安全分析报告： 飞宇智家 v1.0.0

安全分数


安全分数 50/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

3

用户/设备跟踪器


调研结果

高危 0
中危 20
信息 1
安全 0
关注 6

中危 应用程序数据存在被泄露的风险 

未设置[android:allowBackup]标志
这个标志 [android:allowBackup]应该设置为false。默认情况下它被设置为true，允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危 Broadcast Receiver (com.jiguang.jpush.JPushPlugin$JPushReceiver) 未被保护。 

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危 Broadcast Receiver (com.jiguang.jpush.JPushEventReceiver) 未被保护。 

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危 Service (com.jiguang.jpush.JPushCustomService) 未被保护。 

存在一个intent-filter。
发现 Service与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Service是显式导出的。

中危 Activity (cn.jpush.android.ui.PopWinActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (cn.jpush.android.ui.PushActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Service (cn.jpush.android.service.PushService) 未被保护。 

存在一个intent-filter。
发现 Service与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Service是显式导出的。

中危 Service (cn.jpush.android.service.DaemonService) 未被保护。 

存在一个intent-filter。
发现 Service与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Service是显式导出的。

中危 Activity (cn.jpush.android.service.DActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Broadcast Receiver (cn.jpush.android.service.PushReceiver) 未被保护。 

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危 Activity (cn.jpush.android.service.JNotifyActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (cn.android.service.JTransitActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 高优先级的Intent (1000) 

[android:priority]
通过设置一个比另一个Intent更高的优先级，应用程序有效地覆盖了其他请求。

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/chavesgu/images_picker/FileSaver.java, line(s) 44,90
com/yalantis/ucrop/PictureMultiCuttingActivity.java, line(s) 130

中危 SHA-1是已知存在哈希冲突的弱哈希 

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
dev/fluttercommunity/plus/packageinfo/PackageInfoPlugin.java, line(s) 140

中危 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/alternadom/wifiiot/WifiIotPlugin.java, line(s) 1294
com/tekartik/sqflite/Constant.java, line(s) 44

中危 应用程序创建临时文件。敏感信息永远不应该被写进临时文件 

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
com/chavesgu/images_picker/ImagesPickerPlugin.java, line(s) 271,290

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/tekartik/sqflite/SqflitePlugin.java, line(s) 6,7,383

中危 应用程序包含隐私跟踪程序 

此应用程序有多个3隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
极光推送的=> "JPUSH_CHANNEL" : "developer-default"
高德地图的=> "com.amap.api.v2.apikey" : "bc2724ebc65ccaa89ca3f6ba65150e19"
极光推送的=> "JPUSH_APPKEY" : "7d7fccbdccd8c88ff1ce32c1"

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
com/alternadom/wifiiot/WifiIotPlugin.java, line(s) 667,678,637,691,871,892,1049,1198
com/amap/flutter/map/overlays/polyline/PolylineUtil.java, line(s) 82
com/amap/flutter/map/utils/LogUtil.java, line(s) 17,29,11,23
com/baseflow/permissionhandler/AppSettingsManager.java, line(s) 19
com/baseflow/permissionhandler/PermissionManager.java, line(s) 140,207,211,268,274,279,295
com/baseflow/permissionhandler/PermissionUtils.java, line(s) 490,494,499
com/baseflow/permissionhandler/ServiceManager.java, line(s) 25
com/boskokg/flutter_blue_plus/FlutterBluePlusPlugin.java, line(s) 260,267,274,281,287,293,300,316,893,895,1180,1199
com/chavesgu/images_picker/ImagesPickerPlugin.java, line(s) 243,304,309,313
com/tekartik/sqflite/Database.java, line(s) 52
com/tekartik/sqflite/SqflitePlugin.java, line(s) 111,124,210,389,399,445,462,562,691,697,708,730,734,760,779,806,821,838,859,868,416,587,842,863
com/tekartik/sqflite/SqlCommand.java, line(s) 25,36
com/tekartik/sqflite/dev/Debug.java, line(s) 12
com/yalantis/ucrop/UCropActivity.java, line(s) 212
com/yalantis/ucrop/task/BitmapCropTask.java, line(s) 122
com/yalantis/ucrop/task/BitmapLoadTask.java, line(s) 127,165,208,89,92,133,147,154
com/yalantis/ucrop/util/BitmapLoadUtils.java, line(s) 105,52,84
com/yalantis/ucrop/util/EglUtils.java, line(s) 27
com/yalantis/ucrop/util/ImageHeaderParser.java, line(s) 55,62,73,81,113,123,135,149,163,169,173,178,184,188,291,54,61,72,80,112,122,134,148,162,168,172,177,183,187
com/yalantis/ucrop/view/TransformImageView.java, line(s) 218,235,125,79
info/whitebyte/hotspotmanager/WifiApManager.java, line(s) 48,61,74,83,124,136,146
xyz/bczl/flutter_scankit/FlutterScankitPlugin.java, line(s) 96
xyz/bczl/flutter_scankit/ScanKitView.java, line(s) 67

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (lbs.amap.com) 通信。 

{'ip': '121.228.188.228', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (mst01.is.autonavi.com) 通信。 

{'ip': '106.11.226.79', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (adiu.amap.com) 通信。 

{'ip': '121.228.188.228', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (mpsapi.amap.com) 通信。 

{'ip': '121.228.188.228', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (cgicol.amap.com) 通信。 

{'ip': '121.228.188.228', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '苏州', 'latitude': '31.311365', 'longitude': '120.617691'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (wb.amap.com) 通信。 

{'ip': '121.228.188.228', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

安全评分: ( 飞宇智家 1.0.0)