安全分数
安全分数 40/100
风险评级
等级
- A
- B
- C
- F
严重性分布 (%)
隐私风险
1
用户/设备跟踪器
调研结果
高危
5
中危
21
信息
1
安全
0
关注
0
高危 Activity (.Main) 的启动模式不是standard模式
Activity 不应将启动模式属性设置为 "singleTask/singleInstance",因为这会使其成为根 Activity,并可能导致其他应用程序读取调用 Intent 的内容。因此,当 Intent 包含敏感信息时,需要使用 "standard" 启动模式属性。
高危 Activity (.Main) 容易受到 Android Task Hijacking/StrandHogg 的攻击。
活动不应将启动模式属性设置为“singleTask”。 然后,其他应用程序可以将恶意活动放置在活动栈顶部,从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (4) 更新到 28 或更高版本以在平台级别修复此问题。
高危 如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView,那么这个应用程序可能会遭受跨站脚本攻击
如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView,那么这个应用程序可能会遭受跨站脚本攻击 https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-7 Files: com/codecarpet/fbconnect/FBDialog.java, line(s) 398,21,22 com/geinimi/AdActivity.java, line(s) 62,11
高危 使用弱加密算法
使用弱加密算法 https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4 Files: com/geinimi/c/m.java, line(s) 28,44
高危 该文件是World Writable。任何应用程序都可以写入文件
该文件是World Writable。任何应用程序都可以写入文件 https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#testing-local-storage-for-sensitive-data-mstg-storage-1-and-mstg-storage-2 Files: com/outfit7/talkinghippo/ck.java, line(s) 18
中危 应用程序数据存在被泄露的风险
未设置[android:allowBackup]标志 这个标志 [android:allowBackup]应该设置为false。默认情况下它被设置为true,允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。
中危 Activity (.Main) 未被保护。
存在一个intent-filter。 发现 Activity与设备上的其他应用程序共享,因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。
中危 Activity (AnimationPlayer) 未被保护。
存在一个intent-filter。 发现 Activity与设备上的其他应用程序共享,因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。
中危 Activity (YouTubeLoginActivity) 未被保护。
存在一个intent-filter。 发现 Activity与设备上的其他应用程序共享,因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。
中危 Activity (Info) 未被保护。
存在一个intent-filter。 发现 Activity与设备上的其他应用程序共享,因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。
中危 Activity (VideoCommentActivity) 未被保护。
存在一个intent-filter。 发现 Activity与设备上的其他应用程序共享,因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。
中危 Activity (News) 未被保护。
存在一个intent-filter。 发现 Activity与设备上的其他应用程序共享,因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。
中危 Activity (VideoUploadedToFbActivity) 未被保护。
存在一个intent-filter。 发现 Activity与设备上的其他应用程序共享,因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。
中危 Activity (VideoUploadedToYtActivity) 未被保护。
存在一个intent-filter。 发现 Activity与设备上的其他应用程序共享,因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。
中危 Activity (Grid) 未被保护。
存在一个intent-filter。 发现 Activity与设备上的其他应用程序共享,因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。
中危 Activity (GridProxy) 未被保护。
存在一个intent-filter。 发现 Activity与设备上的其他应用程序共享,因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。
中危 Activity (Menu) 未被保护。
存在一个intent-filter。 发现 Activity与设备上的其他应用程序共享,因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。
中危 Broadcast Receiver (com.geinimi.AdServiceReceiver) 未被保护。
存在一个intent-filter。 发现 Broadcast Receiver与设备上的其他应用程序共享,因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。
中危 Activity (com.geinimi.custom.Ad3019_30190001) 未被保护。
存在一个intent-filter。 发现 Activity与设备上的其他应用程序共享,因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。
中危 应用程序可以读取/写入外部存储器,任何应用程序都可以读取写入外部存储器的数据
应用程序可以读取/写入外部存储器,任何应用程序都可以读取写入外部存储器的数据 https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage Files: com/geinimi/c/k.java, line(s) 17 com/geinimi/c/l.java, line(s) 129,194,197 com/outfit7/talkinghippo/Menu.java, line(s) 14 com/outfit7/talkinghippo/TalkingHippoApplication.java, line(s) 34
中危 不安全的Web视图实现。可能存在WebView任意代码执行漏洞
不安全的Web视图实现。可能存在WebView任意代码执行漏洞 https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#testing-javascript-execution-in-webviews-mstg-platform-5 Files: com/geinimi/AdActivity.java, line(s) 51,71
中危 文件可能包含硬编码的敏感信息,如用户名、密码、密钥等
文件可能包含硬编码的敏感信息,如用户名、密码、密钥等 https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10 Files: com/geinimi/AdActivity.java, line(s) 25,26,27,28 com/geinimi/a/d.java, line(s) 40
中危 MD5是已知存在哈希冲突的弱哈希
MD5是已知存在哈希冲突的弱哈希 https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4 Files: com/admob/android/ads/AdManager.java, line(s) 214 com/outfit7/talkinghippo/ar.java, line(s) 116 temporary/CcUtil.java, line(s) 106
中危 应用程序使用不安全的随机数生成器
应用程序使用不安全的随机数生成器 https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators Files: com/outfit7/talkinghippo/j.java, line(s) 10
中危 应用程序包含隐私跟踪程序
此应用程序有多个1隐私跟踪程序。跟踪器可以跟踪设备或用户,是终端用户的隐私问题。
中危 此应用可能包含硬编码机密信息
从应用程序中识别出以下机密确保这些不是机密或私人信息 "yt_field_username" : "Username:" "yt_field_password" : "Password:" 77d49fd04a3d23d0953e03aa0500a5df 078e67147c67ccf83e20f257542b75d2 jJ54m5V32xBLZH2cweZF8DMuwpiYjNpWJSpLSsUCfTCfkCUuhokFxvFLBq3muyND7OX boundary=3i2ndDfv2rTHiSisAbouNdArYfORhtTPEefj3q2f 3i2ndDfv2rTHiSisAbouNdArYfORhtTPEefj3q2f
信息 应用程序记录日志信息,不得记录敏感信息
应用程序记录日志信息,不得记录敏感信息 https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs Files: com/a/a/a.java, line(s) 72 com/a/a/e.java, line(s) 70 com/a/a/f.java, line(s) 18,30,37,43 com/a/a/k.java, line(s) 48,80,98,40,55,70,107 com/admob/android/ads/AdManager.java, line(s) 86,200,218,243,263,278,282,286,295,325,64,136,50,85,90,101,108,135,148,194,197,199,233,234,235,242,262,277,281,285,294,324,102,109,56 com/admob/android/ads/AdView.java, line(s) 207,246,257,371,398,419,332,426,609,200,206,245,256,265,357,370,386,397,416,418,425,608,201,202,387,47,54,133,195,230,237,266,277,346,349,444,451,499,504 com/admob/android/ads/a.java, line(s) 27,40,26 com/admob/android/ads/analytics/InstallReceiver.java, line(s) 30,37,44,71,22,29,36,23 com/admob/android/ads/d.java, line(s) 278,285,339,371,723,771,789,812,841,1361,389,422,540,570,584,638,686,962,967,1103,1128,1152,1240,1248,1355,265,268,277,284,338,342,346,370,388,421,539,569,583,637,685,722,755,773,811,840,961,966,1102,1127,1151,1239,1247,1354,1360 com/admob/android/ads/g.java, line(s) 113,312,112,169,181,244,311,372,170,182,245,373,337 com/admob/android/ads/i.java, line(s) 50,49 com/admob/android/ads/o.java, line(s) 86,101,85,100 com/admob/android/ads/r.java, line(s) 67,66 com/admob/android/ads/t.java, line(s) 28,29,26 com/admob/android/ads/u.java, line(s) 28,110,113,27,59,60,109,121 com/admob/android/ads/view/AdMobWebView.java, line(s) 65,71,77,97 com/codecarpet/fbconnect/FBDialog.java, line(s) 277,279,404,409,387 com/codecarpet/fbconnect/FBFeedActivity.java, line(s) 27 com/codecarpet/fbconnect/FBLoginDialog.java, line(s) 62 com/codecarpet/fbconnect/FBProgressDialog.java, line(s) 24,38,59,79 com/codecarpet/fbconnect/FBRequest.java, line(s) 103 com/codecarpet/fbconnect/FBSession.java, line(s) 187,193,195,200,204 com/outfit7/b/a.java, line(s) 52,53,54 com/outfit7/jpeg2avi/AudioDecoder.java, line(s) 49 com/outfit7/jpeg2avi/Jpeg2avi.java, line(s) 23 com/outfit7/jpeg2avi/Test.java, line(s) 49,67 com/outfit7/jpeg2avi/Test2.java, line(s) 50,78,84,93,96 com/outfit7/jpeg2avi/Test3.java, line(s) 29,67,74,80,89,92 com/outfit7/talkinghippo/Grid.java, line(s) 73,129,131,58 com/outfit7/talkinghippo/Main.java, line(s) 50,104,111,113,185 com/outfit7/talkinghippo/YouTubeLoginActivity.java, line(s) 54 com/outfit7/talkinghippo/am.java, line(s) 41 com/outfit7/talkinghippo/ap.java, line(s) 37 com/outfit7/talkinghippo/ay.java, line(s) 34,44 com/outfit7/talkinghippo/bp.java, line(s) 45 com/outfit7/talkinghippo/cb.java, line(s) 18,26,28,35 com/outfit7/talkinghippo/ch.java, line(s) 24 com/outfit7/talkinghippo/ck.java, line(s) 37 com/outfit7/talkinghippo/cl.java, line(s) 23 com/outfit7/talkinghippo/cp.java, line(s) 43 com/outfit7/talkinghippo/cq.java, line(s) 20 com/outfit7/talkinghippo/cy.java, line(s) 50,46,86 com/outfit7/talkinghippo/di.java, line(s) 24,29,51 com/outfit7/talkinghippo/dt.java, line(s) 23 com/outfit7/talkinghippo/dx.java, line(s) 38 com/outfit7/talkinghippo/e.java, line(s) 17 com/outfit7/talkinghippo/r.java, line(s) 26 com/outfit7/talkinghippo/t.java, line(s) 31,50