安全分析报告： 恋综 v1.0.0

安全分数


安全分数 40/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

0

用户/设备跟踪器


调研结果

高危 3
中危 4
信息 0
安全 1
关注 3

高危 Activity (io.dcloud.PandoraEntry) is vulnerable to StrandHogg 2.0 

已发现活动存在 StrandHogg 2.0 栈劫持漏洞的风险。漏洞利用时，其他应用程序可以将恶意活动放置在易受攻击的应用程序的活动栈顶部，从而使应用程序成为网络钓鱼攻击的易受攻击目标。可以通过将启动模式属性设置为“singleInstance”并设置空 taskAffinity (taskAffinity="") 来修复此漏洞。您还可以将应用的目标 SDK 版本 (28) 更新到 29 或更高版本以在平台级别修复此问题。

高危 Activity (io.dcloud.PandoraEntryActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (io.dcloud.WebAppActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

中危 应用程序存在Janus漏洞 

应用程序使用了v1签名方案进行签名，如果只使用v1签名方案，那么它就容易受到安卓5.0-8.0上的Janus漏洞的攻击。在安卓5.0-7.0上运行的使用了v1签名方案的应用程序，以及同时使用了v2/v3签名方案的应用程序也同样存在漏洞。

中危 应用程序可以安装在有漏洞的已更新 Android 版本上 

Android 4.4-4.4.4, [minSdk=19]
该应用程序可以安装在具有多个未修复漏洞的旧版本 Android 上。这些设备不会从 Google 接收合理的安全更新。支持 Android 版本 => 10、API 29 以接收合理的安全更新。

中危 应用程序已启用明文网络流量 

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
DCLOUD的 "ApplicationId" : "plus.H56579B3B"
DCLOUD的 "CHANNEL" : "common"
DCLOUD的 "APPID" : "H51EEB1AB"
DCLOUD的 "DCLOUD_STREAMAPP_CHANNEL" : "plus.H56579B3B|H51EEB1AB|120398240508|common"
DCLOUD的 "AD_ID" : "120398240508"
w7zHlsSTZe6fiMSDbUFwcGxpY2F0aW9uSW5mb2Xun4jEg+6fiMecxJU=
w7pkxINl7p+IxINsaWJqaWFndV94ODYuc29l7p+IxIPHlMO8xIU=
7p+IYsSNZe6fiMSDU0hBMWXun4jEg2XDusSP
YsO8xIVl7p+IxINhbmRyb2lkLmFwcC5Mb2FkZWRBcGtl7p+IxIPHnMeWxIc=
x5xjxI9l7p+IxINsaWJqaWFndS5zb2Xun4jEg8eaw7zEkQ==
ZO6fiMSLZe6fiMSDLy5qaWFndS90cnkuZmxhZ2Xun4jEg2HHmsSN
x5zun4jEj2TDvMSH6K+35bCG5oKo55qE5a6J5Y2T5L+u5pS55aSn5biI6LSm5Y+35Y2H57qn5Yiw6LaF57qnVklQ5ZCO6L+b6KGM5Yqg5Zu677yM5Y2z5Y+v5Y675o6J5pys5raI5oGvZMO8xIfHmGTEkQ==
7p+IZcSRZe6fiMSDbUFwcGxpY2F0aW9uZe6fiMSDYe6fiMST
7p+IZMSNZe6fiMSDbGliamlhZ3VfNjQuc29l7p+IxINl7p+IxI8=
x5xixI1l7p+IxINtQWxsQXBwbGljYXRpb25zZe6fiMSDw7zHmsSP
w7zHmsSBZe6fiMSDZmdhZmViYmMuYWNhYmFpYWRl7p+IxIPDue6fiMSD
ZceYxIll7p+IxINtTWFpblRocmVhZGXun4jEg8ecw7zEiw==
w7rDucSRZe6fiMSDbGliamlhZ3VfeDg2LnNvZe6fiMSDZmXEkw==
ZGHEi2TDvMSHNzVlY2E4MGFkOWFlOTdkMzFjZDI2ZjRkYWEwZmQ0MDU1OTc4ZGNkOWTDvMSHZGbEjQ==
Y2LEg2Xun4jEg2FuZHJvaWQuYXBwLkFjdGl2aXR5VGhyZWFkZe6fiMSDx5bHnMSF
w7xjxIll7p+IxINjdXJyZW50QWN0aXZpdHlUaHJlYWRl7p+IxIPHmmTEiw==
ZsO6xJFkw7zEh+W6lOeUqOiiq+evoeaUue+8jOWNs+WwhumAgOWHumTDvMSHYmPEkw==
x5jFq8SBZe6fiMSDbGliamlhZ3VfeDg2XzY0LnNvZe6fiMSDxavHmsSD
x5hixIdl7p+IxINhbmRyb2lkLmFwcC5BY3Rpdml0eVRocmVhZGXun4jEg+6fiMeYxIk=
w7ljxI1l7p+IxINhbmRyb2lkLmNvbnRlbnQuQ29udGVudFByb3ZpZGVyZe6fiMSDxavFq8SP
7p+Iw7nEiWTDvMSHZmdhZmViYmMuYWNhYmFpYWRkw7zEh2THlsSL
ZGPEi2Xun4jEg21Mb2NhbFByb3ZpZGVyZe6fiMSDYsWrxI0=
x5RmxIdl7p+IxIMvLmppYWd1L2xpYmppYWd1Ze6fiMSD7p+Ix5rEiQ==
ZWTEiWXun4jEgy8uamlhZ3Uvc3VjY2Vzcy5mbGFnZe6fiMSDxavun4jEiw==
Y8eYxIFl7p+IxINjb20uc3R1Yi5TdHViQXBwZe6fiMSDw7plxIM=
xavHlMSFZe6fiMSDbGliamlhZ3VfeDg2XzY0LnNvZe6fiMSDZWLEhw==
7p+Ix5bEiWXun4jEg21Qcm92aWRlck1hcGXun4jEg2VlxIs=
ZGPEh2Xun4jEg21BcHBsaWNhdGlvbmXun4jEg8eaZcSJ
ZceYxI9l7p+IxINtQ29udGV4dGXun4jEg2XHmsSR
x5bHmsSTZe6fiMSDYXR0YWNoZe6fiMSDw7xjxJU=
YsO5xIFl7p+IxINhbmRyb2lkLmFwcC5Mb2FkZWRBcGtl7p+IxINjx5zEgw==
YWTEkWXun4jEg2NvbS5zdHViLlN0dWJBcHBl7p+IxIPHlseYxJM=
ZsO5xItl7p+IxINtSW5pdGlhbEFwcGxpY2F0aW9uZe6fiMSDZMO8xI0=
x5zun4jEk2Xun4jEgy8uamlhZ3Uvc3VjY2Vzcy5mbGFnZe6fiMSDx5zun4jElQ==
YcO8xItl7p+IxINhc3NldHMvZGF0YS5zb2Xun4jEg2bun4jEjQ==
x5zFq8SFZe6fiMSDY29tLnN0dWIuU3R1YkFwcGXun4jEg2NkxIc=

安全 此应用程序没有隐私跟踪程序 

此应用程序不包括任何用户或设备跟踪器。在静态分析期间没有找到任何跟踪器。

关注 应用程序可能与位于OFAC制裁国家 (China) 的服务器 (er.dcloud.net.cn) 通信。 

{'ip': '118.89.168.191', 'country_short': 'CN', 'country_long': 'China', 'region': 'Beijing', 'city': 'Beijing', 'latitude': '39.907501', 'longitude': '116.397232'}

关注 应用程序可能与位于OFAC制裁国家 (China) 的服务器 (ask.dcloud.net.cn) 通信。 

{'ip': '58.222.30.203', 'country_short': 'CN', 'country_long': 'China', 'region': 'Jiangsu', 'city': 'Taizhou', 'latitude': '32.493328', 'longitude': '119.910629'}

关注 应用程序可能与位于OFAC制裁国家 (China) 的服务器 (m3w.cn) 通信。 

{'ip': '175.4.61.173', 'country_short': 'CN', 'country_long': 'China', 'region': 'Hunan', 'city': 'Zhuzhou', 'latitude': '27.833330', 'longitude': '113.150002'}

安全评分: ( 恋综 1.0.0)