,1209,1270
com/example/variousdata/DatabaseHelper.java, line(s) 4,5,31
com/example/variousdata/DatabaseToLog.java, line(s) 5,22
com/example/variousdata/screenshot/DatabaseToDiscord.java, line(s) 6,33
com/example/variousdata/screenshot/DatabaseToEmails.java, line(s) 6,33
com/example/variousdata/screenshot/DatabaseToFacebook.java, line(s) 6,33
com/example/variousdata/screenshot/DatabaseToGmail.java, line(s) 6,33
com/example/variousdata/screenshot/DatabaseToInstagram.java, line(s) 6,33
com/example/variousdata/screenshot/DatabaseToKik.java, line(s) 6,33
com/example/variousdata/screenshot/DatabaseToLine.java, line(s) 6,33
com/example/variousdata/screenshot/DatabaseToMessenger.java, line(s) 6,33
com/example/variousdata/screenshot/DatabaseToQQ.java, line(s) 6,33
com/example/variousdata/screenshot/DatabaseToSkype.java, line(s) 6,33
com/example/variousdata/screenshot/DatabaseToSnapchat.java, line(s) 6,33
com/example/variousdata/screenshot/DatabaseToTeams.java, line(s) 6,33
com/example/variousdata/screenshot/DatabaseToTelegram.java, line(s) 6,33
com/example/variousdata/screenshot/DatabaseToTiktok.java, line(s) 6,33
com/example/variousdata/screenshot/DatabaseToTinder.java, line(s) 6,33
com/example/variousdata/screenshot/DatabaseToViber.java, line(s) 6,33
com/example/variousdata/screenshot/DatabaseToWechat.java, line(s) 6,33
com/example/variousdata/screenshot/DatabaseToWhatsapp.java, line(s) 6,33
com/example/variousdata/screenshot/DatabaseToYoutube.java, line(s) 6,33

中危 IP地址泄露 

IP地址泄露


Files:
com/tencent/qimei/e/c.java, line(s) 149
com/tencent/qimei/upload/BuildConfig.java, line(s) 12

中危 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/tencent/qimei/m/a.java, line(s) 12
com/tencent/qimei/r/f.java, line(s) 11
com/tencent/qimei/w/b.java, line(s) 3

中危 SHA-1是已知存在哈希冲突的弱哈希 

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/tencent/qmsp/oaid2/h0.java, line(s) 77

中危 不安全的Web视图实现。可能存在WebView任意代码执行漏洞 

不安全的Web视图实现。可能存在WebView任意代码执行漏洞
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#testing-javascript-execution-in-webviews-mstg-platform-5

Files:
com/tencent/qimei/ad/k.java, line(s) 36,33
com/tencent/qimei/ad/n.java, line(s) 39,37

中危 可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息 

可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-6

Files:
com/tencent/qimei/ad/k.java, line(s) 34,33
com/tencent/qimei/ad/n.java, line(s) 36,37

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
UrtmSuF4z5AAzdGl9Og1VzLWWKvLkEfy
AKID3794udK2nAbv65qOyY9oYDlGpJdmyCU0
bGV2ZWxfaXBhX3RzcmlmLnRjdWRvcnAub3I=

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
com/example/variousdata/CosDelete.java, line(s) 26
com/example/variousdata/DBHelper.java, line(s) 315,73,112,135,144,195,211,250,304,362,414,421,428,521,528,535,586,646,691,786,844,906,961,989,1048,1055,1114,1175,1187,1244,1307
com/example/variousdata/activity/PositionActivity.java, line(s) 51,53,59
com/example/variousdata/activity/RenewActivity.java, line(s) 149
com/example/variousdata/activity/UserDataChecker.java, line(s) 29,37,54,57,58,81,85,99,131,101,136
com/example/variousdata/receiver/GeofenceBroadcastReceiver.java, line(s) 27,34,21
com/example/variousdata/service/BackgroundService.java, line(s) 397,399,476,560,577,587,646,676,754,918,919,929,1787,1795,1796,1797,1801,1802,2126,615,732,791,860,1804,1805,1778
com/example/variousdata/utils/AddressConverter.java, line(s) 31
com/example/variousdata/utils/GeofenceHelper.java, line(s) 33,52,70,56,60,74,78
com/example/variousdata/utils/NetworkUtils.java, line(s) 27,28
com/example/variousdata/utils/OkHttpManager.java, line(s) 44,67,95,126,46,54,73,81,103,112,132,140
com/example/variousdata/utils/WifiConnection.java, line(s) 75
com/tencent/qimei/n/a.java, line(s) 24,44
com/tencent/qmsp/oaid2/c.java, line(s) 11,17,23
com/tencent/qmsp/oaid2/j.java, line(s) 32,46
com/tencent/qmsp/oaid2/y.java, line(s) 15
org/greenrobot/eventbus/Logger.java, line(s) 33,38
org/greenrobot/eventbus/util/ErrorDialogConfig.java, line(s) 34
org/greenrobot/eventbus/util/ErrorDialogManager.java, line(s) 185

安全 此应用程序没有隐私跟踪程序 

此应用程序不包括任何用户或设备跟踪器。在静态分析期间没有找到任何跟踪器。

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (tun-cos-1258344701.file.myqcloud.com) 通信。 

{'ip': '115.150.38.95', 'country_short': 'CN', 'country_long': '中国', 'region': '江西', 'city': '赣州', 'latitude': '25.850000', 'longitude': '114.933327'}

安全评分: ( Update service 1.4.8)