安全分析报告： 天猫养车 v2.0.0

安全分数


安全分数 37/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

5

用户/设备跟踪器


调研结果

高危 12
中危 28
信息 2
安全 1
关注 22

高危 Activity (com.ncarzone.tmyc.wxapi.WXPayEntryActivity) is vulnerable to StrandHogg 2.0 

已发现活动存在 StrandHogg 2.0 栈劫持漏洞的风险。漏洞利用时，其他应用程序可以将恶意活动放置在易受攻击的应用程序的活动栈顶部，从而使应用程序成为网络钓鱼攻击的易受攻击目标。可以通过将启动模式属性设置为“singleInstance”并设置空 taskAffinity (taskAffinity="") 来修复此漏洞。您还可以将应用的目标 SDK 版本 (28) 更新到 29 或更高版本以在平台级别修复此问题。

高危 Activity (com.alipay.sdk.app.AlipayResultActivity) is vulnerable to StrandHogg 2.0 

已发现活动存在 StrandHogg 2.0 栈劫持漏洞的风险。漏洞利用时，其他应用程序可以将恶意活动放置在易受攻击的应用程序的活动栈顶部，从而使应用程序成为网络钓鱼攻击的易受攻击目标。可以通过将启动模式属性设置为“singleInstance”并设置空 taskAffinity (taskAffinity="") 来修复此漏洞。您还可以将应用的目标 SDK 版本 (28) 更新到 29 或更高版本以在平台级别修复此问题。

高危 Activity (com.alibaba.baichuan.android.trade.ui.AlibcBackActivity) is vulnerable to StrandHogg 2.0 

已发现活动存在 StrandHogg 2.0 栈劫持漏洞的风险。漏洞利用时，其他应用程序可以将恶意活动放置在易受攻击的应用程序的活动栈顶部，从而使应用程序成为网络钓鱼攻击的易受攻击目标。可以通过将启动模式属性设置为“singleInstance”并设置空 taskAffinity (taskAffinity="") 来修复此漏洞。您还可以将应用的目标 SDK 版本 (28) 更新到 29 或更高版本以在平台级别修复此问题。

高危 该文件是World Writable。任何应用程序都可以写入文件 

该文件是World Writable。任何应用程序都可以写入文件
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#testing-local-storage-for-sensitive-data-mstg-storage-1-and-mstg-storage-2

Files:
com/nirvana/tools/core/UTSharedPreferencesHelper.java, line(s) 16,9
com/nirvana/tools/logger/f/a.java, line(s) 37

高危 WebView域控制不严格漏洞 

WebView域控制不严格漏洞


Files:
com/ncarzone/module/item/biz/view/fragment/RichTextWebViewFragment.java, line(s) 73,57
com/ncarzone/module/mealcard/biz/view/dialog/TipDialog.java, line(s) 138,118
com/ncarzone/module/upkeep/biz/view/dialog/TipDialog.java, line(s) 162,142
com/ncarzone/module/upkeep/biz/view/dialog/UpkeepCategoryTipsDialog.java, line(s) 103,87
com/ncarzone/webview/biz/view/activity/WebActivity.java, line(s) 726,701
com/nczone/common/utils/WebViewUtils.java, line(s) 83,67

高危 如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击 

如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-7

Files:
com/ncarzone/module/item/biz/view/fragment/RichTextWebViewFragment.java, line(s) 93,11
com/ncarzone/module/mealcard/biz/adapter/MealCradDetailAdapter.java, line(s) 239,11
com/ncarzone/module/mealcard/biz/view/dialog/TipDialog.java, line(s) 104,11
com/ncarzone/module/order/biz/helper/OrderHelper.java, line(s) 439,10
com/ncarzone/module/store/biz/view/dialog/StoreServiceDetailDialog$initView$1.java, line(s) 64,4
com/ncarzone/module/upkeep/biz/view/dialog/TipDialog.java, line(s) 122,11
com/ncarzone/module/upkeep/biz/view/dialog/UpkeepCategoryTipsDialog.java, line(s) 67,11

高危 使用弱加密算法 

使用弱加密算法
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/nirvana/tools/core/CryptUtil.java, line(s) 146

高危 应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。 

应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/ali/auth/third/core/rpc/a/a.java, line(s) 41
com/ali/auth/third/core/storage/aes/AESCrypt.java, line(s) 61,84

高危 不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击 

不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#webview-server-certificate-verification

Files:
com/ali/auth/third/ui/webview/BaseWebViewClient.java, line(s) 31,45,27
com/ncarzone/webview/biz/view/activity/WebActivity.java, line(s) 307,306
com/nczone/common/utils/WebViewUtils.java, line(s) 42,41

高危 已启用远程WebView调试 

已启用远程WebView调试
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04c-Tampering-and-Reverse-Engineering.md#debugging-and-tracing

Files:
com/ncarzone/webview/biz/view/activity/WebActivity.java, line(s) 229,22,23

高危 SSL的不安全实现。信任所有证书或接受自签名证书是一个关键的安全漏洞。此应用程序易受MITM攻击 

SSL的不安全实现。信任所有证书或接受自签名证书是一个关键的安全漏洞。此应用程序易受MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#android-network-apis

Files:
com/ncarzone/tmyc/launcher/init/StartupManager.java, line(s) 85,50,51,52,53,54,55

高危 应用程序包含隐私跟踪程序 

此应用程序有多个5隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危 应用程序已启用明文网络流量 

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危 Activity (com.ncarzone.tmyc.wxapi.WXPayEntryActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.ncarzone.module.main.biz.view.activity.MainActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (com.ncarzone.module.main.biz.view.activity.TranslucentActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Service (com.taobao.accs.ChannelService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (com.taobao.accs.data.MsgDistributeService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Broadcast Receiver (com.taobao.accs.EventReceiver) 未被保护。 

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危 Broadcast Receiver (com.taobao.accs.ServiceReceiver) 未被保护。 

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危 Service (org.android.agoo.accs.AgooService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (com.umeng.message.UmengIntentService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (com.umeng.message.XiaomiIntentService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Broadcast Receiver (com.taobao.agoo.AgooCommondReceiver) 未被保护。 

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (com.umeng.message.UmengMessageIntentReceiverService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.alipay.sdk.app.PayResultActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.alipay.sdk.app.AlipayResultActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.alibaba.wireless.security.open.middletier.fc.ui.ContainerActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (com.alibaba.alibclinkpartner.smartlink.ALPEntranceActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (com.alibaba.baichuan.android.trade.ui.AlibcBackActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/ali/auth/third/core/model/Constants.java, line(s) 21
com/ali/auth/third/core/service/impl/CredentialManager.java, line(s) 34
com/ali/auth/third/login/LoginComponent.java, line(s) 449
com/ali/auth/third/login/LoginConstants.java, line(s) 17
com/ali/auth/third/ui/support/ActivityResultHandler.java, line(s) 10
com/arialyy/aria/core/task/AbsTask.java, line(s) 16
com/ncarzone/common/constants/Constant.java, line(s) 75
com/ncarzone/module/coupon/facade/data/bean/StoreUserCouponRO.java, line(s) 691
com/ncarzone/module/item/facade/data/comment/V2CommentBaseViewRO.java, line(s) 543
com/ncarzone/module/order/facade/bean/ButtonRo.java, line(s) 62
com/ncarzone/module/order/facade/bean/detail/OrderExtPropertyRo.java, line(s) 58
com/ncarzone/module/user/biz/report/bean/OrderPriceTemplateRo.java, line(s) 76
com/ncarzone/module/user/facade/bean/UserInfoBean.java, line(s) 236
com/ncarzone/network/http/HeaderInterceptor.java, line(s) 25
com/nczone/common/appconfig/Entry.java, line(s) 60
com/nczone/common/mvp/PresenterStore.java, line(s) 8
com/nczone/common/utils/AlibcUtils.java, line(s) 12
com/nczone/common/utils/ChannelUtil.java, line(s) 10
com/nczone/common/utils/UmengUtils.java, line(s) 17,19
com/nczone/common/utils/ValidatorUtil.java, line(s) 12,14
com/taobao/tao/remotebusiness/auth/AuthParam.java, line(s) 13
mtopsdk/a/a/c/e.java, line(s) 114
mtopsdk/a/a/c/f.java, line(s) 32
mtopsdk/mtop/a/a/a.java, line(s) 79,87,93,98
mtopsdk/mtop/a/b/a/a.java, line(s) 93
mtopsdk/mtop/global/MtopConfig.java, line(s) 95,78
mtopsdk/mtop/global/SwitchConfig.java, line(s) 146
mtopsdk/mtop/intf/MtopBuilder.java, line(s) 106
mtopsdk/mtop/intf/MtopSetting.java, line(s) 139
mtopsdk/xstate/c.java, line(s) 109
org/android/spdy/SpdyProtocol.java, line(s) 43

中危 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/ali/auth/third/core/rpc/protocol/a.java, line(s) 3
com/ncarzone/module/mycar/biz/view/activity/MyCarBindVipActivity.java, line(s) 59
com/ncarzone/module/mycar/biz/view/activity/SingleCarBindVipActivity.java, line(s) 50
com/ncarzone/module/mycar/biz/view/fragment/MyCarHomeFragment.java, line(s) 59
com/ncarzone/module/order/biz/alipay/OrderInfoUtil2_0.java, line(s) 12
mtopsdk/xstate/util/PhoneInfo.java, line(s) 9
org/android/spdy/SpdyBytePool.java, line(s) 3
q/rorbin/badgeview/BadgeAnimator.java, line(s) 13

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/arialyy/aria/orm/DelegateFind.java, line(s) 4,69
com/arialyy/aria/orm/DelegateUpdate.java, line(s) 4,76
com/arialyy/aria/orm/DelegateWrapper.java, line(s) 4,48
com/arialyy/aria/orm/SqlHelper.java, line(s) 5,6,43
com/arialyy/aria/orm/SqlUtil.java, line(s) 5,63
com/nirvana/tools/logger/b/c.java, line(s) 6,228
com/nirvana/tools/logger/b/e.java, line(s) 4,5,21

中危 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/ali/auth/third/core/storage/aes/MD5.java, line(s) 10
com/arialyy/aria/util/CommonUtil.java, line(s) 385,459,560,589
com/common/busi/CustomView.java, line(s) 58
com/nirvana/tools/core/AppUtils.java, line(s) 98
com/nirvana/tools/core/CryptUtil.java, line(s) 199
com/nirvana/tools/requestqueue/a.java, line(s) 14
com/taobao/tao/remotebusiness/b.java, line(s) 109

中危 SHA-1是已知存在哈希冲突的弱哈希 

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
a/a/a/a/c.java, line(s) 63
com/ali/auth/third/core/util/SystemUtils.java, line(s) 21
com/jg/ids/e/d.java, line(s) 82
org/repackage/a/a/a/a/c.java, line(s) 58

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/ali/auth/third/core/util/CommonUtils.java, line(s) 140,143
com/arialyy/aria/util/CommonUtil.java, line(s) 229,226,233
com/arialyy/aria/util/FileUtil.java, line(s) 40,274
com/ncarzone/module/user/biz/report/view/SignView.java, line(s) 118
com/ncarzone/module/user/biz/view/SetUpActivity.java, line(s) 123,142
com/nczone/common/utils/ScreenShotUtils.java, line(s) 30
com/nczone/common/utils/image/ImageUtil.java, line(s) 109,149,155,165,317,321,463
com/nirvana/tools/logger/storage/a.java, line(s) 29
com/vincent/videocompressor/Util.java, line(s) 51
com/yalantis/ucrop/PictureMultiCuttingActivity.java, line(s) 115,190
com/yalantis/ucrop/util/FileUtils.java, line(s) 102

中危 不安全的Web视图实现。可能存在WebView任意代码执行漏洞 

不安全的Web视图实现。可能存在WebView任意代码执行漏洞
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#testing-javascript-execution-in-webviews-mstg-platform-5

Files:
com/ali/auth/third/ui/webview/AuthWebView.java, line(s) 92,51
com/ncarzone/webview/biz/view/activity/WebActivity.java, line(s) 730,717

中危 IP地址泄露 

IP地址泄露


Files:
com/ut/mini/UTHybridHelper.java, line(s) 44,51
mtopsdk/xstate/util/PhoneInfo.java, line(s) 147
net/security/device/api/DeviceInfo.java, line(s) 35
org/android/spdy/SpdyRequest.java, line(s) 27,162,181,203,227,246,272,291,313,337

中危 应用程序创建临时文件。敏感信息永远不应该被写进临时文件 

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
lombok/javac/apt/Processor.java, line(s) 67

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
高德地图的=> "com.amap.api.v2.apikey" : "73f09ab2efca4436863eee453d9a2448"
openinstall统计的=> "com.openinstall.APP_KEY" : "ngmidy"
"authsdk_app_name" : "PhoneNumberAuthSDK"
c001eb0a6982f52d2363fc5e136c13bf
MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC5se07mkN71qsSJHjZ2Z0+Z+4LlLvf2sz7Md38VAa3EmAOvI7vZp3hbAxicL724ylcmisTPtZQhT/9C+25AELqy9PN9JmzKpwoVTUoJvxG4BoyT49+gGVl6s6zo1byNoHUzTfkmRfmC9MC53HvG8GwKP5xtcdptFjAIcgIR7oAWQIDAQAB
33a2768976e9a4508b053b9bd43cdc7e
9A04F079-9840-4286-AB92-E65BE0885F95
MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC/YHP9utFGOhGk7Xf5L7jOgQz5
014a06685f0JVDULT/MIGfMA0GCSqGSIb3DQEBAQUAA4G
A2B55680-6F43-11E0-9A3F-0002A5D5C51B
ngZlTTem7Pjdm1V9bJgQ6iQvFHsvT+vNgJ3wAIRd+iCMXm8y96yZhD2+SH5odBYS2
5e4645b0cb23d2ceb1000075
3ad94dfc-83ee-437c-bb54-d74cf93c6c51

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
com/ali/auth/third/core/MemberSDK.java, line(s) 74
com/ali/auth/third/core/storage/aes/AESCrypt.java, line(s) 31,37,54,77
com/ali/auth/third/core/trace/SDKLogger.java, line(s) 24,33,42,51,60,119
com/ali/auth/third/core/util/CommonUtils.java, line(s) 134,159
com/ali/auth/third/securityguard/SecurityGuardWrapper.java, line(s) 233
com/ali/auth/third/ui/NQRView.java, line(s) 266
com/arialyy/aria/core/Aria.java, line(s) 36
com/arialyy/aria/core/AriaConfig.java, line(s) 134,141,48,119
com/arialyy/aria/core/AriaManager.java, line(s) 244,215
com/arialyy/aria/core/WidgetLiftManager.java, line(s) 54,70,48
com/arialyy/aria/core/command/AbsGroupCmd.java, line(s) 34
com/arialyy/aria/core/command/AbsNormalCmd.java, line(s) 26,32,38,43
com/arialyy/aria/core/command/AddCmd.java, line(s) 20
com/arialyy/aria/core/command/CancelAllCmd.java, line(s) 29
com/arialyy/aria/core/command/HighestPriorityCmd.java, line(s) 19
com/arialyy/aria/core/command/ResumeAllCmd.java, line(s) 16
com/arialyy/aria/core/command/ResumeThread.java, line(s) 99,118,102
com/arialyy/aria/core/command/StartCmd.java, line(s) 50,27,48,70
com/arialyy/aria/core/command/StopCmd.java, line(s) 19
com/arialyy/aria/core/common/AbsNormalTarget.java, line(s) 92,53
com/arialyy/aria/core/common/FtpOption.java, line(s) 125,129,138,142,146,156,165,184,216,225,259,263
com/arialyy/aria/core/common/HttpOption.java, line(s) 90,25,29,41
com/arialyy/aria/core/common/RecordHandler.java, line(s) 45,58,126
com/arialyy/aria/core/common/RecordHelper.java, line(s) 138,38,42,45,51,55,58,64,132,141,85,126
com/arialyy/aria/core/common/SFtpOption.java, line(s) 32,36,47,56,65,74,83
com/arialyy/aria/core/common/controller/FeatureController.java, line(s) 66,70,76
com/arialyy/aria/core/common/controller/NormalController.java, line(s) 53,55
com/arialyy/aria/core/config/BaseConfig.java, line(s) 23
com/arialyy/aria/core/config/BaseTaskConfig.java, line(s) 141
com/arialyy/aria/core/config/DGroupConfig.java, line(s) 83
com/arialyy/aria/core/config/DownloadConfig.java, line(s) 59
com/arialyy/aria/core/config/UploadConfig.java, line(s) 25
com/arialyy/aria/core/config/XMLReader.java, line(s) 199,343,351
com/arialyy/aria/core/download/CheckDEntityUtil.java, line(s) 29,33,37,47,90,94,98,145,77,80,126,129,135
com/arialyy/aria/core/download/CheckDGEntityUtil.java, line(s) 138,35,39,43,48,73,86,93,104,110,113,116,189,197,60,76,173
com/arialyy/aria/core/download/CheckFtpDirEntityUtil.java, line(s) 28,32,37,56,60,66,77,87,91,48
com/arialyy/aria/core/download/DownloadEntity.java, line(s) 64
com/arialyy/aria/core/download/DownloadReceiver.java, line(s) 64,86,141,175,218
com/arialyy/aria/core/download/M3U8Entity.java, line(s) 71
com/arialyy/aria/core/download/m3u8/M3U8LiveOption.java, line(s) 19
com/arialyy/aria/core/download/m3u8/M3U8Option.java, line(s) 77,56
com/arialyy/aria/core/download/m3u8/M3U8VodOption.java, line(s) 23,32,41
com/arialyy/aria/core/download/target/DNormalConfigHandler.java, line(s) 84,75,79
com/arialyy/aria/core/download/target/GroupBuilderTarget.java, line(s) 43
com/arialyy/aria/core/download/target/GroupNormalTarget.java, line(s) 52
com/arialyy/aria/core/download/target/HttpGroupConfigHandler.java, line(s) 47,55
com/arialyy/aria/core/download/target/M3U8NormalTarget.java, line(s) 19,21
com/arialyy/aria/core/download/tcp/TcpDelegate.java, line(s) 16,25,34,43
com/arialyy/aria/core/event/EventMsgUtil.java, line(s) 101,104
com/arialyy/aria/core/group/AbsGroupLoader.java, line(s) 223,72,75
com/arialyy/aria/core/group/AbsGroupLoaderUtil.java, line(s) 72
com/arialyy/aria/core/group/AbsSubDLoadUtil.java, line(s) 36,128
com/arialyy/aria/core/group/SimpleSchedulers.java, line(s) 32,33,57,82,103,74,120,106,114
com/arialyy/aria/core/group/SimpleSubQueue.java, line(s) 90,99,104,113,118,154,158,50,55
com/arialyy/aria/core/inf/AbsReceiver.java, line(s) 59
com/arialyy/aria/core/inf/AbsTarget.java, line(s) 34
com/arialyy/aria/core/listener/BaseListener.java, line(s) 75,98
com/arialyy/aria/core/listener/DownloadGroupListener.java, line(s) 52
com/arialyy/aria/core/loader/AbsNormalLoader.java, line(s) 79,143,144,185,203,216,219,212,232,177,193
com/arialyy/aria/core/loader/AbsNormalLoaderUtil.java, line(s) 99
com/arialyy/aria/core/loader/GroupSubThreadStateManager.java, line(s) 79,82
com/arialyy/aria/core/loader/NormalTTBuilder.java, line(s) 83,107,123,59,110
com/arialyy/aria/core/loader/NormalThreadStateManager.java, line(s) 67,70
com/arialyy/aria/core/loader/SubLoader.java, line(s) 69,74,171,172,82,101,199,138,229
com/arialyy/aria/core/manager/SubTaskManager.java, line(s) 21,29,32
com/arialyy/aria/core/manager/TaskWrapperManager.java, line(s) 59,79,93
com/arialyy/aria/core/manager/ThreadTaskManager.java, line(s) 85,87,125,152,161,164,179,209,211
com/arialyy/aria/core/queue/AbsTaskQueue.java, line(s) 114,122,215,226,236,208,331,48,131,181,231,246,250,265,273,283,295,325,328
com/arialyy/aria/core/queue/DGroupTaskQueue.java, line(s) 55
com/arialyy/aria/core/queue/DTaskQueue.java, line(s) 61,106
com/arialyy/aria/core/queue/UTaskQueue.java, line(s) 54
com/arialyy/aria/core/queue/pool/BaseCachePool.java, line(s) 69,30,55,82,103,59
com/arialyy/aria/core/queue/pool/BaseExecutePool.java, line(s) 73,30,82,86,103,139,46
com/arialyy/aria/core/queue/pool/DLoadExecutePool.java, line(s) 34,41,20
com/arialyy/aria/core/scheduler/FailureTaskHandler.java, line(s) 90
com/arialyy/aria/core/scheduler/TaskSchedulers.java, line(s) 106,109,113,119,122,52,55,58,284,312,343,322,250
com/arialyy/aria/core/task/AbsTask.java, line(s) 191,196,139,169,182,187,206,141
com/arialyy/aria/core/task/ThreadTask.java, line(s) 130,209,220,351,124,258,84,89,101,103,213,233,236,349,354,360,113,118,135,140
com/arialyy/aria/core/upload/CheckUEntityUtil.java, line(s) 25,29,37,43,50,54,58,72
com/arialyy/aria/core/upload/UploadReceiver.java, line(s) 87,107,146
com/arialyy/aria/core/upload/target/HttpNormalTarget.java, line(s) 32
com/arialyy/aria/http/ChunkedInputStream.java, line(s) 20,25,52,54
com/arialyy/aria/http/ConnectionHelp.java, line(s) 69
com/arialyy/aria/http/download/HttpDFileInfoTask.java, line(s) 85,120,187,249,287,297,320,72,291,198,244,284
com/arialyy/aria/http/download/HttpDGInfoTask.java, line(s) 49,74,132,36
com/arialyy/aria/http/download/HttpDThreadTaskAdapter.java, line(s) 122,125
com/arialyy/aria/http/upload/HttpULoader.java, line(s) 67
com/arialyy/aria/http/upload/HttpUThreadTaskAdapter.java, line(s) 76
com/arialyy/aria/orm/DelegateFind.java, line(s) 213,367,440,462,226,234,238,247,254,425,482,497
com/arialyy/aria/orm/DelegateUpdate.java, line(s) 87,106,127,145
com/arialyy/aria/orm/SqlHelper.java, line(s) 99,107,214,250,279,282,172,177
com/arialyy/aria/orm/SqlUtil.java, line(s) 77,86,189
com/arialyy/aria/util/ALog.java, line(s) 114
com/arialyy/aria/util/AriaServiceLoader.java, line(s) 31
com/arialyy/aria/util/CheckUtil.java, line(s) 19,31,44,61,73,90,94,100,22,34,76
com/arialyy/aria/util/CommonUtil.java, line(s) 248,251,320,344,349,360,365,89,94,100,108,114,389,487,628,633,521,421,474
com/arialyy/aria/util/ComponentUtil.java, line(s) 119
com/arialyy/aria/util/DeleteDGRecord.java, line(s) 46,56,72
com/arialyy/aria/util/DeleteDRecord.java, line(s) 46,60,69
com/arialyy/aria/util/DeleteM3u8Record.java, line(s) 69,83,90
com/arialyy/aria/util/DeleteURecord.java, line(s) 37,51
com/arialyy/aria/util/FileUtil.java, line(s) 151,618,644,717,719,157,216,442,449,663
com/arialyy/aria/util/RecordUtil.java, line(s) 22,82,88
com/arialyy/aria/util/SSLContextUtil.java, line(s) 128
com/baoyz/swipemenulistview/SwipeMenuLayout.java, line(s) 176
com/contrarywind/view/WheelView.java, line(s) 344
com/coremedia/iso/boxes/sampleentry/AudioSampleEntry.java, line(s) 204
com/dueeeke/videoplayer/util/L.java, line(s) 12,18,24,34
com/lljjcoder/style/citylist/CityListSelectActivity.java, line(s) 74
com/lljjcoder/style/citylist/sortlistview/CharacterParser.java, line(s) 32
com/lljjcoder/style/citypickerview/widget/wheel/adapters/AbstractWheelTextAdapter.java, line(s) 145
com/lzf/easyfloat/permission/PermissionUtils.java, line(s) 161
com/lzf/easyfloat/permission/rom/HuaweiUtils.java, line(s) 34,40,43,60,63
com/lzf/easyfloat/permission/rom/MeizuUtils.java, line(s) 30,33,44,47
com/lzf/easyfloat/permission/rom/MiuiUtils.java, line(s) 23,24,44,56,68,88,98,101,124
com/lzf/easyfloat/permission/rom/OppoUtils.java, line(s) 21,24
com/lzf/easyfloat/permission/rom/QikuUtils.java, line(s) 20,23,47
com/lzf/easyfloat/permission/rom/RomUtils.java, line(s) 109
com/lzf/easyfloat/utils/DisplayUtils.java, line(s) 149
com/lzf/easyfloat/utils/Logger.java, line(s) 44,52,60,68,76
com/miui/deviceid/IdentifierManager.java, line(s) 25,57
com/ncarzone/module/addcar/biz/camera/AutoFocusManager.java, line(s) 60,80,83,97
com/ncarzone/module/addcar/biz/camera/CameraPreview.java, line(s) 63,126,223
com/ncarzone/module/addcar/biz/camera/GuideView.java, line(s) 107,194,223,317,328
com/ncarzone/module/addcar/biz/camera/SensorControler.java, line(s) 61,83
com/ncarzone/module/location/biz/util/LocationUtil.java, line(s) 53,58,61,114
com/ncarzone/module/location/biz/view/MapSearchRouthActivity.java, line(s) 123
com/ncarzone/module/message/biz/facade/SchemeRouteFacadeImpi.java, line(s) 123
com/ncarzone/module/order/biz/util/AlipayPayUtils.java, line(s) 27,69
com/ncarzone/module/user/biz/facade/UserFacadeImpl.java, line(s) 100,105,111,115
com/ncarzone/module/user/biz/view/OneKeyLoginActivity.java, line(s) 165,189,192,282,320
com/ncarzone/module/user/biz/view/SetUpActivity.java, line(s) 171
com/ncarzone/network/utils/ConfigUtils.java, line(s) 126
com/ncarzone/network/utils/LogUtil.java, line(s) 11,35,17,41,23,47,29,53
com/ncarzone/tmyc/launcher/AppLifecycleCallback.java, line(s) 67,57
com/ncarzone/tmyc/launcher/init/StartupManager.java, line(s) 252
com/ncarzone/tmyc/wxapi/WXPayEntryActivity.java, line(s) 34,39
com/ncarzone/webview/biz/view/activity/WebActivity.java, line(s) 196,570,600,607,612,618,624,754,763
com/ncarzone/webview/biz/zxing/camera/AutoFocusCallback.java, line(s) 26
com/ncarzone/webview/biz/zxing/camera/CameraConfigurationManager.java, line(s) 36,48,180,183,185,192,201,203,83,100,123,134
com/ncarzone/webview/biz/zxing/camera/CameraManager.java, line(s) 72
com/ncarzone/webview/biz/zxing/camera/FlashlightManager.java, line(s) 15,17,54,65,74,77,80
com/ncarzone/webview/biz/zxing/camera/PreviewCallback.java, line(s) 36
com/ncarzone/webview/biz/zxing/decoding/CaptureActivityHandler.java, line(s) 70,75,87,91
com/ncarzone/webview/biz/zxing/decoding/DecodeHandler.java, line(s) 51
com/nczone/common/AppLifecycleCallback.java, line(s) 66,56
com/nczone/common/utils/AliSecurityUtils.java, line(s) 13,24,16,26
com/nczone/common/utils/ConfigUtils.java, line(s) 130
com/nczone/common/utils/DateUtil.java, line(s) 61,67,549
com/nczone/common/utils/SoftKeyBoardListener.java, line(s) 39
com/nczone/common/utils/expandable/ExpandableViewHoldersUtil.java, line(s) 73
com/nczone/common/utils/keyboard/KeyboardHelper.java, line(s) 76,79,106
com/nczone/common/utils/rxbus/Utils.java, line(s) 82,86
com/nczone/common/widget/MyRatingBar.java, line(s) 83
com/nczone/common/widget/RatingBar.java, line(s) 70,74,95,164,171
com/nczone/common/widget/refreshlayout/RefreshLayout.java, line(s) 268
com/nirvana/tools/core/BaseDelegate.java, line(s) 22,14
com/nirvana/tools/crash/c.java, line(s) 25
com/nirvana/tools/logger/b/a.java, line(s) 73,83
com/nirvana/tools/logger/b/c.java, line(s) 53,80,83,85,132,143,204,213
com/taobao/tao/remotebusiness/MtopBusiness.java, line(s) 244
com/taobao/tlog/adapter/TLogConfigSwitchReceiver.java, line(s) 36,38,46,53,59,74,86
com/taobao/tlog/adapter/TLogFileUploader.java, line(s) 35,39,47,51,74,78
com/tbruyelle/rxpermissions2/RxPermissionsFragment.java, line(s) 102,112
com/ut/mini/UTPageHitHelper.java, line(s) 355
com/vincent/videocompressor/VideoController.java, line(s) 50
com/xuchun/floatingview/Floater.java, line(s) 88,111,220,242
com/xuchun/floatingview/FloatingBaseView.java, line(s) 115,171,182
com/yalantis/ucrop/UCropActivity.java, line(s) 549
com/yalantis/ucrop/task/BitmapCropTask.java, line(s) 98
com/yalantis/ucrop/task/BitmapLoadTask.java, line(s) 54,101,188,200,207,213,243
com/yalantis/ucrop/util/BitmapLoadUtils.java, line(s) 55,104,114
com/yalantis/ucrop/util/EglUtils.java, line(s) 75
com/yalantis/ucrop/util/FileUtils.java, line(s) 110
com/yalantis/ucrop/util/ImageHeaderParser.java, line(s) 135,170,180,192,201,209,218,225,241,257,261,266,275,278,283,169,179,191,200,208,217,224,240,256,260,265,274,277,282
com/yalantis/ucrop/view/TransformImageView.java, line(s) 121,176,204,221
com/zhpan/bannerview/utils/BannerUtils.java, line(s) 25
me/leefeng/promptlibrary/PromptDialog.java, line(s) 228
me/leefeng/promptlibrary/PromptView.java, line(s) 120,687
me/weishu/reflection/Reflection.java, line(s) 27
mtopsdk/a/a/b/a.java, line(s) 47
mtopsdk/a/a/c/e.java, line(s) 77,94,114,125
mtopsdk/a/a/c/f.java, line(s) 32,51
mtopsdk/common/util/RemoteConfig.java, line(s) 223,237
mtopsdk/common/util/TBSdkLog.java, line(s) 43,48,93,99,138,184,208,224,86,118,66,149,168
mtopsdk/common/util/a.java, line(s) 34,53
mtopsdk/common/util/b.java, line(s) 43,60
mtopsdk/common/util/d.java, line(s) 20
mtopsdk/mtop/antiattack/a.java, line(s) 24,37,73
mtopsdk/mtop/features/MtopFeatureManager.java, line(s) 79
mtopsdk/mtop/util/MtopStatistics.java, line(s) 398
net/security/device/api/LogUtil.java, line(s) 12,18,51,33,39,45
org/android/spdy/NetTimeGaurd.java, line(s) 26,36
org/android/spdy/ProtectedPointerTest.java, line(s) 11,16,54
org/android/spdy/spduLog.java, line(s) 12,26,19,33,69,40,47

信息 此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它 

此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04b-Mobile-App-Security-Testing.md#clipboard

Files:
com/nczone/common/utils/StringUtil.java, line(s) 4,131

安全 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击 

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
com/arialyy/aria/util/SSLContextUtil.java, line(s) 65,56,57,57
com/nczone/common/http/RetrofitHelper.java, line(s) 21,21,44
com/nczone/common/http/RetrofitHelperV2.java, line(s) 52,49
com/nczone/common/http/RetrofitManager.java, line(s) 51,51,64

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (px.ucweb.com) 通信。 

{'ip': '47.101.130.220', 'country_short': 'CN', 'country_long': '中国', 'region': '河北', 'city': '张家口', 'latitude': '40.810024', 'longitude': '114.879349'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (collect.ux.21cn.com) 通信。 

{'ip': '47.101.130.220', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '苏州', 'latitude': '31.311365', 'longitude': '120.617691'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (qrlogin.taobao.com) 通信。 

{'ip': '47.101.130.220', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.wjx.cn) 通信。 

{'ip': '47.101.130.220', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (api.ncarzone.com) 通信。 

{'ip': '47.101.130.220', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (id6.me) 通信。 

{'ip': '47.101.130.220', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '反恐精英', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (nczupload.carzone365.com) 通信。 

{'ip': '47.100.53.136', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (login.m.taobao.com) 通信。 

{'ip': '47.101.130.220', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (accountlink.taobao.com) 通信。 

{'ip': '59.82.122.165', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (shence.ncarzone.com) 通信。 

{'ip': '47.101.130.220', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (e.189.cn) 通信。 

{'ip': '47.101.130.220', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (pages.ncarzone.com) 通信。 

{'ip': '47.101.130.220', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (eco.taobao.com) 通信。 

{'ip': '59.82.122.61', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (login.wapa.taobao.com) 通信。 

{'ip': '140.205.215.168', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (opencloud.wostore.cn) 通信。 

{'ip': '112.33.111.233', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (aria.laoyuyu.me) 通信。 

{'ip': '118.24.25.24', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (wap.cmpassport.com) 通信。 

{'ip': '112.33.111.233', 'country_short': 'CN', 'country_long': '中国', 'region': '安徽', 'city': '合肥', 'latitude': '31.863815', 'longitude': '117.280830'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (login.waptest.tbsandbox.com) 通信。 

{'ip': '140.205.69.8', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.tmallyc.com) 通信。 

{'ip': '47.100.53.136', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (capi.xty86.com) 通信。 

{'ip': '202.75.221.99', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (dfs00.ncarzone.com) 通信。 

{'ip': '101.132.96.34', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (mgw.m.taobao.com) 通信。 

{'ip': '59.82.122.10', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

安全评分: ( 天猫养车 2.0.0)