安全分析报告： 云服务 v8.0.9

Android 6.0-6.0.1, [minSdk=23]
该应用程序可以安装在具有多个未修复漏洞的旧版本 Android 上。这些设备不会从 Google 接收合理的安全更新。支持 Android 版本 => 10、API 29 以接收合理的安全更新。

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

(io.dcloud.feature.sdk.multi.DCUniMPEntry0)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

(io.dcloud.feature.sdk.multi.DCUniMPEntry1)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

(io.dcloud.feature.sdk.multi.DCUniMPEntry2)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

(io.dcloud.feature.sdk.multi.DCUniMPEntry3)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

(io.dcloud.feature.sdk.multi.DCUniMPEntry4)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

(io.dcloud.feature.sdk.multi.DCUniMPNoRecentsEntry0)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

(io.dcloud.feature.sdk.multi.DCUniMPNoRecentsEntry1)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

(io.dcloud.feature.sdk.multi.DCUniMPNoRecentsEntry2)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

(io.dcloud.feature.sdk.multi.DCUniMPNoRecentsEntry3)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

(io.dcloud.feature.sdk.multi.DCUniMPNoRecentsEntry4)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

(io.dcloud.feature.sdk.multi.DCUniMPActivity0)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

(io.dcloud.feature.sdk.multi.DCUniMPActivity1)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

(io.dcloud.feature.sdk.multi.DCUniMPActivity2)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

(io.dcloud.feature.sdk.multi.DCUniMPActivity3)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

(io.dcloud.feature.sdk.multi.DCUniMPActivity4)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/bumptech/glide/load/engine/DataCacheKey.java, line(s) 34
com/bumptech/glide/load/engine/EngineResource.java, line(s) 91
com/bumptech/glide/load/engine/ResourceCacheKey.java, line(s) 81
com/bumptech/glide/manager/RequestManagerRetriever.java, line(s) 32
io/agora/metachat/MetachatUserInfo.java, line(s) 42

IP地址泄露


Files:
com/open/net/client/impl/tcp/bio/processor/BioReadWriteProcessor.java, line(s) 31
com/open/net/client/impl/tcp/nio/processor/NioReadWriteProcessor.java, line(s) 29
com/open/net/client/impl/udp/bio/processor/UdpBioReadWriteProcessor.java, line(s) 30
com/open/net/client/impl/udp/nio/processor/UdpNioReadWriteProcessor.java, line(s) 28

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/dcloud/android/downloader/db/DefaultDownloadDBController.java, line(s) 5,56
com/dcloud/android/downloader/db/DefaultDownloadHelper.java, line(s) 4,5,20
io/agora/utils/SqliteWrapper.java, line(s) 4,5,136

应用程序使用不安全的随机数生成器
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
io/agora/rtc2/internal/AudioFocusManager.java, line(s) 10
io/agora/rtc2/internal/SimpleMediaPlayerSource.java, line(s) 27
io/agora/rtc2/internal/SurfaceEglRendererHelper.java, line(s) 27

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/dmcbig/mediapicker/utils/FileUtils.java, line(s) 26,27,29,54,114
com/nostra13/dcloudimageloader/utils/StorageUtils.java, line(s) 21,43,43,52
com/tx/liteav/trtc/NativeTRTCCloud.java, line(s) 99,273,283,1041,1196,1197
com/tx/liteav/trtc/TXTRTCCloud.java, line(s) 89,99,144,537,538
io/agora/rtc2/internal/CommonUtility.java, line(s) 447,447
io/src/dcloud/adapter/DCloudBaseActivity.java, line(s) 117,196
op234qwojf/op234qwojf/op234qwojf/op234qwojf/g.java, line(s) 33
op234qwojf/op234qwojf/op234qwojf/op234qwojf/j.java, line(s) 779,780

MD5是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/nostra13/dcloudimageloader/cache/disc/naming/Md5FileNameGenerator.java, line(s) 13

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
com/dmcbig/mediapicker/TakePhotoActivity.java, line(s) 25
com/dmcbig/mediapicker/utils/FileUtils.java, line(s) 37

从应用程序中识别出以下机密确保这些不是机密或私人信息
DCLOUD的 "APPID" : "__UNI__8327449Y"
DCLOUD的 "AD_ID" : ""
DCLOUD的 "ApplicationId" : "uni.UNI8327449Y"
DCLOUD的 "DCLOUD_STREAMAPP_CHANNEL" : "uni.UNI8327449Y|__UNI__8327449Y||"
"dcloud_oauth_authentication_failed" : "获取授权登录认证服务操作失败"
"dcloud_feature_confusion_exception_no_private_key_input" : "私钥数据为空"
"dcloud_common_user_refuse_api" : "用户拒绝该API访问"
"dcloud_io_without_authorization" : "没有获得授权"
"dcloud_oauth_empower_failed" : "获取授权登录认证服务操作失败"
"dcloud_oauth_logout_tips" : "未登录或登录已注销"
"dcloud_permissions_reauthorization" : "重新授权"
"dcloud_permissions_reauthorization" : "reauthorize"
"dcloud_oauth_token_failed" : "获取token失败"
"dcloud_oauth_oauth_not_empower" : "尚未获取oauth授权"
"dcloud_feature_confusion_exception_no_key_input" : "公钥数据为空"
amwtZ2BvbHZnLWVmYnd2cWYtYGUtYEVmYnd2cWZKbnNvKjZhM2Q4OGZhLTRiYTAtNDc5Zi05NDIyLWU1YWFiZTE1ODk3YjY3
YHx8eHsyJydvaWs5JmxrZGd9bCZmbXwma2YnaXh4J2lrew==
YHx8eHsyJydvazkmbGtkZ31sJmZtfCZrZidrZ2RkbWt8J3hkfXtpeHgna2ls
aHR0cHM6Ly9jci5kY2xvdWQubmV0LmNuLw==
YHx8eHsyJydqb2l7JmxrZGd9bCZmbXwma2Yna2dkZG1rfCd4ZH17aXh4J2lrfGFnZg==
YHx8eHsyJydrOSZsa2RnfWwmZm18JmtmJ2tnZGRta3wneGR9e2l4eCdraWw=
258EAFA5-E914-47DA-95CA-C5AB0DC85B11
evs6OIME2yLCyUChqtQTGtxDh4/6wcSpdRw8lh8NGkyLXZQtZ1A7NDehilU2yXH5
eW9+S2ZmZX1fZGN8b3h5a2ZLaWlveXlMeGVnTGNmb19YRnkqNmEzZDg4ZmEtNGJhMC00NzlmLTk0MjItZTVhYWJlMTU4OTdiNzQ=
YHx8eHsyJydqb2lrJmxrZGd9bCZmbXwma2YnaXh4J2lrew==
YHx8eHsyJydqfDkmbGtkZ31sJmZtfCZrZidgfHx4J2tpaQ==
E3F5536A141811DB40EFD6400F1D0A4E
e218Qml+aVtremF4fEtpZkd4bWZfYWZsZ397SX18Z2VpfGFraWRkcQ==
YHx8eHsyJydpazombGtkZ31sJmZtfCZrZidpeHgnaWt7
5rPjudJDczZ5DrTBECwfWSjBF5HsOIb6t/fa0kExz2phP+SrGrN3+oS6bbF8z8n+
W3v2HgaLzgcTXlUiOoZ7E6RDsIpMd2Glz1MxJdRxdis
YHx8eHsyJydqezkmbGtkZ31sJmZtfCZrZidgfHx4J2tpeyd+Og==
2BGSU2QqUAXYXuDA9OkD2SztJLGWMXqJb5xjvxk4w6dV7K0u
5rPjudJDczZ5DrTBECwfWer9fxhAWnoxI7Hr0jS/XKKlD9cg1eZLP+WDaj1U0IQ9
YHx8eHsyJydpezkmbGtkZ31sJmZtfCZrZidrZ2RkbWt8J3hkfXtpeHgnaWt8YWdm
YHx8eHsyJydvaXs6JmxrZGd9bCZhZydrZ2RkbWt8J3hkfXtpeHgnaWt8YWdm
c06c8400-8e06-11e0-9cb6-0002a5d5c51b
YHx8eHsyJyd8OiZsa2RnfWwmZm18JmtmJ2tnZGRta3wneGR9e2l4eCdpa3xhZ2Y=
YHx8eHsyJydpazkmbGtkZ31sJmZtfCZrZidpeHgnaWt7
YHx8eHsyJyd8OSZsa2RnfWwmZm18JmtmJ2tnZGRta3wneGR9e2l4eCdpa3xhZ2Y=
amwtZ2BvbHZnLWBsbm5sbS1gcC1HTyo2YTNkODhmYS00YmEwLTQ3OWYtOTQyMi1lNWFhYmUxNTg5N2I2Nw==
YHx8eHsyJyd7OSZsa2RnfWwmZm18JmtmJ2tnZGRta3wneGR9e2l4eCd7fGl6fH14J346
CEroA9kVcgb5YW85GtDBLrVZfsAsUrOdkBRjB/Uh1+E=
YHx8eHsyJydvazkmbGtkZ31sJmFnJ2tnZGRta3wneGR9e2l4eCdraWw=
5rPjudJDczZ5DrTBECwfWbr6jIGaA05lJJ4z8IfXa1gko92nDYCi7GietE6VgZMY
9F89C84A559F573636A47FF8DAED0D33
YHx8eHsyJydvaXs6JmxrZGd9bCZmbXwma2Yna2dkZG1rfCd4ZH17aXh4J2lrfGFnZg==
Y29tLmFuZHJvaWQuaW50ZXJuYWwuUiRzdHlsZWFibGU=
bb392ec0-8d4d-11e0-a896-0002a5d5c51b
YHx8eHsyJydvaXo6JmxrZGd9bCZhZydrZ2RkbWt8J3hkfXtpeHgnent4
YHx8eHsyJydvaXs5JmxrZGd9bCZhZydrZ2RkbWt8J3hkfXtpeHgnaWt8YWdm
YHx8eHsyJyd7OiZsa2RnfWwmZm18JmtmJ2tnZGRta3wneGR9e2l4eCd7fGl6fH14J346
p2WH3ao/DPQajXDOBOngAQRJy7HFI6I+rNVrL72Tvjg=
YHx8eHsyJydpejkmbGtkZ31sJmZtfCZrZidrZ2RkbWt8J3hkfXtpeHgnent4
YHx8eHsyJydvaWs6JmxrZGd9bCZmbXwma2YnaXh4J2lrew==
aa8130e0-66fc-11e0-bad0-0002a5d5c51b
YHx8eHsyJydpazombGtkZ31sJmZtfCZrZidpeHgnfGBhemxLZ2ZuYW8=
eG5/SmdnZHxNYmduSmhobnh4TXlkZk1iZ25eWUd4KjZhM2Q4OGZhLTRiYTAtNDc5Zi05NDIyLWU1YWFiZTE1ODk3Yjc1
5rPjudJDczZ5DrTBECwfWX3lxIQFlIC/UMsP+phhn+hM5LDHPI8rrfGoWmO4XXwm
NcnBDcMwCEDRXThXDJBtSKAWiQErjtVWVXcvB0f60j+8L1wrLLCF4UWxUszBA3aesKsXDi9IraFRrYmNb30PN0ls6jwiS+XPxN6RnM9QxlE2pJeYpB/9dtMqWPRpdMgJvz8=
f2l4TWBgY3tKZWBpTW9vaX9/KjZhM2Q4OGZhLTRiYTAtNDc5Zi05NDIyLWU1YWFiZTE1ODk3Yjc2
YHx8eHsyJydpazkmbGtkZ31sJmZtfCZrZidpeHgnfGBhemxLZ2ZuYW8=
YHx8eHsyJydqaWs5JmxrZGd9bCZmbXwma2YnYHx8eCdpaWs=
YHx8eHsyJydqaXo6JmxrZGd9bCZmbXwma2YnYHx8eCdraXo=
YHx8eHsyJydqb2l6JmxrZGd9bCZmbXwma2Yna2dkZG1rfCd4ZH17aXh4J3p7eA==
YHx8eHsyJydpejombGtkZ31sJmZtfCZrZidrZ2RkbWt8J3hkfXtpeHgnent4
YHx8eHsyJydvaXs5JmxrZGd9bCZmbXwma2Yna2dkZG1rfCd4ZH17aXh4J2lrfGFnZg==
YHx8eHsyJydpezombGtkZ31sJmZtfCZrZidrZ2RkbWt8J3hkfXtpeHgnaWt8YWdm
YHx8eHsyJydvaXo5JmxrZGd9bCZmbXwma2Yna2dkZG1rfCd4ZH17aXh4J3p7eA==
YHx8eHsyJydqaWs5JmxrZGd9bCZmbXwma2YnYHx8eCdpaXs=
UWV/BnpHVVhMahB0EU1XA15hAEFOAWlGVHBkcgluSF0HFhlQZx15Yhhjb3xCHgRfWxV+cQhPS1ICFxRzdkUfeyo2YTNkODhmYS00YmEwLTQ3OWYtOTQyMi1lNWFhYmUxNTg5N2IxMjQ=
X7YBPqS7I0cDrWg8xDIfY0YVZCGmXWQ5ugQWJrvTAemwpG4BtP7JHZQa8SEE90C9
CBQNDHUQDBUTEhUOFAkNBSo2YTNkODhmYS00YmEwLTQ3OWYtOTQyMi1lNWFhYmUxNTg5N2IxMjg=
YHx8eHsyJydqb2l6JmxrZGd9bCZhZydrZ2RkbWt8J3hkfXtpeHgnent4
YHx8eHsyJydqb2l7JmxrZGd9bCZhZydrZ2RkbWt8J3hkfXtpeHgnaWt8YWdm
YHx8eHsyJydqaXs5JmxrZGd9bCZmbXwma2YnYHx8eCdraWk=
YHx8eHsyJydvaXo6JmxrZGd9bCZmbXwma2Yna2dkZG1rfCd4ZH17aXh4J3p7eA==
YHx8eHsyJydvaXo5JmxrZGd9bCZhZydrZ2RkbWt8J3hkfXtpeHgnent4