Yabo Football v5.55版本 - 安全评分 _南明离火移动安全分析平台

高危应用程序存在Janus漏洞

应用程序使用了v1签名方案进行签名，如果只使用v1签名方案，那么它就容易受到安卓5.0-8.0上的Janus漏洞的攻击。在安卓5.0-7.0上运行的使用了v1签名方案的应用程序，以及同时使用了v2/v3签名方案的应用程序也同样存在漏洞。

高危 WebView域控制不严格漏洞

CODE

WebView域控制不严格漏洞


Files:
yiqicai/example/webdgo/DownloadActivity.java, line(s) 133,116,118,119,120,121,122,123,124,125,126,127,128,137,139,142,144,151
yiqicai/example/webdgo/WebViewActivity.java, line(s) 71,54,56,57,58,59,60,61,62,63,64,65,66,74,77,79,86,111

高危不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击

CODE

不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#webview-server-certificate-verification

Files:
yiqicai/example/webdgo/WebViewActivity.java, line(s) 130,128

高危 SSL的不安全实现。信任所有证书或接受自签名证书是一个关键的安全漏洞。此应用程序易受MITM攻击

CODE

SSL的不安全实现。信任所有证书或接受自签名证书是一个关键的安全漏洞。此应用程序易受MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#android-network-apis

Files:
org/wlf/filedownloader/file_download/HttpConnectionHelper.java, line(s) 59,15,16,17,18,19,20

高危使用弱加密算法

CODE

使用弱加密算法
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
yiqicai/example/webdgo/JiaMi.java, line(s) 17,32

高危应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。

CODE

应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
yiqicai/example/webdgo/JiaMi.java, line(s) 17,32

高危应用程序包含隐私跟踪程序

TRACKERS

此应用程序有多个5隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危应用程序数据可以被备份

MANIFEST

[android:allowBackup=true]
这个标志允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危 Broadcast Receiver (MyReceiver) 未被保护。

MANIFEST

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危 Broadcast Receiver (com.google.firebase.iid.FirebaseInstanceIdReceiver) 受权限保护, 但是应该检查权限的保护级别。

MANIFEST

Permission: com.google.android.c2dm.permission.SEND [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Broadcast Receiver (md5604a49fba5fde07c26df1213fecf78c0.SubscritionUpdatedReceiver) 未被保护。

MANIFEST

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危 Broadcast Receiver (md5604a49fba5fde07c26df1213fecf78c0.FavPushUpdatedReceiver) 未被保护。

MANIFEST

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危 Broadcast Receiver (md5604a49fba5fde07c26df1213fecf78c0.LogosDownloadedReceiver) 未被保护。

MANIFEST

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危 Broadcast Receiver (md5604a49fba5fde07c26df1213fecf78c0.TlsPushNotificationCanceledReceiver) 未被保护。

MANIFEST

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危 Service (md5e0551b0be3a38b5c0e7fccbbbae0a87b.MyFirebaseIIDService) 未被保护。

MANIFEST

存在一个intent-filter。
发现 Service与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Service是显式导出的。

中危 Service (md5e0551b0be3a38b5c0e7fccbbbae0a87b.MyFirebaseMessagingService) 未被保护。

MANIFEST

存在一个intent-filter。
发现 Service与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Service是显式导出的。

中危 Broadcast Receiver (com.google.android.gms.measurement.AppMeasurementInstallReferrerReceiver) 受权限保护, 但是应该检查权限的保护级别。

MANIFEST

Permission: android.permission.INSTALL_PACKAGES [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Broadcast Receiver (com.google.firebase.iid.FirebaseInstanceIdReceiver) 受权限保护, 但是应该检查权限的保护级别。

MANIFEST

Permission: com.google.android.c2dm.permission.SEND [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Service (com.google.firebase.iid.FirebaseInstanceIdService) 未被保护。

MANIFEST

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (com.google.firebase.messaging.FirebaseMessagingService) 未被保护。

MANIFEST

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

CODE

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
mono/MonoPackageManager.java, line(s) 34
org/wlf/filedownloader/FileDownloadConfiguration.java, line(s) 29
org/wlf/filedownloader/util/FileUtil.java, line(s) 43,50
yiqicai/example/webdgo/YQCFileProvider.java, line(s) 178

中危文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

CODE

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/microsoft/windowsazure/messaging/Connection.java, line(s) 30,32,35
com/microsoft/windowsazure/messaging/NotificationHub.java, line(s) 25,26,29
yiqicai/example/webdgo/KaiGuanTask.java, line(s) 34

中危应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库

CODE

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
org/wlf/filedownloader/file_download/db_recorder/DownloadFileDao.java, line(s) 3,4,18

中危此应用可能包含硬编码机密信息

SECRETS

从应用程序中识别出以下机密确保这些不是机密或私人信息
"Draws" : "Pareggi"
"google_api_key" : "AIzaSyAmROhxhWvLtSI4u8SXVEV-LHRGqWux1uM"
"google_crash_reporting_api_key" : "AIzaSyAmROhxhWvLtSI4u8SXVEV-LHRGqWux1uM"
"Turkey" : "Turquie"
"Draws" : "Nuls"
"firebase_database_url" : "https://tls-football.firebaseio.com"
"Draws" : "Beraberlik"
"Possession" : "Posse"
"Draws" : "Draws"
"Turkey" : "Turquia"
"Key" : "Kilit"
"Turkey" : "Turchia"
"Turkey" : "Turkey"
"Draws" : "Unentschieden"
"Possession" : "Possesso"
"Possession" : "Ballbesitz"
"Key" : "Imp"
"Key" : "Esp"
"Key" : "Key"
"Possession" : "Possession"
"Draws" : "Empates"
893B553ED99E87ABC4D4EEA1E66B346018AD4065CC6B9A2ED2959B2465EBCBFB

信息应用程序记录日志信息,不得记录敏感信息

CODE

应用程序记录日志信息,不得记录敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
org/wlf/filedownloader/DownloadCacher.java, line(s) 79,84,95,99,426
org/wlf/filedownloader/DownloadConfiguration.java, line(s) 327,378,254,260,269,275,290
org/wlf/filedownloader/DownloadFileChangeObserver.java, line(s) 25,40,60,77,93
org/wlf/filedownloader/FileDownloadConfiguration.java, line(s) 42,45,47,50,63,35,72
org/wlf/filedownloader/FileDownloadManager.java, line(s) 55
org/wlf/filedownloader/base/BaseDownloadConfigBuilder.java, line(s) 20,33
org/wlf/filedownloader/base/Log.java, line(s) 26,33,75,82,40,47,12,19,54,61,68
org/wlf/filedownloader/file_delete/DeleteDownloadFileTask.java, line(s) 43,46,48,56,59,61,75,78,80,83,96,99,102,104,110,113,115,121,124,126,131,134,136
org/wlf/filedownloader/file_delete/DeleteDownloadFilesTask.java, line(s) 81,85,89,93,95,105,109,127,133,139,173,189,200,209,218
org/wlf/filedownloader/file_delete/DownloadDeleteManager.java, line(s) 42,45,49,56
org/wlf/filedownloader/file_download/DetectUrlFileTask.java, line(s) 109,140,151,183,233,268,299,329,349,365,389,395,404,413,186
org/wlf/filedownloader/file_download/DownloadStatusObserver.java, line(s) 28,43,53,60,67,73,79,85,91,98
org/wlf/filedownloader/file_download/DownloadTaskImpl.java, line(s) 65,218,257,260,295,331,367,409,443,471,490,502,512,515,735,746,752,671,721,525,540,555,593,622,629,636,643,657,683,700,713
org/wlf/filedownloader/file_download/DownloadTaskManager.java, line(s) 158,200,204,213,406,409,424,430,192
org/wlf/filedownloader/file_download/HttpConnectionHelper.java, line(s) 75,94,99
org/wlf/filedownloader/file_download/RetryableDownloadTaskImpl.java, line(s) 287,304,326,341,344,362,388,399,414,428,439,445,215,265,120,137,166,173,180,187,201,227,244,257
org/wlf/filedownloader/file_download/db_recorder/DownloadFileDao.java, line(s) 23
org/wlf/filedownloader/file_download/file_saver/FileSaver.java, line(s) 79,101,111,124,137,149,169,184,198,220,253,229,237,247
org/wlf/filedownloader/file_download/http_downloader/HttpDownloader.java, line(s) 92,106,125,156,164,172,190,99
org/wlf/filedownloader/file_move/DownloadMoveManager.java, line(s) 42,45,49,56
org/wlf/filedownloader/file_move/MoveDownloadFileTask.java, line(s) 46,49,51,59,62,64,78,81,83,90,93,95,113,116,118,125,128,130,146,149,151,157,160,162,167,170,172
org/wlf/filedownloader/file_move/MoveDownloadFilesTask.java, line(s) 87,91,95,99,101,111,115,133,139,145,179,195,206,215,225
org/wlf/filedownloader/file_rename/DownloadRenameManager.java, line(s) 38,41,45,52
org/wlf/filedownloader/file_rename/RenameDownloadFileTask.java, line(s) 48,51,53,61,64,66,83,86,88,95,98,100,114,117,119,149,152,154,161,164,166,173,181,184,186,195,198,200
org/wlf/filedownloader/util/UrlUtil.java, line(s) 213,239,240,250,251,252,253,254,255,256,257,258,280
yiqicai/example/webdgo/DownloadActivity.java, line(s) 64,78
yiqicai/example/webdgo/KaiGuanTask.java, line(s) 97,105,139
yiqicai/example/webdgo/YQCUtils.java, line(s) 30,43

安全此应用程序可能具有Root检测功能

CODE

此应用程序可能具有Root检测功能
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05j-Testing-Resiliency-Against-Reverse-Engineering.md#testing-root-detection-mstg-resilience-1

Files:
yiqicai/example/webdgo/NetUtils.java, line(s) 37

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.googletagmanager.com) 通信。

DOMAINS

{'ip': '180.163.151.166', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (app-measurement.com) 通信。

DOMAINS

{'ip': '180.163.151.166', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (googleads.g.doubleclick.net) 通信。

DOMAINS

{'ip': '180.163.151.166', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

安全分析报告： Yabo Football v5.55

安全分数

安全分数 38/100

风险评级

等级

严重性分布 (%)

隐私风险

用户/设备跟踪器

调研结果

高危应用程序存在Janus漏洞

高危 WebView域控制不严格漏洞

高危不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击

高危 SSL的不安全实现。信任所有证书或接受自签名证书是一个关键的安全漏洞。此应用程序易受MITM攻击

高危使用弱加密算法

高危应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。

高危应用程序包含隐私跟踪程序

中危应用程序数据可以被备份

中危 Broadcast Receiver (MyReceiver) 未被保护。

中危 Broadcast Receiver (com.google.firebase.iid.FirebaseInstanceIdReceiver) 受权限保护, 但是应该检查权限的保护级别。

中危 Broadcast Receiver (md5604a49fba5fde07c26df1213fecf78c0.SubscritionUpdatedReceiver) 未被保护。

中危 Broadcast Receiver (md5604a49fba5fde07c26df1213fecf78c0.FavPushUpdatedReceiver) 未被保护。

中危 Broadcast Receiver (md5604a49fba5fde07c26df1213fecf78c0.LogosDownloadedReceiver) 未被保护。

中危 Broadcast Receiver (md5604a49fba5fde07c26df1213fecf78c0.TlsPushNotificationCanceledReceiver) 未被保护。

中危 Service (md5e0551b0be3a38b5c0e7fccbbbae0a87b.MyFirebaseIIDService) 未被保护。

中危 Service (md5e0551b0be3a38b5c0e7fccbbbae0a87b.MyFirebaseMessagingService) 未被保护。

中危 Broadcast Receiver (com.google.android.gms.measurement.AppMeasurementInstallReferrerReceiver) 受权限保护, 但是应该检查权限的保护级别。

中危 Broadcast Receiver (com.google.firebase.iid.FirebaseInstanceIdReceiver) 受权限保护, 但是应该检查权限的保护级别。

中危 Service (com.google.firebase.iid.FirebaseInstanceIdService) 未被保护。

中危 Service (com.google.firebase.messaging.FirebaseMessagingService) 未被保护。

中危应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

中危文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

中危应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库

中危此应用可能包含硬编码机密信息

信息应用程序记录日志信息,不得记录敏感信息

安全此应用程序可能具有Root检测功能

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.googletagmanager.com) 通信。

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (app-measurement.com) 通信。

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (googleads.g.doubleclick.net) 通信。

安全评分: ( Yabo Football 5.55)

安全分析报告： Yabo Football v5.55

安全分数

安全分数 38/100

风险评级

等级

严重性分布 (%)

隐私风险

用户/设备跟踪器

调研结果

高危 应用程序存在Janus漏洞

高危 WebView域控制不严格漏洞

高危 不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击

高危 SSL的不安全实现。信任所有证书或接受自签名证书是一个关键的安全漏洞。此应用程序易受MITM攻击

高危 使用弱加密算法

高危 应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。

高危 应用程序包含隐私跟踪程序

中危 应用程序数据可以被备份

中危 Broadcast Receiver (MyReceiver) 未被保护。

中危 Broadcast Receiver (com.google.firebase.iid.FirebaseInstanceIdReceiver) 受权限保护, 但是应该检查权限的保护级别。

中危 Broadcast Receiver (md5604a49fba5fde07c26df1213fecf78c0.SubscritionUpdatedReceiver) 未被保护。

中危 Broadcast Receiver (md5604a49fba5fde07c26df1213fecf78c0.FavPushUpdatedReceiver) 未被保护。

中危 Broadcast Receiver (md5604a49fba5fde07c26df1213fecf78c0.LogosDownloadedReceiver) 未被保护。

中危 Broadcast Receiver (md5604a49fba5fde07c26df1213fecf78c0.TlsPushNotificationCanceledReceiver) 未被保护。

中危 Service (md5e0551b0be3a38b5c0e7fccbbbae0a87b.MyFirebaseIIDService) 未被保护。

中危 Service (md5e0551b0be3a38b5c0e7fccbbbae0a87b.MyFirebaseMessagingService) 未被保护。

中危 Broadcast Receiver (com.google.android.gms.measurement.AppMeasurementInstallReferrerReceiver) 受权限保护, 但是应该检查权限的保护级别。

中危 Broadcast Receiver (com.google.firebase.iid.FirebaseInstanceIdReceiver) 受权限保护, 但是应该检查权限的保护级别。

中危 Service (com.google.firebase.iid.FirebaseInstanceIdService) 未被保护。

中危 Service (com.google.firebase.messaging.FirebaseMessagingService) 未被保护。

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

中危 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库

中危 此应用可能包含硬编码机密信息

信息 应用程序记录日志信息,不得记录敏感信息

安全 此应用程序可能具有Root检测功能

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.googletagmanager.com) 通信。

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (app-measurement.com) 通信。

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (googleads.g.doubleclick.net) 通信。

安全评分: ( Yabo Football 5.55)

高危应用程序存在Janus漏洞

高危不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击

高危使用弱加密算法

高危应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。

高危应用程序包含隐私跟踪程序

中危应用程序数据可以被备份

中危应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

中危文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

中危应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库

中危此应用可能包含硬编码机密信息

信息应用程序记录日志信息,不得记录敏感信息

安全此应用程序可能具有Root检测功能

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.googletagmanager.com) 通信。

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (app-measurement.com) 通信。

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (googleads.g.doubleclick.net) 通信。