安全分析报告：
安全分数
安全分数 49/100
风险评级
等级
- A
- B
- C
- F
严重性分布 (%)
隐私风险
0
用户/设备跟踪器
调研结果
高危
3
中危
9
信息
2
安全
2
关注
1
高危 应用程序存在Janus漏洞
应用程序使用了v1签名方案进行签名，如果只使用v1签名方案，那么它就容易受到安卓5.0-8.0上的Janus漏洞的攻击。在安卓5.0-7.0上运行的使用了v1签名方案的应用程序，以及同时使用了v2/v3签名方案的应用程序也同样存在漏洞。
高危 基本配置不安全地配置为允许到所有域的明文流量。
Scope: *
高危 不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击
不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击 https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#webview-server-certificate-verification Files: IMuAHx_6/QxJ9d_1/IFxWkV_5/QxJ9d_1/KQgRr5e_0.java, line(s) 138,137
中危 应用程序数据可以被备份
[android:allowBackup=true] 这个标志允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。
中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage Files: X6FRs_4/IMuAHx_6/X6FRs_4/KQgRr5e_0.java, line(s) 28 com/myapp/app/MainActivity.java, line(s) 915,952,1675 com/myapp/utils/Utils.java, line(s) 408,595
中危 MD5是已知存在哈希冲突的弱哈希
MD5是已知存在哈希冲突的弱哈希 https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4 Files: IMuAHx_6/KQgRr5e_0/KQgRr5e_0/XnFJ5_9/PGPF6hQ_2.java, line(s) 112
中危 应用程序使用不安全的随机数生成器
应用程序使用不安全的随机数生成器 https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators Files: IMuAHx_6/Mqv2r_3/KQgRr5e_0/KQgRr5e_0/X6FRs_4/KQgRr5e_0.java, line(s) 8 com/scwang/smartrefresh/header/FunGameBattleCityHeader.java, line(s) 16 com/scwang/smartrefresh/header/TaurusHeader.java, line(s) 23
中危 不安全的Web视图实现。可能存在WebView任意代码执行漏洞
不安全的Web视图实现。可能存在WebView任意代码执行漏洞 https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#testing-javascript-execution-in-webviews-mstg-platform-5 Files: IMuAHx_6/QxJ9d_1/IFxWkV_5/QxJ9d_1/KQgRr5e_0.java, line(s) 450,417
中危 可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息
可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息 https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-6 Files: IMuAHx_6/QxJ9d_1/IFxWkV_5/QxJ9d_1/KQgRr5e_0.java, line(s) 439,417
中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2 Files: IMuAHx_6/KQgRr5e_0/KQgRr5e_0/XnFJ5_9/Mqv2r_3/X6FRs_4.java, line(s) 6,7,78
中危 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10 Files: X6FRs_4/KQgRr5e_0/YghfZG_14/XnFJ5_9/FSaI4_7.java, line(s) 28,30
中危 此应用可能包含硬编码机密信息
从应用程序中识别出以下机密确保这些不是机密或私人信息 凭证信息=> "GETUI_APP_ID" : "7WjVvM8dQS61CBBUnJ9BU5" 友盟统计的=> "UMENG_CHANNEL" : "default" 凭证信息=> "GETUI_APP_SECRET" : "IWI8Drf9dnAFYzUZMHn4Y1" 凭证信息=> "GETUI_APP_KEY" : "WP7s4gUZQJ9bIvJvNrvHc8"
信息 应用程序记录日志信息,不得记录敏感信息
应用程序记录日志信息,不得记录敏感信息 https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs Files: IMuAHx_6/KQgRr5e_0/KQgRr5e_0/XnFJ5_9/PGPF6hQ_2.java, line(s) 75,88 IMuAHx_6/QxJ9d_1/IFxWkV_5/QxJ9d_1/KQgRr5e_0.java, line(s) 90,106,120,130,144,227 IMuAHx_6/QxJ9d_1/Mqv2r_3/X6FRs_4.java, line(s) 75 IMuAHx_6/QxJ9d_1/QxJ9d_1/KQgRr5e_0.java, line(s) 96,123,149 KNBe_11/KQgRr5e_0/KQgRr5e_0/QxJ9d_1.java, line(s) 64,66 X6FRs_4/EuDEkJe_12/KQgRr5e_0/QxJ9d_1.java, line(s) 114,133,160 X6FRs_4/IMuAHx_6/EuDEkJe_12/IMuAHx_6.java, line(s) 14 X6FRs_4/IMuAHx_6/EuDEkJe_12/NzhupJ_29/Mqv2r_3.java, line(s) 118 X6FRs_4/IMuAHx_6/EuDEkJe_12/QxJ9d_1.java, line(s) 63 X6FRs_4/IMuAHx_6/EuDEkJe_12/RfjZ_21.java, line(s) 20,31 X6FRs_4/IMuAHx_6/EuDEkJe_12/SI64pbG_23.java, line(s) 26,47,68,95,116,131,146 X6FRs_4/IMuAHx_6/EuDEkJe_12/X6FRs_4.java, line(s) 20,29 X6FRs_4/IMuAHx_6/EuDEkJe_12/ZzDuCHW_20.java, line(s) 658 X6FRs_4/IMuAHx_6/IFxWkV_5/FSaI4_7.java, line(s) 79,82 X6FRs_4/IMuAHx_6/IFxWkV_5/IFxWkV_5.java, line(s) 54,73 X6FRs_4/IMuAHx_6/IFxWkV_5/Mqv2r_3.java, line(s) 48 X6FRs_4/IMuAHx_6/IFxWkV_5/QxJ9d_1.java, line(s) 389,394 X6FRs_4/IMuAHx_6/IFxWkV_5/X6FRs_4.java, line(s) 38,51 X6FRs_4/IMuAHx_6/IFxWkV_5/Xgtqvk_8.java, line(s) 119 X6FRs_4/IMuAHx_6/IFxWkV_5/XnFJ5_9/KQgRr5e_0.java, line(s) 81,90,197,207 X6FRs_4/IMuAHx_6/IFxWkV_5/XnFJ5_9/X6FRs_4.java, line(s) 100 X6FRs_4/IMuAHx_6/KNBe_11/QxJ9d_1.java, line(s) 18 X6FRs_4/IMuAHx_6/Mqv2r_3/FSaI4_7.java, line(s) 42,56,60 X6FRs_4/IMuAHx_6/Mqv2r_3/Mqv2r_3.java, line(s) 48 X6FRs_4/IMuAHx_6/Mqv2r_3/Nm6q_10.java, line(s) 67 X6FRs_4/IMuAHx_6/Mqv2r_3/PGPF6hQ_2.java, line(s) 41,50,64,73 X6FRs_4/IMuAHx_6/Nm6q_10/QxJ9d_1.java, line(s) 36,46,48,62,65,83,85 X6FRs_4/IMuAHx_6/WwEq_13/FSaI4_7.java, line(s) 43,52 X6FRs_4/IMuAHx_6/WwEq_13/PGPF6hQ_2.java, line(s) 42,51 X6FRs_4/IMuAHx_6/WwEq_13/Xgtqvk_8.java, line(s) 99,45 X6FRs_4/IMuAHx_6/X6FRs_4/PGPF6hQ_2/IFxWkV_5.java, line(s) 129,147,153 X6FRs_4/IMuAHx_6/X6FRs_4/PGPF6hQ_2/QxJ9d_1.java, line(s) 48 X6FRs_4/JZJr_16/EANXC_30.java, line(s) 20,22,36 X6FRs_4/JZJr_16/Fv6VRig_36.java, line(s) 45,87,101 X6FRs_4/JZJr_16/IFxWkV_5.java, line(s) 51,63,100 X6FRs_4/JZJr_16/JXypC6_34.java, line(s) 134 X6FRs_4/JZJr_16/NzhupJ_29.java, line(s) 59,72,101,110,112 X6FRs_4/JZJr_16/O3zP_37.java, line(s) 25 X6FRs_4/JZJr_16/R6WQ_35.java, line(s) 46,79 X6FRs_4/JZJr_16/Xgtqvk_8.java, line(s) 78 X6FRs_4/KNBe_11/XnFJ5_9.java, line(s) 217 X6FRs_4/KQgRr5e_0/KNBe_11/KQgRr5e_0/KQgRr5e_0.java, line(s) 45 X6FRs_4/KQgRr5e_0/LGe8pk_15/BVpCZyH_19.java, line(s) 112,133 X6FRs_4/KQgRr5e_0/LGe8pk_15/EANXC_30.java, line(s) 174,308 X6FRs_4/KQgRr5e_0/LGe8pk_15/IFxWkV_5.java, line(s) 487,57,91,103,196 X6FRs_4/KQgRr5e_0/LGe8pk_15/KNBe_11.java, line(s) 318,407,421 X6FRs_4/KQgRr5e_0/LGe8pk_15/PGPF6hQ_2.java, line(s) 178,182,185,189,220,226 X6FRs_4/KQgRr5e_0/LGe8pk_15/R6WQ_35.java, line(s) 23,38,52,54,56 X6FRs_4/KQgRr5e_0/LGe8pk_15/SI64pbG_23.java, line(s) 222,418,481,119,133,178,204,241,424,427,462,465 X6FRs_4/KQgRr5e_0/LGe8pk_15/ViqFd_33.java, line(s) 85 X6FRs_4/KQgRr5e_0/LGe8pk_15/WkDTNqU_32.java, line(s) 92 X6FRs_4/KQgRr5e_0/LGe8pk_15/YghfZG_14.java, line(s) 79 X6FRs_4/KQgRr5e_0/Nm6q_10/IMuAHx_6.java, line(s) 47,59,71,80,95,105,121,131,144,158,170 X6FRs_4/KQgRr5e_0/Nm6q_10/XnFJ5_9.java, line(s) 77,58 X6FRs_4/KQgRr5e_0/YghfZG_14/IMuAHx_6.java, line(s) 249,310,353 X6FRs_4/KQgRr5e_0/YghfZG_14/XnFJ5_9/Nm6q_10.java, line(s) 113 X6FRs_4/KQgRr5e_0/YghfZG_14/XnFJ5_9/XnFJ5_9.java, line(s) 154 X6FRs_4/NQvZgp_17/KQgRr5e_0/KQgRr5e_0/Xgtqvk_8.java, line(s) 1065,1068 X6FRs_4/WwEq_13/IMuAHx_6.java, line(s) 40,59 X6FRs_4/X6FRs_4/QxJ9d_1/KQgRr5e_0.java, line(s) 865,877,880 X6FRs_4/Xgtqvk_8/KQgRr5e_0/PGPF6hQ_2.java, line(s) 324 X6FRs_4/XnFJ5_9/KQgRr5e_0/IMuAHx_6.java, line(s) 1156,1157,1165,1173,1799,1802,527,536,623,667,729,739,800,864,872,1341,1848,1855,1865,1939,1997,2006,2014,2054,2140,2169,2178,2259,2269,2284,2294,2300,2661,2672,2683,2699,2734,2780,2814,2840,2076,2797 X6FRs_4/XnFJ5_9/KQgRr5e_0/KQgRr5e_0.java, line(s) 381,390,411,431 com/myapp/app/ADActivity.java, line(s) 79,89,99,103 com/myapp/app/MainActivity.java, line(s) 305,328,333,428,470,473,476,734,878,966,1851,1860,1986,2009,2069,452,644,650,655,837,910,1699,1703,1728,1732,1737,1742,1747,1757,1769,1817,1818,1886,1930,1940,1976,2017,2031,2121,2304,2321,2372,2470 com/myapp/app/SplashActivity.java, line(s) 26,48 com/myapp/utils/JwtUtils.java, line(s) 77,174,180 com/myapp/utils/Utils.java, line(s) 375,395,573,124 com/myapp/wrap/webview/WebViewInjectInterface.java, line(s) 444 com/wang/avi/AVLoadingIndicatorView.java, line(s) 333
信息 此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它
此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它 https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04b-Mobile-App-Security-Testing.md#clipboard Files: com/myapp/utils/Utils.java, line(s) 6,93
安全 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击 https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4 Files: XnFJ5_9/Fv6VRig_36/X6FRs_4.java, line(s) 537,536,535,535
安全 此应用程序没有隐私跟踪程序
此应用程序不包括任何用户或设备跟踪器。在静态分析期间没有找到任何跟踪器。
关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (wx.tenpay.com) 通信。
{'ip': '101.226.137.106', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}