安全分析报告： 中车智程 v2.0.9

安全分数


安全分数 22/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

3

用户/设备跟踪器


调研结果

高危 34
中危 21
信息 2
安全 2
关注 9

高危 基本配置不安全地配置为允许到所有域的明文流量。 

Scope:
*

高危 Activity (com.crrc.go.android.activity.LoginActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.crrc.go.android.activity.flight.OrderPayResultActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SGTKStub_00) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SGTKStub_01) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SGTKStub_02) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SGTKStub_03) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SGTKStub_04) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SGTKStub_05) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SGTKStub_06) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SGTKStub_07) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SGTKStub_08) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SGTKStub_09) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SGTKStub_00_T) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SGTKStub_01_T) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SGTKStub_02_T) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SIStub_00) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SIStub_01) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SIStub_02) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SIStub_03) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SIStub_04) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SIStub_05) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SIStub_06) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SIStub_07) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SIStub_08) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SIStub_09) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SIStub_00_T) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SIStub_01_T) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.tencent.tinker.loader.hotplug.ActivityStubs$SIStub_02_T) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击 

不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#webview-server-certificate-verification

Files:
com/crrc/go/android/activity/CrrcWebViewActivity.java, line(s) 247,230
com/crrc/go/android/activity/ExpressWebActivity.java, line(s) 215,196
com/crrc/go/android/activity/HotelWebActivity.java, line(s) 246,229
com/crrc/go/android/activity/WebViewActivity.java, line(s) 276,257
com/crrc/go/android/activity/WebViewDynamicUrlActivity.java, line(s) 215,196
com/crrc/go/android/activity/car/CarDDWebActivity.java, line(s) 214,197
com/crrc/go/android/activity/car/CarGDWebActivity.java, line(s) 232,215
com/crrc/go/android/activity/car/CarYQWebActivity.java, line(s) 216,199
com/crrc/go/android/activity/flight/FlightAirlineAgreementActivity.java, line(s) 211,194
com/crrc/go/android/activity/flight/OrderPayActivity.java, line(s) 224,207
com/crrc/go/android/activity/hotel/HotelWebActivity.java, line(s) 251,234
com/crrc/go/android/activity/train/TrainWebActivity.java, line(s) 223,206

高危 如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击 

如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-7

Files:
com/crrc/go/android/activity/CrrcWebViewActivity.java, line(s) 336,20,21
com/crrc/go/android/activity/ExpressWebActivity.java, line(s) 296,16,17
com/crrc/go/android/activity/HotelWebActivity.java, line(s) 316,18,19
com/crrc/go/android/activity/WebViewActivity.java, line(s) 344,25,26
com/crrc/go/android/activity/WebViewDynamicUrlActivity.java, line(s) 287,16,17
com/crrc/go/android/activity/car/CarDDWebActivity.java, line(s) 299,16,17
com/crrc/go/android/activity/car/CarGDWebActivity.java, line(s) 332,22,23
com/crrc/go/android/activity/car/CarYQWebActivity.java, line(s) 324,16,17
com/crrc/go/android/activity/flight/FlightAirlineAgreementActivity.java, line(s) 279,17,18
com/crrc/go/android/activity/flight/OrderPayActivity.java, line(s) 303,16,17
com/crrc/go/android/activity/hotel/HotelWebActivity.java, line(s) 431,16,17
com/crrc/go/android/activity/train/TrainWebActivity.java, line(s) 340,16,17

高危 应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。 

应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
cn/emms/AESTool.java, line(s) 60
com/crrc/go/android/util/encrypt/Des.java, line(s) 49,56

高危 SSL的不安全实现。信任所有证书或接受自签名证书是一个关键的安全漏洞。此应用程序易受MITM攻击 

SSL的不安全实现。信任所有证书或接受自签名证书是一个关键的安全漏洞。此应用程序易受MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#android-network-apis

Files:
cn/emms/dcsecurity/HttpsClient.java, line(s) 35,14,15,16
cn/mcm/manager/HttpsTrustManager.java, line(s) 47,9,10,11,12,13,14

高危 使用弱加密算法 

使用弱加密算法
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/crrc/go/android/util/encrypt/Des.java, line(s) 35,42,49,56

中危 应用程序已启用明文网络流量 

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危 Activity (com.crrc.go.android.activity.flight.OrderPayResultActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (com.crrc.go.android.activity.flight.OrderListOldActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (com.crrc.go.android.activity.flight.OrderListActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (com.crrc.go.android.activity.FeedbackActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Service (com.crrc.go.android.push.GTPushService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Broadcast Receiver (com.igexin.sdk.PushReceiver) 未被保护。 

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危 Activity设置了TaskAffinity属性 

(com.igexin.sdk.PushActivity)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危 Activity设置了TaskAffinity属性 

(com.igexin.sdk.GActivity)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危 Activity (com.igexin.sdk.GActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
cn/emms/Installation.java, line(s) 19
cn/emms/Tools.java, line(s) 90
cn/emms/dcsecurity/DataCleanManager.java, line(s) 29
cn/mcm/cryption/Cryption.java, line(s) 38
cn/mcm/filemanager/FileManager.java, line(s) 23
com/arialyy/aria/util/CommonUtil.java, line(s) 216,213,220
com/arialyy/aria/util/FileUtil.java, line(s) 40,611
com/baidu/b/g.java, line(s) 25,79,81
com/crrc/go/android/activity/flight/OrderInsuranceActivity.java, line(s) 141
com/crrc/go/android/util/AdUtil.java, line(s) 173,217
com/crrc/go/android/util/FileUtil.java, line(s) 54,24,28,53,60
com/orhanobut/logger/CsvFormatStrategy.java, line(s) 116
com/yalantis/ucrop/PictureMultiCuttingActivity.java, line(s) 610
com/yalantis/ucrop/util/BitmapUtils.java, line(s) 29
com/yalantis/ucrop/util/FileUtils.java, line(s) 53

中危 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
cn/mcm/key/GetInfo.java, line(s) 11
com/baidu/b/c/b/b.java, line(s) 7

中危 IP地址泄露 

IP地址泄露


Files:
com/afollestad/materialdialogs/BuildConfig.java, line(s) 9

中危 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/arialyy/aria/core/task/AbsTask.java, line(s) 16
com/crrc/go/android/Constants.java, line(s) 15
com/crrc/go/android/activity/PasswordResetActivity.java, line(s) 27
com/crrc/go/android/api/APIConstants.java, line(s) 217
com/crrc/go/android/util/StringUtil.java, line(s) 20

中危 SHA-1是已知存在哈希冲突的弱哈希 

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
cn/mcm/cryption/AESHelper.java, line(s) 50,52
com/baidu/b/d/c.java, line(s) 9
com/crrc/go/android/util/encrypt/Aes.java, line(s) 48
com/jg/ids/i/i.java, line(s) 145

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/arialyy/aria/orm/DelegateFind.java, line(s) 4,203
com/arialyy/aria/orm/DelegateUpdate.java, line(s) 4,30
com/arialyy/aria/orm/DelegateWrapper.java, line(s) 4,57
com/arialyy/aria/orm/SqlHelper.java, line(s) 5,6,168
com/arialyy/aria/orm/SqlUtil.java, line(s) 5,64
com/liulishuo/okdownload/core/breakpoint/BreakpointSQLiteHelper.java, line(s) 6,7,77

中危 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
cn/emms/Tools.java, line(s) 71
com/arialyy/aria/util/CommonUtil.java, line(s) 338,352,415,555
com/baidu/b/d/b.java, line(s) 25
com/crrc/go/android/util/FileUtil.java, line(s) 169
com/crrc/go/android/util/encrypt/Hash.java, line(s) 22,48
com/liulishuo/okdownload/core/Util.java, line(s) 155

中危 不安全的Web视图实现。可能存在WebView任意代码执行漏洞 

不安全的Web视图实现。可能存在WebView任意代码执行漏洞
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#testing-javascript-execution-in-webviews-mstg-platform-5

Files:
com/crrc/go/android/activity/HotelWebActivity.java, line(s) 62,64
com/crrc/go/android/activity/WebViewActivity.java, line(s) 108,110
com/crrc/go/android/activity/car/CarGDWebActivity.java, line(s) 91,93,95
com/crrc/go/android/activity/flight/FlightAirlineAgreementActivity.java, line(s) 58,60

中危 可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息 

可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-6

Files:
com/crrc/go/android/view/X5WebView.java, line(s) 57,33

中危 应用程序包含隐私跟踪程序 

此应用程序有多个3隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
友盟统计的=> "UMENG_APPKEY" : "645b0efaba6a5259c44db4b9"
个推–推送服务的=> "PUSH_APPKEY" : "8dtdGTqSBuAIIlPdEOs7o3"
百度地图的=> "com.baidu.lbsapi.API_KEY" : "HPMCOKOT3H0s8GWH44WMvX503CNqzujF"
个推–推送服务的=> "PUSH_APPID" : "1hwqJGgSvK9NbwrZdTjYt3"
个推–推送服务的=> "PUSH_APPSECRET" : "LOQCRyXElf7CyUUJl947s4"
"flight_private_flight_info" : "%1$s%2$s | %3$s | %4$s"
6b5a38705d7b3562655925406a652e32
eyJzY29wZSI6ImNycmMtdHJpcCIsImRlYWRsaW5lIjoxNTcxOTcxNDMyfQ==
nsml3NvvlVBdSEb3lVnPIa6NGUD+UgpKbm2O6sCxjSAV9ub3jsZ8mg2KvuXkx2TX/
no5S0ktoyTptZSK7gZQJBAN60joZ63QKtFXG2ciVJbFS2NwNAU3q2Q8KCkODFz6p2
nR7ys1P3SattEQn300qdyycFpWmzKFZl7BTe9ib5bFPVisdQMIVecMojGqCXwF0d/
nis+5Pg1pW4dcdw22q9uO2M9vM4alAgMBAAECgYBBUwwagMsLFLP5o583DtTvuwjh
nGXKKebVW1s3SaYanzJVgL2k66VzS8NWRf6bSvx2qRWwyYah2C3R5AkEA1fHz/hqv
nxYpOz4AU7C1WLvnu4BSshqU9XIWYQzNl86jfAEOqJXzJ1yTACIf+JkWjcl/cbAVU
355f523128212d6e70634446224c2a48
nDghbAkAOAdk9CBlCg9RndIw1YCraISPQpokZnMEiSMgH+ykWlZ489Cdw4A4dz0rJ
34529B4BD97143929A2402A72B6501E0
MIICdgIBADANBgkqhkiG9w0BAQEFAASCAmAwggJcAgEAAoGBAK2AjJMqoCp+K17a
n4n6ZMj83S68gWIPXCfQ3t3HxizFrK2f+bYockeMnEHwwNwS8pDgGQz1IBMJE5Sp5
6lGCnKg0VdIssLiSs80i65Sdmzq0YPwjeicMj1e9

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
at/grabner/circleprogress/CircleProgressView.java, line(s) 799
cn/emms/dcsecurity/DcSecurity.java, line(s) 77,82
cn/emms/dcsecurity/TokenManager.java, line(s) 77,79,88
cn/emms/secureaccess/ATrans.java, line(s) 64,65,71,72,78,148,208,213,218,221,82,152
cn/emms/secureaccess/IForward.java, line(s) 68,74
cn/emms/secureaccess/IForwardManager.java, line(s) 36,45
cn/emms/secureaccess/IForwardService.java, line(s) 29,40,45,54,62
cn/mcm/cryption/AESHelper.java, line(s) 127,165
cn/mcm/filemanager/FileManager.java, line(s) 70,82
cn/mcm/listener/SDCardFileObserver.java, line(s) 33,36,62
cn/mcm/manager/Statistics.java, line(s) 67,73,76,106,112,118,136,139,202,70,78,109,120,169
cn/mcm/manager/Version.java, line(s) 32
com/afollestad/materialdialogs/MaterialDialog.java, line(s) 628
com/afollestad/materialdialogs/internal/MDTintHelper.java, line(s) 144
com/app/hubert/guide/core/GuideLayout.java, line(s) 206
com/arialyy/aria/core/Aria.java, line(s) 64
com/arialyy/aria/core/AriaConfig.java, line(s) 108,115,60,175
com/arialyy/aria/core/AriaManager.java, line(s) 233,204
com/arialyy/aria/core/WidgetLiftManager.java, line(s) 22,50,44
com/arialyy/aria/core/command/AbsGroupCmd.java, line(s) 39
com/arialyy/aria/core/command/AbsNormalCmd.java, line(s) 26,32,38,43
com/arialyy/aria/core/command/AddCmd.java, line(s) 20
com/arialyy/aria/core/command/CancelAllCmd.java, line(s) 74
com/arialyy/aria/core/command/HighestPriorityCmd.java, line(s) 19
com/arialyy/aria/core/command/ResumeAllCmd.java, line(s) 16
com/arialyy/aria/core/command/ResumeThread.java, line(s) 92,94,96
com/arialyy/aria/core/command/StartCmd.java, line(s) 50,27,48,70
com/arialyy/aria/core/command/StopCmd.java, line(s) 19
com/arialyy/aria/core/common/AbsNormalTarget.java, line(s) 42,82
com/arialyy/aria/core/common/FtpOption.java, line(s) 67,71,83,92,101,110,133,142,146,150,160,164
com/arialyy/aria/core/common/HttpOption.java, line(s) 38,63,67,79
com/arialyy/aria/core/common/RecordHandler.java, line(s) 81,94,150
com/arialyy/aria/core/common/RecordHelper.java, line(s) 127,72,76,79,85,89,92,98,119,130,41,112
com/arialyy/aria/core/common/SFtpOption.java, line(s) 32,36,47,56,65,74,83
com/arialyy/aria/core/common/controller/FeatureController.java, line(s) 110,114,120
com/arialyy/aria/core/common/controller/NormalController.java, line(s) 81,83
com/arialyy/aria/core/config/BaseConfig.java, line(s) 23
com/arialyy/aria/core/config/BaseTaskConfig.java, line(s) 66
com/arialyy/aria/core/config/DGroupConfig.java, line(s) 41
com/arialyy/aria/core/config/DownloadConfig.java, line(s) 49
com/arialyy/aria/core/config/UploadConfig.java, line(s) 25
com/arialyy/aria/core/config/XMLReader.java, line(s) 137,281,289
com/arialyy/aria/core/download/CheckDEntityUtil.java, line(s) 33,79,83,87,93,138,142,146,125,128,64,67,73
com/arialyy/aria/core/download/CheckDGEntityUtil.java, line(s) 70,39,44,48,52,96,108,116,168,179,185,188,191,212,64,99,152
com/arialyy/aria/core/download/CheckFtpDirEntityUtil.java, line(s) 31,35,40,59,69,73,83,87,93,51
com/arialyy/aria/core/download/DownloadEntity.java, line(s) 43
com/arialyy/aria/core/download/DownloadReceiver.java, line(s) 95,130,149,166,188
com/arialyy/aria/core/download/M3U8Entity.java, line(s) 102
com/arialyy/aria/core/download/m3u8/M3U8LiveOption.java, line(s) 19
com/arialyy/aria/core/download/m3u8/M3U8Option.java, line(s) 30,36
com/arialyy/aria/core/download/m3u8/M3U8VodOption.java, line(s) 21,30,39
com/arialyy/aria/core/download/target/DNormalConfigHandler.java, line(s) 53,44,48
com/arialyy/aria/core/download/target/GroupBuilderTarget.java, line(s) 30
com/arialyy/aria/core/download/target/GroupNormalTarget.java, line(s) 61
com/arialyy/aria/core/download/target/HttpGroupConfigHandler.java, line(s) 45,49
com/arialyy/aria/core/download/target/M3U8NormalTarget.java, line(s) 19,21
com/arialyy/aria/core/download/tcp/TcpDelegate.java, line(s) 16,25,34,43
com/arialyy/aria/core/event/EventMsgUtil.java, line(s) 79,83
com/arialyy/aria/core/group/AbsGroupLoader.java, line(s) 272,148,151
com/arialyy/aria/core/group/AbsGroupLoaderUtil.java, line(s) 81
com/arialyy/aria/core/group/AbsSubDLoadUtil.java, line(s) 114,128
com/arialyy/aria/core/group/SimpleSchedulers.java, line(s) 71,96,108,109,138,45,88,141,39
com/arialyy/aria/core/group/SimpleSubQueue.java, line(s) 57,61,74,80,130,150,155,90,95
com/arialyy/aria/core/inf/AbsReceiver.java, line(s) 57
com/arialyy/aria/core/inf/AbsTarget.java, line(s) 35
com/arialyy/aria/core/listener/BaseListener.java, line(s) 101,117
com/arialyy/aria/core/listener/DownloadGroupListener.java, line(s) 140
com/arialyy/aria/core/loader/AbsNormalLoader.java, line(s) 97,123,136,139,187,241,242,132,152,169,232
com/arialyy/aria/core/loader/AbsNormalLoaderUtil.java, line(s) 76
com/arialyy/aria/core/loader/GroupSubThreadStateManager.java, line(s) 150,153
com/arialyy/aria/core/loader/NormalTTBuilder.java, line(s) 100,124,140,76,127
com/arialyy/aria/core/loader/NormalThreadStateManager.java, line(s) 143,146
com/arialyy/aria/core/loader/SubLoader.java, line(s) 85,90,201,202,97,102,142,151,182
com/arialyy/aria/core/manager/SubTaskManager.java, line(s) 33,38,44
com/arialyy/aria/core/manager/TaskWrapperManager.java, line(s) 58,78,92
com/arialyy/aria/core/manager/ThreadTaskManager.java, line(s) 73,103,130,132,170,172,213,222,225
com/arialyy/aria/core/queue/AbsTaskQueue.java, line(s) 280,288,295,306,316,191,220,80,93,97,151,197,214,217,230,238,248,260,311
com/arialyy/aria/core/queue/DGroupTaskQueue.java, line(s) 53
com/arialyy/aria/core/queue/DTaskQueue.java, line(s) 59,104
com/arialyy/aria/core/queue/UTaskQueue.java, line(s) 57
com/arialyy/aria/core/queue/pool/BaseCachePool.java, line(s) 48,34,66,87,98,38
com/arialyy/aria/core/queue/pool/BaseExecutePool.java, line(s) 72,30,34,102,123,134,81
com/arialyy/aria/core/queue/pool/DLoadExecutePool.java, line(s) 20,27,50
com/arialyy/aria/core/scheduler/FailureTaskHandler.java, line(s) 74
com/arialyy/aria/core/scheduler/TaskSchedulers.java, line(s) 223,226,230,236,239,84,110,113,116,135,284,382,338
com/arialyy/aria/core/task/AbsTask.java, line(s) 132,137,51,123,128,152,169,53
com/arialyy/aria/core/task/ThreadTask.java, line(s) 127,195,292,314,306,347,131,161,164,193,198,235,357,362,372,374,319,324,336,341
com/arialyy/aria/core/upload/CheckUEntityUtil.java, line(s) 28,41,45,53,59,66,70,74
com/arialyy/aria/core/upload/UploadReceiver.java, line(s) 138,159,178
com/arialyy/aria/core/upload/target/HttpNormalTarget.java, line(s) 32
com/arialyy/aria/http/ChunkedInputStream.java, line(s) 20,25,48,50
com/arialyy/aria/http/ConnectionHelp.java, line(s) 32
com/arialyy/aria/http/download/HttpDFileInfoTask.java, line(s) 68,156,223,288,298,306,342,292,368,234,279,285
com/arialyy/aria/http/download/HttpDGInfoTask.java, line(s) 38,84,157,44,138
com/arialyy/aria/http/download/HttpDTTBuilderAdapter.java, line(s) 26,46
com/arialyy/aria/http/download/HttpDThreadTaskAdapter.java, line(s) 48,51
com/arialyy/aria/http/upload/HttpULoader.java, line(s) 49
com/arialyy/aria/http/upload/HttpUThreadTaskAdapter.java, line(s) 152
com/arialyy/aria/orm/DelegateFind.java, line(s) 217,430,506,510,36,44,48,56,60,74,321,352
com/arialyy/aria/orm/DelegateUpdate.java, line(s) 41,59,88,109
com/arialyy/aria/orm/SqlHelper.java, line(s) 145,197,233,324,381,384,155,160
com/arialyy/aria/orm/SqlUtil.java, line(s) 83,92,213
com/arialyy/aria/util/ALog.java, line(s) 45
com/arialyy/aria/util/AriaServiceLoader.java, line(s) 173
com/arialyy/aria/util/CheckUtil.java, line(s) 35,47,59,73,84,88,94,102,38,50,62
com/arialyy/aria/util/CommonUtil.java, line(s) 225,230,242,247,260,369,372,123,131,137,202,342,380,385,393,398,145,110,185
com/arialyy/aria/util/ComponentUtil.java, line(s) 104
com/arialyy/aria/util/DeleteDGRecord.java, line(s) 35,44,50
com/arialyy/aria/util/DeleteDRecord.java, line(s) 40,49,61
com/arialyy/aria/util/DeleteM3u8Record.java, line(s) 40,49,56
com/arialyy/aria/util/DeleteURecord.java, line(s) 38,47
com/arialyy/aria/util/FileUtil.java, line(s) 87,101,103,319,345,93,135,167,222,229
com/arialyy/aria/util/RecordUtil.java, line(s) 17,72,78
com/arialyy/aria/util/SSLContextUtil.java, line(s) 106
com/baidu/b/c.java, line(s) 137,145
com/baidu/b/g.java, line(s) 39
com/cpiz/android/bubbleview/BubbleFrameLayout.java, line(s) 188
com/cpiz/android/bubbleview/BubbleImpl.java, line(s) 230
com/cpiz/android/bubbleview/BubbleLinearLayout.java, line(s) 188
com/cpiz/android/bubbleview/BubblePopupWindow.java, line(s) 135
com/cpiz/android/bubbleview/BubbleRelativeLayout.java, line(s) 188
com/cpiz/android/bubbleview/BubbleTextView.java, line(s) 188
com/cpiz/android/bubbleview/Utils.java, line(s) 40
com/crrc/go/android/App.java, line(s) 283,104,156
com/crrc/go/android/activity/AboutUsActivity.java, line(s) 179,187,173
com/crrc/go/android/activity/ImageBigActivity.java, line(s) 62
com/crrc/go/android/activity/ImageBrowseActivity.java, line(s) 60
com/crrc/go/android/activity/MainActivity.java, line(s) 541,545,535
com/crrc/go/android/activity/car/CarGDWebActivity.java, line(s) 514,520
com/crrc/go/android/activity/flight/OrderInsuranceActivity.java, line(s) 161,187,209,177
com/crrc/go/android/api/HttpLoggingInterceptor.java, line(s) 34,36,42
com/crrc/go/android/api/PersistentCookieStore.java, line(s) 65,118,127,130
com/crrc/go/android/util/AppStoreUtils.java, line(s) 61
com/crrc/go/android/util/FileUtil.java, line(s) 181,189,199
com/crrc/go/android/util/ImageUtil.java, line(s) 29,93,112,74,79,84
com/davemorrissey/labs/subscaleview/SubsamplingScaleImageView.java, line(s) 1761,1219,1313,1317,1392,1396,594,710,2174
com/davemorrissey/labs/subscaleview/decoder/SkiaPooledImageRegionDecoder.java, line(s) 385
com/liulishuo/okdownload/core/Util.java, line(s) 123,105,132,114
com/wdullaer/materialdatetimepicker/date/DayPickerView.java, line(s) 140,152,134,151,273
com/wdullaer/materialdatetimepicker/time/AmPmCirclesView.java, line(s) 53
com/wdullaer/materialdatetimepicker/time/CircleView.java, line(s) 35
com/wdullaer/materialdatetimepicker/time/RadialPickerLayout.java, line(s) 125,427,435
com/wdullaer/materialdatetimepicker/time/RadialSelectorView.java, line(s) 62,217,227
com/wdullaer/materialdatetimepicker/time/RadialTextsView.java, line(s) 77,248,257
com/wdullaer/materialdatetimepicker/time/TimePickerDialog.java, line(s) 1032,1254
com/yalantis/ucrop/PictureMultiCuttingActivity.java, line(s) 186
com/yalantis/ucrop/UCropActivity.java, line(s) 155
com/yalantis/ucrop/task/BitmapCropTask.java, line(s) 119
com/yalantis/ucrop/task/BitmapLoadTask.java, line(s) 130,172,215,93,136,157
com/yalantis/ucrop/util/BitmapLoadUtils.java, line(s) 115,55,86
com/yalantis/ucrop/util/EglUtils.java, line(s) 28
com/yalantis/ucrop/util/ImageHeaderParser.java, line(s) 55,62,73,81,113,123,135,149,163,169,173,178,184,188,292,54,61,72,80,112,122,134,148,162,168,172,177,183,187
com/yalantis/ucrop/view/TransformImageView.java, line(s) 222,239,128,81
me/zhanghai/android/materialprogressbar/BaseProgressLayerDrawable.java, line(s) 80
me/zhanghai/android/materialprogressbar/MaterialProgressBar.java, line(s) 124,383,393
org/greenrobot/eventbus/Logger.java, line(s) 81,86
org/greenrobot/eventbus/util/ErrorDialogConfig.java, line(s) 34
org/greenrobot/eventbus/util/ErrorDialogManager.java, line(s) 184
org/greenrobot/eventbus/util/ExceptionToResourceMapping.java, line(s) 25

信息 此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它 

此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04b-Mobile-App-Security-Testing.md#clipboard

Files:
com/crrc/go/android/activity/car/CarGDWebActivity.java, line(s) 5,541

安全 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击 

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
cn/emms/dcsecurity/HttpsClient.java, line(s) 56,35
cn/mcm/manager/HttpsTrustManager.java, line(s) 66,71,76,79
com/arialyy/aria/util/SSLContextUtil.java, line(s) 91,82,83,83
com/crrc/go/android/api/HttpManager.java, line(s) 477,77

安全 此应用程序可能具有Root检测功能 

此应用程序可能具有Root检测功能
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05j-Testing-Resiliency-Against-Reverse-Engineering.md#testing-root-detection-mstg-resilience-1

Files:
com/crrc/go/android/util/DeviceUtils.java, line(s) 30

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (aria.laoyuyu.me) 通信。 

{'ip': '118.24.25.24', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (flights.ch.com) 通信。 

{'ip': '219.239.206.26', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.ch.com) 通信。 

{'ip': '219.239.206.26', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (resgo.crrcgc.cc) 通信。 

{'ip': '122.228.207.55', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '温州', 'latitude': '27.999420', 'longitude': '120.666817'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.gov.cn) 通信。 

{'ip': '219.239.206.26', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '盐城', 'latitude': '33.385559', 'longitude': '120.125282'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (android.myapp.com) 通信。 

{'ip': '101.91.29.155', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (test-crrctrip.crrcgc.cc) 通信。 

{'ip': '27.155.113.148', 'country_short': 'CN', 'country_long': '中国', 'region': '福建', 'city': '福州', 'latitude': '26.061390', 'longitude': '119.306107'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (console.crrcgc.cc) 通信。 

{'ip': '27.155.113.148', 'country_short': 'CN', 'country_long': '中国', 'region': '福建', 'city': '福州', 'latitude': '26.061390', 'longitude': '119.306107'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (go.crrcgc.cc) 通信。 

{'ip': '219.239.206.26', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

安全评分: ( 中车智程 2.0.9)