安全分析报告： 草玫影视 v1.8

安全分数


安全分数 39/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

1

用户/设备跟踪器


调研结果

高危 3
中危 11
信息 1
安全 0
关注 4

高危 使用弱加密算法 

使用弱加密算法
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/e4a/runtime/C0033.java, line(s) 175,189

高危 应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。 

应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/e4a/runtime/C0033.java, line(s) 175,189

高危 启用了调试配置。生产版本不能是可调试的 

启用了调试配置。生产版本不能是可调试的
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04c-Tampering-and-Reverse-Engineering.md#debugging-and-tracing

Files:
com/ashokvarma/bottomnavigation/BuildConfig.java, line(s) 2,5

中危 应用程序存在Janus漏洞 

应用程序使用了v1签名方案进行签名，如果只使用v1签名方案，那么它就容易受到安卓5.0-8.0上的Janus漏洞的攻击。在安卓5.0-7.0上运行的使用了v1签名方案的应用程序，以及同时使用了v2/v3签名方案的应用程序也同样存在漏洞。

中危 应用程序可以安装在有漏洞的已更新 Android 版本上 

Android 4.4W-4.4W.2, [minSdk=20]
该应用程序可以安装在具有多个未修复漏洞的旧版本 Android 上。这些设备不会从 Google 接收合理的安全更新。支持 Android 版本 => 10、API 29 以接收合理的安全更新。

中危 应用程序数据存在被泄露的风险 

未设置[android:allowBackup]标志
这个标志 [android:allowBackup]应该设置为false。默认情况下它被设置为true，允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危 Activity (com.e4a.runtime.android.mainActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/e4a/runtime/C0040.java, line(s) 26,31,36,36,36,41,47
com/nostra13/universalimageloader/utils/StorageUtils.java, line(s) 21,47,47,52,52,57
u/aly/bi.java, line(s) 210
u/aly/i.java, line(s) 52,54

中危 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/e4a/runtime/Authcode.java, line(s) 5
com/e4a/runtime/C0055.java, line(s) 40
u/aly/bo.java, line(s) 13

中危 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/e4a/runtime/Authcode.java, line(s) 141
com/e4a/runtime/C0033.java, line(s) 20
u/aly/bv.java, line(s) 33,50,70
u/aly/c.java, line(s) 130

中危 IP地址泄露 

IP地址泄露


Files:
u/aly/r.java, line(s) 31

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/e4a/runtime/C0046.java, line(s) 4,95

中危 应用程序包含隐私跟踪程序 

此应用程序有多个1隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
6E4DDD42F7F02C5B847E6C8AFA7292A1414828F9CFA49D1B651839FF87C56312A87CBA3710A7
6E4DDD42F7F02C5B847E6C8AFA7292A141482AF9CFA49D1B651839FF87C56341E767FC37
6E4DDD42F7F02C5B847E6C8AFA7292A1414829F9CFA49D1B651839FF87C56341E767FC37
6255560c0059ce2bad32aaf5

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
com/e4a/runtime/android/LogImpl.java, line(s) 12,17,22
com/e4a/runtime/android/mainActivity.java, line(s) 225
com/nineoldandroids/animation/PropertyValuesHolder.java, line(s) 147,175,221,239,241,258,260,296,298,422,424,508,510
tv/danmaku/ijk/media/player/IjkMediaCodecInfo.java, line(s) 196,198
tv/danmaku/ijk/media/player/IjkMediaPlayer.java, line(s) 137,143,198,242,132,146,168,206,406,165,250,906,920
tv/danmaku/ijk/media/player/pragma/DebugLog.java, line(s) 13,17,21,25,29,33,37,41,45,61,65,69,73,77,81
u/aly/bj.java, line(s) 37,43,21,28,30,9,15,49,55,61,68,70

关注 应用程序可能与位于OFAC制裁国家 (China) 的服务器 (log.umsns.com) 通信。 

{'ip': '59.82.60.43', 'country_short': 'CN', 'country_long': 'China', 'region': 'Beijing', 'city': 'Beijing', 'latitude': '39.907501', 'longitude': '116.397232'}

关注 应用程序可能与位于OFAC制裁国家 (Hong Kong) 的服务器 (www.eruyi.cn) 通信。 

{'ip': '39.109.112.217', 'country_short': 'HK', 'country_long': 'Hong Kong', 'region': 'Hong Kong', 'city': 'Hong Kong', 'latitude': '22.285521', 'longitude': '114.157692'}

关注 应用程序可能与位于OFAC制裁国家 (China) 的服务器 (www.123cha.com) 通信。 

{'ip': '58.220.63.20', 'country_short': 'CN', 'country_long': 'China', 'region': 'Jiangsu', 'city': 'Yangzhou', 'latitude': '32.397221', 'longitude': '119.435829'}

关注 应用程序可能与位于OFAC制裁国家 (China) 的服务器 (bbs.e4asoft.com) 通信。 

{'ip': '43.248.189.45', 'country_short': 'CN', 'country_long': 'China', 'region': 'Jiangsu', 'city': 'Suqian', 'latitude': '33.933334', 'longitude': '118.283333'}

安全评分: ( 草玫影视 1.8)