移动应用安全检测报告： 中洋 v2.4.1

安全基线评分


安全基线评分 54/100

综合风险等级


风险等级评定

  1. A
  2. B
  3. C
  4. F

漏洞与安全项分布（%）


隐私风险

0

检测到的第三方跟踪器数量


检测结果分布

高危安全漏洞 1
中危安全漏洞 3
安全提示信息 1
已通过安全项 1
重点安全关注 0

高危安全漏洞 如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击 

如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-7

Files:
com/zhongyangappinfotexh/app/MainActivity.java, line(s) 336,24,25

中危安全漏洞 应用程序已启用明文网络流量 

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危安全漏洞 应用程序数据可以被备份 

[android:allowBackup=true]
这个标志允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危安全漏洞 可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息 

可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-6

Files:
com/zhongyangappinfotexh/app/MainActivity.java, line(s) 271,270

安全提示信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
a/a/n/g.java, line(s) 124,157,234
a/e/a/d.java, line(s) 195
a/e/b/b/j.java, line(s) 889
a/g/d/d.java, line(s) 397,402
a/g/d/f.java, line(s) 80
a/g/d/g.java, line(s) 38,73
a/g/d/h.java, line(s) 49,107
a/g/d/k.java, line(s) 96,99
a/g/d/l.java, line(s) 96
a/g/g/c.java, line(s) 32
a/g/i/b.java, line(s) 36,48,60,74
a/g/k/a0.java, line(s) 21,32
a/g/k/c0.java, line(s) 19,34,55,82,103,124,145
a/g/k/d.java, line(s) 63
a/g/k/h0.java, line(s) 356,373,122,134,141,150,43,62,347
a/g/k/i.java, line(s) 21,30
a/g/k/i0/c.java, line(s) 161
a/g/k/j0/b.java, line(s) 77
a/g/k/l.java, line(s) 14
a/g/k/z.java, line(s) 1390,1252,1389
a/i/b/c.java, line(s) 397
a/m/a/b.java, line(s) 33,41,62
a/o/a.java, line(s) 36
a/p/i0.java, line(s) 33,86
a/p/y.java, line(s) 35,44,46
a/q/a/a/h.java, line(s) 957
b/a/a/a/a0/g.java, line(s) 400
b/a/a/a/l/h.java, line(s) 51
b/a/a/a/x/d.java, line(s) 148,181
b/a/a/a/y/b.java, line(s) 49
com/zhongyangappinfotexh/app/MainActivity.java, line(s) 67,82,111,149,155,164,186,208,211,292
com/zhongyangappinfotexh/app/rApplication.java, line(s) 16

已通过安全项 此应用程序没有隐私跟踪程序 

此应用程序不包括任何用户或设备跟踪器。在静态分析期间没有找到任何跟踪器。

综合安全基线评分: ( 中洋 2.4.1)