安全分析报告： 小石头SJ v6.1.1

安全分数


安全分数 16/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

1

用户/设备跟踪器


调研结果

高危 47
中危 16
信息 2
安全 2
关注 23

高危 应用程序存在Janus漏洞 

应用程序使用了v1签名方案进行签名，如果只使用v1签名方案，那么它就容易受到安卓5.0-8.0上的Janus漏洞的攻击。在安卓5.0-7.0上运行的使用了v1签名方案的应用程序，以及同时使用了v2/v3签名方案的应用程序也同样存在漏洞。

高危 基本配置不安全地配置为允许到所有域的明文流量。 

Scope:
*

高危 Activity (com.cyjh.elfin.ui.activity.SplashActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （com.cyjh.elfin.ui.activity.SplashActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危 Activity (com.cyjh.elfin.ui.activity.SplashActivity) is vulnerable to StrandHogg 2.0 

已发现活动存在 StrandHogg 2.0 栈劫持漏洞的风险。漏洞利用时，其他应用程序可以将恶意活动放置在易受攻击的应用程序的活动栈顶部，从而使应用程序成为网络钓鱼攻击的易受攻击目标。可以通过将启动模式属性设置为“singleInstance”并设置空 taskAffinity (taskAffinity="") 来修复此漏洞。您还可以将应用的目标 SDK 版本 (26) 更新到 29 或更高版本以在平台级别修复此问题。

高危 Activity (com.cyjh.elfin.ui.activity.ElfinFreeActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （com.cyjh.elfin.ui.activity.ElfinFreeActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危 Activity (com.cyjh.elfin.ui.activity.SweepCodeActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （com.cyjh.elfin.ui.activity.SweepCodeActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危 Activity (com.cyjh.elfin.ui.activity.SweepCodeZbarActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （com.cyjh.elfin.ui.activity.SweepCodeZbarActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危 Activity (com.cyjh.elfin.ui.activity.UnbindRegistrationCodeActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （com.cyjh.elfin.ui.activity.UnbindRegistrationCodeActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危 Activity (com.cyjh.root.ui.activity.SelectApplicationListActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （com.cyjh.root.ui.activity.SelectApplicationListActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危 Activity (com.elfin.ad.activity.FullScreenTwoAdActivity) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （com.elfin.ad.activity.FullScreenTwoAdActivity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危 Activity (com.didi.virtualapk.core.C$1) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （com.didi.virtualapk.core.C$1） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危 Activity (com.didi.virtualapk.core.C$2) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （com.didi.virtualapk.core.C$2） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危 Activity (com.didi.virtualapk.core.C$3) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （com.didi.virtualapk.core.C$3） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危 Activity (com.didi.virtualapk.core.C$4) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （com.didi.virtualapk.core.C$4） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危 Activity (com.didi.virtualapk.core.C$5) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （com.didi.virtualapk.core.C$5） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危 Activity (com.didi.virtualapk.core.C$6) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （com.didi.virtualapk.core.C$6） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危 Activity (com.didi.virtualapk.core.C$7) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （com.didi.virtualapk.core.C$7） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危 Activity (com.didi.virtualapk.core.C$8) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （com.didi.virtualapk.core.C$8） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (26) 更新到 28 或更高版本以在平台级别修复此问题。

高危 Activity (com.didi.virtualapk.core.D$1) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.didi.virtualapk.core.D$2) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.didi.virtualapk.core.D$3) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.didi.virtualapk.core.D$4) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.didi.virtualapk.core.D$5) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.didi.virtualapk.core.D$6) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.didi.virtualapk.core.D$7) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity (com.didi.virtualapk.core.D$8) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 应用程序在加密算法中使用ECB模式。ECB模式是已知的弱模式，因为它对相同的明文块[UNK]产生相同的密文 

应用程序在加密算法中使用ECB模式。ECB模式是已知的弱模式，因为它对相同的明文块[UNK]产生相同的密文
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-block-cipher-mode

Files:
com/iflytek/collector/a/a/a.java, line(s) 23
com/iflytek/voiceads/utils/d.java, line(s) 52

高危 应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。 

应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/goldcoast/sdk/c/a.java, line(s) 14,39
mobi/oneway/export/g/a.java, line(s) 35

高危 SSL的不安全实现。信任所有证书或接受自签名证书是一个关键的安全漏洞。此应用程序易受MITM攻击 

SSL的不安全实现。信任所有证书或接受自签名证书是一个关键的安全漏洞。此应用程序易受MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#android-network-apis

Files:
com/lidroid/xutils/http/client/DefaultSSLSocketFactory.java, line(s) 50,13,14,15
com/lidroid/xutils/util/OtherUtils.java, line(s) 241,241,14,15,16,17,18

高危 如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击 

如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-7

Files:
com/c/d/h.java, line(s) 119,8,9
com/cyjh/elfin/ui/fragment/MsgDetailFragment.java, line(s) 45,59,7
com/iflytek/voiceads/view/AdView.java, line(s) 111,16

高危 不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击 

不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#webview-server-certificate-verification

Files:
com/iflytek/voiceads/bridge/l.java, line(s) 59,57
com/iflytek/voiceads/f/b.java, line(s) 64,62

高危 使用弱加密算法 

使用弱加密算法
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/cyjh/common/util/h.java, line(s) 26,39,66,73,80

中危 应用程序数据可以被备份 

[android:allowBackup=true]
这个标志允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危 Service (com.cyjh.elfin.floatingwindowprocess.service.FloatingWindowService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Broadcast Receiver (com.cyjh.elfin.broadcast.BootBroadcast) 未被保护。 

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (com.ime.input.InputKb) 受权限保护, 但是应该检查权限的保护级别。 

Permission: android.permission.BIND_INPUT_METHOD [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Content Provider (com.core.util.share.SharedPreferenceProvider) 未被保护。 

[android:exported=true]
发现 Content Provider与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/cyjh/event/Injector.java, line(s) 1398
com/cyjh/http/bean/NotifyMsgBean.java, line(s) 51
com/cyjh/http/bean/request/EditProjectNumberRequestInfo.java, line(s) 88
com/cyjh/http/bean/response/ScriptStartRunInfo.java, line(s) 41
com/cyjh/http/bean/response/VersionUpdateInfo.java, line(s) 61
com/cyjh/mq/sdk/entity/Script4Run.java, line(s) 279,279
net/grandcentrix/tray/core/SharedPreferencesImport.java, line(s) 63
net/grandcentrix/tray/provider/TrayContract.java, line(s) 28,29
net/grandcentrix/tray/provider/TrayDBHelper.java, line(s) 15,16

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/cyjh/elfin/b/a.java, line(s) 4,5,20
com/iflytek/voiceads/download/c/b.java, line(s) 5,64
com/iflytek/voiceads/download/c/c.java, line(s) 4,5,17
com/lidroid/xutils/DbUtils.java, line(s) 5,447
net/grandcentrix/tray/provider/TrayDBHelper.java, line(s) 4,5,44
org/litepal/f.java, line(s) 6,493
org/litepal/f/a.java, line(s) 5,96
org/litepal/f/f.java, line(s) 4,43
org/litepal/g/c.java, line(s) 4,66

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/c/d/a.java, line(s) 654
com/cyjh/common/util/e.java, line(s) 44,325,412,425,443,461,466,487,491
com/cyjh/common/util/f.java, line(s) 120,124,232
com/cyjh/common/util/k.java, line(s) 22,42
com/cyjh/common/util/n.java, line(s) 61,354
com/cyjh/common/util/o.java, line(s) 98
com/cyjh/common/util/t.java, line(s) 72,84
com/cyjh/common/util/y.java, line(s) 17,47
com/cyjh/elfin/a/b.java, line(s) 108,120
com/cyjh/elfin/base/AppContext.java, line(s) 170
com/cyjh/elfin/base/a.java, line(s) 77,78,141,142
com/cyjh/elfin/e/c/d.java, line(s) 63,67,133
com/cyjh/elfin/ui/a/h.java, line(s) 273
com/cyjh/elfin/ui/activity/ElfinFreeActivity.java, line(s) 290,400,575
com/cyjh/event/Injector.java, line(s) 241,340,536,593
com/cyjh/feedback/lib/fragment/ImageSelectFragment.java, line(s) 220,276
com/cyjh/http/e/a.java, line(s) 152,528
com/cyjh/mobileanjian/ipc/a/b.java, line(s) 304,308
com/cyjh/mobileanjian/ipc/log/b.java, line(s) 19
com/cyjh/mobileanjian/ipc/uip/UipHelper.java, line(s) 49
com/cyjh/mobileanjian/ipc/utils/f.java, line(s) 17
com/cyjh/mq/c/d.java, line(s) 294,886
com/cyjh/mq/d/a.java, line(s) 16
com/cyjh/mq/d/c.java, line(s) 57,70
com/cyjh/mq/service/IpcService.java, line(s) 185
com/hlzn/socketclient/f/e.java, line(s) 20,29
com/iflytek/voiceads/download/c.java, line(s) 10
com/iflytek/voiceads/param/e.java, line(s) 364,393
com/iflytek/voiceads/utils/f.java, line(s) 76
com/iflytek/voiceads/utils/n.java, line(s) 8
com/lidroid/xutils/util/OtherUtils.java, line(s) 82
com/zbar/a/b/b.java, line(s) 55,125
mobi/oneway/export/g/h.java, line(s) 86
org/litepal/f.java, line(s) 201
org/litepal/f/c.java, line(s) 55,122,57,124

中危 IP地址泄露 

IP地址泄露


Files:
com/cyjh/common/util/f.java, line(s) 142,150
com/cyjh/elfin/e/c/d.java, line(s) 140,148
com/cyjh/elfin/e/c/e.java, line(s) 223,263
com/elfin/ad/e/e.java, line(s) 40
mobi/oneway/export/a/a.java, line(s) 11,12

中危 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
b/a/k/a.java, line(s) 23
b/a/k/d.java, line(s) 8
b/z.java, line(s) 23
com/cyjh/elfin/ui/model/ElfinModel.java, line(s) 35
com/cyjh/http/b/a.java, line(s) 15
com/elfin/ad/e/a.java, line(s) 14
com/lidroid/xutils/http/client/multipart/MultipartEntity.java, line(s) 11

中危 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/c/d/a.java, line(s) 495
com/cyjh/common/util/n.java, line(s) 378
com/cyjh/common/util/u.java, line(s) 14
com/cyjh/mobileanjian/ipc/log/b.java, line(s) 82
com/goldcoast/sdk/domain/EntryPoint.java, line(s) 905
com/iflytek/voiceads/utils/d.java, line(s) 20
com/lidroid/xutils/cache/MD5FileNameGenerator.java, line(s) 22
com/sun/mail/pop3/Protocol.java, line(s) 80
com/sun/mail/smtp/DigestMD5.java, line(s) 87
org/litepal/g/a/b.java, line(s) 55

中危 应用程序创建临时文件。敏感信息永远不应该被写进临时文件 

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
com/iflytek/voiceads/utils/m.java, line(s) 20
org/junit/d/j.java, line(s) 21,99

中危 可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息 

可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-6

Files:
com/iflytek/voiceads/view/AdView.java, line(s) 211,204

中危 不安全的Web视图实现。可能存在WebView任意代码执行漏洞 

不安全的Web视图实现。可能存在WebView任意代码执行漏洞
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#testing-javascript-execution-in-webviews-mstg-platform-5

Files:
com/iflytek/voiceads/bridge/DSBridgeWebView.java, line(s) 217,209

中危 应用程序包含隐私跟踪程序 

此应用程序有多个1隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
友盟统计的=> "UMENG_APPKEY" : "579ad79de0f55a8b3c001633"
"tray__authority" : "legacyTrayAuthority"
258EAFA5-E914-47DA-95CA-C5AB0DC85B11
5e1f6df6cc024c80b7e8b86dc670c100
fb707dfdf25147dda42dc5795c7e844b
410D8AC18806EDFE511A00EFD3329F20
nmOYRYZP042vWRcKZ6iQLdLYmyg6tIzjYVfH0f6YX8OLIU7fy0TA/c88rzwIDAQAB
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
BA2159EDE8B5B1B06F70D35A9630B683
21462E427898ADCCC2171718D603B0DE
761D5F3C12409F07DCE571A8AA3C0480
MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCt8H0BF3SquJmk6xIo2bTldgvtazLIeSbR4cle
2FABB9840C76199A1E170A7C19698595
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
A9DDDF2A4F7D94594EC2EA98407A410E1
LS0tLS1CRUdJTiBQVUJMSUMgS0VZLS0tLS0KTUlHZk1BMEdDU3FHU0liM0RRRUJBUVVBQTRHTkFEQ0JpUUtCZ1FEUTZhRjF5WFFNMmRTNldsNUlVa3BJQVBhZApQcHl0OHFraFdTRncwT3BtRHhUUEJPbm5GLzNWMEhVYmN1MEUreE81NDJzYkhYMVBZWkQxT1N0SEJZT2N2YzJJCnVLYTdkbC9BL3V5d0haNGZWeFNLWHJnZTNNdXZEWjZrZWZiSkVjRGFDTHVjK1RPdGo3L0hsRHBibEpFN3NSVnQKQ1l4TlFwMFQzYjNPb2t5RG53SURBUUFCCi0tLS0tRU5EIFBVQkxJQyBLRVktLS0tLQo=
F4F04588C1076DA9017964B229D657DA
9312C6DA2448C84DB3C4FE8F66E2B394
DFEE16B42C8B2890D8FF2860AF5562B1
5FF8BF855D9553F32AA0CD1DB70FEDC6
3CCD2FB15632CD8044CD37D46DE41E3C
579ad79de0f55a8b3c001633
94CCB814573108BFBD19D8E2BB45AEE0

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
com/c/a/c.java, line(s) 205
com/c/d/a.java, line(s) 422,427,456,606
com/cyjh/common/util/a.java, line(s) 204,213,294,398,418,422,428,430,434,437,580,585
com/cyjh/common/util/aa.java, line(s) 49
com/cyjh/common/util/ac.java, line(s) 171
com/cyjh/common/util/ad.java, line(s) 13,20,27,40,32
com/cyjh/common/util/aj.java, line(s) 24,46,71,72,83,98,99,111
com/cyjh/common/util/e.java, line(s) 214,247
com/cyjh/common/util/j.java, line(s) 38,60,73,85,101
com/cyjh/common/util/toast/a.java, line(s) 567,580,616
com/cyjh/common/util/toast/c.java, line(s) 220,234,282
com/cyjh/common/util/toast/g.java, line(s) 235,293,175
com/cyjh/common/util/toast/h.java, line(s) 68,102
com/cyjh/common/util/toast/j.java, line(s) 50,52,63
com/cyjh/common/util/toast/o.java, line(s) 87,92,406,439,545,684,273,447
com/cyjh/common/util/toast/q.java, line(s) 88,82
com/cyjh/common/util/toast/r.java, line(s) 229,271,280,348,292,364
com/cyjh/common/util/v.java, line(s) 114,115
com/cyjh/elfin/base/AppContext.java, line(s) 115,214,253
com/cyjh/elfin/broadcast/BootBroadcast.java, line(s) 18,21
com/cyjh/elfin/e/a/a.java, line(s) 48,86,95,100,174,213,361,389,392
com/cyjh/elfin/e/a/b.java, line(s) 21,27,62,71,76
com/cyjh/elfin/e/a/c.java, line(s) 18,24,44,47
com/cyjh/elfin/e/a/d.java, line(s) 24,25,33,39,114,125,137,149,169
com/cyjh/elfin/e/a/e.java, line(s) 19,25
com/cyjh/elfin/e/a/f.java, line(s) 18,24,52
com/cyjh/elfin/e/a/g.java, line(s) 39,44,50,63,111
com/cyjh/elfin/e/c/a.java, line(s) 245,254,328,403,545,550,584,588,594,596,600,603
com/cyjh/elfin/e/c/m.java, line(s) 32,39,74,81,46,53,14,21,60,67
com/cyjh/elfin/e/c/q.java, line(s) 87,92,389,422,524,663,263,430
com/cyjh/elfin/entity/ParamsWrap.java, line(s) 73
com/cyjh/elfin/floatingwindowprocess/a/d.java, line(s) 339,340,341
com/cyjh/elfin/floatingwindowprocess/d/a.java, line(s) 213
com/cyjh/elfin/floatingwindowprocess/d/b.java, line(s) 282,485,148,513,603,298,772,115
com/cyjh/elfin/floatingwindowprocess/service/FloatingWindowService.java, line(s) 169,165
com/cyjh/elfin/floatingwindowprocess/service/a.java, line(s) 34
com/cyjh/elfin/services/PhoneStateService.java, line(s) 33,34,39,42,44
com/cyjh/elfin/services/TimerService.java, line(s) 39,45,52,54,60,81
com/cyjh/elfin/services/a.java, line(s) 36,63
com/cyjh/elfin/sweepcode/CameraSurfaceView.java, line(s) 99,100,102,103
com/cyjh/elfin/sweepcode/a.java, line(s) 53,54,56,57,102,114,121,83
com/cyjh/elfin/sweepcode/b.java, line(s) 194,196,108,109,111,112
com/cyjh/elfin/ui/activity/ScriptLogActivity.java, line(s) 97,98,99,130,131,132,147,148,149,240,241,242
com/cyjh/elfin/ui/activity/SettingActivity.java, line(s) 427,428,429
com/cyjh/elfin/ui/activity/SplashActivity.java, line(s) 253,270,456,473,171,178
com/cyjh/elfin/ui/activity/SweepCodeActivity.java, line(s) 83,85,272,274
com/cyjh/elfin/ui/activity/SweepCodeZbarActivity.java, line(s) 110,112,234,236,135,181
com/cyjh/elfin/ui/adpter/a.java, line(s) 104
com/cyjh/elfin/ui/fragment/DescriptionFragment.java, line(s) 63
com/cyjh/elfin/ui/model/ElfinModel.java, line(s) 140,146,148,415
com/cyjh/elfin/ui/model/RegCodeModel.java, line(s) 62
com/cyjh/elfin/ui/model/SplashModel.java, line(s) 593
com/cyjh/event/Injector.java, line(s) 1372,266,311,346,349,352,355,377,524,566,721,761,807,946,1150,1152,1392,1398,1419,1425,1471,1479,1523,433,469,3041
com/cyjh/event/accessibility/Cservice.java, line(s) 405
com/cyjh/feedback/lib/activity/ImageSelectActivity.java, line(s) 61
com/cyjh/feedback/lib/b/b.java, line(s) 214
com/cyjh/feedback/lib/e/e.java, line(s) 102,148
com/cyjh/http/c/a/a.java, line(s) 27
com/cyjh/http/c/c/b.java, line(s) 34,63
com/cyjh/http/c/c/c.java, line(s) 96,66,69,70,73,84,110,127
com/cyjh/http/c/c/d.java, line(s) 65,109,118
com/cyjh/http/c/c/e.java, line(s) 49
com/cyjh/http/c/c/i.java, line(s) 24,33,42
com/cyjh/http/c/c/k.java, line(s) 26,42,48
com/cyjh/http/c/c/l.java, line(s) 35,49,55
com/cyjh/http/c/c/m.java, line(s) 32,36,39,48,73,79
com/cyjh/http/c/c/n.java, line(s) 45
com/cyjh/http/c/c/o.java, line(s) 36,61
com/cyjh/http/c/c/p.java, line(s) 22,49
com/cyjh/http/d/b/a.java, line(s) 56
com/cyjh/http/d/b/c.java, line(s) 40,51,65,84
com/cyjh/http/e/a.java, line(s) 283,518,521
com/cyjh/http/oss/MyOSSUtils.java, line(s) 120,125,126,127,128
com/cyjh/mobileanjian/ipc/rpc/AndroidHelper.java, line(s) 190,201,218
com/cyjh/mobileanjian/ipc/stuff/AnalyseResultWrapper.java, line(s) 22
com/cyjh/mobileanjian/ipc/utils/d.java, line(s) 23
com/cyjh/mobileanjian/screencap/ForScreenShotActivity.java, line(s) 21
com/cyjh/mobileanjian/screencap/ScreenShoterV3.java, line(s) 103,111,114
com/cyjh/mq/c/b.java, line(s) 347,354,597,613,695
com/cyjh/mq/c/d.java, line(s) 114,134,138,804,965,463,479,547,711,727,788,948
com/cyjh/mq/d/c.java, line(s) 36,50,80,86,102
com/cyjh/mq/d/f.java, line(s) 167
com/cyjh/mq/sdk/a.java, line(s) 183,227
com/cyjh/mq/service/IpcService.java, line(s) 249
com/didi/virtualapk/PluginManager.java, line(s) 85,196,220,236,249,80,225,238,252
com/didi/virtualapk/delegate/ActivityManagerProxy.java, line(s) 130,89
com/didi/virtualapk/delegate/IContentProviderProxy.java, line(s) 79
com/didi/virtualapk/delegate/LocalService.java, line(s) 96,152,89,144,59,113,134
com/didi/virtualapk/delegate/RemoteContentProvider.java, line(s) 108,143,49,65
com/didi/virtualapk/delegate/RemoteService.java, line(s) 29
com/didi/virtualapk/internal/ComponentsHandler.java, line(s) 44
com/didi/virtualapk/internal/ResourcesManager.java, line(s) 198,244
com/didi/virtualapk/internal/StubActivityInfo.java, line(s) 35
com/didi/virtualapk/internal/VAInstrumentation.java, line(s) 108,145,168,173,185,112,137
com/didi/virtualapk/internal/utils/PluginUtil.java, line(s) 50,58,74,77,100,116,121,125,128,140,202
com/didi/virtualapk/utils/RunUtil.java, line(s) 65,93
com/didi/virtualapk/utils/ZipVerifyUtil.java, line(s) 95,105
com/elf/studio/c/a.java, line(s) 55,78,84
com/elfin/ad/e/b.java, line(s) 109,182,266,281,365,404,488,540,570,593,614,698,770,776,797
com/elfin/ad/e/e.java, line(s) 56,72,122,184,357,444,525,96,250
com/elfin/engin/b.java, line(s) 43
com/elfin/engin/b/a.java, line(s) 10
com/elfin/engin/b/b.java, line(s) 47,388,390
com/elfin/engin/b/c.java, line(s) 27
com/elfin/engin/c.java, line(s) 232
com/elfin/engin/d.java, line(s) 19,70,88
com/goldcoast/sdk/c/g.java, line(s) 33
com/goldcoast/sdk/domain/EntryPoint.java, line(s) 501,836
com/hlzn/socketclient/f/d.java, line(s) 27,13,20,34,41
com/iflytek/voiceads/config/SDKLogger.java, line(s) 10,16,22,28
com/iflytek/voiceads/utils/g.java, line(s) 11,21
com/ime/input/InputKb.java, line(s) 21
com/lidroid/xutils/util/LogUtils.java, line(s) 55,66,77,88,108,119,130,141,152,163,174,185,196,207
com/sun/activation/registries/LogSupport.java, line(s) 28,35
com/sun/mail/dsn/DeliveryStatus.java, line(s) 34,41,46,51
com/sun/mail/imap/protocol/BODYSTRUCTURE.java, line(s) 44,48,56,69,73,79,84,92,96,103,110,117,128,135,145,149,154,162,166,170,174,178,186,197,211,219,228,232,242,248,256,263,271,298,307,314
com/zbar/a/a/b.java, line(s) 153,164,210,221
com/zbar/a/a/c.java, line(s) 185,187,110,121
com/zbar/a/a/d.java, line(s) 34,46,64,72,78,89
junit/runner/Version.java, line(s) 12
junit/runner/a.java, line(s) 67
junit/textui/TestRunner.java, line(s) 69,128,147
mobi/oneway/common/service/OwFrontService.java, line(s) 28
mobi/oneway/export/g/m.java, line(s) 73,78,121,97,67,87,117
net/grandcentrix/tray/core/AbstractTrayPreference.java, line(s) 20
net/grandcentrix/tray/core/Preferences.java, line(s) 42,45,48,56,67,113,121,142,151,160,169,178,187,198,116
net/grandcentrix/tray/core/SharedPreferencesImport.java, line(s) 48,58,44
net/grandcentrix/tray/core/TrayLog.java, line(s) 17,24,28,6,34,42,50,57,61
net/grandcentrix/tray/provider/ContentProviderStorage.java, line(s) 100,98
net/grandcentrix/tray/provider/TrayContentProvider.java, line(s) 45,131
net/grandcentrix/tray/provider/TrayContract.java, line(s) 43,73
net/grandcentrix/tray/provider/TrayDBHelper.java, line(s) 62,64,72,80
org/greenrobot/eventbus/b.java, line(s) 43
org/greenrobot/eventbus/c.java, line(s) 146,552,211,220,222,324,333,335,499
org/greenrobot/eventbus/util/ErrorDialogManager.java, line(s) 169
org/greenrobot/eventbus/util/b.java, line(s) 31
org/greenrobot/eventbus/util/c.java, line(s) 68,92
org/greenrobot/eventbus/util/d.java, line(s) 57
org/litepal/b/j.java, line(s) 109
org/litepal/g/a/a.java, line(s) 71,116,42,100
org/litepal/g/d.java, line(s) 21,15

信息 此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它 

此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04b-Mobile-App-Security-Testing.md#clipboard

Files:
com/cyjh/event/accessibility/Cservice.java, line(s) 6,260
com/cyjh/mobileanjian/ipc/rpc/AndroidHelper.java, line(s) 8,243

安全 此应用程序可能具有Root检测功能 

此应用程序可能具有Root检测功能
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05j-Testing-Resiliency-Against-Reverse-Engineering.md#testing-root-detection-mstg-resilience-1

Files:
com/cyjh/common/util/f.java, line(s) 317,317,320,320
com/cyjh/common/util/j.java, line(s) 68,99
com/cyjh/elfin/ui/activity/SplashActivity.java, line(s) 268,471
com/cyjh/feedback/lib/e/e.java, line(s) 265,266
com/iflytek/voiceads/param/e.java, line(s) 51,51,51,51,51,51

安全 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击 

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
b/z.java, line(s) 604,593,602,602
com/b/a/ai.java, line(s) 117,106,115,115
com/github/kevinsawicki/http/HttpRequest.java, line(s) 616,1593
com/iflytek/voiceads/request/a.java, line(s) 191,184

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (owtk.audioadx.com) 通信。 

{'ip': '58.222.30.217', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (tl.oway.mobi) 通信。 

{'ip': '58.222.30.217', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (app.51moba.com) 通信。 

{'ip': '58.222.30.217', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (track.oway.mobi) 通信。 

{'ip': '119.96.90.203', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (api-cn.felink.com) 通信。 

{'ip': '114.118.64.21', 'country_short': 'CN', 'country_long': '中国', 'region': '福建', 'city': '厦门', 'latitude': '24.479790', 'longitude': '118.081871'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (ads.oneway.mobi) 通信。 

{'ip': '58.222.30.217', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.taobao.com) 通信。 

{'ip': '114.118.64.21', 'country_short': 'CN', 'country_long': '中国', 'region': '湖北', 'city': '武汉', 'latitude': '30.583330', 'longitude': '114.266853'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (app.mobileanjian.com) 通信。 

{'ip': '58.222.30.217', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (res2.mobileanjian.com) 通信。 

{'ip': '58.222.30.217', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '徐州', 'latitude': '34.266666', 'longitude': '117.166664'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (down.nishuoa.com) 通信。 

{'ip': '58.222.38.130', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '台州', 'latitude': '32.492168', 'longitude': '119.910767'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (pv.sohu.com) 通信。 

{'ip': '58.222.30.217', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '台州', 'latitude': '32.492168', 'longitude': '119.910767'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (logconf.iflytek.com) 通信。 

{'ip': '58.222.30.217', 'country_short': 'CN', 'country_long': '中国', 'region': '安徽', 'city': '合肥', 'latitude': '31.863815', 'longitude': '117.280830'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (api.voiceads.cn) 通信。 

{'ip': '114.118.64.21', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (ads.oway.mobi) 通信。 

{'ip': '47.96.75.198', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (tl.oneway.mobi) 通信。 

{'ip': '47.96.75.198', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (log.iflytek.com) 通信。 

{'ip': '47.96.75.198', 'country_short': 'CN', 'country_long': '中国', 'region': '安徽', 'city': '合肥', 'latitude': '31.863815', 'longitude': '117.280830'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (api4.mobileanjian.com) 通信。 

{'ip': '106.14.219.131', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (cmnsguider.yunos.com) 通信。 

{'ip': '116.196.110.57', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (imp.voiceads.cn) 通信。 

{'ip': '116.196.110.57', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (ulogs.umengcloud.com) 通信。 

{'ip': '223.109.148.141', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '南京', 'latitude': '32.061668', 'longitude': '118.777992'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (mt.voiceads.cn) 通信。 

{'ip': '47.98.52.71', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (owads.audioadx.com) 通信。 

{'ip': '47.98.52.71', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (auth2.mobileanjian.com) 通信。 

{'ip': '47.101.35.178', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

安全评分: ( 小石头SJ 6.1.1)