安全分析报告： 心动跳蛋 v1.4.4

安全分数


安全分数 40/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

1

用户/设备跟踪器


调研结果

高危 2
中危 9
信息 1
安全 0
关注 0

高危 应用程序容易受到 Janus 漏洞的影响 

应用程序使用 v1 签名方案进行签名，如果仅使用 v1 签名方案进行签名，则在 Android 5.0-8.0 上容易受到 Janus 漏洞的影响。在使用 v1 和 v2/v3 方案签名的 Android 5.0-7.0 上运行的应用程序也容易受到攻击。

高危 基本配置不安全地配置为允许到所有域的明文流量。 

Scope:
*

中危 应用程序数据可以被备份 

[android:allowBackup=true]
这个标志允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危 Service (com.qihu360.mylive.MyService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (io.agora.rtc.ss.impl.ScreenSharingService) 未被保护。 

存在一个intent-filter。
发现 Service与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Service是显式导出的。

中危 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/baidu/b/d/b.java, line(s) 25

中危 SHA-1是已知存在哈希冲突的弱哈希 

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/baidu/b/d/c.java, line(s) 9

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/baidu/b/g.java, line(s) 25,79,81
io/agora/rtc/internal/CommonUtility.java, line(s) 342,342
io/agora/rtc/video/CameraUtil.java, line(s) 61

中危 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/baidu/b/c/b/b.java, line(s) 8

中危 应用程序包含隐私跟踪程序 

此应用程序有多个1隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
百度地图的=> "com.baidu.lbsapi.API_KEY" : "lKHukt4T6afrja4LikBZ6wMIGpzUsKsq"
"agora_app_id" : "3ad814d9947e4de7afcfa800d44e4983"

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
com/baidu/b/c.java, line(s) 139,147
com/baidu/b/c/a/g.java, line(s) 47
com/baidu/b/g.java, line(s) 39
io/agora/rtc/IRtcEngineEventHandler.java, line(s) 354
io/agora/rtc/gl/EglBase14.java, line(s) 120
io/agora/rtc/gl/EglRenderer.java, line(s) 135
io/agora/rtc/gl/GlShader.java, line(s) 77,30,48
io/agora/rtc/internal/DeviceUtils.java, line(s) 251,300
io/agora/rtc/internal/RtcEngineImpl.java, line(s) 1922
io/agora/rtc/mediaio/AgoraBufferedCamera2.java, line(s) 93,99,238,281,340,344
io/agora/rtc/mediaio/AgoraSurfaceView.java, line(s) 130
io/agora/rtc/mediaio/AgoraTextureCamera.java, line(s) 62,91,87,108,77
io/agora/rtc/mediaio/AgoraTextureView.java, line(s) 127
io/agora/rtc/mediaio/BaseVideoRenderer.java, line(s) 206,285
io/agora/rtc/mediaio/SurfaceTextureHelper.java, line(s) 43,157,209,73,90,143
io/agora/rtc/ss/ScreenSharingClient.java, line(s) 47,29,41,75,82,98,124
io/agora/rtc/ss/gles/EglCore.java, line(s) 68,139,148,94,89,121
io/agora/rtc/ss/gles/EglSurfaceBase.java, line(s) 88,109
io/agora/rtc/ss/gles/GLRender.java, line(s) 71,79,86,203,344,351
io/agora/rtc/ss/gles/GlUtil.java, line(s) 15
io/agora/rtc/ss/impl/ScreenCapture.java, line(s) 92,103,112,174,177,237,255,306,325,327,383,398,85,97,340
io/agora/rtc/ss/impl/ScreenSharingService.java, line(s) 93,98,108,113,158,163,192,134,210
io/agora/rtc/utils/YuvUtils.java, line(s) 72,88,106,122
io/agora/rtc/video/CameraUtil.java, line(s) 85
io/agora/rtc/video/ViEAndroidGLES20.java, line(s) 190,294,302
io/agora/rtc/video/ViESurfaceRenderer.java, line(s) 60,132,29,42,53,77,105,124,55,96
io/agora/rtc/video/VideoCaptureCamera2.java, line(s) 992,1040,1073
io/agora/rtc/video/VideoCaptureFactory.java, line(s) 29

安全评分: ( 心动跳蛋 1.4.4)