安全分析报告： APKPure v3.19.91

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

Permission: android.permission.BIND_ACCESSIBILITY_SERVICE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

Permission: android.permission.RECEIVE_BOOT_COMPLETED [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Content Provider与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Content Provider与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Content Provider与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

Permission: com.vivo.permission.VOICE_INTERACT_PROVIDER [android:exported=true]
发现一个 Content Provider被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

[android:exported=true]
发现 Content Provider与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

(com.apkpure.pop.QDNSActivity)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

Permission: android.permission.BIND_PRINT_SERVICE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

Permission: android.permission.BIND_CONTROLS [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Content Provider与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

(com.apkpure.pop.TransparentActivity)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

Permission: com.google.android.c2dm.permission.SEND [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

(com.san.proaz.OutProAzImproveActivity)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

(com.san.proactive.OutProActiveImproveActivity)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

Permission: android.permission.BIND_JOB_SERVICE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

Permission: android.permission.DUMP [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

Permission: android.permission.DUMP [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

[android:priority]
通过设置一个比另一个Intent更高的优先级，应用程序有效地覆盖了其他请求。

[android:priority]
通过设置一个比另一个Intent更高的优先级，应用程序有效地覆盖了其他请求。

[android:priority]
通过设置一个比另一个Intent更高的优先级，应用程序有效地覆盖了其他请求。

[android:priority]
通过设置一个比另一个Intent更高的优先级，应用程序有效地覆盖了其他请求。

[android:priority]
通过设置一个比另一个Intent更高的优先级，应用程序有效地覆盖了其他请求。

[android:priority]
通过设置一个比另一个Intent更高的优先级，应用程序有效地覆盖了其他请求。

[android:priority]
通过设置一个比另一个Intent更高的优先级，应用程序有效地覆盖了其他请求。

[android:priority]
通过设置一个比另一个Intent更高的优先级，应用程序有效地覆盖了其他请求。

[android:priority]
通过设置一个比另一个Intent更高的优先级，应用程序有效地覆盖了其他请求。

[android:priority]
通过设置一个比另一个Intent更高的优先级，应用程序有效地覆盖了其他请求。

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
a7/qdac.java, line(s) 26,27
ab/qdbb.java, line(s) 53
b1/qdag.java, line(s) 9
bj/qdag.java, line(s) 47
bx/qdbb.java, line(s) 133,138
com/apkmatrix/components/clientupdatev2/qdac.java, line(s) 646
com/apkmatrix/components/downloader/qdaa.java, line(s) 68
com/apkmatrix/components/downloader/services/DownloadService.java, line(s) 236
com/apkmatrix/components/downloader/utils/qdab.java, line(s) 69
com/apkpure/aegon/access/qdaa.java, line(s) 24
com/apkpure/aegon/app/assetmanager/qdbb.java, line(s) 365
com/apkpure/aegon/garbage/clean/qdbb.java, line(s) 323,324
com/apkpure/aegon/main/activity/SplashActivity.java, line(s) 616
com/apkpure/aegon/popups/notification/view/adapter/logic/qdbc.java, line(s) 126,127
com/apkpure/aegon/utils/autodownload/qdab.java, line(s) 564
com/apkpure/aegon/utils/m.java, line(s) 49
com/apkpure/clean/appcleaner/core/files/qdac.java, line(s) 121,124,131
com/apkpure/clean/appcleaner/core/qdae.java, line(s) 53
com/apkpure/clean/qdaa.java, line(s) 408,411,417
com/apkpure/components/xinstaller/permission/StorePermissionActivity.java, line(s) 67,69
com/apkpure/components/xinstaller/utils/qdac.java, line(s) 29
com/san/mads/mraid/qdbh.java, line(s) 100,249
com/tencent/halley/QDDownloader.java, line(s) 467,469
com/tencent/qmsp/sdk/d/b.java, line(s) 59
com/tencent/qqdownloader/waterdrop/core/utils/DeviceUtils.java, line(s) 19,46
com/tencent/qqdownloader/waterdrop/core/utils/FileUtil.java, line(s) 132,255
com/vungle/warren/VungleApiClient.java, line(s) 552,595,651,695
com/vungle/warren/persistence/qdaa.java, line(s) 368,369
com/vungle/warren/utility/qdad.java, line(s) 490,516
com/yalantis/ucrop/util/FileUtils.java, line(s) 136
dk/qdaa.java, line(s) 126,152
dn/qdce.java, line(s) 90,100
dt/qdba.java, line(s) 25
e8/qdac.java, line(s) 33,34
em/qdac.java, line(s) 128,131
es/qdaa.java, line(s) 158,160
fh/qdad.java, line(s) 51
fh/qdaf.java, line(s) 51
fk/qdab.java, line(s) 151,152
fm/qdcd.java, line(s) 19
fm/qddf.java, line(s) 32,43
h8/qdaa.java, line(s) 392
h9/qdab.java, line(s) 150,34,72,73,128,212
hx/qdac.java, line(s) 127,144,151
k5/qdbd.java, line(s) 291,292,368
ka/qdab.java, line(s) 147
nj/qdag.java, line(s) 78,79,14,15,22,77
ns/qdab.java, line(s) 190
oj/qdab.java, line(s) 213,214,215,217,248,261
or/qdab.java, line(s) 461
p/qdbd.java, line(s) 77
uh/qdad.java, line(s) 25,28,31
uh/qdah.java, line(s) 127,41,42,129
uj/qdaf.java, line(s) 175,178
wr/qdaa.java, line(s) 515,516,537,540
xl/qdad.java, line(s) 281,284
xn/qdab.java, line(s) 41

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
c2/qdaa.java, line(s) 5,6,7,8,45
cm/qdaa.java, line(s) 8,9,10,181
com/apkpure/aegon/cms/adapter/qdfb.java, line(s) 3,37
com/vungle/warren/persistence/DatabaseHelper.java, line(s) 7,8,89
com/vungle/warren/persistence/qdaa.java, line(s) 8,394
cu/qdae.java, line(s) 7,8,49
e/qdah.java, line(s) 4,1375
gf/qdaa.java, line(s) 6,188
gk/qdaa.java, line(s) 4,5,34
gk/qdae.java, line(s) 5,6,301
gt/qdaa.java, line(s) 5,6,15
hd/qdag.java, line(s) 4,30
hv/qdab.java, line(s) 4,5,30
id/qdbb.java, line(s) 4,32
id/qdbc.java, line(s) 3,40
id/qdbe.java, line(s) 4,5,94
id/qdca.java, line(s) 4,5,157
jk/qdaa.java, line(s) 7,8,472
l/qdab.java, line(s) 5,6,26
lj/qdaa.java, line(s) 5,6,34
q6/qdaa.java, line(s) 4,32
qg/qdae.java, line(s) 5,6,53
qg/qdag.java, line(s) 6,31
rl/qdaa.java, line(s) 4,5,127
rv/qdaa.java, line(s) 7,8,85
tm/qdac.java, line(s) 6,127
wm/qdaa.java, line(s) 5,6,34
xj/qdba.java, line(s) 6,7,8,70
y4/qdaf.java, line(s) 6,207
zk/qdad.java, line(s) 5,6,371
zs/qdaa.java, line(s) 6,7,228

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
ao/qdac.java, line(s) 418
bo/qdaf.java, line(s) 119
com/apkpure/aegon/ads/topon/nativead/qdah.java, line(s) 195
com/apkpure/aegon/person/login/qdac.java, line(s) 136
com/apkpure/aegon/utils/qdaa.java, line(s) 281,281
com/apkpure/aegon/utils/qdde.java, line(s) 300
com/apkpure/aegon/utils/qdeh.java, line(s) 72
com/tencent/qmsp/sdk/g/g/e.java, line(s) 97
ef/qdae.java, line(s) 91
nr/qdac.java, line(s) 455
of/qdag.java, line(s) 74
oq/qdab.java, line(s) 50
or/qdce.java, line(s) 62
tf/qdab.java, line(s) 70
ye/qdaf.java, line(s) 32
zn/qdaa.java, line(s) 197

IP地址泄露


Files:
com/apkpure/components/clientchannel/channel/headers/HostAppInfo.java, line(s) 167
com/ola/qsea/d/c.java, line(s) 257,268
com/san/ads/core/qdba.java, line(s) 761
com/tencent/raft/measure/BuildConfig.java, line(s) 7
com/tencent/raft/raftframework/BuildConfig.java, line(s) 7
com/tencent/raft/raftframework/constant/RAFTConstants.java, line(s) 7
com/tencent/raft/raftframework/sla/SLAReporter.java, line(s) 307,218
rs/qdad.java, line(s) 173,175
tj/qdac.java, line(s) 89
xl/qdac.java, line(s) 46,391,411
yl/qdad.java, line(s) 177

MD5是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
ao/qdaa.java, line(s) 125
com/apkpure/aegon/access/qdba.java, line(s) 33,57
com/apkpure/aegon/app/assetmanager/qdbb.java, line(s) 127
com/apkpure/aegon/app/newcard/impl/ExclusiveCard.java, line(s) 710
com/apkpure/aegon/reshub/qdac.java, line(s) 89
com/apkpure/aegon/services/UltraDownloadService.java, line(s) 234
com/apkpure/aegon/utils/qdag.java, line(s) 19
com/apkpure/aegon/utils/qdde.java, line(s) 409
com/apkpure/aegon/utils/qdeh.java, line(s) 51
com/apkpure/components/xinstaller/utils/qdab.java, line(s) 50
com/ola/qsea/l/a.java, line(s) 30
com/tencent/qmsp/sdk/a/c.java, line(s) 95,137
com/tencent/qmsp/sdk/d/a.java, line(s) 17
com/tencent/qmsp/sdk/g/b/c.java, line(s) 103
com/tencent/qqdownloader/waterdrop/core/utils/FileUtil.java, line(s) 202
com/tencent/shadow/core/utils/Md5.java, line(s) 26
com/tencent/shadow/dynamic/host/DynamicPluginApiManager.java, line(s) 46
gm/qdac.java, line(s) 23
hx/qdad.java, line(s) 57
mt/qdaa.java, line(s) 458,484
nh/qdaf.java, line(s) 51
nj/qdae.java, line(s) 236
or/qdac.java, line(s) 2282
or/qdag.java, line(s) 19
ug/qdab.java, line(s) 137
z2/qdad.java, line(s) 190

应用程序使用不安全的随机数生成器
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
av/qdae.java, line(s) 3
br/qdab.java, line(s) 3
ck/qdcd.java, line(s) 22
cl/qdab.java, line(s) 9
cl/qdac.java, line(s) 22
com/apkpure/aegon/aigc/qdfd.java, line(s) 27
com/apkpure/aegon/cms/activity/PictureBrowseActivity.java, line(s) 43
com/apkpure/aegon/garbage/view/GarbageCleaningCusIconView.java, line(s) 12
com/apkpure/aegon/garbage/view/GarbageCleaningView.java, line(s) 15
com/apkpure/aegon/network/server/qdbg.java, line(s) 21
com/apkpure/aegon/utils/qdce.java, line(s) 9
com/apkpure/aegon/utils/qdcf.java, line(s) 13
com/apkpure/components/xpermission/fragment/PermissionFragment.java, line(s) 18
com/ola/qsea/l/a.java, line(s) 12
com/ola/qsea/p/k.java, line(s) 11
com/ola/qsea/p/p.java, line(s) 8
com/ola/qsea/t/c.java, line(s) 4
com/sackcentury/shinebuttonlib/qdad.java, line(s) 12
com/san/xz/service/IXzService.java, line(s) 47
com/tencent/qmsp/sdk/f/c.java, line(s) 6
ej/qdac.java, line(s) 12
hl/qdac.java, line(s) 14
i9/qdaa.java, line(s) 21
iq/qdah.java, line(s) 12
k5/qdad.java, line(s) 15
mk/qdaa.java, line(s) 19
or/qdac.java, line(s) 81
or/qdcb.java, line(s) 6
or/qdcc.java, line(s) 8
or/qdce.java, line(s) 10
r7/qdab.java, line(s) 91
tj/qdac.java, line(s) 20
tu/qdaa.java, line(s) 3
tu/qdab.java, line(s) 3
uu/qdaa.java, line(s) 3
zk/qdaa.java, line(s) 11
zq/qdah.java, line(s) 10

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
ax/qdaa.java, line(s) 200
b2/qdaa.java, line(s) 408
cl/qdbf.java, line(s) 50
com/apkpure/aegon/ads/topon/interstitial/qdaf.java, line(s) 41
com/apkpure/aegon/ads/topon/nativead/qdab.java, line(s) 37
com/apkpure/aegon/ads/topon/nativead/v2/qdaa.java, line(s) 41
com/apkpure/aegon/db/dao/qdbf.java, line(s) 32
com/apkpure/aegon/plugin/topon/api1/ATAdConst.java, line(s) 96
com/apkpure/aegon/plugin/topon/api1/nativead/CustomNativeAd.java, line(s) 11
com/apkpure/aegon/popups/notification/view/adapter/logic/qdbh.java, line(s) 181
com/apkpure/components/clientchannel/channel/headers/UserInfo.java, line(s) 169
com/tencent/assistant/dynamic/host/api/ShadowConstants.java, line(s) 11
com/tencent/halley/QDDownloaderInitParam.java, line(s) 9
com/tencent/raft/raftframework/remote/RAFTRemoteProxy.java, line(s) 16
d8/qdaa.java, line(s) 62
nq/qdab.java, line(s) 46
ok/qdab.java, line(s) 35
tm/qdae.java, line(s) 33
ub/qdag.java, line(s) 55
ww/qdaa.java, line(s) 127
xb/qdaf.java, line(s) 37
xb/qdca.java, line(s) 89
xb/qdcg.java, line(s) 81
xo/qdad.java, line(s) 97,97
z4/qdab.java, line(s) 37

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
com/yalantis/ucrop/util/ImageHeaderParser.java, line(s) 269
tf/qdac.java, line(s) 49

不安全的Web视图实现。可能存在WebView任意代码执行漏洞
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#testing-javascript-execution-in-webviews-mstg-platform-5

Files:
com/pierfrancescosoffritti/androidyoutubeplayer/core/player/views/qdaf.java, line(s) 36,33

从应用程序中识别出以下机密确保这些不是机密或私人信息
华为HMS Core 应用ID的=> "com.huawei.hms.client.appid" : "appid=106420291"
凭证信息=> "com.san.APP_KEY" : "7770d15c-d4d1-4d15-b9f9-222447d5f296"
灯塔 SDK的=> "APPKEY_DENGTA" : "0AND02Z8WN41BWCA"
AdMob广告平台的=> "com.google.android.gms.ads.APPLICATION_ID" : "ca-app-pub-1702223634761761~4008239917"
"google_api_key" : "AIzaSyAqCv41AHdy_xRNJT9JF4S47LWws5PqiPM"
"ad_wall_cms_url_key" : "AdWallUrl"
"google_crash_reporting_api_key" : "AIzaSyAqCv41AHdy_xRNJT9JF4S47LWws5PqiPM"
"firebase_database_url" : "https://apkpure-firebase.firebaseio.com"
4389e2930a52ffc49579340c59e5ae66
3548963804e00fb4fb9ba23ef7c5398d
MCwwDQYJKoZIhvcNAQEBBQADGwAwGAIRAMRB/Q0hTCD+XtnQhpQJefUCAwEAAQ==
MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCv2mDDXJjzMX+AwRNaP9IicoT0
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
750754650f61eeb5552161d2bc638cfb
d33cb23fd17fda8ea38be504929b77ef
n+CFluDer7LiiDa6j77if5dbcvWUrJbgvhKqaEhWnMDXT1pAG2KxL/pNFAYguSLpO
L2V0Yy9wcmVfaW5zdGFsbC5hcHBzZmx5ZXI=
Y29tLmFwcHNmbHllci5NdWx0aXBsZUluc3RhbGxCcm9hZGNhc3RSZWNlaXZlcg==
aWNvbiAoMSkucG5nXzE3MDE2NzE3NDAyODA/image
e2lzX3ByZV9pbnN0YWxsfQ==
cm8uYXBwc2ZseWVyLnByZWluc3RhbGwucGF0aA==
3f2dced8-212f-44e8-9502-274a23c245ae
MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCv2mDDXJjzMX+AwRNaP9IicoT01urAb8BJN4LSuujQ33YMnMJ2ERdfN+ew9MD6Ip+hVNPkm+6EjVNGMhDv1QhVYcWD4ojetgQb/Y59Pjr7lbeafcGYDxHvfpafA9Rbn6itXdRWE8lFXfqRmO2fZ8PRFmG19TQTpbW0Px80ZczoywIDAQAB
D6KeS5qCHLnBuZ18xNjYwMjg0ODU0NDMy/image
n1urAb8BJN4LSuujQ33YMnMJ2ERdfN+ew9MD6Ip+hVNPkm+6EjVNGMhDv1QhVYcWD
02434ec0969e811e8d211a4583ce2cbfa86ac312
e17c3afcb39f045e86bb279bd8fc48dc
6286157287862c977f37336a
470fa2b4ae81cd56ecbcda9735803434cec591fa
L2RhdGEvbG9jYWwvdG1wL3ByZV9pbnN0YWxsLmFwcHNmbHllcg==
YWRqdXN0LnByZWluc3RhbGwucGF0aA==
Y29tLmFwcHNmbHllci5TaW5nbGVJbnN0YWxsQnJvYWRjYXN0UmVjZWl2ZXI=
eyJhZF9kbnNfc3dpdGNoIjp0cnVlLCJhZF9kbnNfbGlzdCI6W3siaG9zdCI6ImFwaS5teWFkc2dldC5jb20iLCJpcHMiOiIxMy4yNDguMjQ0LjkyLDc2LjIyMy4xMTMuMTgwIn0seyJob3N0Ijoic2FuLm15YWRzc3VwcG9ydC5jb20iLCJpcHMiOiI3NS4yLjM5LjEyMCw5OS44My4xNTUuMTg1In1dfQ==
Y29tLmFkanVzdC5wcmVpbnN0YWxs
L2RhdGEvbG9jYWwvdG1wL2FkanVzdC5wcmVpbnN0YWxs
d171d69980e0521ebd3cdbe0595e416a
bGV2ZWxfaXBhX3RzcmlmLnRjdWRvcnAub3I=
26622f8e-bc23-46dd-9390-488a5bc13055
c4f2343259126bfdb33056e9f67be789
610751774d4d7ea4bc220397cb05d268
n4ojetgQb/Y59Pjr7lbeafcGYDxHvfpafA9Rbn6itXdRWE8lFXfqRmO2fZ8PRFmG1
aAbBcCdDeEfFgGhHiIjJkKlLmMnNoOpPqQrRsStTuUvVwWxXyYzZ0123456789