安全分析报告： Talking Hippo v1.0

安全分数


安全分数 40/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

1

用户/设备跟踪器


调研结果

高危 5
中危 21
信息 1
安全 0
关注 0

高危 Activity (.Main) 的启动模式不是standard模式 

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （.Main） 容易受到 Android Task Hijacking/StrandHogg 的攻击。 

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (4) 更新到 28 或更高版本以在平台级别修复此问题。

高危 如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击 

如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-7

Files:
com/codecarpet/fbconnect/FBDialog.java, line(s) 398,21,22
com/geinimi/AdActivity.java, line(s) 62,11

高危 使用弱加密算法 

使用弱加密算法
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/geinimi/c/m.java, line(s) 28,44

高危 该文件是World Writable。任何应用程序都可以写入文件 

该文件是World Writable。任何应用程序都可以写入文件
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#testing-local-storage-for-sensitive-data-mstg-storage-1-and-mstg-storage-2

Files:
com/outfit7/talkinghippo/ck.java, line(s) 18

中危 应用程序数据存在被泄露的风险 

未设置[android:allowBackup]标志
这个标志 [android:allowBackup]应该设置为false。默认情况下它被设置为true，允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危 Activity (.Main) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (AnimationPlayer) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (YouTubeLoginActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (Info) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (VideoCommentActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (News) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (VideoUploadedToFbActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (VideoUploadedToYtActivity) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (Grid) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (GridProxy) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Activity (Menu) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 Broadcast Receiver (com.geinimi.AdServiceReceiver) 未被保护。 

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危 Activity (com.geinimi.custom.Ad3019_30190001) 未被保护。 

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/geinimi/c/k.java, line(s) 17
com/geinimi/c/l.java, line(s) 129,194,197
com/outfit7/talkinghippo/Menu.java, line(s) 14
com/outfit7/talkinghippo/TalkingHippoApplication.java, line(s) 34

中危 不安全的Web视图实现。可能存在WebView任意代码执行漏洞 

不安全的Web视图实现。可能存在WebView任意代码执行漏洞
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#testing-javascript-execution-in-webviews-mstg-platform-5

Files:
com/geinimi/AdActivity.java, line(s) 51,71

中危 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/geinimi/AdActivity.java, line(s) 25,26,27,28
com/geinimi/a/d.java, line(s) 40

中危 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/admob/android/ads/AdManager.java, line(s) 214
com/outfit7/talkinghippo/ar.java, line(s) 116
temporary/CcUtil.java, line(s) 106

中危 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/outfit7/talkinghippo/j.java, line(s) 10

中危 应用程序包含隐私跟踪程序 

此应用程序有多个1隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
"yt_field_username" : "Username:"
"yt_field_password" : "Password:"
77d49fd04a3d23d0953e03aa0500a5df
078e67147c67ccf83e20f257542b75d2
jJ54m5V32xBLZH2cweZF8DMuwpiYjNpWJSpLSsUCfTCfkCUuhokFxvFLBq3muyND7OX
boundary=3i2ndDfv2rTHiSisAbouNdArYfORhtTPEefj3q2f
3i2ndDfv2rTHiSisAbouNdArYfORhtTPEefj3q2f

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
com/a/a/a.java, line(s) 72
com/a/a/e.java, line(s) 70
com/a/a/f.java, line(s) 18,30,37,43
com/a/a/k.java, line(s) 48,80,98,40,55,70,107
com/admob/android/ads/AdManager.java, line(s) 86,200,218,243,263,278,282,286,295,325,64,136,50,85,90,101,108,135,148,194,197,199,233,234,235,242,262,277,281,285,294,324,102,109,56
com/admob/android/ads/AdView.java, line(s) 207,246,257,371,398,419,332,426,609,200,206,245,256,265,357,370,386,397,416,418,425,608,201,202,387,47,54,133,195,230,237,266,277,346,349,444,451,499,504
com/admob/android/ads/a.java, line(s) 27,40,26
com/admob/android/ads/analytics/InstallReceiver.java, line(s) 30,37,44,71,22,29,36,23
com/admob/android/ads/d.java, line(s) 278,285,339,371,723,771,789,812,841,1361,389,422,540,570,584,638,686,962,967,1103,1128,1152,1240,1248,1355,265,268,277,284,338,342,346,370,388,421,539,569,583,637,685,722,755,773,811,840,961,966,1102,1127,1151,1239,1247,1354,1360
com/admob/android/ads/g.java, line(s) 113,312,112,169,181,244,311,372,170,182,245,373,337
com/admob/android/ads/i.java, line(s) 50,49
com/admob/android/ads/o.java, line(s) 86,101,85,100
com/admob/android/ads/r.java, line(s) 67,66
com/admob/android/ads/t.java, line(s) 28,29,26
com/admob/android/ads/u.java, line(s) 28,110,113,27,59,60,109,121
com/admob/android/ads/view/AdMobWebView.java, line(s) 65,71,77,97
com/codecarpet/fbconnect/FBDialog.java, line(s) 277,279,404,409,387
com/codecarpet/fbconnect/FBFeedActivity.java, line(s) 27
com/codecarpet/fbconnect/FBLoginDialog.java, line(s) 62
com/codecarpet/fbconnect/FBProgressDialog.java, line(s) 24,38,59,79
com/codecarpet/fbconnect/FBRequest.java, line(s) 103
com/codecarpet/fbconnect/FBSession.java, line(s) 187,193,195,200,204
com/outfit7/b/a.java, line(s) 52,53,54
com/outfit7/jpeg2avi/AudioDecoder.java, line(s) 49
com/outfit7/jpeg2avi/Jpeg2avi.java, line(s) 23
com/outfit7/jpeg2avi/Test.java, line(s) 49,67
com/outfit7/jpeg2avi/Test2.java, line(s) 50,78,84,93,96
com/outfit7/jpeg2avi/Test3.java, line(s) 29,67,74,80,89,92
com/outfit7/talkinghippo/Grid.java, line(s) 73,129,131,58
com/outfit7/talkinghippo/Main.java, line(s) 50,104,111,113,185
com/outfit7/talkinghippo/YouTubeLoginActivity.java, line(s) 54
com/outfit7/talkinghippo/am.java, line(s) 41
com/outfit7/talkinghippo/ap.java, line(s) 37
com/outfit7/talkinghippo/ay.java, line(s) 34,44
com/outfit7/talkinghippo/bp.java, line(s) 45
com/outfit7/talkinghippo/cb.java, line(s) 18,26,28,35
com/outfit7/talkinghippo/ch.java, line(s) 24
com/outfit7/talkinghippo/ck.java, line(s) 37
com/outfit7/talkinghippo/cl.java, line(s) 23
com/outfit7/talkinghippo/cp.java, line(s) 43
com/outfit7/talkinghippo/cq.java, line(s) 20
com/outfit7/talkinghippo/cy.java, line(s) 50,46,86
com/outfit7/talkinghippo/di.java, line(s) 24,29,51
com/outfit7/talkinghippo/dt.java, line(s) 23
com/outfit7/talkinghippo/dx.java, line(s) 38
com/outfit7/talkinghippo/e.java, line(s) 17
com/outfit7/talkinghippo/r.java, line(s) 26
com/outfit7/talkinghippo/t.java, line(s) 31,50

安全评分: ( Talking Hippo 1.0)