安全分析报告： MNA偶像学院 v3.0.3

安全分数


安全分数 47/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

4

用户/设备跟踪器


调研结果

高危 3
中危 35
信息 2
安全 1
关注 10

高危 WebView域控制不严格漏洞 

WebView域控制不严格漏洞


Files:
com/mna/mnaapp/view/mna/MnaWebView.java, line(s) 129,125

高危 如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击 

如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-7

Files:
com/mna/mnaapp/ui/course/details/CourseIntroduceTeacherFragment.java, line(s) 75,7
com/mna/mnaapp/ui/webview/WebViewActivity.java, line(s) 768,6

高危 应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。 

应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/sdk/base/framework/f/i/a.java, line(s) 48,77
f/l/a/i/b.java, line(s) 80

中危 应用程序已启用明文网络流量 

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危 应用程序数据可以被备份 

[android:allowBackup=true]
这个标志允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危 Activity (com.mna.mnaapp.wxapi.WXEntryActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.mna.mnaapp.wxapi.WXPayEntryActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Broadcast Receiver (com.mna.mnaapp.videoupload.impl.TVCNetWorkStateReceiver) 未被保护。 

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危 Activity (com.mob.guard.MobTranPullUpActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (com.mob.id.MobIDActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (com.mob.guard.MobTranPullLockActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (com.mob.id.MobIDSYActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Service (com.mob.guard.MobGuardPullUpService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (com.mob.id.MobIDService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (com.mob.MobACService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.sina.weibo.sdk.share.ShareResultActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (com.alipay.sdk.app.PayResultActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.alipay.sdk.app.AlipayResultActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (cn.jpush.android.ui.PopWinActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (cn.jpush.android.ui.PushActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (cn.jpush.android.service.DaemonService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity设置了TaskAffinity属性 

(cn.jpush.android.service.DActivity)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危 Activity (cn.jpush.android.service.DActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Broadcast Receiver (cn.jpush.android.service.PushReceiver) 未被保护。 

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危 Content Provider (cn.jpush.android.service.DownloadProvider) 未被保护。 

[android:exported=true]
发现 Content Provider与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity设置了TaskAffinity属性 

(cn.jpush.android.service.JNotifyActivity)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

中危 Activity (cn.jpush.android.service.JNotifyActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (cn.sharesdk.tencent.qq.ReceiveActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 高优先级的Intent (1000) 

[android:priority]
通过设置一个比另一个Intent更高的优先级，应用程序有效地覆盖了其他请求。

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
b/i/e/a.java, line(s) 84
com/tencent/mid/b/c.java, line(s) 31,35,69
com/tencent/mid/util/j.java, line(s) 220,221
com/tencent/ugc/TXUGCRecord.java, line(s) 377,370
com/yalantis/ucrop/PictureMultiCuttingActivity.java, line(s) 191
f/l/a/n/a0/a.java, line(s) 53,60
f/l/a/n/x.java, line(s) 141,305,116,117
f/n/a/f/a.java, line(s) 16
f/q/a/a.java, line(s) 348

中危 IP地址泄露 

IP地址泄露


Files:
com/tencent/mid/a/b.java, line(s) 52
com/tencent/mid/util/Util.java, line(s) 245,241
com/tencent/trtc/TRTCCloudDef.java, line(s) 81
f/l/a/o/h/j.java, line(s) 107,131,174
f/l/a/o/h/k.java, line(s) 107
m/a/a/f/a.java, line(s) 14,16,18,20,22,24,26,28,29,30,31,32,34,33,35,9,8,7,12,10,6
m/a/a/g/a.java, line(s) 13
m/a/a/h/a.java, line(s) 7
m/a/a/i/a.java, line(s) 41,10,12,20,22,24,26,28,14,16,29,30,31,32,33,18,6,7,8,9
m/a/a/j/a.java, line(s) 6,7,8,9,10,12
m/a/a/k/a.java, line(s) 6,10,12,14,7,8,9,16
m/a/a/l/a.java, line(s) 155,156,157,158,159,160,106,107,108,101,102,103,104,149,150,151,152,153,154,39,53,55,57,59,61,40,41,42,43,45,47,49,51,62,63,67,68,70,69,65,64,66,81,82,83,84,85,86,87,96,97,98,88,99,100,89,90,91,92,93,94,95,110,111,109,119,120,123,126,128,130,132,133,135,136,137,138,139,140,141,142,118,121,122,161,162,105,147,148,112,113,114,115,116,117
m/a/a/m/a.java, line(s) 9,10,12,47,6,7,8,43
m/a/a/n/b.java, line(s) 78,87,88,89,90,91,92,93,94,95,96,79,97,80,81,82,83,84,85,86,98,99,100,101,102,103,104,63,64,65,108

中危 SHA-1是已知存在哈希冲突的弱哈希 

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/jg/ids/i/d.java, line(s) 71
com/tencent/mid/util/Util.java, line(s) 202
m/c/a/a/a/a.java, line(s) 165

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
f/h/a/k/d.java, line(s) 5,113
f/h/a/k/e.java, line(s) 4,5,15

中危 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/jeremyliao/liveeventbus/ipc/consts/IpcConst.java, line(s) 5
com/tencent/avroom/TXCAVRoom.java, line(s) 781
f/c/a/l/d.java, line(s) 74
f/c/a/l/j/c.java, line(s) 29
f/c/a/l/j/n.java, line(s) 95
f/c/a/l/j/u.java, line(s) 62
f/l/a/o/h/k.java, line(s) 222

中危 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/sdk/base/framework/f/a/a.java, line(s) 158
com/tencent/mid/util/Util.java, line(s) 524
f/h/a/s/e.java, line(s) 180
f/l/a/o/h/h.java, line(s) 154

中危 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/sdk/base/framework/f/i/a.java, line(s) 4
com/tencent/av/TIMAvManager.java, line(s) 25
com/tencent/mid/util/Util.java, line(s) 38

中危 应用程序包含隐私跟踪程序 

此应用程序有多个4隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
极光推送的=> "JPUSH_CHANNEL" : "developer-default"
MobTech（袤博科技） 推送SDK的=> "Mob-AppKey" : "2f89bf7d95f92"
MobTech（袤博科技） 推送SDK的=> "Mob-AppSecret" : "8f59afc6c98d973a13448817ad056ae4"
极光推送的=> "JPUSH_APPKEY" : "237e1629d0352ad743987865"
"mobcommon_authorize_dialog_accept" : "Accept"
"mobcommon_authorize_dialog_reject" : "Reject"
"sec_verify_page_one_key_login_description_logo" : "Logo"
"ssdk_weibo_oauth_regiseter" : "Authorization"
"umcsdk_oauth_version_name" : "v1.4.1"
"ssdk_instapaper_pwd" : "Password"
"library_roundedimageview_authorWebsite" : "https://github.com/vinc3m1"
6X8Y4XdM2Vhvn0KfzcEatGnWaNU=
5ed85fe4570df37cde000079
4kU71lN96TJUomD1vOU9lgj9U+kKmxDPLVM+zzjst5U=
MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCgdQaZgBcrXGxxD6F1TVVXAzvbB3xpoyk2AFMNj4vOcDWZoH1b3Mx5aVcEd0BZPZR6Icb8yi8ecMUVChGCRe20O8EQWLh1aCwR8JazNL+koD3Tn6TIwVwjVEQWy9w6DeXxMtQuFBL/jAChJcU7aDwMsSD1jYpdET37aB4p8Lvn2QIDAQAB
27eb683b73944771ce62fbddab2849a4
03a976511e2cbe3a7f26808fb7af3c05

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
b/b/k/f.java, line(s) 97
b/b/k/h.java, line(s) 44,54,69,79,96,108,120,129,142,156,168
b/b/k/k.java, line(s) 60,75
b/b/l/a/a.java, line(s) 102
b/b/p/g.java, line(s) 144,191,253
b/b/p/j/i.java, line(s) 391
b/b/p/j/j.java, line(s) 274
b/b/q/a0.java, line(s) 31
b/b/q/c.java, line(s) 299,305
b/b/q/g0.java, line(s) 305,310
b/b/q/i0.java, line(s) 103
b/b/q/j0.java, line(s) 84
b/b/q/k.java, line(s) 78,39
b/b/q/l0.java, line(s) 24,35,53,55,57
b/b/q/o.java, line(s) 96,110,124,133,276,460
b/b/q/r.java, line(s) 146
b/b/q/w.java, line(s) 178,41,53,91,120,378
b/b/q/z.java, line(s) 94,132,358,114,167,227,241,294,297,364,367,419
b/c/a/h3/m/b.java, line(s) 20
b/c/a/v2.java, line(s) 16,26,36,41,45,49,53,70
b/g/b/a.java, line(s) 860,872,875
b/i/d/c.java, line(s) 87,239
b/i/d/e.java, line(s) 28,37,51,60
b/i/d/f.java, line(s) 30
b/i/d/h.java, line(s) 63
b/i/e/c/a.java, line(s) 43
b/i/e/c/b.java, line(s) 67
b/i/e/c/f.java, line(s) 83,92
b/i/f/e.java, line(s) 509,514
b/i/f/g.java, line(s) 67
b/i/f/h.java, line(s) 39,71
b/i/f/i.java, line(s) 49,213
b/i/f/l.java, line(s) 82,85
b/i/f/m.java, line(s) 97
b/i/f/n/a.java, line(s) 98,107,165,175
b/i/f/n/h.java, line(s) 39,62
b/i/i/c.java, line(s) 20
b/i/i/d.java, line(s) 33
b/i/k/b.java, line(s) 36,48,50,62,64,78,81
b/i/m/a0.java, line(s) 15,30,51,78,99,120,141
b/i/m/b.java, line(s) 65
b/i/m/f0.java, line(s) 673,756,484,496,503,512,43,62,747
b/i/m/g.java, line(s) 21,30
b/i/m/g0/c.java, line(s) 143
b/i/m/i.java, line(s) 14
b/i/m/x.java, line(s) 926,794,925
b/i/m/y.java, line(s) 21,32
b/i/n/c.java, line(s) 27,36
b/i/n/h.java, line(s) 33,42
b/i/n/i.java, line(s) 293,284
b/i/n/j.java, line(s) 68,67
b/k/a/c.java, line(s) 144
b/l/a/a.java, line(s) 299,859,1002,1166,1286,1289,1298,1304,1360,1445,1540,1592,1639,1818,1838,1844,1939,1956,2043,2189,2300,2352,2372,2385,2417,2455,2524,2563,2568,2574,96,1219,1531,1550,1558,1792,1799,1893,1902,2217,2293,2539,2591,2594,2677
b/l/a/b.java, line(s) 51,55
b/m/d/a.java, line(s) 30,441,563,572
b/m/d/b.java, line(s) 513,540,545,862
b/m/d/c.java, line(s) 106,269,305,324,332,334,440
b/m/d/i.java, line(s) 92,102
b/m/d/l.java, line(s) 60,151,45,53,124,130
b/m/d/p.java, line(s) 83,100,198,220,305,349,368,383,393,518,549,588,699,707,191,286,437,603,741
b/m/d/q.java, line(s) 124
b/m/d/r.java, line(s) 224,234,275,293,311
b/m/d/x.java, line(s) 18
b/o/a/b.java, line(s) 37,102,110
b/p/a/a.java, line(s) 163,168,175,179,195,205
b/q/d.java, line(s) 56,72
b/r/a.java, line(s) 329,369,422,424,201,208,210,219,351,353,361,365,411,114,145,204,212,216,232,241,251,314,332
b/s/d/d.java, line(s) 27
b/v/a.java, line(s) 36
b/w/f0.java, line(s) 35,44,46
b/w/h.java, line(s) 49,61,76
b/w/p0.java, line(s) 38,120
b/x/a/a/i.java, line(s) 245,248
com/davemorrissey/labs/subscaleview/SubsamplingScaleImageView.java, line(s) 637,206,210,386,390,458,783,792,821,826,1523,1722,2053
com/davemorrissey/labs/subscaleview/decoder/SkiaPooledImageRegionDecoder.java, line(s) 121
com/jeremyliao/liveeventbus/logger/DefaultLogger.java, line(s) 22,41,12,31,20,39,24,43,16,35
com/lvfq/pickerview/lib/WheelView.java, line(s) 291
com/makeramen/roundedimageview/RoundedImageView.java, line(s) 129,147
com/mna/mnaapp/videoupload/impl/TVCNetWorkStateReceiver.java, line(s) 16
com/sdk/base/framework/a/a/c.java, line(s) 99,30,126
com/sdk/base/framework/a/f.java, line(s) 94
com/sdk/base/framework/f/a.java, line(s) 13
com/stub/plugin/MyLog.java, line(s) 18,24
com/sxh/picturebrowse/picutils/BezierBannerView.java, line(s) 293,303,315
com/tencent/av/NetworkUtil.java, line(s) 31,39,43
com/tencent/av/PingUtil.java, line(s) 181,49,75,101,106,69,199,201
com/tencent/av/TIMAvManager.java, line(s) 578,803,814,398,504,594,595,628,694,831,832,861,907,961,404,460,520,724,426
com/tencent/avroom/TXCAVRoom.java, line(s) 97,121,145,277,336,360,391,442,456,471,477,525,550,674,679,781,812,820,838,886
com/tencent/avroom/a.java, line(s) 135,196,197,208,211,217,224
com/tencent/avroom/b.java, line(s) 141,54
com/tencent/ijk/media/player/AndroidMediaPlayer.java, line(s) 156
com/tencent/ijk/media/player/IjkMediaCodecInfo.java, line(s) 202,204
com/tencent/ijk/media/player/IjkMediaPlayer.java, line(s) 157,163,248,279,152,166,188,257,185,286,892,906
com/tencent/ijk/media/player/pragma/DebugLog.java, line(s) 14,18,66,22,26,70,30,34,74,50,54,78,58,62,82
com/tencent/live2/V2TXLivePremier.java, line(s) 61,62
com/tencent/live2/a/a.java, line(s) 83,596,87
com/tencent/live2/a/b.java, line(s) 949,1044,961
com/tencent/live2/a/c.java, line(s) 612,805,813,819,92,608,827,856,870,617,620
com/tencent/live2/b/a.java, line(s) 76,88
com/tencent/live2/b/b.java, line(s) 139,165,171,177,211,223,231,237,125,241
com/tencent/live2/b/c.java, line(s) 13,20
com/tencent/live2/b/d.java, line(s) 81,565,549
com/tencent/live2/b/e.java, line(s) 671,629,698,715,97
com/tencent/live2/b/f.java, line(s) 281,1316,1321,1596,1699,1706,1712,1807,1813,1985,2001,2109,2115,234,268,278,1152,1161,1170,1326,1335,1431,1545,1645,1652,1667,1675,1703,1736,1782,1804,2106,1276
com/tencent/live2/impl/V2TXLivePlayerImpl.java, line(s) 59,491,63
com/tencent/live2/impl/V2TXLivePusherImpl.java, line(s) 59,70
com/tencent/live2/impl/V2TXLiveUtils.java, line(s) 296,479,299,441,444,450,455,458,461
com/tencent/live2/leb/TXLEBPlayerJNI.java, line(s) 76,80,84
com/tencent/live2/leb/b.java, line(s) 656,153,170,572,584,660,706,728,744,255,552,640
com/tencent/mid/util/Util.java, line(s) 92,99,101,112,270,132,147,180,483,79,359,114,493
com/tencent/mid/util/f.java, line(s) 133,49,114,62,95
com/tencent/timint/TIMIntManager.java, line(s) 146,151,157
com/tencent/trtc/TRTCCloud.java, line(s) 78,82,86,90,105
com/tencent/trtc/TRTCSubCloud.java, line(s) 361
com/tencent/ugc/TXUGCPartsManager.java, line(s) 109,114
com/tencent/ugc/TXUGCRecord.java, line(s) 616,623,223,236,341,347,379,627,630,633,647,652,661,754,850,878,889,916,936,985,1067,1080,1164,1173,1184,1188,1192,1196,1248,1252,1275,1287,1339,1343,1388,1398,1493,1510,1526,1536,1556,1560,1576,1586,1675,1692,1699,1703,1714,1721,1762,1839,1847,1851,1855,1883,1887,1891,183,241,537,602,643,657,714,733,740,761,777,791,808,841,853,887,925,1000,1029,1036,1059,1095,1100,1111,1176,1221,1262,1278,1295,1301,1565,1735,1748,1767,489
com/tencent/ugc/TXVideoEditer.java, line(s) 379,430,1132,120,272,281,290,354,482,519,527,542,552,567,582,598,608,617,641,658,687,705,711,729,741,768,782,796,819,860,992,1006,1073,1102,1142,199,247,274,283,292,298,357,370,387,396,438,472,485,512,522,525,545,570,585,601,611,632,661,692,696,744,761,771,780,799,822,863,925,930,943,982,995,1009,1058,1076,1088,573,587,1116,1119,1136
com/tencent/ugc/TXVideoInfoReader.java, line(s) 75,188,155,184,52,53,64,70,86,101,122,201,72,162,166,178
com/tencent/ugc/TXVideoJoiner.java, line(s) 208,237,330,366,90,148,182,189,211,225,248,256,279,297,310,324,342,377,385
com/wang/avi/AVLoadingIndicatorView.java, line(s) 338
com/yalantis/ucrop/UCropActivity.java, line(s) 566,621
com/yalantis/ucrop/task/BitmapCropTask.java, line(s) 98
com/yalantis/ucrop/task/BitmapLoadTask.java, line(s) 63,106,184,196,203,209,238,241
com/yalantis/ucrop/util/BitmapLoadUtils.java, line(s) 58,103,113
com/yalantis/ucrop/util/EglUtils.java, line(s) 78
com/yalantis/ucrop/util/ImageHeaderParser.java, line(s) 136,171,181,193,202,210,219,226,242,258,262,267,276,279,284,170,180,192,201,209,218,225,241,257,261,266,275,278,283
com/yalantis/ucrop/view/TransformImageView.java, line(s) 117,172,200,217
f/a/a/e/c.java, line(s) 65,80,100,161,205,245,300,339,365,418,448,463,497
f/a/a/f/d.java, line(s) 37,24,26
f/c/a/b.java, line(s) 233,242,206,173,205,232,239,174
f/c/a/j/a.java, line(s) 299
f/c/a/k/d.java, line(s) 98,125,97,124
f/c/a/k/e.java, line(s) 48,69,87,47,68,86
f/c/a/l/i/b.java, line(s) 47,46
f/c/a/l/i/j.java, line(s) 51,116,145,48,115,119,125,132,144,129,133
f/c/a/l/i/l.java, line(s) 48,47
f/c/a/l/i/o/c.java, line(s) 96,95
f/c/a/l/i/o/e.java, line(s) 53,52
f/c/a/l/j/g.java, line(s) 53,54
f/c/a/l/j/i.java, line(s) 15,137
f/c/a/l/j/w.java, line(s) 107,108
f/c/a/l/j/x/j.java, line(s) 124,175,125,176
f/c/a/l/j/x/k.java, line(s) 103,157,188,223,102,123,130,156,169,187,197,212,222,124,131,175,198,213
f/c/a/l/j/y/e.java, line(s) 34,40,69,79,93,35,70,41,82,94
f/c/a/l/j/y/i.java, line(s) 118,102
f/c/a/l/j/z/a.java, line(s) 125,122
f/c/a/l/j/z/b.java, line(s) 38,37
f/c/a/l/k/c.java, line(s) 16,15
f/c/a/l/k/d.java, line(s) 40,39
f/c/a/l/k/f.java, line(s) 94,93
f/c/a/l/k/s.java, line(s) 85,88
f/c/a/l/k/t.java, line(s) 36,35
f/c/a/l/l/a.java, line(s) 78,79
f/c/a/l/l/d/d.java, line(s) 14,15
f/c/a/l/l/d/l.java, line(s) 185,317,174,184,316,408,432,175,251,409
f/c/a/l/l/d/m.java, line(s) 40,46,41,47
f/c/a/l/l/d/q.java, line(s) 106,115,121,127,133,139,146,152,160,116,122,128,134,140,147,153,161,107
f/c/a/l/l/d/x.java, line(s) 109,114,159,168,175,110,115,160,169,176,177,178,182
f/c/a/l/l/h/a.java, line(s) 59,84,89,94,60,85,90,95
f/c/a/l/l/h/d.java, line(s) 21,22
f/c/a/l/l/h/j.java, line(s) 38,41
f/c/a/m/e.java, line(s) 35,34,54,74,55,75
f/c/a/m/f.java, line(s) 12,11
f/c/a/m/o.java, line(s) 172,173,181
f/c/a/m/q.java, line(s) 89,90
f/c/a/m/r.java, line(s) 146,153,147,154
f/c/a/n/e.java, line(s) 50,57,68,73,49,56,61,67,72,62
f/c/a/p/j/d.java, line(s) 46,126,127,47
f/c/a/p/j/k.java, line(s) 48,128,129,49
f/c/a/r/l/a.java, line(s) 49,50
f/e/a/b/d0/a.java, line(s) 549
f/e/a/b/f0/d.java, line(s) 132,165
f/e/a/b/g0/b.java, line(s) 73
f/e/a/b/i0/h.java, line(s) 519
f/e/a/b/m/h.java, line(s) 50
f/f/a/a/b/a/b.java, line(s) 43,81,40,49,54,78,87,100
f/g/a/g/b.java, line(s) 21,27,52,59
f/k/a/b.java, line(s) 146
f/l/a/n/d0/d.java, line(s) 8,14,20
f/l/a/o/h/b.java, line(s) 262,492,493,499,619,638,639,640,641,642,643,644,645,646,827,121,203,234,460,525,571,577,589,595,665,670,93,116,458,523,536,714
f/l/a/o/h/e.java, line(s) 42,81,102,36
f/l/a/o/h/f.java, line(s) 40,89,34,83
f/l/a/o/h/i.java, line(s) 181,195,36,40,90,104,162
f/l/a/o/h/j.java, line(s) 70,103,110,119,125,134,160,183
f/l/a/o/h/k.java, line(s) 104,140
f/l/a/o/h/l/a.java, line(s) 30,34
f/l/a/o/h/l/c.java, line(s) 28,32
f/n/a/e/a.java, line(s) 175,279
j/a/a/b/a/t/a.java, line(s) 51
m/b/a/b.java, line(s) 40
m/b/a/c.java, line(s) 230,147,149,156,369
m/c/b/b/a/a.java, line(s) 26,42
m/c/b/c/a/b.java, line(s) 129,54,140,152
m/c/b/c/a/c.java, line(s) 24
tv/cjump/jni/DeviceUtils.java, line(s) 56
tv/cjump/jni/NativeBitmapFactory.java, line(s) 113,159

信息 此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它 

此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04b-Mobile-App-Security-Testing.md#clipboard

Files:
f/l/a/n/t.java, line(s) 6,90

安全 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击 

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
f/l/a/n/f0/g.java, line(s) 53,53

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (log1.cmpassport.com) 通信。 

{'ip': '58.222.30.217', 'country_short': 'CN', 'country_long': '中国', 'region': '甘肃', 'city': '兰州', 'latitude': '36.056690', 'longitude': '103.792221'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (web.chenxingyule.com) 通信。 

{'ip': '39.106.128.64', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (config.cmpassport.com) 通信。 

{'ip': '101.201.196.161', 'country_short': 'CN', 'country_long': '中国', 'region': '安徽', 'city': '合肥', 'latitude': '31.863815', 'longitude': '117.280830'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (test1.chenxingyule.com) 通信。 

{'ip': '101.201.196.161', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (auth.wosms.cn) 通信。 

{'ip': '58.222.30.217', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.chenxingyule.com) 通信。 

{'ip': '39.106.128.64', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (onekey.cmpassport.com) 通信。 

{'ip': '58.222.30.217', 'country_short': 'CN', 'country_long': '中国', 'region': '广东', 'city': '广州', 'latitude': '23.127361', 'longitude': '113.264572'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.mob.com) 通信。 

{'ip': '45.113.201.237', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '扬州', 'latitude': '32.397221', 'longitude': '119.435600'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (beta.chenxingyule.com) 通信。 

{'ip': '101.201.196.161', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (vodreport.qcloud.com) 通信。 

{'ip': '101.201.196.161', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '台州', 'latitude': '32.492168', 'longitude': '119.910767'}

安全评分: ( MNA偶像学院 3.0.3)