供热保驾维护管理平台 v4.0.6版本 - 安全评分

高危应用程序容易受到 Janus 漏洞的影响

应用程序使用 v1 签名方案进行签名，如果仅使用 v1 签名方案进行签名，则在 Android 5.0-8.0 上容易受到 Janus 漏洞的影响。在使用 v1 和 v2/v3 方案签名的 Android 5.0-7.0 上运行的应用程序也容易受到攻击。

高危应用程序使用了调试证书进行签名

CERTIFICATE

应用程序使用了调试证书进行签名。生产环境的应用程序不能使用调试证书发布。

高危程序可被任意调试

MANIFEST

[android:debuggable=true]
应用可调试标签被开启，这使得逆向工程师更容易将调试器挂接到应用程序上。这允许导出堆栈跟踪和访问调试助手类。

高危 Activity (com.xiexu.xoa_group.ui.trade.Main1Activity) 的启动模式不是standard模式

MANIFEST

Activity 不应将启动模式属性设置为 "singleTask/singleInstance"，因为这会使其成为根 Activity，并可能导致其他应用程序读取调用 Intent 的内容。因此，当 Intent 包含敏感信息时，需要使用 "standard" 启动模式属性。

高危 Activity （com.xiexu.xoa_group.ui.trade.Main1Activity）容易受到 Android Task Hijacking/StrandHogg 的攻击。

MANIFEST

活动不应将启动模式属性设置为“singleTask”。 然后，其他应用程序可以将恶意活动放置在活动栈顶部，从而导致任务劫持/StrandHogg 1.0 漏洞。 这使应用程序成为网络钓鱼攻击的易受攻击目标。 可以通过将启动模式属性设置为“singleInstance”或设置空 taskAffinity (taskAffinity="") 属性来修复此漏洞。 您还可以将应用的目标 SDK 版本 (21) 更新到 28 或更高版本以在平台级别修复此问题。

高危 SSL的不安全实现。信任所有证书或接受自签名证书是一个关键的安全漏洞。此应用程序易受MITM攻击

CODE

SSL的不安全实现。信任所有证书或接受自签名证书是一个关键的安全漏洞。此应用程序易受MITM攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#android-network-apis

Files:
com/lidroid/xutils/http/client/DefaultSSLSocketFactory.java, line(s) 61,13,14,15
com/lidroid/xutils/util/OtherUtils.java, line(s) 228,228,15,16,17,18,19

高危如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击

CODE

如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-7

Files:
com/xiexu/xoa_group/fm/jxc/JXCJiageCurveChuchangFragment.java, line(s) 98,11
com/xiexu/xoa_group/fm/jxc/JXCJiageCurveRuchangFragment.java, line(s) 145,11
com/xiexu/xoa_group/ui/nengyuan/NengYuanTuFragment.java, line(s) 122,16

高危启用了调试配置。生产版本不能是可调试的

CODE

启用了调试配置。生产版本不能是可调试的
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04c-Tampering-and-Reverse-Engineering.md#debugging-and-tracing

Files:
com/xiexu/xoa_tjnengyuan/BuildConfig.java, line(s) 3,4
in/srain/cube/util/clog/BuildConfig.java, line(s) 3,4

中危应用程序数据可以被备份

MANIFEST

[android:allowBackup=true]
这个标志允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危 Service (com.baidu.location.f) 未被保护。

MANIFEST

存在一个intent-filter。
发现 Service与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Service是显式导出的。

中危 Broadcast Receiver (com.xiexu.xoa_group.broadcast.DownLoadReceiver) 未被保护。

MANIFEST

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危 Broadcast Receiver (com.xiexu.xoa_group.clock.BootBroadcastReceiver) 未被保护。

MANIFEST

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危 Broadcast Receiver (com.xiexu.xoa_group.broadcast.GPSReceiver) 未被保护。

MANIFEST

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危 Service (cn.jpush.android.service.DaemonService) 未被保护。

MANIFEST

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Broadcast Receiver (com.xiexu.xoa_group.push.MyReceiver) 未被保护。

MANIFEST

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危 Broadcast Receiver (com.xiexu.xoa_group.broadcast.AlarmHeartReceiver) 未被保护。

MANIFEST

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危高优先级的Intent （1000） - {2} 个命中

MANIFEST

[android:priority]
通过设置一个比另一个Intent更高的优先级，应用程序有效地覆盖了其他请求。

中危应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

CODE

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/baidu/vi/VDeviceAPI.java, line(s) 184,189,197
com/buihha/audiorecorder/Mp3Recorder.java, line(s) 121
com/fantasy192/lib/Device.java, line(s) 34,38,62,66
com/fantasy192/lib/utils/ApplicationManager.java, line(s) 29
com/fantasy192/lib/utils/FileUtils.java, line(s) 29
com/iflytek/voiceads/a/e.java, line(s) 45,58,68
com/iflytek/voiceads/f/h.java, line(s) 30,42
com/iflytek/voiceads/update/e/a/a.java, line(s) 22,26
com/lidroid/xutils/util/OtherUtils.java, line(s) 86
com/nostra13/universalimageloader/utils/StorageUtils.java, line(s) 23,52,53,62
com/xiexu/xoa_group/adapter/TaskTakeAdapter.java, line(s) 180
com/xiexu/xoa_group/adapter/TaskTakeAdapterHot.java, line(s) 306
com/xiexu/xoa_group/broadcast/DownLoadReceiver.java, line(s) 18
com/xiexu/xoa_group/scene/selectimg/Constants.java, line(s) 17
com/xiexu/xoa_group/scene/selectimg/Util.java, line(s) 59,91
com/xiexu/xoa_group/tools/Const.java, line(s) 237
com/xiexu/xoa_group/tools/FileUtils.java, line(s) 18,94,95
com/xiexu/xoa_group/tools/HttpTools.java, line(s) 104
com/xiexu/xoa_group/tools/PictureUtil.java, line(s) 99,133,134
com/xiexu/xoa_group/tools/SDTool.java, line(s) 14,17
com/xiexu/xoa_group/tools/UnCeHandler.java, line(s) 89,90
com/xiexu/xoa_group/ui/check/CheckDetailActivity.java, line(s) 482
com/xiexu/xoa_group/ui/jxc/JXC_WarningDetailActivity.java, line(s) 164
com/xiexu/xoa_group/ui/report/ReportNewActivity.java, line(s) 494,516
com/xiexu/xoa_group/ui/report/ReportProgressActivity.java, line(s) 356
com/xiexu/xoa_group/ui/report/ServerReportDetailActivity.java, line(s) 159,170
com/xiexu/xoa_group/ui/setting/SettingActivity.java, line(s) 241
com/xiexu/xoa_group/ui/task/NewTaskActivity.java, line(s) 425
com/xiexu/xoa_group/ui/task/TaskAllDetaiActivity.java, line(s) 248
com/xiexu/xoa_group/ui/task/TaskAllDetaiActivity_HOT.java, line(s) 396
com/xiexu/xoa_group/ui/task/TaskDetailActivity.java, line(s) 159
com/xiexu/xoa_group/ui/task/TaskReiceiveDetaiActivity.java, line(s) 260
com/xiexu/xoa_group/ui/task/TaskReiceiveDetaiActivity1.java, line(s) 1194
com/zdp/aseo/content/AseoZdpUpdateService.java, line(s) 176,180
in/srain/cube/cache/DiskFileUtils.java, line(s) 159,102,153
net/tsz/afinal/utils/Utils.java, line(s) 28,38

中危文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

CODE

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/fantasy192/lib/utils/ApplicationUpdater.java, line(s) 9
com/xiexu/xoa_group/push/ExampleUtil.java, line(s) 18
com/xiexu/xoa_group/tools/Const.java, line(s) 214,216
com/xiexu/xoa_group/ui/jxc/JXC_ShishiBangdanActivity.java, line(s) 312
com/zdp/aseo/content/AseoWifiManager.java, line(s) 183
in/srain/cube/image/ImageProvider.java, line(s) 24,25
in/srain/cube/uri/CustomizedUri.java, line(s) 13

中危 IP地址泄露

CODE

IP地址泄露


Files:
com/xiexu/xoa_group/ui/jxc/JXC_WarningDetailActivity.java, line(s) 45

中危应用程序使用不安全的随机数生成器

CODE

应用程序使用不安全的随机数生成器
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/iflytek/voiceads/update/c/a/b.java, line(s) 11
com/iflytek/voiceads/update/d/b.java, line(s) 7
com/lidroid/xutils/http/client/multipart/MultipartEntity.java, line(s) 10
net/tsz/afinal/http/MultipartEntity.java, line(s) 11

中危 MD5是已知存在哈希冲突的弱哈希

CODE

MD5是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/iflytek/voiceads/f/g.java, line(s) 26
com/lidroid/xutils/cache/MD5FileNameGenerator.java, line(s) 10
in/srain/cube/util/Encrypt.java, line(s) 12
net/tsz/afinal/core/FileNameGenerator.java, line(s) 9

中危应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库

CODE

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/example/topnewgrid/dao/ChannelDao.java, line(s) 6,172,178
com/example/topnewgrid/db/SQLHelper.java, line(s) 4,5,28
com/iflytek/voiceads/update/b/a.java, line(s) 6,7,77
com/lidroid/xutils/DbUtils.java, line(s) 5,793,802
net/tsz/afinal/FinalDb.java, line(s) 6,7,209,234,406,435,452,483

中危应用程序包含隐私跟踪程序

TRACKERS

此应用程序有多个3隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危此应用可能包含硬编码机密信息

SECRETS

从应用程序中识别出以下机密确保这些不是机密或私人信息
极光推送的=> "JPUSH_APPKEY" : "0934d6b5714105c194e57ad8"
百度地图的=> "com.baidu.lbsapi.API_KEY" : "x1wzvspGGeStPOZZLBjmUvkqfIGVQB7q"
极光推送的=> "JPUSH_CHANNEL" : "developer-default"
42E172855ECB896905F244E522D27B50
6E2700D7C785F56B823613D7AE9B7228
54f6919e6963804e16000b43
e16acdef4a52e0f655d786b54b937cdd
aa7ef8c09d65d9f27e54171c5e5a6e5d
af1beb94765cd96b8cdf329d7c5f05c3
E983A84F429AD4040A7893253E524C96
13b83e96aefccbe6fec8de686de904c5
8f6b33f0957411e491a7e6eea485bb6242309e93
1bc429c5a87566009f6418b5560c0213

信息应用程序记录日志信息,不得记录敏感信息

CODE

应用程序记录日志信息,不得记录敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
com/buihha/audiorecorder/DataEncodeThread.java, line(s) 84,68,92,98,109
com/buihha/audiorecorder/Mp3Recorder.java, line(s) 105,114,125
com/buihha/audiorecorder/RingBuffer.java, line(s) 43,62
com/example/topnewgrid/adapter/DragAdapter.java, line(s) 82
com/example/topnewgrid/bean/ChannelManage.java, line(s) 117
com/example/topnewgrid/view/DragGrid.java, line(s) 271
com/fantasy192/lib/utils/Debug.java, line(s) 10
com/fantasy192/lib/utils/FileUtils.java, line(s) 99
com/iflytek/voiceads/f/h.java, line(s) 64,94,81,87,113,58,100,74,106
com/iflytek/voiceads/update/DownloadService.java, line(s) 273
com/jeremyfeinstein/slidingmenu/lib/CustomViewBehind.java, line(s) 241
com/jeremyfeinstein/slidingmenu/lib/SlidingMenu.java, line(s) 541,557
com/lidroid/xutils/util/LogUtils.java, line(s) 65,77,89,101,113,125,137,149,161,173,185,197,209,221
com/nineoldandroids/animation/PropertyValuesHolder.java, line(s) 148,179,227,245,247,264,266,301,303,434,436,522,524
com/nostra13/universalimageloader/cache/disc/impl/ext/DiskLruCache.java, line(s) 116
com/photoselector/model/PhotoModel.java, line(s) 44
com/polites/GestureImageView.java, line(s) 606,600,138,139,200,201
com/xiexu/xoa_group/adapter/JiankongVideoAdapter2.java, line(s) 109,124
com/xiexu/xoa_group/adapter/OrderListAdapter.java, line(s) 124
com/xiexu/xoa_group/adapter/TaskTakeAdapterHot.java, line(s) 154,156,171,97,215,222,229,298
com/xiexu/xoa_group/broadcast/AlarmHeartReceiver.java, line(s) 21
com/xiexu/xoa_group/broadcast/TimerReceiver.java, line(s) 16
com/xiexu/xoa_group/clock/AlarmHelper.java, line(s) 35,36
com/xiexu/xoa_group/clock/BootBroadcastReceiver.java, line(s) 42,45
com/xiexu/xoa_group/clock/ClockRunningActivity.java, line(s) 114,119,148
com/xiexu/xoa_group/clock/ScreenAndLockService.java, line(s) 23,40,45
com/xiexu/xoa_group/clock/StartService.java, line(s) 45
com/xiexu/xoa_group/core/HC_DVRManager.java, line(s) 389,398,495,516,63,68,91,104,124,139,148,177,182,194,198,202,206,220,229,254,259,268,300,305,311,323,332,350,363,373,375,377,391,414,417,420,423,433,442,463,499,514,520,536,540,544,548,552,556,560,576,583,1224,1230,1240,89,97,106,189,266,336,342,386,402,404,406,408,411,430,440,448,455,456,460,467,473,479,502,505,518,525,527,529,531,533,1219,1228,1238,122,127,129,147,163,170,171,173,176,181,188,193,197,201,205,210,228,240,247,248,250,253,258,265
com/xiexu/xoa_group/core/MapDrawer.java, line(s) 85
com/xiexu/xoa_group/core/TaskInfoManager.java, line(s) 96,101
com/xiexu/xoa_group/fm/jxc/JXCJiageChuchangFragment.java, line(s) 97
com/xiexu/xoa_group/fm/jxc/JXCJiageChuchangFragment_TC.java, line(s) 217
com/xiexu/xoa_group/fm/jxc/JXCJiageCurveRuchangFragment.java, line(s) 143
com/xiexu/xoa_group/fm/jxc/JXCJiageRuchangFragment.java, line(s) 99,66
com/xiexu/xoa_group/fm/jxc/JXCJiageRuchangFragment_TC.java, line(s) 217
com/xiexu/xoa_group/fm/jxc/JXCJiankongContentFragment.java, line(s) 369,377,882,903,944
com/xiexu/xoa_group/fm/jxc/JXCJiankongContentFragment2.java, line(s) 181,190,300,351,370,75
com/xiexu/xoa_group/fm/jxc/JXCJiankongHFContentFragment.java, line(s) 107,110,189,199,214,215,217,240,416,621,669,746,751,752,862
com/xiexu/xoa_group/fm/task/MyReceiveTaskFragment.java, line(s) 80,83
com/xiexu/xoa_group/fm/task/MyReceiveTaskFragment1.java, line(s) 82,91,83,84,85,87
com/xiexu/xoa_group/net/AppExitHttp.java, line(s) 16
com/xiexu/xoa_group/net/CalculateHttp.java, line(s) 62,78,92,110
com/xiexu/xoa_group/net/CarMapHttp.java, line(s) 151
com/xiexu/xoa_group/net/CheckHttp.java, line(s) 97,283,333,577
com/xiexu/xoa_group/net/FromsHttp.java, line(s) 666,753,1101,1106,1109,1557,1780
com/xiexu/xoa_group/net/HeartBeatHttp.java, line(s) 17
com/xiexu/xoa_group/net/HotTaskHttp.java, line(s) 47,74,113,35,124,257,277,288,313,324
com/xiexu/xoa_group/net/HotYunXingHttp.java, line(s) 252,267,272,274,68,112,172,257,56,100,160,244
com/xiexu/xoa_group/net/JxcHttp.java, line(s) 548,631,782,849,934,998
com/xiexu/xoa_group/net/LoginHttp.java, line(s) 31
com/xiexu/xoa_group/net/NoticeHttp.java, line(s) 100
com/xiexu/xoa_group/net/ReportHttp.java, line(s) 120,731,800
com/xiexu/xoa_group/net/TaskHttp.java, line(s) 65,66,74,161,196,492,502
com/xiexu/xoa_group/net/TradeHttp.java, line(s) 296
com/xiexu/xoa_group/net/UpdateAPKHttp.java, line(s) 41,53
com/xiexu/xoa_group/push/ExampleUtil.java, line(s) 85
com/xiexu/xoa_group/push/MyReceiver.java, line(s) 34,37,41,70,72,77,80,85,83
com/xiexu/xoa_group/scene/selectimg/GdAdapter.java, line(s) 75,132,185
com/xiexu/xoa_group/scene/selectimg/img/HttpMultipartPost.java, line(s) 91,128,106,111,153
com/xiexu/xoa_group/scene/selectimg/img/HttpMultipartPost_test.java, line(s) 106,89,131
com/xiexu/xoa_group/service/GPSService.java, line(s) 204
com/xiexu/xoa_group/service/RemindService.java, line(s) 148
com/xiexu/xoa_group/tools/FileUtils.java, line(s) 19,20
com/xiexu/xoa_group/tools/HttpTools.java, line(s) 30,39,138
com/xiexu/xoa_group/tools/PictureUtil.java, line(s) 63,69,119
com/xiexu/xoa_group/tools/PrintTools.java, line(s) 13,9
com/xiexu/xoa_group/tools/SDTool.java, line(s) 121
com/xiexu/xoa_group/tools/UnCeHandler.java, line(s) 41,88,95,103
com/xiexu/xoa_group/ui/calculate/CalculateSelfActivity.java, line(s) 346,347,348,349,354,371,372,373,380,390,461
com/xiexu/xoa_group/ui/check/CheckActivity02.java, line(s) 203
com/xiexu/xoa_group/ui/check/CheckDetailActivity.java, line(s) 194,355
com/xiexu/xoa_group/ui/check/CheckPriceActivity.java, line(s) 138,150,162,174,186,198,210
com/xiexu/xoa_group/ui/forms/LiHuoActivity.java, line(s) 519
com/xiexu/xoa_group/ui/forms/MeiriOrderActivity.java, line(s) 470
com/xiexu/xoa_group/ui/forms/MeiriOrderActivity1.java, line(s) 603
com/xiexu/xoa_group/ui/forms/ShouKuanMingXiActivity.java, line(s) 414
com/xiexu/xoa_group/ui/forms/SonghuoTongjiXiActivity.java, line(s) 507
com/xiexu/xoa_group/ui/forms/TotalActivity.java, line(s) 100
com/xiexu/xoa_group/ui/forms/TuiHuoMingXiActivity.java, line(s) 503
com/xiexu/xoa_group/ui/forms/YeWuYuanActivity.java, line(s) 372
com/xiexu/xoa_group/ui/forms/YujingActivity.java, line(s) 379
com/xiexu/xoa_group/ui/forms/YwMrOrderActivity.java, line(s) 450
com/xiexu/xoa_group/ui/jxc/JXC_JiankongActivity.java, line(s) 164,47
com/xiexu/xoa_group/ui/jxc/JXC_JiankongActivity1.java, line(s) 46,78,81
com/xiexu/xoa_group/ui/jxc/JXC_RukuActivity.java, line(s) 366
com/xiexu/xoa_group/ui/jxc/JXC_WarningDetailActivity.java, line(s) 131,154,160,169,178,182,184,193,200,207,212,241,251,272,279,285,289,293,297,299,311,317,321,324,328,340,70,127,152,186,196,215,246,265,314,163
com/xiexu/xoa_group/ui/main/MainActivity.java, line(s) 133,167,154,157,162
com/xiexu/xoa_group/ui/map/MapSingleMarkerActivity.java, line(s) 69
com/xiexu/xoa_group/ui/map/OrderSingleMarkerActivity.java, line(s) 98
com/xiexu/xoa_group/ui/nengyuan/NengYuanTuFragment.java, line(s) 201,205,209,212
com/xiexu/xoa_group/ui/nengyuan/NengYuanYunxingAddActivity.java, line(s) 177
com/xiexu/xoa_group/ui/report/ReportKindActivity.java, line(s) 127
com/xiexu/xoa_group/ui/report/ReportKindListActivity.java, line(s) 97
com/xiexu/xoa_group/ui/report/ReportNewActivity.java, line(s) 583
com/xiexu/xoa_group/ui/report/ReportNewPriceActivity.java, line(s) 441,442,443,444,449,469,470,471,473,488
com/xiexu/xoa_group/ui/report/ReportPriceProgressActivity.java, line(s) 109,121,133,145,157,169,181
com/xiexu/xoa_group/ui/report/ReportProgressActivity1.java, line(s) 181
com/xiexu/xoa_group/ui/report/ReportProgressActivity2.java, line(s) 180
com/xiexu/xoa_group/ui/task/TaskReiceiveDetaiActivity1.java, line(s) 198,536,742,767,857,361,405
com/xiexu/xoa_group/ui/trade/OrderListActivity.java, line(s) 73,74
com/xiexu/xoa_group/view/CalendarView.java, line(s) 164,432
com/xiexu/xoa_group/view/FlowLayout.java, line(s) 45,113,114,123
com/xiexu/xoa_group/view/PageControlView.java, line(s) 16
com/xiexu/xoa_group/view/ScrollLayout.java, line(s) 84,148,155,159,161,166,196,209,214,71,99,163
com/xiexu/xoa_group/view/SlideSwitchView.java, line(s) 101,180
com/xiexu/xoa_group/view/sortlist/CharacterParser.java, line(s) 42
com/xiexu/xoa_group/view/wheel/DateDialog.java, line(s) 625
com/zdp/aseo/content/AseoZdpAseo.java, line(s) 34,39,44,55,60,65
common/log/SimpleLogger.java, line(s) 27,28,33,34,40,41,46,47,69,70,77,78,11,12,19,20,54,61
in/srain/cube/app/CubeFragment.java, line(s) 168
in/srain/cube/app/CubeFragmentActivity.java, line(s) 55,68,73
in/srain/cube/app/XActivity.java, line(s) 87
in/srain/cube/cache/CacheManager.java, line(s) 51,69,86,94,161,190,214,222,235,246,281,290,299,309,318,327,336
in/srain/cube/cache/DiskCacheProvider.java, line(s) 69,77,82,87,96,102,135,139
in/srain/cube/cache/DiskFileUtils.java, line(s) 92
in/srain/cube/diskcache/lru/LruActionTracer.java, line(s) 85,92,99,119,145,171,182,320,350,364,405,415,424
in/srain/cube/diskcache/lru/SimpleDiskLruCache.java, line(s) 21
in/srain/cube/image/ImageDiskCacheProvider.java, line(s) 112,130,70
in/srain/cube/image/ImageLoader.java, line(s) 127,143,170,223,232,246,261,274,283,315,323,329,342,351,137
in/srain/cube/image/ImageProvider.java, line(s) 103,104,105,106,107,113,126,130,137,145,186,200,153,161,164,170
in/srain/cube/image/ImageTask.java, line(s) 65,82,84,97
in/srain/cube/image/drawable/CircleProgress.java, line(s) 137
in/srain/cube/image/impl/DefaultImageLoadHandler.java, line(s) 96,112,162
in/srain/cube/image/impl/DefaultMemoryCache.java, line(s) 19,64
in/srain/cube/image/impl/SimpleDownloader.java, line(s) 60
in/srain/cube/request/CacheAbleRequest.java, line(s) 95,102,111,124,151,185,206
in/srain/cube/request/CacheAbleRequestDefaultHandler.java, line(s) 21,14
in/srain/cube/request/DefaultRequestProxy.java, line(s) 31,40
in/srain/cube/update/DownloadTask.java, line(s) 104,106
in/srain/cube/util/CLog.java, line(s) 41,50,56,104,113,119,62,71,77,20,26,35,83,92,98,125,134,140
in/srain/cube/util/NetworkStatusManager.java, line(s) 190,177
in/srain/cube/util/SystemWatcher.java, line(s) 36
in/srain/cube/views/GridViewWithHeaderAndFooter.java, line(s) 559,637,653
in/srain/cube/views/ScrollHeaderFrame.java, line(s) 73,90,106,113,119,125,134,157,189
in/srain/cube/views/list/ListViewDataAdapterBase.java, line(s) 59
in/srain/cube/views/pager/TabPageIndicator.java, line(s) 157,210,218
jxl/biff/formula/Yylex.java, line(s) 204
jxl/demo/CSV.java, line(s) 42
jxl/demo/Demo.java, line(s) 37,38,39,40,41,42,133,56,196
jxl/demo/Escher.java, line(s) 35
jxl/demo/EscherDrawingGroup.java, line(s) 29
jxl/demo/Features.java, line(s) 42
jxl/demo/Formulas.java, line(s) 52,53,56,60
jxl/demo/Write.java, line(s) 645
jxl/demo/WriteAccess.java, line(s) 35,40
jxl/demo/XML.java, line(s) 78,180
net/tsz/afinal/FinalDb.java, line(s) 514,225,163
net/tsz/afinal/bitmap/core/DiskCache.java, line(s) 184,312,367,439,123,126,129,139,142,145,148,151,154,157,162,165,168,171,326,332,339,345,355,363,401,411,420,425
net/tsz/afinal/bitmap/download/SimpleDownloader.java, line(s) 37,86,153
net/tsz/afinal/core/AsyncTask.java, line(s) 63
net/tsz/afinal/exception/ViewException.java, line(s) 15
net/tsz/afinal/utils/Utils.java, line(s) 46
org/MediaPlayer/PlayM4/Player.java, line(s) 175,228,233,275,350,390,168

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (scs.openspeech.cn) 通信。

DOMAINS

{'ip': '180.163.251.81', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (fir.im) 通信。

DOMAINS

{'ip': '47.90.9.196', 'country_short': 'HK', 'country_long': '中国', 'region': '香港', 'city': '香港', 'latitude': '22.285521', 'longitude': '114.157692'}

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (ads.voiceads.cn) 通信。

DOMAINS

{'ip': '101.126.88.174', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (apk.91.com) 通信。

DOMAINS

{'ip': '101.126.88.174', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '南京', 'latitude': '32.061668', 'longitude': '118.777992'}

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.lenovomm.com) 通信。

DOMAINS

{'ip': '180.101.49.118', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (openbox.mobilem.360.cn) 通信。

DOMAINS

{'ip': '180.163.251.81', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (apk.hiapk.com) 通信。

DOMAINS

{'ip': '180.101.49.118', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '南京', 'latitude': '32.061668', 'longitude': '118.777992'}

安全分析报告： 供热保驾维护管理平台 v4.0.6

安全分数

安全分数 34/100

风险评级

等级

严重性分布 (%)

隐私风险

用户/设备跟踪器

调研结果

高危 应用程序容易受到 Janus 漏洞的影响

高危 应用程序使用了调试证书进行签名

高危 程序可被任意调试

高危 Activity (com.xiexu.xoa_group.ui.trade.Main1Activity) 的启动模式不是standard模式

高危 Activity （com.xiexu.xoa_group.ui.trade.Main1Activity） 容易受到 Android Task Hijacking/StrandHogg 的攻击。

高危 SSL的不安全实现。信任所有证书或接受自签名证书是一个关键的安全漏洞。此应用程序易受MITM攻击

高危 如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击

高危 启用了调试配置。生产版本不能是可调试的

中危 应用程序数据可以被备份

中危 Service (com.baidu.location.f) 未被保护。

中危 Broadcast Receiver (com.xiexu.xoa_group.broadcast.DownLoadReceiver) 未被保护。

中危 Broadcast Receiver (com.xiexu.xoa_group.clock.BootBroadcastReceiver) 未被保护。

中危 Broadcast Receiver (com.xiexu.xoa_group.broadcast.GPSReceiver) 未被保护。

中危 Service (cn.jpush.android.service.DaemonService) 未被保护。

中危 Broadcast Receiver (com.xiexu.xoa_group.push.MyReceiver) 未被保护。

中危 Broadcast Receiver (com.xiexu.xoa_group.broadcast.AlarmHeartReceiver) 未被保护。

中危 高优先级的Intent （1000） - {2} 个命中

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

中危 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

中危 IP地址泄露

中危 应用程序使用不安全的随机数生成器

中危 MD5是已知存在哈希冲突的弱哈希

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库

中危 应用程序包含隐私跟踪程序

中危 此应用可能包含硬编码机密信息

信息 应用程序记录日志信息,不得记录敏感信息

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (scs.openspeech.cn) 通信。

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (fir.im) 通信。

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (ads.voiceads.cn) 通信。

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (apk.91.com) 通信。

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.lenovomm.com) 通信。

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (openbox.mobilem.360.cn) 通信。

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (apk.hiapk.com) 通信。

安全评分: ( 供热保驾维护管理平台 4.0.6)

安全分析报告：供热保驾维护管理平台 v4.0.6

高危应用程序容易受到 Janus 漏洞的影响

高危应用程序使用了调试证书进行签名

高危程序可被任意调试

高危 Activity （com.xiexu.xoa_group.ui.trade.Main1Activity）容易受到 Android Task Hijacking/StrandHogg 的攻击。

高危如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击

高危启用了调试配置。生产版本不能是可调试的

中危应用程序数据可以被备份

中危高优先级的Intent （1000） - {2} 个命中

中危应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

中危文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

中危应用程序使用不安全的随机数生成器

中危应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库

中危应用程序包含隐私跟踪程序

中危此应用可能包含硬编码机密信息

信息应用程序记录日志信息,不得记录敏感信息

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (scs.openspeech.cn) 通信。

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (fir.im) 通信。

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (ads.voiceads.cn) 通信。

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (apk.91.com) 通信。

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (www.lenovomm.com) 通信。

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (openbox.mobilem.360.cn) 通信。

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (apk.hiapk.com) 通信。