安全分析报告： Mobile Tracker Free v154

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

存在一个intent-filter。
发现 Activity-Alias与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity-Alias是显式导出的。

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

Permission: android.permission.BIND_DEVICE_ADMIN [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

存在一个intent-filter。
发现 Service与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Service是显式导出的。

Permission: android.permission.BIND_NOTIFICATION_LISTENER_SERVICE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

Permission: android.permission.BIND_ACCESSIBILITY_SERVICE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

Permission: com.google.android.c2dm.permission.SEND [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

[android:priority]
通过设置一个比另一个Intent更高的优先级，应用程序有效地覆盖了其他请求。

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
a2/b0.java, line(s) 4,5,82
a2/j.java, line(s) 7,32
a2/u.java, line(s) 6,7,104,120,137,191,239,311
e1/a.java, line(s) 4,5,14,19,20
e1/a0.java, line(s) 4,5,14,19,20
e1/b.java, line(s) 4,5,14,19,20
e1/c0.java, line(s) 4,5,14,19,20
e1/e.java, line(s) 4,5,14,19,20
e1/e0.java, line(s) 4,5,14,19,20
e1/g.java, line(s) 4,5,14,19,20
e1/g0.java, line(s) 4,5,14,19,20
e1/i.java, line(s) 4,5,14,19,20
e1/i0.java, line(s) 4,5,14,19,20
e1/j.java, line(s) 4,5,14,19,20
e1/k.java, line(s) 4,5,14,19,20
e1/k0.java, line(s) 4,5,14,19,20
e1/m.java, line(s) 4,5,14,19,20
e1/m0.java, line(s) 4,5,14,19,20
e1/n0.java, line(s) 4,5,14,19,20
e1/o0.java, line(s) 4,5,14,19,20
e1/r0.java, line(s) 4,5,14,19,20
e1/t0.java, line(s) 4,5,14,19,20
e1/v0.java, line(s) 4,5,14,19,20
e1/w.java, line(s) 4,5,14,19,20
e1/y.java, line(s) 4,5,14,19,20
g3/l.java, line(s) 6,7,631,671
g3/o7.java, line(s) 7,8,450
i1/a.java, line(s) 5,6,7,35,39,48,52
z1/n.java, line(s) 5,28

应用程序使用不安全的随机数生成器
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
g3/u7.java, line(s) 30
n4/a.java, line(s) 23
p6/l.java, line(s) 15
q7/c.java, line(s) 16
q7/f.java, line(s) 4

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
s5/c.java, line(s) 49

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/app/activity/ConfigPhoneActivity.java, line(s) 855
com/app/service/FileExplorerRemote.java, line(s) 188,190
com/app/service/ServiceScreenshotRoot.java, line(s) 25
h1/e.java, line(s) 60,62

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
q7/c.java, line(s) 184
s5/b.java, line(s) 49
v5/t.java, line(s) 75
x4/f.java, line(s) 32

MD5是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/app/service/FileExplorerRemote.java, line(s) 260
g3/u7.java, line(s) 196
l1/b.java, line(s) 31
p1/d.java, line(s) 337

此应用程序有多个2隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

从应用程序中识别出以下机密确保这些不是机密或私人信息
"google_api_key" : "AIzaSyDbUBsZ11AUjeuOW9e8g1azhCV3wmDKhQ0"
"password_sms" : "sifresms"
"password_sms" : "MobileTrackerFreeSMS"
"com.google.firebase.crashlytics.mapping_file_id" : "4d9dfcc2619948f5a44f40cabed2e75b"
"firebase_database_url" : "https://myappmobile-537f7.firebaseio.com"
"google_app_id" : "1:38496474107:android:2920adfbaa3767553ab15e"
"google_crash_reporting_api_key" : "AIzaSyDbUBsZ11AUjeuOW9e8g1azhCV3wmDKhQ0"
bb392ec0-8d4d-11e0-a896-0002a5d5c51b
c06c8400-8e06-11e0-9cb6-0002a5d5c51b
258EAFA5-E914-47DA-95CA-C5AB0DC85B11
470fa2b4ae81cd56ecbcda9735803434cec591fa