安全分析报告： 葡萄美女直播 v1.0.0

[android:allowBackup=true]
这个标志允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/c/b/a/a/a.java, line(s) 6,298,299,302,303,306,307,310,311,33,141,261
com/c/b/a/a/c.java, line(s) 6,7,60
com/c/b/b/b.java, line(s) 5,6,72,80,88
com/c/b/b/d.java, line(s) 5,13
com/c/b/b/e.java, line(s) 7,180,257,317,419,478
com/tiange/miaolive/a/a.java, line(s) 4,5,14,15,16,17,18,24,25,28
com/tiange/miaolive/a/b.java, line(s) 6,7,88,138,200,235,321
org/cocos2dx/lib/Cocos2dxLocalStorage.java, line(s) 5,6,46

MD5是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/baidu/a/a/a/a/c.java, line(s) 25
com/c/a/b.java, line(s) 55
com/c/a/d.java, line(s) 425
com/c/a/e.java, line(s) 54,70
com/heepay/plugin/a/a.java, line(s) 203
com/tencent/mm/a/a.java, line(s) 9
com/tiange/miaolive/e/c.java, line(s) 9

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/alipay/b/a/a/b/b.java, line(s) 78,347,348
com/alipay/b/a/a/d/b.java, line(s) 10,21,22
com/alipayzhima/security/mobile/module/deviceinfo/a.java, line(s) 287,288
com/alipayzhima/security/mobile/module/localstorage/b.java, line(s) 10,23,34,35
com/baidu/a/a/a/b/c.java, line(s) 405,418,445,519,562
com/c/b/c/n.java, line(s) 60,64
com/tencent/a/a/a/a/b.java, line(s) 19,21,33
com/tiange/miaolive/d/d.java, line(s) 177
com/tiange/miaolive/f/h.java, line(s) 48
com/tiange/miaolive/f/i.java, line(s) 85
com/tiange/miaolive/f/x.java, line(s) 51

IP地址泄露


Files:
com/alipayzhima/android/phone/mrpc/core/v.java, line(s) 164
com/baidu/b/a/j.java, line(s) 85,85
com/c/b/d/i.java, line(s) 29

应用程序使用不安全的随机数生成器
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/baidu/a/a/a/b/c.java, line(s) 34
com/c/a/b.java, line(s) 9
com/tiange/miaolive/ui/adapter/n.java, line(s) 25
com/tiange/miaolive/ui/fragment/HotFragment.java, line(s) 39
com/tiange/miaolive/ui/view/FavorLayout.java, line(s) 23
com/tiange/miaolive/ui/view/GiftRainLayout.java, line(s) 17
com/tiange/miaolive/ui/view/RedPacketRainView.java, line(s) 17
com/tiange/miaolive/ui/view/SbLayout.java, line(s) 16

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/heepay/plugin/activity/Constant.java, line(s) 10,14

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
c/a/c.java, line(s) 142
com/alipay/b/a/a/a/a.java, line(s) 74
com/alipay/b/a/a/a/a/b.java, line(s) 11
com/alipay/b/a/a/a/a/c.java, line(s) 38
com/alipayzhima/security/mobile/module/commonutils/a.java, line(s) 60
com/alipayzhima/security/mobile/module/commonutils/crypto/b.java, line(s) 11
com/alipayzhima/security/mobile/module/commonutils/crypto/d.java, line(s) 73
com/baidu/a/a/a/a/d.java, line(s) 9
com/baidu/b/a/e.java, line(s) 70
com/c/a/b.java, line(s) 125

不安全的Web视图实现。可能存在WebView任意代码执行漏洞
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#testing-javascript-execution-in-webviews-mstg-platform-5

Files:
com/heepay/plugin/activity/logic/LogicWeChatNotityActivity.java, line(s) 144,132
com/tiange/miaolive/third/geetest/GtDialog.java, line(s) 74,73
com/tiange/miaolive/ui/activity/WebActivity.java, line(s) 78,77

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
com/tiange/miaolive/third/crop/b.java, line(s) 87

此应用程序可能会请求root（超级用户）权限
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05j-Testing-Resiliency-Against-Reverse-Engineering.md#testing-root-detection-mstg-resilience-1

Files:
com/alipayzhima/apmobilesecuritysdk/apdid/i.java, line(s) 123,126,128,123,126,128,123,126,128

此应用程序有多个2隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

从应用程序中识别出以下机密确保这些不是机密或私人信息
腾讯云 信鸽推送SDK的=> "XG_V2_ACCESS_ID" : "2100216444"
百度地图的=> "com.baidu.lbsapi.API_KEY" : "ccKPnZ1sAdBDCf2ioyMURPgSmjhaC3b8"
友盟统计的=> "UMENG_APPKEY" : "58ecc5a5b27b0a3520001598"
腾讯云 信鸽推送SDK的=> "XG_V2_ACCESS_KEY" : "A2P1JH8C3Z7M"
友盟统计的=> "UMENG_CHANNEL" : "M00121"
"app_id" : "584e5843"
MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCmablY4MRrSHp3vgVBlA+DUcJ8k2EbkufBLaPkW6DkWlBg2NOonAkEZbMy9Ql+USX+AYKmpmqfviLa6yb3GDMo/0lUaI7fsCNAQ7+8P8K1syI1t3SSlij12VdS9txrMu9DJlvLvkLl9mAoVogk4+1Rbukc6Uy+xEFpfpMuEm31nQIDAQAB
6X8Y4XdM2Vhvn0KfzcEatGnWaNU=
39EB339F80B715384793F7EF
y4HPDy5OFwaublSowZRksreESAONkZTM
DC511DB999BC484F89BC565AA0E04098
408967898DDC4595AC5BC332D4ECA0A0