BOC iCare 1.1.2版本 | 静态分析 _南明离火移动安全分析平台

温馨提示：本平台仅供研究软件风险、安全评估，禁止用于非法用途。由于展示的数据过于全面，请耐心等待加载完成。如有疑问或建议，可加入我们的微信群讨论

应用图标

文件信息

文件名称 boc_wellness_prod.apk
文件大小 18.78MB
MD5 267ee9f268be7616b6bf1bf920eb0d27
SHA1 791ee09ec5bd5d938c30e6a559b73401b157aa18
SHA256 ae165fe567109c321b66a4be9b8279741fc267c329d019afcaaac92381517a1b
病毒检测无法判定

应用信息

应用名称 BOC iCare
包名 com.bocgins.wellness.app
主活动 com.bocgins.wellness.activity.StartActivity
目标SDK 33 最小SDK 26
版本号 1.1.2 子版本号 106
加固信息未加壳

非法应用检测（该功能即将上线，识别赌博、诈骗、色情和黑产等类型应用）

GooglePlay应用信息

标题中银智健康
评分 0
安装 1,000+ 次下载
价格 0
Android版本支持
分类健康与健身
Play 商店链接 com.bocgins.wellness.app
开发者 Bank of China Group Insurance Co. Ltd.
开发者 ID Bank+of+China+Group+Insurance+Co.+Ltd.
开发者地址 None
开发者主页 http://www.bocgins.com
开发者 Email info_ins@bocgroup.com
发布日期 2022年4月26日
隐私政策 Privacy link

关于此应用

中银智健康手机应用程式为您提供以下服务:
- 尊属客户自动升级为VIP用户 
- 健康资讯 
- 健康风险筛选+医疗服务引流功能 
- 个人健康资料库 
- 一般健康管理功能
- 通过 Google Fit 同步和导入您的活动数据。

免责声明：您做出任何医疗决定时，必须去专业的医疗机构寻求医生的建议，本App不提供任何的医疗决定服务。

组件导出信息

查看

扫描选项

重新扫描管理规则动态分析

反编译代码

Manifest文件查看

APK文件成为会员，解锁下载

Java源代码查看 -- 下载

证书信息

二进制文件已签名
v1 签名: False
v2 签名: True
v3 签名: False
v4 签名: False
主题: C=852, ST=HK, L=HK, O=BOCG Insurance, OU=BOCG Insurance, CN=Motherapp
签名算法: rsassa_pkcs1v15
有效期自: 2022-04-12 01:56:56+00:00
有效期至: 2122-03-19 01:56:56+00:00
发行人: C=852, ST=HK, L=HK, O=BOCG Insurance, OU=BOCG Insurance, CN=Motherapp
序列号: 0x5dfbfa81
哈希算法: sha256
证书MD5: 90d476a679d07c16e11ad52f722fd1d6
证书SHA1: c81a005abc4c9ba6eafaf5088124cee1d2be284e
证书SHA256: c18b7ee87fee6dd9efafee4cce909bd8f68c99abf5db4240e45dfe6f95653bc3
证书SHA512: bc5c5b973178fec05217ed935cf88babca90faf7f6df05d3378b390d762ffcca59cf42b4deefff9f4088eef89efeec1d2afb15ca64cedaf9d68a4a8dd8eedd4e
公钥算法: rsa
密钥长度: 2048
指纹: 2336a985b82e5c92a9bf14b2f4ac2a065470bbc83ed280a27944a3ad40bb5600
找到 1 个唯一证书

应用程序权限

权限名称	安全等级	权限内容	权限描述	关联代码
android.permission.INTERNET	危险	完全互联网访问	允许应用程序创建网络套接字。	显示文件 b/d/a/s/g/g.java b/h/a/v/v/c.java f/h0/i/b.java f/h0/m/b.java f/h0/m/h.java g/a0.java
android.permission.ACCESS_NETWORK_STATE	普通	获取网络状态	允许应用程序查看所有网络的状态。	显示文件 b/d/a/t/e.java b/g/a/a/f/a.java b/g/a/a/f/c.java b/g/a/a/f/d.java
android.permission.READ_EXTERNAL_STORAGE	危险	读取SD卡内容	允许应用程序从SD卡读取信息。	显示文件 b/b/a/utils/b.java b/c/a/utils/f.java b/c/a/utils/g.java b/d/a/p/a.java b/d/a/s/j/i/c.java b/h/a/v/v/c.java d/c/a.java g/a0.java org/junit/experimental/max/MaxHistory.java
android.permission.WRITE_EXTERNAL_STORAGE	危险	读取/修改/删除外部存储内容	允许应用程序写入外部存储。	显示文件 b/b/a/utils/b.java b/b/a/utils/d.java b/b/b/p/b.java b/c/a/h/d/d/c.java b/c/a/utils/f.java b/c/a/utils/g.java b/d/a/p/a.java b/d/a/r/a.java b/d/a/s/h/b.java b/g/a/a/f/g/a.java com/bocgins/wellness/activity/CameraActivity.java com/bocgins/wellness/activity/PDFActivity.java com/bocgins/wellness/viewmodel/MainViewModel.java com/forms/okhttplibrary/callback/DownloadFileCallback.java d/c/a.java g/a0.java org/junit/experimental/max/MaxHistory.java
android.permission.CAMERA	危险	拍照和录制视频	允许应用程序拍摄照片和视频，且允许应用程序收集相机在任何时候拍到的图像。
android.permission.READ_MEDIA_IMAGES	危险	允许从外部存储读取图像文件	允许应用程序从外部存储读取图像文件。	显示文件 b/c/a/utils/f.java
android.permission.ACTIVITY_RECOGNITION	危险	允许应用程序识别身体活动	允许应用程序识别身体活动。
android.permission.READ_PHONE_STATE	危险	读取手机状态和标识	允许应用程序访问设备的手机功能。有此权限的应用程序可确定此手机的号码和序列号，是否正在通话，以及对方的号码等。	显示文件 b/g/a/a/f/a.java
android.permission.WAKE_LOCK	危险	防止手机休眠	允许应用程序防止手机休眠，在手机屏幕关闭后后台进程仍然运行。
com.google.android.finsky.permission.BIND_GET_INSTALL_REFERRER_SERVICE	普通	Google 定义的权限	由 Google 定义的自定义权限。
com.google.android.gms.permission.AD_ID	普通	应用程序显示广告	此应用程序使用 Google 广告 ID，并且可能会投放广告。

证书安全分析

高危

0

警告

0

信息

1

标题	严重程度	描述信息
已签名应用	信息	应用程序已使用代码签名证书进行签名

MANIFEST分析

高危

0

警告

3

信息

0

屏蔽

0

序号	问题	严重程度	描述信息	操作
1	应用程序可以安装在存在漏洞的 Android 版本上 Android 8.0, minSdk=26]	信息	该应用程序可以安装在具有多个漏洞的旧版本 Android 上。支持 Android 版本 => 10、API 29 以接收合理的安全更新。	对应用 com.bocgins.wellness.app 禁止使用 vulnerable_os_version2 规则
2	应用程序已启用明文网络流量 [android:usesCleartextTraffic=true]	警告	应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。	对应用 com.bocgins.wellness.app 禁止使用 clear_text_traffic 规则
3	应用程序数据可以被备份 [android:allowBackup=true]	警告	这个标志允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。	对应用 com.bocgins.wellness.app 禁止使用 app_allowbackup 规则
4	Service (com.google.android.gms.auth.api.signin.RevocationBoundService) 受权限保护, 但是应该检查权限的保护级别。 Permission: com.google.android.gms.auth.api.signin.permission.REVOCATION_NOTIFICATION [android:exported=true]	警告	发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。	对应用 com.bocgins.wellness.app 禁止使用 service_exported_protected_permission_not_defined 规则

可浏览的Activity组件

ACTIVITY	INTENT

网络通信安全

序号	范围	严重级别	描述

API调用分析

API功能	源码文件
调用java反射机制	显示文件 b/b/a/e/b/b/b.java b/b/a/utils/BarUtils/a.java b/c/a/h/d/h/b.java b/c/a/h/d/h/d.java b/d/a/u/b.java b/h/a/o/s.java b/h/b/c.java b/h/b/d.java b/h/b/u/c.java b/h/b/u/k.java b/h/b/u/l/i.java b/h/b/u/m/c.java com/forms/dynamic/permission/EasyPermissions.java com/shockwave/pdfium/PdfiumCore.java d/b/g.java d/b/k.java d/c/a.java dev/b3nedikt/viewpump/internal/LegacyLayoutInflater.java f/h0/c.java f/h0/m/b.java f/h0/m/c.java f/h0/m/d.java f/h0/m/e.java f/h0/m/g.java f/h0/m/h.java f/h0/m/i/f.java f/h0/m/i/h.java f/h0/m/i/l.java h/a/q/b.java h/c/c/c/a.java h/c/c/f/a.java h/c/c/f/c.java h/c/c/f/d/a.java h/c/c/f/d/b.java h/c/c/f/d/e.java h/c/d/a.java h/c/d/f.java h/c/d/k/d.java h/c/d/m/a.java h/c/d/m/d.java h/c/d/m/e.java h/c/d/m/f.java h/c/d/m/g.java h/c/d/m/h.java h/c/d/m/i.java h/c/h/e/b.java h/c/h/e/d.java h/c/h/e/e.java h/c/h/e/i.java h/c/h/f/a.java j/j.java j/k.java j/n.java j/o.java j/q.java j/s.java j/t.java j/u.java k/l/c/c.java k/l/d/e.java k/l/d/m/n0.java k/o/d.java org/junit/runner/Description.java org/junit/runners/MethodSorters.java pub/devrel/easypermissions/EasyPermissions.java
一般功能-> 文件操作	显示文件 b/b/a/utils/BarUtils/RomUtils.java b/b/a/utils/b.java b/b/a/utils/d.java b/b/a/utils/h.java b/b/b/o/a.java b/b/b/o/b.java b/b/b/o/c.java b/b/b/o/d.java b/b/b/o/e.java b/b/b/o/f.java b/b/b/p/b.java b/b/b/p/e.java b/c/a/h/c.java b/c/a/h/d/a.java b/c/a/h/d/b.java b/c/a/h/d/c/f.java b/c/a/h/d/c/g.java b/c/a/h/d/d/c.java b/c/a/h/d/d/d.java b/c/a/h/d/d/f.java b/c/a/h/d/e/b/d.java b/c/a/h/d/f/a.java b/c/a/h/d/g/a.java b/c/a/h/d/g/e.java b/c/a/h/d/g/f.java b/c/a/h/d/g/h.java b/c/a/h/d/h/b.java b/c/a/utils/PickPhotoUtils.java b/c/a/utils/f.java b/c/a/utils/g.java b/c/a/utils/h.java b/d/a/b.java b/d/a/c.java b/d/a/d.java b/d/a/f.java b/d/a/g.java b/d/a/h.java b/d/a/i.java b/d/a/j.java b/d/a/k.java b/d/a/l.java b/d/a/o.java b/d/a/p/a.java b/d/a/p/b.java b/d/a/p/c.java b/d/a/q/a.java b/d/a/r/a.java b/d/a/r/b.java b/d/a/s/a.java b/d/a/s/b.java b/d/a/s/d.java b/d/a/s/g/a.java b/d/a/s/g/b.java b/d/a/s/g/d.java b/d/a/s/g/e.java b/d/a/s/g/f.java b/d/a/s/g/g.java b/d/a/s/g/h.java b/d/a/s/g/i.java b/d/a/s/g/j.java b/d/a/s/g/k.java b/d/a/s/h/a.java b/d/a/s/h/b.java b/d/a/s/h/f.java b/d/a/s/h/i.java b/d/a/s/h/m/a.java b/d/a/s/h/m/b.java b/d/a/s/h/m/d.java b/d/a/s/h/m/e.java b/d/a/s/h/m/f.java b/d/a/s/h/m/g.java b/d/a/s/h/m/l.java b/d/a/s/h/o/a.java b/d/a/s/i/b.java b/d/a/s/i/f.java b/d/a/s/i/g.java b/d/a/s/i/h.java b/d/a/s/i/o.java b/d/a/s/i/p.java b/d/a/s/i/s/a.java b/d/a/s/i/t/a.java b/d/a/s/i/t/b.java b/d/a/s/i/t/c.java b/d/a/s/i/t/d.java b/d/a/s/i/t/e.java b/d/a/s/i/t/f.java b/d/a/s/i/t/g.java b/d/a/s/i/t/h.java b/d/a/s/i/t/i.java b/d/a/s/i/t/j.java b/d/a/s/j/b.java b/d/a/s/j/c.java b/d/a/s/j/f/c.java b/d/a/s/j/f/g.java b/d/a/s/j/f/h.java b/d/a/s/j/f/i.java b/d/a/s/j/f/m.java b/d/a/s/j/f/n.java b/d/a/s/j/f/o.java b/d/a/s/j/f/p.java b/d/a/s/j/f/r.java b/d/a/s/j/i/a.java b/d/a/s/j/i/b.java b/d/a/s/j/i/c.java b/d/a/s/j/i/d.java b/d/a/s/j/j/c.java b/d/a/s/j/j/f.java b/d/a/s/j/j/i.java b/d/a/s/j/j/j.java b/d/a/s/j/k/c.java b/d/a/s/j/k/d.java b/d/a/s/j/k/e.java b/d/a/s/j/k/g.java b/d/a/s/j/l/a.java b/d/a/v/a.java b/d/a/v/b.java b/d/a/v/d.java b/d/a/v/e.java b/d/a/x/b.java b/d/a/x/c.java b/d/a/x/d.java b/d/a/y/b.java b/d/a/y/c.java b/d/a/y/g.java b/g/a/a/b.java b/g/a/a/c.java b/g/a/a/d.java b/g/a/a/f/c.java b/g/a/a/f/d.java b/g/a/a/f/g/a.java b/g/a/c/c.java b/h/a/t/k.java b/h/a/v/i.java b/h/a/v/j.java b/h/a/v/u/b.java b/h/a/v/v/c.java b/h/a/w/a.java b/h/b/a.java b/h/b/e.java b/h/b/k.java b/h/b/n.java b/h/b/r.java b/h/b/s.java b/h/b/u/c.java b/h/b/u/f.java b/h/b/u/j.java b/h/b/u/k.java b/h/b/u/l/a.java b/h/b/u/l/b.java b/h/b/u/l/c.java b/h/b/u/l/e.java b/h/b/u/l/f.java b/h/b/u/l/g.java b/h/b/u/l/h.java b/h/b/u/l/i.java b/h/b/u/l/j.java b/h/b/u/l/k.java b/h/b/u/l/l.java b/h/b/u/l/m.java b/h/b/u/l/n.java c/a/a/h/e/e.java com/boc/core/extension/ExtensionsKt.java com/boc/pdf/PDFView.java com/bocgins/wellness/activity/CameraActivity.java com/bocgins/wellness/activity/MainActivity.java com/bocgins/wellness/activity/PDFActivity.java com/bocgins/wellness/http/dynamic/cookie/store/SerializableHttpCookie.java com/bocgins/wellness/viewmodel/MainViewModel.java com/forms/dynamic/base/HttpList.java com/forms/dynamic/base/RootRsp.java com/forms/okhttplibrary/builder/PostFileBuilder.java com/forms/okhttplibrary/builder/PostMultipartBuilder.java com/forms/okhttplibrary/callback/BaseCallback.java com/forms/okhttplibrary/callback/DownloadFileCallback.java com/forms/okhttplibrary/callback/PostStringCallback.java com/forms/okhttplibrary/https/OkHttpsClient.java com/forms/okhttplibrary/https/TrustSSLSocketFactory.java com/forms/okhttplibrary/interceptor/LogInterceptor.java com/forms/okhttplibrary/util/HttpUtil.java com/forms/okhttplibrary/wrap/ProgressRequestBody.java com/forms/okhttplibrary/wrap/ProgressResponseBody.java com/shockwave/pdfium/PdfPasswordException.java com/shockwave/pdfium/PdfiumCore.java d/b/h.java d/b/k.java d/c/a.java d/d/a.java d/d/b.java dev/b3nedikt/restring/Restring.java dev/b3nedikt/restring/internal/RestringResources.java f/b.java f/b0.java f/c.java f/c0.java f/d0.java f/e.java f/f.java f/h0/c.java f/h0/d/b.java f/h0/e/a.java f/h0/e/b.java f/h0/e/d.java f/h0/f/a.java f/h0/f/b.java f/h0/h/a.java f/h0/h/b.java f/h0/h/c.java f/h0/h/d.java f/h0/h/e.java f/h0/i/a.java f/h0/i/b.java f/h0/i/d.java f/h0/i/e.java f/h0/i/g.java f/h0/i/j.java f/h0/i/k.java f/h0/j/b.java f/h0/k/b.java f/h0/k/d.java f/h0/k/e.java f/h0/k/f.java f/h0/k/g.java f/h0/k/h.java f/h0/k/i.java f/h0/k/j.java f/h0/l/b.java f/h0/m/b.java f/h0/m/h.java f/h0/m/i/a.java f/h0/n/a.java f/h0/p/a.java f/h0/p/c.java f/h0/p/e.java f/h0/p/f.java f/h0/p/h.java f/h0/p/i.java f/i0/b.java f/i0/c.java f/q.java f/r.java f/u.java f/w.java f/x.java g/a0.java g/c.java g/d0.java g/f0.java g/g0.java g/h0.java g/k.java g/k0.java g/l0.java g/m.java g/m0.java g/n.java g/n0.java g/o.java g/o0.java g/p.java g/q.java g/q0/a.java g/q0/c.java g/q0/d.java g/r.java g/s.java g/t.java g/u.java g/v.java g/w.java g/x.java g/y.java g/z.java h/a/m.java h/c/c/c/a.java h/c/c/d/b.java h/c/d/e.java h/c/d/g.java h/c/d/h.java h/c/d/k/a.java h/c/f/j.java h/c/g/e.java h/d/c/i/c.java j/c.java j/d.java j/h.java j/i.java j/l.java j/m.java j/n.java j/p.java j/q.java j/u.java j/w/a/b.java j/w/a/c.java k/l/d/b.java k/l/d/f.java k/l/d/g.java org/junit/experimental/max/MaxHistory.java org/junit/runner/Description.java org/junit/runner/Result.java org/junit/runner/notification/Failure.java org/koin/android/ext/koin/KoinExtKt.java rx/exceptions/CompositeException.java rx/internal/operators/NotificationLite.java rx/internal/util/FrontPadding.java
网络通信-> HTTP建立连接	b/d/a/s/g/g.java b/h/a/v/v/c.java
网络通信-> URLConnection	b/h/a/v/v/c.java
一般功能-> IPC通信	显示文件 a/a/a/a/a.java a/a/a/b/a.java b/b/a/e/a.java b/b/a/utils/e.java b/b/b/k/a.java b/c/a/utils/PickPhotoUtils.java b/d/a/t/e.java b/g/a/a/f/a.java b/h/a/h.java com/bocgins/wellness/action/MainAction.java com/bocgins/wellness/activity/CameraActivity.java com/bocgins/wellness/activity/MainActivity.java com/bocgins/wellness/activity/PDFActivity.java com/bocgins/wellness/activity/RedirectActivity.java com/bocgins/wellness/activity/StartActivity.java com/bocgins/wellness/viewmodel/StartViewModel.java com/forms/dynamic/permission/EasyPermissions.java f/t.java pub/devrel/easypermissions/AppSettingsDialog.java pub/devrel/easypermissions/AppSettingsDialogHolderActivity.java
网络通信-> SSL证书处理	显示文件 com/forms/okhttplibrary/https/OkHttpsClient.java com/forms/okhttplibrary/https/TrustSSLSocketFactory.java f/a.java f/h0/h/e.java f/h0/m/a.java f/h0/m/b.java f/h0/m/c.java f/h0/m/d.java f/h0/m/f.java f/h0/m/g.java f/h0/m/h.java f/h0/m/i/a.java f/h0/m/i/f.java f/h0/m/i/g.java f/h0/m/i/i.java f/h0/m/i/j.java f/h0/m/i/k.java f/h0/m/i/l.java f/z.java
网络通信-> TCP服务器套接字	f/h0/c.java
网络通信-> TCP套接字	显示文件 com/forms/okhttplibrary/https/TrustSSLSocketFactory.java f/a.java f/h0/c.java f/h0/d/b.java f/h0/h/c.java f/h0/h/d.java f/h0/h/e.java f/h0/h/g.java f/h0/i/j.java f/h0/k/d.java f/h0/k/g.java f/h0/m/b.java f/h0/m/h.java f/h0/n/a.java f/h0/p/e.java f/i.java f/z.java g/a0.java g/c.java g/l0.java g/z.java
网络通信-> WebView 相关	显示文件 b/b/a/e/a.java b/b/a/e/b/a.java com/bocgins/wellness/activity/MainActivity.java com/bocgins/wellness/activity/RedirectActivity.java
加密解密-> Base64 加密	显示文件 b/b/a/utils/h.java b/g/a/c/c.java b/h/a/v/p.java b/h/a/v/u/b.java
加密解密-> Base64 解密	b/b/a/utils/h.java b/g/a/c/c.java b/h/a/v/u/b.java
加密解密-> 信息摘要算法	显示文件 b/d/a/s/b.java b/d/a/s/h/f.java b/d/a/s/h/i.java b/d/a/s/h/m/l.java b/d/a/s/h/o/a.java b/d/a/s/j/j/f.java b/d/a/x/b.java b/d/a/x/c.java b/d/a/x/d.java b/h/a/v/u/b.java g/m.java g/v.java g/w.java
加密解密-> Crypto加解密组件	g/m.java g/v.java g/w.java
一般功能-> 获取系统服务(getSystemService)	显示文件 b/b/a/utils/BarUtils/NavigationUtils.java b/b/a/utils/e.java b/c/a/l/a.java b/d/a/s/h/m/k.java b/d/a/t/e.java b/d/a/w/i/h.java b/d/a/w/i/n.java b/g/a/a/f/a.java b/g/a/a/f/c.java b/g/a/a/f/d.java com/bocgins/wellness/activity/CameraActivity.java
组件-> 启动 Activity	显示文件 b/b/a/e/a.java b/b/a/utils/e.java b/b/b/k/a.java b/c/a/utils/PickPhotoUtils.java b/g/a/a/f/a.java com/bocgins/wellness/action/MainAction.java com/bocgins/wellness/activity/StartActivity.java com/bocgins/wellness/viewmodel/StartViewModel.java com/forms/dynamic/permission/EasyPermissions.java pub/devrel/easypermissions/AppSettingsDialog.java pub/devrel/easypermissions/AppSettingsDialogHolderActivity.java
网络通信-> WebView JavaScript接口	b/b/a/e/a.java b/b/a/e/b/b/b.java
网络通信-> WebView使用File协议	b/b/a/e/a.java
一般功能-> 获取活动网路信息	b/d/a/t/e.java b/g/a/a/f/c.java b/g/a/a/f/d.java
命令执行-> getRuntime.exec()	b/b/a/utils/BarUtils/RomUtils.java b/b/a/utils/d.java
进程操作-> 获取进程pid	b/b/a/utils/d.java
进程操作-> 杀死进程	d/d/b.java h/c/d/g.java h/c/g/e.java
一般功能-> 查询数据库(短信、联系人、通话记录、浏览器历史等)	b/c/a/utils/PickPhotoUtils.java
一般功能-> Android通知	b/d/a/w/i/h.java
一般功能-> 加载so文件	com/shockwave/pdfium/PdfiumCore.java

安全漏洞检测

高危

0

警告

5

信息

2

安全

1

屏蔽

0

序号	问题	等级	参考标准	文件位置	操作
1	应用程序记录日志信息,不得记录敏感信息	信息	CWE: CWE-532: 通过日志文件的信息暴露 OWASP MASVS: MSTG-STORAGE-3	升级会员：解锁高级权限	Suppress the rule android_logging in com.bocgins.wellness.app Suppress the rule android_logging in com.bocgins.wellness.app only from these files
2	应用程序使用不安全的随机数生成器	警告	CWE: CWE-330: 使用不充分的随机数 OWASP Top 10: M5: Insufficient Cryptography OWASP MASVS: MSTG-CRYPTO-6	升级会员：解锁高级权限	Suppress the rule android_insecure_random in com.bocgins.wellness.app Suppress the rule android_insecure_random in com.bocgins.wellness.app only from these files
3	SHA-1是已知存在哈希冲突的弱哈希	警告	CWE: CWE-327: 使用已被攻破或存在风险的密码学算法 OWASP Top 10: M5: Insufficient Cryptography OWASP MASVS: MSTG-CRYPTO-4	升级会员：解锁高级权限	Suppress the rule android_sha1 in com.bocgins.wellness.app Suppress the rule android_sha1 in com.bocgins.wellness.app only from these files
4	此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击	安全	OWASP MASVS: MSTG-NETWORK-4	升级会员：解锁高级权限	Suppress the rule android_ssl_pinning in com.bocgins.wellness.app Suppress the rule android_ssl_pinning in com.bocgins.wellness.app only from these files
5	可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息	警告	CWE: CWE-200: 信息泄露 OWASP Top 10: M1: Improper Platform Usage OWASP MASVS: MSTG-PLATFORM-7	升级会员：解锁高级权限	Suppress the rule android_webview_allow_file_from_url in com.bocgins.wellness.app Suppress the rule android_webview_allow_file_from_url in com.bocgins.wellness.app only from these files
6	应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据	警告	CWE: CWE-276: 默认权限不正确 OWASP Top 10: M2: Insecure Data Storage OWASP MASVS: MSTG-STORAGE-2	升级会员：解锁高级权限	Suppress the rule android_read_write_external in com.bocgins.wellness.app Suppress the rule android_read_write_external in com.bocgins.wellness.app only from these files
7	应用程序可以写入应用程序目录。敏感信息应加密	信息	CWE: CWE-276: 默认权限不正确 OWASP MASVS: MSTG-STORAGE-14	升级会员：解锁高级权限	Suppress the rule android_write_app_dir in com.bocgins.wellness.app Suppress the rule android_write_app_dir in com.bocgins.wellness.app only from these files
8	应用程序创建临时文件。敏感信息永远不应该被写进临时文件	警告	CWE: CWE-276: 默认权限不正确 OWASP Top 10: M2: Insecure Data Storage OWASP MASVS: MSTG-STORAGE-2	升级会员：解锁高级权限	Suppress the rule android_temp_file in com.bocgins.wellness.app Suppress the rule android_temp_file in com.bocgins.wellness.app only from these files

Native库安全分析

序号	动态库	NX(堆栈禁止执行)	PIE	STACK CANARY(栈保护)	RELRO	RPATH（指定SO搜索路径）	RUNPATH（指定SO搜索路径）	FORTIFY(常用函数加强检查)	SYMBOLS STRIPPED(裁剪符号表)
1	arm64-v8a/libc++_shared_pdf.so	True info 二进制文件设置了 NX 位。这标志着内存页面不可执行，使得攻击者注入的 shellcode 不可执行。		False high 这个二进制文件没有在栈上添加栈哨兵值。栈哨兵是用于检测和防止攻击者覆盖返回地址的一种技术。使用选项-fstack-protector-all来启用栈哨兵。这对于Dart/Flutter库不适用，除非使用了Dart FFI	Partial RELRO warning 此共享对象启用了部分 RELRO。 RELRO 确保 GOT 不会在易受攻击的 ELF 二进制文件中被覆盖。在部分 RELRO 中，GOT 部分的非 PLT 部分是只读的，但 .got.plt 仍然是可写的。使用选项 -z,relro,-z,now 启用完整的 RELRO。	None info 二进制文件没有设置运行时搜索路径或RPATH	None info 二进制文件没有设置 RUNPATH	False warning 二进制文件没有任何加固函数。加固函数提供了针对 glibc 的常见不安全函数（如 strcpy，gets 等）的缓冲区溢出检查。使用编译选项 -D_FORTIFY_SOURCE=2 来加固函数。这个检查对于 Dart/Flutter 库不适用	False warning 符号可用
2	arm64-v8a/libmodft2.so	True info 二进制文件设置了 NX 位。这标志着内存页面不可执行，使得攻击者注入的 shellcode 不可执行。		True info 这个二进制文件在栈上添加了一个栈哨兵值，以便它会被溢出返回地址的栈缓冲区覆盖。这样可以通过在函数返回之前验证栈哨兵的完整性来检测溢出	Full RELRO info 此共享对象已完全启用 RELRO。 RELRO 确保 GOT 不会在易受攻击的 ELF 二进制文件中被覆盖。在完整 RELRO 中，整个 GOT（.got 和 .got.plt 两者）被标记为只读。	None info 二进制文件没有设置运行时搜索路径或RPATH	None info 二进制文件没有设置 RUNPATH	True info 二进制文件有以下加固函数: ['__strcat_chk', '__strlen_chk', '__strrchr_chk']	False warning 符号可用

文件分析

序号	问题	文件

敏感权限分析

恶意软件常用权限 3/30

android.permission.CAMERA
android.permission.READ_PHONE_STATE
android.permission.WAKE_LOCK

其它常用权限 8/46

android.permission.INTERNET
android.permission.ACCESS_NETWORK_STATE
android.permission.READ_EXTERNAL_STORAGE
android.permission.WRITE_EXTERNAL_STORAGE
android.permission.READ_MEDIA_IMAGES
android.permission.ACTIVITY_RECOGNITION
com.google.android.finsky.permission.BIND_GET_INSTALL_REFERRER_SERVICE
com.google.android.gms.permission.AD_ID

恶意软件常用权限 是被已知恶意软件广泛滥用的权限。
其它常用权限 是已知恶意软件经常滥用的权限。

IP地理位置

恶意域名检测

域名	状态	中国境内	位置信息
www.bocgins.com	安全	是	IP地址: 47.75.234.230 国家: 中国地区: 香港城市: 香港查看: 高德地图
pagead2.googlesyndication.com	安全	是	IP地址: 180.163.150.33 国家: 中国地区: 上海城市: 上海查看: 高德地图
app-measurement.com	安全	是	IP地址: 180.163.150.33 国家: 中国地区: 上海城市: 上海查看: 高德地图
login.live.com	安全	否	IP地址: 13.107.42.14 国家: 新加坡地区: 新加坡城市: 新加坡查看: Google 地图
www.paypal.com	安全	是	IP地址: 192.229.232.89 国家: 中国地区: 香港城市: 香港查看: 高德地图
login.yahoo.com	安全	否	IP地址: 124.108.115.75 国家: 台湾省地区: 台北城市: 台北查看: Google 地图
twitter.com	安全	否	IP地址: 13.107.42.14 国家: 美利坚合众国地区: 加利福尼亚城市: 旧金山查看: Google 地图
google.com	安全	是	IP地址: 13.107.42.14 国家: 中国地区: 香港城市: 香港查看: 高德地图
goo.gl	安全	否	IP地址: 142.250.76.142 国家: 印度地区: 马哈拉施特拉邦城市: 孟买查看: Google 地图
www.linkedin.com	安全	否	IP地址: 13.107.42.14 国家: 美利坚合众国地区: 华盛顿城市: 雷德蒙查看: Google 地图

手机号提取

URL链接分析

URL信息	源码文件
https://www.bocgins.com	com/bocgins/wellness/viewmodel/StartViewModel.java
https://firebase.google.com/support/privacy/init-options	b/h/a/v/j.java
https://%s/%s/%s	b/h/a/v/v/c.java
https://www.bocgins.com/fileserver/upload https://www.bocgins.com https://www.bocgins.com/wellness/ https://www.bocgins.com/filestatic	b/c/a/f/a.java
https://www.bocgins.com	b/c/a/h/c.java
https://www.bocgins.com	b/c/a/b.java
https://plus.google.com/ https://%s/%s/%s https://goo.gl/naoooi https://www.bocgins.com/fileserver/upload https://www.linkedin.com https://www.facebook.com https://pagead2.googlesyndication.com/pagead/gen_204?id=gmob-apps www.google.com https://www.bocgins.com/wellness/ https://firebase.google.com/support/guides/disable-analytics https://accounts.google.com https://www.bocgins.com/filestatic https://firebase.google.com/support/privacy/init-options https://www.bocgins.com https://twitter.com https://login.live.com https://google.com/search? https://accounts.google.com/o/oauth2/revoke?token= https://www.paypal.com https://goo.gl/j1swqy https://login.yahoo.com https://www.google.com https://app-measurement.com/a	自研引擎-S

Firebase配置检测

邮箱地址提取

EMAIL	源码文件
this@abstracttypeconstructor.builtins this@createcapturedifneeded.type this@abstracttypeconstructor.paramete	自研引擎-S

第三方追踪器

名称	类别	网址
Google Firebase Analytics	Analytics	https://reports.exodus-privacy.eu.org/trackers/49

敏感凭证泄露

已显示 2 个secrets

1、 "STR_KEY" : "STR_FROM_RESOURCE_VALUE"
2、 258EAFA5-E914-47DA-95CA-C5AB0DC85B11

字符串信息

建议导出为TXT，方便查看。

活动列表

显示 8 个 activities

服务列表

显示 4 个 services

广播接收者列表

显示 1 个 receivers

1 . com.google.android.gms.measurement.AppMeasurementReceiver

内容提供者列表

显示 3 个 providers

第三方SDK

SDK名称	开发者	描述信息
Pdfium	Google	Pdfium Android binding.
Google Sign-In	Google	提供使用 Google 登录的 API。
Google Play Service	Google	借助 Google Play 服务，您的应用可以利用由 Google 提供的最新功能，例如地图，Google+ 等，并通过 Google Play 商店以 APK 的形式分发自动平台更新。这样一来，您的用户可以更快地接收更新，并且可以更轻松地集成 Google 必须提供的最新信息。
EasyPermissions	Google	EasyPermissions 是一个包装器库，用于简化针对 Android M 或更高版本的基本系统权限逻辑。
Jetpack Lifecycle	Google	生命周期感知型组件可执行操作来响应另一个组件（如 Activity 和 Fragment）的生命周期状态的变化。这些组件有助于您写出更有条理且往往更精简的代码，这样的代码更易于维护。
File Provider	Android	FileProvider 是 ContentProvider 的特殊子类，它通过创建 content://Uri 代替 file:///Uri 以促进安全分享与应用程序关联的文件。
Firebase	Google	Firebase 提供了分析、数据库、消息传递和崩溃报告等功能，可助您快速采取行动并专注于您的用户。
Firebase Analytics	Google	Google Analytics（分析）是一款免费的应用衡量解决方案，可提供关于应用使用情况和用户互动度的分析数据。

文件列表

污点分析

当apk较大时，代码量会很大，造成数据流图（ICFG）呈现爆炸式增长，所以该功能比较耗时，请先喝杯咖啡，耐心等待……

规则名称	描述信息	操作
病毒分析	使用安卓恶意软件常用的API进行污点分析	开始分析
漏洞挖掘	漏洞挖掘场景下的污点分析	开始分析
隐私合规	隐私合规场景下的污点分析：组件内污点传播、组件间污点传播、组件与库函数之间的污点传播	开始分析
密码分析	分析加密算法是否使用常量密钥、静态初始化的向量（IV）、加密模式是否使用ECB等	开始分析
Callback	因为Android中系统级的Callback并不会出现显式地进行回调方法的调用，所以如果需要分析Callback方法需要在声明文件中将其声明，这里提供一份AndroidCallbacks.txt文件，里面是一些常见的原生回调接口或类，如果有特殊接口需求，可以联系管理员	开始分析