Flash Cleaner v1.0.14版本 - 安全评分 _南明离火移动安全分析平台

中危应用程序存在Janus漏洞

应用程序使用了v1签名方案进行签名，如果只使用v1签名方案，那么它就容易受到安卓5.0-8.0上的Janus漏洞的攻击。在安卓5.0-7.0上运行的使用了v1签名方案的应用程序，以及同时使用了v2/v3签名方案的应用程序也同样存在漏洞。

中危应用程序可以安装在有漏洞的已更新 Android 版本上

MANIFEST

Android 5.0-5.0.2, [minSdk=21]
该应用程序可以安装在具有多个未修复漏洞的旧版本 Android 上。这些设备不会从 Google 接收合理的安全更新。支持 Android 版本 => 10、API 29 以接收合理的安全更新。

中危应用程序已启用明文网络流量

MANIFEST

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危 Activity (com.applab.flashcleaner.screen.main.MainActivity) 未被保护。

MANIFEST

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此使其对设备上的任何其他应用程序都可访问。

中危 Broadcast Receiver (com.applab.flashcleaner.lock.receiver.LockRestarterBroadcastReceiver) 未被保护。

MANIFEST

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此使其对设备上的任何其他应用程序都可访问。

中危 Broadcast Receiver (com.applab.flashcleaner.receiver.AutoRebootReceiver) 受权限保护, 但是应该检查权限的保护级别。

MANIFEST

Permission: android.permission.RECEIVE_BOOT_COMPLETED [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Activity (dev.applabz.ad.activity.NotixInterstitialImage) 未被保护。

MANIFEST

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此使其对设备上的任何其他应用程序都可访问。

中危 Activity (dev.applabz.ad.activity.FullScreenPushInterstitial) 未被保护。

MANIFEST

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此使其对设备上的任何其他应用程序都可访问。

中危 Activity (androidx.compose.ui.tooling.PreviewActivity) 未被保护。

MANIFEST

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此使其对设备上的任何其他应用程序都可访问。

中危 Broadcast Receiver (com.google.firebase.iid.FirebaseInstanceIdReceiver) 受权限保护, 但是应该检查权限的保护级别。

MANIFEST

Permission: com.google.android.c2dm.permission.SEND [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Service (androidx.work.impl.background.systemjob.SystemJobService) 受权限保护, 但是应该检查权限的保护级别。

MANIFEST

Permission: android.permission.BIND_JOB_SERVICE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Broadcast Receiver (androidx.work.impl.diagnostics.DiagnosticsReceiver) 受权限保护, 但是应该检查权限的保护级别。

MANIFEST

Permission: android.permission.DUMP [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Broadcast Receiver (androidx.profileinstaller.ProfileInstallReceiver) 受权限保护, 但是应该检查权限的保护级别。

MANIFEST

Permission: android.permission.DUMP [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危高优先级的Intent (99999)

MANIFEST

[android:priority]
通过设置一个比另一个Intent更高的优先级，应用程序有效地覆盖了其他请求。

中危高优先级的Intent (999)

MANIFEST

[android:priority]
通过设置一个比另一个Intent更高的优先级，应用程序有效地覆盖了其他请求。

中危文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

CODE

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
d0/t0.java, line(s) 27
dev/applabz/ad/FullScreenIntentSchedulerKt.java, line(s) 18
f0/f1.java, line(s) 21
v4/d.java, line(s) 29
w8/i.java, line(s) 37
y8/f.java, line(s) 34
y8/h0.java, line(s) 79
y8/z.java, line(s) 77

中危 SHA-1是已知存在哈希冲突的弱哈希

CODE

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
ad/f.java, line(s) 188
ed/b.java, line(s) 291
o6/b.java, line(s) 56
sd/b.java, line(s) 66

中危应用程序使用不安全的随机数生成器

CODE

应用程序使用不安全的随机数生成器
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
bf/a.java, line(s) 4
bf/b.java, line(s) 4
cf/a.java, line(s) 3
com/applab/flashcleaner/screen/gameboost/GameBoostActivity.java, line(s) 22
com/applab/flashcleaner/screen/junkfile/d.java, line(s) 21
com/applab/flashcleaner/screen/setting/SettingActivity.java, line(s) 27
com/applab/flashcleaner/service/ServiceManager.java, line(s) 20
ib/s5.java, line(s) 34
qc/a.java, line(s) 14
u1/j.java, line(s) 27
w7/f.java, line(s) 37
yd/h.java, line(s) 11
zd/e.java, line(s) 11

中危应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库

CODE

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
a6/a.java, line(s) 5,6,66
bb/g.java, line(s) 9,10,582
d3/b.java, line(s) 18,256
d4/b.java, line(s) 5,6,48
ib/k.java, line(s) 6,7,204
ib/n5.java, line(s) 21,22,736
ib/q2.java, line(s) 6,7,8,9,158
org/litepal/crud/DataSupport.java, line(s) 5,103
org/litepal/tablemanager/AssociationCreator.java, line(s) 6,216
org/litepal/tablemanager/Generator.java, line(s) 4,65
org/litepal/util/DBUtility.java, line(s) 5,108
qa/c.java, line(s) 7,69
qa/h.java, line(s) 4,23
qa/i.java, line(s) 4,5,109
ra/e.java, line(s) 4,33
ra/h.java, line(s) 3,27
ra/i.java, line(s) 4,20
ra/o.java, line(s) 4,5,64
v6/a0.java, line(s) 7,140
w0/e.java, line(s) 4,240

中危应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

CODE

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
a6/b.java, line(s) 16
com/applab/flashcleaner/screen/junkfile/c.java, line(s) 26,42,127
org/litepal/LitePal.java, line(s) 29
org/litepal/tablemanager/Connector.java, line(s) 16

中危 IP地址泄露

CODE

IP地址泄露


Files:
dev/applabz/track/ApplabTrackManager.java, line(s) 29

中危 MD5是已知存在哈希冲突的弱哈希

CODE

MD5是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
ib/s5.java, line(s) 298
w7/f.java, line(s) 122

中危应用程序包含隐私跟踪程序

TRACKERS

此应用程序有多个2隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危此应用可能包含硬编码机密信息

SECRETS

从应用程序中识别出以下机密确保这些不是机密或私人信息
"com.google.firebase.crashlytics.mapping_file_id" : "3ee9c795094e4fb1b3775571157685d9"
"facebook_client_token" : "cb976c848e8770ff93ab551cef3fbfec"
"google_api_key" : "AIzaSyDGnYVIoUuK1FBoImZmzJaMTikSiW70BUg"
"google_crash_reporting_api_key" : "AIzaSyDGnYVIoUuK1FBoImZmzJaMTikSiW70BUg"
"library_roundedimageview_authorWebsite" : "https://github.com/vinc3m1"
"mixpanel_token" : "221f237049b51e732b648ec46383750e"
"notix_public_api_key" : "AIzaSyBQfBRsRT3N8jqnzwzOQPGGT9OC0Fn1ea8"
"revenue_cat_sdk_key" : "goog_nZGluwRCgCJkUZaHYyvqqRBbYUU"
"revenue_cat_sdk_key" : "goog_nZGluwRCgCJkUZaHYyvqqRBbYUU"
"revenue_cat_sdk_key" : "goog_nZGluwRCgCJkUZaHYyvqqRBbYUU"
"revenue_cat_sdk_key" : "goog_nZGluwRCgCJkUZaHYyvqqRBbYUU"
"revenue_cat_sdk_key" : "goog_nZGluwRCgCJkUZaHYyvqqRBbYUU"
"revenue_cat_sdk_key" : "goog_nZGluwRCgCJkUZaHYyvqqRBbYUU"
"revenue_cat_sdk_key" : "goog_nZGluwRCgCJkUZaHYyvqqRBbYUU"
"revenue_cat_sdk_key" : "goog_nZGluwRCgCJkUZaHYyvqqRBbYUU"
"revenue_cat_sdk_key" : "goog_nZGluwRCgCJkUZaHYyvqqRBbYUU"
"revenue_cat_sdk_key" : "goog_nZGluwRCgCJkUZaHYyvqqRBbYUU"
"revenue_cat_sdk_key" : "goog_nZGluwRCgCJkUZaHYyvqqRBbYUU"
"revenue_cat_sdk_key" : "goog_nZGluwRCgCJkUZaHYyvqqRBbYUU"
"revenue_cat_sdk_key" : "goog_nZGluwRCgCJkUZaHYyvqqRBbYUU"
"revenue_cat_sdk_key" : "goog_nZGluwRCgCJkUZaHYyvqqRBbYUU"
"revenue_cat_sdk_key" : "goog_nZGluwRCgCJkUZaHYyvqqRBbYUU"
"revenue_cat_sdk_key" : "goog_nZGluwRCgCJkUZaHYyvqqRBbYUU"
"revenue_cat_sdk_key" : "goog_nZGluwRCgCJkUZaHYyvqqRBbYUU"
ae2044fb577e65ee8bb576ca48a2f06e
1005f5ff664e743322f67807668e673
5181942b9ebc31ce68dacb56c16fd79f
466304a45a3e402fbc978069a1ee039e
470fa2b4ae81cd56ecbcda9735803434cec591fa

信息应用程序记录日志信息,不得记录敏感信息

CODE

应用程序记录日志信息,不得记录敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
a3/c.java, line(s) 79
a3/d2.java, line(s) 26
a3/e2.java, line(s) 25,37,44,53
a3/h1.java, line(s) 314,212,313
a3/i2.java, line(s) 69,88,60
a3/k1.java, line(s) 17,28
a3/t0.java, line(s) 82
a3/y.java, line(s) 25,38,85,150,195,214,238
a4/b.java, line(s) 90,99,104,111
a9/h.java, line(s) 55,40
ac/b.java, line(s) 266
ad/f.java, line(s) 116,192,499,1002,999
ad/h.java, line(s) 659,1363,1748,200,561,588,658,688,721,758,801,850,905,977,1043,1140,1235,1352,1478,1591,1717,201,333,357,378,420,473,487,495,503,513,523,540,567,648,652,654,915,1358,1756
ad/i.java, line(s) 35,43,44,52
ad/k.java, line(s) 48,44,133,47,95,96,63,67,87
ad/m.java, line(s) 92,217,243,285,487,562,789,749,91,118,216,242,284,332,368,486,529,561,570,579,694,739,744,778,788,119,333,369,530,571,580,695,740,745,779,281,291,381,533,622,625,674,736
ad/o.java, line(s) 31,46,47,27
ad/p.java, line(s) 51,61,43,50,44,56
ad/q.java, line(s) 167
ad/r.java, line(s) 37,61,78,23,26,68,33,55,64,69,74
ad/s.java, line(s) 91,38,87
ad/u.java, line(s) 34,45,55,28,39,51
ad/v.java, line(s) 44,59,66,77,96,106,120,129,45,60,67,78,97,73,92
ad/x.java, line(s) 109,118,458,149,158
ad/y.java, line(s) 227,49,226,50,193
b9/c.java, line(s) 174
bb/e.java, line(s) 55,61,558,583,85,95,121,159,215,553,140,58,143,173,176,212,275,334,374,388,395,405,512
bb/g.java, line(s) 652,804
bc/c.java, line(s) 447
bd/b.java, line(s) 47
bd/d.java, line(s) 113,140,41,112,139,68,119
bd/i.java, line(s) 26,50,91
c9/b.java, line(s) 121,254,333,115,253,327,332,304
c9/g.java, line(s) 50,49
c9/i.java, line(s) 95,94
c9/y.java, line(s) 48,49
cd/c1.java, line(s) 254
co/notix/u9.java, line(s) 34,12,20
com/applab/flashcleaner/lock/receiver/BootBroadcastReceiver.java, line(s) 13
com/applabz/applabz_track_sdk/infrastructure/repo/EventRequest.java, line(s) 69,105,125
com/applabz/applabz_track_sdk/infrastructure/repo/ImpressionRequest.java, line(s) 68,104,124
com/bumptech/glide/b.java, line(s) 59,66,79,58,65,69,78,90,194,70,195
com/bumptech/glide/c.java, line(s) 266,280,291
com/bumptech/glide/d.java, line(s) 948,555,564,3287,560,569
com/bumptech/glide/e.java, line(s) 3425,6006,2676,2686,4712,4721,4909,4918
com/bumptech/glide/f.java, line(s) 900,929,314,323
com/bumptech/glide/load/data/b.java, line(s) 76,89,75,88
com/bumptech/glide/load/data/i.java, line(s) 30
com/bumptech/glide/load/data/l.java, line(s) 34,112,172,33,111,171,175,181,187,184,188
com/bumptech/glide/manager/l.java, line(s) 43,44
com/bumptech/glide/manager/m.java, line(s) 277,316,289,276,285,288,315,320,333,286,326,334
com/bumptech/glide/manager/r.java, line(s) 46,26,45,27
com/bumptech/glide/manager/s.java, line(s) 41,42
com/bumptech/glide/manager/u.java, line(s) 45,54,46,55
com/bumptech/glide/n.java, line(s) 298,299
com/bumptech/glide/p.java, line(s) 64,58
com/makeramen/roundedimageview/RoundedImageView.java, line(s) 335,422
d3/b.java, line(s) 288,370,376,383,576,580,624,495,496,497,498,499,500,501,502,503,504,505,506,507,508,509,510,511,512,513,553,584,595,602,609,644,125,126,154,155,287,331,367,375,382,398,491,575,579,623,400,492,688,727,751
d4/e.java, line(s) 39,149
d5/g.java, line(s) 69,96,105,89,91,108,114,117,68,95
dc/d.java, line(s) 88,122
dev/applabz/ad/AdManager$loadBanner$2$1.java, line(s) 29
dev/applabz/ad/AdManager$loadFullScreenPush$2$1.java, line(s) 29
dev/applabz/ad/AdManager$loadNotixInterstitial$2$1.java, line(s) 29
dev/applabz/ad/AdManager.java, line(s) 94,137,156,166,339,426,508,597,678,765,848
dev/applabz/ad/NotixCallbackHandler$handle$1.java, line(s) 68,86
dev/applabz/ad/activity/FullScreenPushInterstitial.java, line(s) 242,298
dev/applabz/ad/activity/NotixInterstitialImage.java, line(s) 233,289
dev/applabz/ad/view/NotixBannerView$initialize$1.java, line(s) 73,87
dev/applabz/ad/view/NotixHighBannerView$initialize$1.java, line(s) 76,97
e2/d.java, line(s) 407
e3/w.java, line(s) 16,15
e4/a.java, line(s) 52
e8/n.java, line(s) 54
e9/b.java, line(s) 78,79
ec/d.java, line(s) 35
ed/a.java, line(s) 120
ed/b.java, line(s) 87,105,110,304,86,104,301,346
f/b0.java, line(s) 565,1087,1998,2000,2003,929,938,948,957,972,981,994,1003,672,776,779,1221,1234,1831
f/f0.java, line(s) 283
f/n.java, line(s) 424,239,248
f/w.java, line(s) 104
f/x.java, line(s) 34,127,28,28,123,123
f0/x1.java, line(s) 476
f3/c.java, line(s) 37
f9/b.java, line(s) 55,54,64,94,95
f9/c.java, line(s) 41,42
f9/e0.java, line(s) 46,89,94,45,88,93
f9/i.java, line(s) 19,25,20,26
f9/m.java, line(s) 18,25,128,138,150,167,196,237,241,261,270,278,17,24,127,137,149,166,195,235,240,245,255,259,265,277
f9/q.java, line(s) 94,523,756,93,471,522,544,589,657,673,687,697,722,740,750,755,774,784,509,545,590
f9/v.java, line(s) 66,71,76,87,92,99,104,127,136,67,72,77,88,93,100,105,137,128
f9/y.java, line(s) 40,49,63,41,50,64,65,66,69
fd/b.java, line(s) 66,65
gc/g.java, line(s) 292
gd/b.java, line(s) 46,33,58,108,136,45,69,118,70,119
h6/b.java, line(s) 163
h8/a.java, line(s) 55,64,68,69
h8/c.java, line(s) 38,39,47
h9/a.java, line(s) 42,105,112,117,43,106,113,118
h9/g.java, line(s) 103,34,99,111
h9/j.java, line(s) 51,52
i3/d.java, line(s) 275
i4/d.java, line(s) 330,342
ib/n5.java, line(s) 425,442,424,3168,3437
ib/s.java, line(s) 511,510
ib/t.java, line(s) 238,290,288
ib/t3.java, line(s) 42,27,41,28
ib/v2.java, line(s) 185
ib/w5.java, line(s) 57
ib/z3.java, line(s) 49
j/a.java, line(s) 97,117
j/j.java, line(s) 58,103,117,125
j/k.java, line(s) 167
j2/b.java, line(s) 73,111,120
j2/d.java, line(s) 720
j2/e.java, line(s) 45
j2/f.java, line(s) 129
j2/j.java, line(s) 303,367,374
j2/n.java, line(s) 661,1142,1600,1607,1608,1609,1619,1683,329,783,1227,1234,1512
k/i.java, line(s) 437
k/o.java, line(s) 531
k1/u0.java, line(s) 118,328,321,325,117,308,314,327,309,315
kb/a.java, line(s) 84,88,111,164
ke/c.java, line(s) 100
l2/e.java, line(s) 29,30
l8/b.java, line(s) 37
l9/g.java, line(s) 428,23,252,351
lb/a.java, line(s) 149,219,222,75,166
m4/g.java, line(s) 47,51,56,63,76,82,91,101,143,148,157,163,169,178,184
m4/s.java, line(s) 37,43,49,55,61
m9/f.java, line(s) 33,34
mf/b.java, line(s) 473
n2/c0.java, line(s) 43,71,77,103,210,220,242,250,39,70,76,102,209,219,241,249,58,80,116,199
n2/e.java, line(s) 93
n2/f.java, line(s) 41
n2/w.java, line(s) 80,47,52
n4/a0.java, line(s) 400
n4/o.java, line(s) 44
n5/c.java, line(s) 304
na/b.java, line(s) 268,274,277,267,133,146,182,201,309,320
nc/b.java, line(s) 255,263
nc/e.java, line(s) 18
nc/g.java, line(s) 241,267,63,74,116,168
o0/m.java, line(s) 151,139,168
o3/b.java, line(s) 35,55
o6/c.java, line(s) 98,114,122,444,145,483
o8/b.java, line(s) 58
ob/b.java, line(s) 32
od/e.java, line(s) 1138,1226,1235,1567,1581,1266,1275
org/litepal/util/LogUtil.java, line(s) 11,17
p1/n.java, line(s) 27,36
p3/b.java, line(s) 120
p3/c.java, line(s) 197,205,254,266,278,290,302,314,326,338,345,356,368,351
p3/g.java, line(s) 164,239,244,307,383,402,415,422,645,874,927,947,961,995,1013,1074,1115,1118,1165,1194,1198,1218,1229,1264,1285,1298,1307,1365,1392,1419,1443,1528,1552,1568,1599,1685,42,188,293,853,1543,1626,1639
q2/m.java, line(s) 1602,1704,1601,1703
q2/p.java, line(s) 52,76,80
q5/b.java, line(s) 16,25
qa/c.java, line(s) 97,96
qa/i.java, line(s) 488,489
r0/e.java, line(s) 25
r2/f.java, line(s) 39,44
r2/g.java, line(s) 36
r2/h.java, line(s) 54
r2/i.java, line(s) 38
r2/k.java, line(s) 46,103
r8/b.java, line(s) 107
rd/c.java, line(s) 161,374
s2/d.java, line(s) 24,27,30
s2/k.java, line(s) 25,57,115
sd/b.java, line(s) 59,70
sf/b0.java, line(s) 457,456,466,467
td/c.java, line(s) 244,247,81,91,229,235
tf/l.java, line(s) 39,41
u1/s.java, line(s) 295,324
u4/e.java, line(s) 37
u4/g.java, line(s) 17
u5/g.java, line(s) 66
u5/q.java, line(s) 31,35,6,40
u8/c.java, line(s) 41,51,119,151,42,120,54,152
uc/d.java, line(s) 29
uc/h.java, line(s) 56
uf/d.java, line(s) 41
v0/l0.java, line(s) 113,127,108,122,134,140
v2/m.java, line(s) 20
v3/d.java, line(s) 130
v4/c.java, line(s) 438
v4/l.java, line(s) 121,128,129
v4/v.java, line(s) 772,517,929,946,518,960
v5/g.java, line(s) 35,49
v6/a0.java, line(s) 268,267
v8/d.java, line(s) 199,226,198,225
v8/e.java, line(s) 93,113,130,92,112,129
vb/c.java, line(s) 108,139
w2/a.java, line(s) 756,321,430,435,755,447
w4/f.java, line(s) 290,206
w4/m.java, line(s) 46
w4/n.java, line(s) 39
w5/b.java, line(s) 18,23
wc/a.java, line(s) 42,41,46
wc/d.java, line(s) 27
x/j0.java, line(s) 51,52
x8/c.java, line(s) 85,123,168,84,122,167
xa/b.java, line(s) 86,103,81,102,126
xa/c.java, line(s) 78,137,46,72,114,70,95,143
xa/d.java, line(s) 10,9,9
xa/f.java, line(s) 52,47
xa/g.java, line(s) 44,37,55,77,107,127,135,56,78,108,128,136
xa/i.java, line(s) 27,41,19,33
xa/j.java, line(s) 247,242
xc/b.java, line(s) 36,37
y3/c0.java, line(s) 132
y3/k.java, line(s) 26
y3/m.java, line(s) 156,155,177,199
y3/p.java, line(s) 159,227
y3/r.java, line(s) 30
y3/u.java, line(s) 60,123
y3/v.java, line(s) 52,65
y6/b0.java, line(s) 153
y6/d.java, line(s) 24
y8/b0.java, line(s) 82
y8/j0.java, line(s) 56,100,46,55,99,47
y8/m.java, line(s) 449,107,150,448,279
y8/n.java, line(s) 148,149
y8/r.java, line(s) 9,37
yc/c.java, line(s) 34
yd/a.java, line(s) 35,39,33
z5/h.java, line(s) 53
z7/b.java, line(s) 38,42,46
z7/d.java, line(s) 139,178
z8/g.java, line(s) 57,135,59,137
z8/h.java, line(s) 105,133,155,175,63,66,72,104,132,143,146,154,164,174,177,64,73,87,144,165
zc/b.java, line(s) 15,9
zd/f.java, line(s) 44,76

信息应用程序可以写入应用程序目录。敏感信息应加密

CODE

应用程序可以写入应用程序目录。敏感信息应加密


Files:
c7/h.java, line(s) 68,74,80,86,92,98,104,68,74,80,86,92,98,104
com/bumptech/glide/d.java, line(s) 139,139
t7/f.java, line(s) 20,20

安全此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击

CODE

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
tf/d.java, line(s) 71,70,69
tf/g.java, line(s) 82,72,93,80,80
tf/k.java, line(s) 74,73,72,72
tf/l.java, line(s) 166,154,164,164

安全此应用程序可能具有Root检测功能

CODE

此应用程序可能具有Root检测功能
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05j-Testing-Resiliency-Against-Reverse-Engineering.md#testing-root-detection-mstg-resilience-1

Files:
ad/f.java, line(s) 1240,1240,1241
j/a.java, line(s) 62

关注应用程序可能与位于OFAC制裁国家 (China) 的服务器 (pagead2.googlesyndication.com) 通信。

DOMAINS

{'ip': '180.163.151.38', 'country_short': 'CN', 'country_long': 'China', 'region': 'Shanghai', 'city': 'Shanghai', 'latitude': '31.224333', 'longitude': '121.469139'}

关注应用程序可能与位于OFAC制裁国家 (China) 的服务器 (app-measurement.com) 通信。

DOMAINS

{'ip': '180.163.150.161', 'country_short': 'CN', 'country_long': 'China', 'region': 'Shanghai', 'city': 'Shanghai', 'latitude': '31.224333', 'longitude': '121.469139'}

关注应用程序可能与位于OFAC制裁国家 (China) 的服务器 (firebase-settings.crashlytics.com) 通信。

DOMAINS

{'ip': '180.163.150.34', 'country_short': 'CN', 'country_long': 'China', 'region': 'Shanghai', 'city': 'Shanghai', 'latitude': '31.224333', 'longitude': '121.469139'}

安全分析报告： Flash Cleaner v1.0.14

安全分数

安全分数 55/100

风险评级

等级

严重性分布 (%)

隐私风险

用户/设备跟踪器

调研结果

中危 应用程序存在Janus漏洞

中危 应用程序可以安装在有漏洞的已更新 Android 版本上

中危 应用程序已启用明文网络流量

中危 Activity (com.applab.flashcleaner.screen.main.MainActivity) 未被保护。

中危 Broadcast Receiver (com.applab.flashcleaner.lock.receiver.LockRestarterBroadcastReceiver) 未被保护。

中危 Broadcast Receiver (com.applab.flashcleaner.receiver.AutoRebootReceiver) 受权限保护, 但是应该检查权限的保护级别。

中危 Activity (dev.applabz.ad.activity.NotixInterstitialImage) 未被保护。

中危 Activity (dev.applabz.ad.activity.FullScreenPushInterstitial) 未被保护。

中危 Activity (androidx.compose.ui.tooling.PreviewActivity) 未被保护。

中危 Broadcast Receiver (com.google.firebase.iid.FirebaseInstanceIdReceiver) 受权限保护, 但是应该检查权限的保护级别。

中危 Service (androidx.work.impl.background.systemjob.SystemJobService) 受权限保护, 但是应该检查权限的保护级别。

中危 Broadcast Receiver (androidx.work.impl.diagnostics.DiagnosticsReceiver) 受权限保护, 但是应该检查权限的保护级别。

中危 Broadcast Receiver (androidx.profileinstaller.ProfileInstallReceiver) 受权限保护, 但是应该检查权限的保护级别。

中危 高优先级的Intent (99999)

中危 高优先级的Intent (999)

中危 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

中危 SHA-1是已知存在哈希冲突的弱哈希

中危 应用程序使用不安全的随机数生成器

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

中危 IP地址泄露

中危 MD5是已知存在哈希冲突的弱哈希

中危 应用程序包含隐私跟踪程序

中危 此应用可能包含硬编码机密信息

信息 应用程序记录日志信息,不得记录敏感信息

信息 应用程序可以写入应用程序目录。敏感信息应加密

安全 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击

安全 此应用程序可能具有Root检测功能

关注 应用程序可能与位于OFAC制裁国家 (China) 的服务器 (pagead2.googlesyndication.com) 通信。

关注 应用程序可能与位于OFAC制裁国家 (China) 的服务器 (app-measurement.com) 通信。

关注 应用程序可能与位于OFAC制裁国家 (China) 的服务器 (firebase-settings.crashlytics.com) 通信。

安全评分: ( Flash Cleaner 1.0.14)

中危应用程序存在Janus漏洞

中危应用程序可以安装在有漏洞的已更新 Android 版本上

中危应用程序已启用明文网络流量

中危高优先级的Intent (99999)

中危高优先级的Intent (999)

中危文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

中危应用程序使用不安全的随机数生成器

中危应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库

中危应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

中危应用程序包含隐私跟踪程序

中危此应用可能包含硬编码机密信息

信息应用程序记录日志信息,不得记录敏感信息

信息应用程序可以写入应用程序目录。敏感信息应加密

安全此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击

安全此应用程序可能具有Root检测功能

关注应用程序可能与位于OFAC制裁国家 (China) 的服务器 (pagead2.googlesyndication.com) 通信。

关注应用程序可能与位于OFAC制裁国家 (China) 的服务器 (app-measurement.com) 通信。

关注应用程序可能与位于OFAC制裁国家 (China) 的服务器 (firebase-settings.crashlytics.com) 通信。