安全分析报告： 码库 v3.0.6

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

[android:allowBackup=true]
这个标志允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

(com.igexin.sdk.PushActivity)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

(com.igexin.sdk.GActivity)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
ad/g.java, line(s) 55,57
com/cjt2325/cameralibrary/a.java, line(s) 598
com/uetoken/cn/activity/ChargeMoneyActivity.java, line(s) 185
com/uetoken/cn/activity/ScanQrCodeActivity.java, line(s) 237
com/uetoken/cn/activity/UserInfoActivity.java, line(s) 195
com/uetoken/cn/base/MyApplication.java, line(s) 152,153
com/uetoken/cn/video/VideoCameraActivity.java, line(s) 103
l6/g.java, line(s) 31,34,37
l6/i.java, line(s) 104,117
l6/k.java, line(s) 221,50,51,223
m2/e.java, line(s) 12
q5/a.java, line(s) 140,312,332
r9/b.java, line(s) 24
r9/g.java, line(s) 21,118
ra/f.java, line(s) 131
v9/l.java, line(s) 230,251,265

应用程序使用不安全的随机数生成器
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
c0/m.java, line(s) 7
com/hjq/permissions/PermissionFragment.java, line(s) 16
com/uetoken/cn/activity/SplashActivity.java, line(s) 39
f0/a.java, line(s) 5
f0/b.java, line(s) 21
r9/l0.java, line(s) 6
u/j.java, line(s) 6
ub/a.java, line(s) 3
ub/b.java, line(s) 3
vb/a.java, line(s) 3
y8/c.java, line(s) 5

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
c1/h.java, line(s) 87
com/hjq/permissions/StartActivityManager.java, line(s) 11
com/uetoken/cn/bean/GetCodeResaon.java, line(s) 6,7,8
e1/d.java, line(s) 41
e1/p.java, line(s) 103
e1/x.java, line(s) 88
org/jsoup/nodes/Comment.java, line(s) 6
org/jsoup/nodes/DataNode.java, line(s) 6
org/jsoup/nodes/TextNode.java, line(s) 8
org/jsoup/nodes/XmlDeclaration.java, line(s) 6

不安全的Web视图实现。可能存在WebView任意代码执行漏洞
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#testing-javascript-execution-in-webviews-mstg-platform-5

Files:
com/uetoken/cn/tencentx5/X5WebViewActivity.java, line(s) 197,185

MD5是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
c0/j.java, line(s) 23
d6/e.java, line(s) 63
g0/e.java, line(s) 12
x8/b.java, line(s) 40

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
g0/e.java, line(s) 41
tc/b.java, line(s) 132

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
b0/b.java, line(s) 6,141
b0/d.java, line(s) 6,7,116
w0/a.java, line(s) 4,5,72
w0/c.java, line(s) 3,4,363
w0/d.java, line(s) 5,6,7,170

此应用程序有多个2隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

从应用程序中识别出以下机密确保这些不是机密或私人信息
个推–推送服务的=> "PUSH_APPKEY" : "JP8B58lABc823EYLm6mhq7"
个推–推送服务的=> "PUSH_APPID" : "hjt1crrljj8pHTUBwot608"
个推–推送服务的=> "PUSH_APPSECRET" : "ajwZNDA56hAl3uROFJTjo"
百度地图的=> "com.baidu.lbsapi.API_KEY" : "Oc4roLT3pwbi1oGWOqzpwMTi51rafQFm"
"library_materialdrawer_authorWebsite" : "http://mikepenz.com/"
"str_authorization_dialog" : "OK."
"library_materialize_authorWebsite" : "http://mikepenz.com/"
"verify_dialog_loginPwd_weak_content" : "OK."
"verify_dialog_payPwd_weak_content" : "OK."
"verify_dialog_loginPwd_lock_btn" : "Understood"
"str_authorization_title" : "Authorize"
"library_fastadapter_authorWebsite" : "http://mikepenz.com/"
"library_AndroidIconics_authorWebsite" : "http://mikepenz.com/"
QrMgt8GGYI6T52ZY5AnhtxkLzb8egpFn3j5JELI8H6wtACbUnZ5cc3aYTsTRbmkAkRJeYbtx92LPBWm7nBO9UIl7y5i5MQNmUZNf5QENurR5tGyo7yJ2G0MBjWvy6iAtlAbacKP0SwOUeUWx5dsBdyhxa7Id1APtybSdDgicBDuNjI0mlZFUzZSS9dmN8lBD0WTVOMz0pRZbR3cysomRXOO1ghqjJdTcyDIxzpNAEszN8RMGjrzyU7Hjbmwi6YNK
5bbaf584b465f592c90000ae
16594f72217bece5a457b4803a48f2da
QrMgt8GGYI6T52ZY5AnhtxkLzb8egpFn
840c18270dc7042b7b5df5a3c61f0a7f
2e916ff767facd6e07c9803f14196b16