安全分析报告： Lite VPN v4.8.5

[android:allowBackup=true]
这个标志允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

(de.blinkt.openvpn.DisconnectVPNActivity)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

Permission: com.google.android.gms.auth.api.signin.permission.REVOCATION_NOTIFICATION [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

Permission: android.permission.BIND_JOB_SERVICE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

Permission: android.permission.DUMP [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

IP地址泄露


Files:
de/blinkt/openvpn/OpenVpnApi.java, line(s) 34,33
de/blinkt/openvpn/VpnProfile.java, line(s) 61,60
de/blinkt/openvpn/core/ConfigParser.java, line(s) 290
de/blinkt/openvpn/core/OpenVPNService.java, line(s) 777,1009,1012,1053
de/blinkt/openvpn/core/OpenVpnManagementThread.java, line(s) 63
de/blinkt/openvpn/core/OrbotHelper.java, line(s) 43
de/blinkt/openvpn/core/X509Utils.java, line(s) 109,110
info/guardianproject/netcipher/NetCipher.java, line(s) 22
info/guardianproject/netcipher/client/StrongBuilderBase.java, line(s) 18
info/guardianproject/netcipher/proxy/PsiphonHelper.java, line(s) 53,60

应用程序使用不安全的随机数生成器
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/free/vpn/ozzmo/utils/Helper.java, line(s) 20
com/free/vpn/ozzmo/utils/TunnelGatewaySSL.java, line(s) 23
com/free/vpn/ozzmo/utils/TunnelSSL.java, line(s) 23
de/blinkt/openvpn/core/TunnelSSL.java, line(s) 16
ir/tapsell/sdk/utils/a.java, line(s) 9
ir/tapsell/sdk/utils/g.java, line(s) 10

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
de/blinkt/openvpn/api/AppRestrictions.java, line(s) 63
de/blinkt/openvpn/core/LogItem.java, line(s) 307
de/blinkt/openvpn/core/PRNGFixes.java, line(s) 69,71

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/free/vpn/ozzmo/utils/AppSettings.java, line(s) 9,16
com/free/vpn/ozzmo/utils/Helper.java, line(s) 234,168,174,240,172,238
de/blinkt/openvpn/LaunchVPN.java, line(s) 36
de/blinkt/openvpn/api/ExternalAppDatabase.java, line(s) 13
de/blinkt/openvpn/utils/PropertiesService.java, line(s) 8,9
ir/tapsell/plus/m/b.java, line(s) 96
ir/tapsell/sdk/models/responseModels/SdkConfigurationResponseModel.java, line(s) 120

不安全的Web视图实现。可能存在WebView任意代码执行漏洞
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#testing-javascript-execution-in-webviews-mstg-platform-5

Files:
ir/tapsell/sdk/advertiser/a.java, line(s) 156,150
ir/tapsell/sdk/bannerads/a.java, line(s) 216,215

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/free/vpn/ozzmo/db/DbHelper.java, line(s) 6,7,36

MD5是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/free/vpn/ozzmo/utils/Helper.java, line(s) 285

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/free/vpn/ozzmo/utils/OvpnUtils.java, line(s) 60

此应用程序有多个3隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

从应用程序中识别出以下机密确保这些不是机密或私人信息
AdMob广告平台的=> "com.google.android.gms.ads.APPLICATION_ID" : "@string/admob_app_id"
AppLovin广告SDK的=> "applovin.sdk.key" : "5WfZLCGTQmDr6Mf7BBEf5blVwrf8VBMJSmwUSq9-1q5bPpCH_OGAWEP2z2lRkmonLgPzG6gbL4DlvUF9frFmt6"
"password" : "Password"
"settings_auth" : "Authentication/Encryption"
"auth_pwquery" : "Password"
"library_easypreferences_author" : "Pixplicity"
"state_auth" : "Authenticating"
"google_api_key" : "AIzaSyDnl4KwuR4yKfjxl4b-Qqaxb3qy2o2Ful4"
"google_crash_reporting_api_key" : "AIzaSyDnl4KwuR4yKfjxl4b-Qqaxb3qy2o2Ful4"
"auth_username" : "Username"
"library_easypreferences_authorWebsite" : "http://pixplicity.com"
645d40b522a1ba63a8a6322e
6ef396a2bb3d466cbc02e9f2f358ff15
2e885e2cfb054b4eacf9d87641a1f56b
3873738336106154B4C601CAF78A6F0F
a9f6722d-96ce-4cd6-85e5-93767c74df07