安全分析报告： 蘑菇視頻 v1.4.0

安全分数


安全分数 50/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

2

用户/设备跟踪器


调研结果

高危 1
中危 20
信息 1
安全 1
关注 6

高危 已启用远程WebView调试 

已启用远程WebView调试
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04c-Tampering-and-Reverse-Engineering.md#debugging-and-tracing

Files:
com/github/lzyzsd/jsbridge/BridgeWebView.java, line(s) 116,8

中危 应用程序已启用明文网络流量 

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危 应用程序数据可以被备份 

[android:allowBackup=true]
这个标志允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危 Activity-Alias (com.asdfg.ducgpq20250331022002.ui.four) 未被保护。 

[android:exported=true]
发现 Activity-Alias与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity-Alias (com.asdfg.ducgpq20250331022002.ui.three) 未被保护。 

[android:exported=true]
发现 Activity-Alias与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity-Alias (com.asdfg.ducgpq20250331022002.ui.two) 未被保护。 

[android:exported=true]
发现 Activity-Alias与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity-Alias (com.asdfg.ducgpq20250331022002.ui.one) 未被保护。 

[android:exported=true]
发现 Activity-Alias与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity-Alias (com.asdfg.ducgpq20250331022002.ui.defalut) 未被保护。 

[android:exported=true]
发现 Activity-Alias与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.asdfg.ducgpq.MainActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Broadcast Receiver (com.qiniu.android.dns.NetworkReceiver) 未被保护。 

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (androidx.work.impl.background.systemjob.SystemJobService) 受权限保护, 但是应该检查权限的保护级别。 

Permission: android.permission.BIND_JOB_SERVICE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Broadcast Receiver (androidx.work.impl.diagnostics.DiagnosticsReceiver) 受权限保护, 但是应该检查权限的保护级别。 

Permission: android.permission.DUMP [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
OooO0O0/OooOO0.java, line(s) 9,10,11,12,62,77
o000000/oo0oOO.java, line(s) 6,7,41

中危 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/asdfg/ducgpq/ui/activity/SearchActivity.java, line(s) 49
com/asdfg/ducgpq/ui/activity/SearchResultActivity.java, line(s) 37
com/asdfg/ducgpq/view/LikeLayout.java, line(s) 14
com/scwang/smartrefresh/header/FunGameBattleCityHeader.java, line(s) 13
com/scwang/smartrefresh/header/TaurusHeader.java, line(s) 22
com/shinebutton/ShineView.java, line(s) 13
o000OO00/oO0O0Oo0.java, line(s) 8
o00OOOOo/o000.java, line(s) 6

中危 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/asdfg/ducgpq/common/cache/CacheKey.java, line(s) 13,22
com/asdfg/ducgpq/main/AppKt.java, line(s) 10

中危 SHA-1是已知存在哈希冲突的弱哈希 

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/asdfg/ducgpq/utils/oO0O0Oo.java, line(s) 96
org/repackage/a/a/a/a/c.java, line(s) 60

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
OooO00o/OooOOO.java, line(s) 39,80,80,100,100,119
com/asdfg/ducgpq/utils/FileImageUtilKt.java, line(s) 119
o000oo0O/oO0O0Oo0.java, line(s) 7
o00O0o0O/oO0O0Oo0.java, line(s) 97
oO0O0Oo/oo000o.java, line(s) 12,33

中危 IP地址泄露 

IP地址泄露


Files:
com/asdfg/ducgpq/ui/LoadingActivity.java, line(s) 359,395
o00O0000/oo0oOOO.java, line(s) 137
oO0O0Oo/OooOOO0.java, line(s) 252,340,344,350

中危 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/azhon/appupdate/util/FileUtil.java, line(s) 42
oO0O0Oo/o00O0O.java, line(s) 48

中危 应用程序包含隐私跟踪程序 

此应用程序有多个2隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
"library_roundedimageview_authorWebsite" : "https://github.com/vinc3m1"
edef8ba9-79d6-4ace-a3c8-27dcd51d21ed
635ea60488ccdf4b7e57cefd
16a09e667f3bcc908b2fb1366ea957d3e3adec17512775099da2f590b0667322a

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
OooO00o/OooOOO.java, line(s) 34
Oooo0oo/OooOOO0.java, line(s) 117
Oooo0oo/o00O0O.java, line(s) 48,49
Oooo0oo/oO0O0Oo0.java, line(s) 111
Oooo0oo/oo000o.java, line(s) 128
com/asdfg/ducgpq/utils/AttackBackgroundService$onStartCommand$1$1$1$1$1$1.java, line(s) 233,244,246
com/asdfg/ducgpq/utils/AttackBackgroundService.java, line(s) 99,241,242,260,261,263
com/asdfg/ducgpq/utils/AttackWorker.java, line(s) 310,146,147,148,234,294,419,420
com/scwang/smartrefresh/layout/SmartRefreshLayout.java, line(s) 1176,1284
me/jessyan/autosize/AutoSize.java, line(s) 108
me/jessyan/autosize/AutoSizeConfig.java, line(s) 323,336,349,245
me/jessyan/autosize/DefaultAutoAdaptStrategy.java, line(s) 21,31,34,15,28
o00O0o0O/oO0O0Oo.java, line(s) 112,115,133,145,155,221,239,241,259,264,271,277,294,297
o00OO000/OooO0O0.java, line(s) 143
o00OOO0/oO0O0Oo0.java, line(s) 61,66
o00oO0o/OooO0o.java, line(s) 377
o00oOoo/oO0O0Oo.java, line(s) 47,65,66

安全 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击 

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
com/asdfg/ducgpq/api/ApiClient.java, line(s) 69,77,109,69,77,109
oO0O0Oo/OooOOOO.java, line(s) 83,80,85

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (miao.wondershare.cn) 通信。 

{'ip': '47.98.66.240', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.huishenghuiying.com.cn) 通信。 

{'ip': '42.193.217.87', 'country_short': 'CN', 'country_long': '中国', 'region': '广东', 'city': '广州', 'latitude': '23.127361', 'longitude': '113.264572'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (api.mgsp.ltd) 通信。 

{'ip': '103.224.182.251', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '无锡', 'latitude': '31.569349', 'longitude': '120.288788'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.ijianji.com) 通信。 

{'ip': '47.115.44.41', 'country_short': 'CN', 'country_long': '中国', 'region': '广东', 'city': '深圳', 'latitude': '22.545673', 'longitude': '114.068108'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (mogu.la) 通信。 

{'ip': '221.228.32.13', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '无锡', 'latitude': '31.569349', 'longitude': '120.288788'}

关注 应用程序可能与位于OFAC制裁国家 (塞浦路斯) 的服务器 (dns.adguard.com) 通信。 

{'ip': '94.140.15.15', 'country_short': 'CY', 'country_long': '塞浦路斯', 'region': 'Lemesos', 'city': '利马索尔', 'latitude': '34.674976', 'longitude': '33.033245'}

安全评分: ( 蘑菇視頻 1.4.0)