视频嵌入 1.0.0版本 | 静态分析 _南明离火移动安全分析平台

安全声明：本平台专为移动应用安全风险研究与合规评估设计，严禁用于任何非法用途。如有疑问或建议，欢迎加入微信群交流。

应用图标

应用评分

文件基本信息

文件名称

视频嵌入_1.0.0.apk

文件大小

24.11MB

MD5

5c3cb5fb860b5f4a5adc637e125f34ca

SHA1

dea5016ad2a4d6e02872e52dc240efb2ded59232

SHA256

b67ce3f38be37bd4e395d68129ec485ec0bf39ecb30b63abe7996dc7d9c299d4

病毒检测

无法判定

应用基础信息

应用名称

视频嵌入

包名

com.example.fsjx.shipin.shipinchuli

主活动

com.example.fsjx.shipin.shipinchuli.MainActivity

目标SDK

33

最小SDK

21

版本号

1.0.0

子版本号

1

加固信息

Flutter/Dart 加固

组件导出状态统计

查看 Activity 组件

查看 Service 组件

查看 Receiver 组件

查看 Provider 组件

扫描与分析选项

重新扫描管理规则动态分析

反编译与源码导出

Manifest文件查看

APK文件成为会员，解锁下载

Java源代码查看 -- 下载

文件结构与资源列表

应用签名证书信息

二进制文件已签名
v1 签名: True
v2 签名: True
v3 签名: False
v4 签名: False
主题: CN=Android Debug, O=Android, C=US
签名算法: rsassa_pkcs1v15
有效期自: 2023-08-31 13:20:27+00:00
有效期至: 2053-08-23 13:20:27+00:00
发行人: CN=Android Debug, O=Android, C=US
序列号: 0x1
哈希算法: sha1
证书MD5: 59d3928c97822b7c041a51bbde528bce
证书SHA1: e23ee49cbff6e9ef53e576b87b4c0d3e843f1760
证书SHA256: 2e3163aacbf8d842dcc5ef6798822730d3a741f5aaad50ea77893ec4d0eec602
证书SHA512: fc3f928763448b0f3fba50f4e86dbccce32ee34eddce4e783ef6d18d211031273afcfb37ede9a6554cf91652caea53aa712bc1a7d5ef1ef6b8fbc13f771f9127
公钥算法: rsa
密钥长度: 2048
指纹: d40f2171fcce73af9193560a1c91c9452d4502b077bfc47617c25ad02cc409ba
找到 1 个唯一证书

权限声明与风险分级

权限名称	安全等级	权限内容	权限描述	关联代码
android.permission.INTERNET	危险	完全互联网访问	允许应用程序创建网络套接字。	显示文件 c3/u.java
android.permission.WRITE_EXTERNAL_STORAGE	危险	读取/修改/删除外部存储内容	允许应用程序写入外部存储。	显示文件 d0/v.java g0/c.java v/b.java y0/a.java
android.permission.READ_EXTERNAL_STORAGE	危险	读取SD卡内容	允许应用程序从SD卡读取信息。	显示文件 b1/d.java b1/e.java c3/h.java c3/k0.java d0/g.java n4/f.java v/b.java
android.permission.READ_MEDIA_IMAGES	危险	允许从外部存储读取图像文件	允许应用程序从外部存储读取图像文件。	显示文件 b1/e.java
android.permission.READ_MEDIA_VIDEO	危险	允许从外部存储读取视频文件	允许应用程序从外部存储读取视频文件。	显示文件 b1/e.java
android.permission.READ_PHONE_STATE	危险	读取手机状态和标识	允许应用程序访问设备的手机功能。有此权限的应用程序可确定此手机的号码和序列号，是否正在通话，以及对方的号码等。
android.permission.ACCESS_NETWORK_STATE	普通	获取网络状态	允许应用程序查看所有网络的状态。	显示文件 d3/r0.java d3/y.java g1/k4.java u/x.java

证书安全合规分析

高危

1

警告

1

信息

1

标题	严重程度	描述信息
已签名应用	信息	应用程序已使用代码签名证书进行签名
应用程序使用了调试证书进行签名	高危	应用程序使用了调试证书进行签名。生产环境的应用程序不能使用调试证书发布。

Manifest 配置安全分析

高危

0

警告

1

信息

0

屏蔽

0

序号	问题	严重程度	描述信息	操作
1	应用程序可以安装在有漏洞的已更新 Android 版本上 Android 5.0-5.0.2, [minSdk=21]	信息	该应用程序可以安装在具有多个未修复漏洞的旧版本 Android 上。这些设备不会从 Google 接收合理的安全更新。支持 Android 版本 => 10、API 29 以接收合理的安全更新。	对应用 com.example.fsjx.shipin.shipinchuli 屏蔽 vulnerable_os_version 规则
2	应用程序数据存在被泄露的风险未设置[android:allowBackup]标志	警告	这个标志 [android:allowBackup]应该设置为false。默认情况下它被设置为true，允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。	对应用 com.example.fsjx.shipin.shipinchuli 屏蔽 allowbackup_not_set 规则

可浏览 Activity 组件分析

ACTIVITY	INTENT

网络通信安全风险分析

序号	范围	严重级别	描述

API调用分析

API功能	源码文件
一般功能-> 文件操作	显示文件 a2/c.java b0/a.java b0/b.java b0/d.java b0/e.java b0/f.java b1/a.java b1/b.java b1/d.java b1/e.java b4/j.java c3/a0.java c3/c.java c3/c0.java c3/g0.java c3/h.java c3/h0.java c3/j0.java c3/k0.java c3/m.java c3/n.java c3/o.java c3/q0.java c3/u.java c3/x.java c3/y.java c3/z.java c4/l.java d0/a.java d0/b.java d0/c.java d0/d.java d0/e.java d0/f.java d0/g.java d0/l.java d0/t.java d0/u.java d0/v.java d0/w.java d0/y.java d0/z.java d3/g0.java d3/r0.java d4/m.java e0/a.java e0/b.java e0/c.java e0/d.java e0/g.java e1/a.java e4/c.java g0/b.java g0/c.java g0/h.java g0/j.java g0/m.java g0/n.java g0/o.java g0/p.java g0/s.java g0/u.java g1/m1.java g1/t.java g1/w2.java g1/x2.java g3/g.java g3/m.java g4/b.java g4/j.java g4/k.java g4/m.java h1/c.java h1/o1.java h1/r1.java h2/b.java h3/b0.java h3/d.java h3/e0.java h3/g.java h3/j.java h3/m0.java h3/n0.java h3/o.java h3/p.java h3/r.java h4/t.java h4/u.java h4/v.java i0/a.java i2/b.java i2/b0.java i2/c.java i2/f.java i2/h0.java i2/k0.java i2/o.java i4/c.java i4/h.java j0/a.java j0/b.java j3/e.java k0/d.java k0/j.java k1/g.java k1/o.java k1/r0.java k2/i.java l0/a.java l1/f.java l1/k.java l1/o.java l1/y.java l2/c.java m1/b.java m2/d.java n2/d.java n2/f.java n2/i.java n2/p.java n2/r.java n3/a.java n3/d.java n4/a.java n4/b.java n4/c.java n4/f.java o2/c.java o2/j.java o2/l.java q1/e.java q2/b.java q4/c.java s0/a.java s0/c.java s0/d.java s0/i.java s1/f.java u1/a.java v/b.java v/c.java v/d.java v1/h.java w4/b1.java x/d.java x/e.java x0/b.java x1/h0.java x3/r.java y/a.java y/c.java y/e.java y0/a.java y2/c.java z/c.java z/e.java z/g.java z/i.java z/q.java z/w.java z/z.java z0/b.java
加密解密-> 信息摘要算法	显示文件 b0/j.java d0/h.java f0/c.java g0/l.java g0/z.java k0/f.java r0/a.java r0/c.java r0/d.java x/f.java x/g.java x/h.java z/d.java z/n.java z/x.java
一般功能-> 获取系统服务(getSystemService)	显示文件 b0/i.java b3/m.java b3/z.java d3/r0.java d3/y.java e3/j.java e3/o.java f4/d.java g/f.java g1/f.java g1/j4.java g1/k4.java g1/y3.java h1/r1.java n3/d.java u/s.java u/x.java
加密解密-> Base64 解密	显示文件 c3/j.java c4/l.java d0/e.java l1/h0.java m2/d.java o2/j.java q2/b.java y2/d.java
组件-> 启动 Activity	c1/c.java u/a.java u/s.java
一般功能-> IPC通信	显示文件 b/a.java b/b.java b/c.java c1/c.java d3/b.java d3/y.java g1/b.java g1/d4.java g1/j.java g1/y3.java i1/h.java q3/b.java u/a.java u/s.java u/x.java x0/e.java x3/m.java x3/n.java
隐私数据-> 屏幕截图，截取自己应用内部界面	t2/b.java
调用java反射机制	显示文件 c3/t.java c3/u.java d3/b.java d3/r0.java g/f.java g1/b3.java g1/p.java i1/z.java k4/a.java k4/b.java l1/i.java l4/a.java m0/d.java m4/a.java r/b.java w4/w.java
一般功能-> 查询数据库(短信、联系人、通话记录、浏览器历史等)	x0/f.java
网络通信-> TCP套接字	c3/a0.java c3/q0.java h1/r1.java
加密解密-> Crypto加解密组件	n2/a.java
网络通信-> UDP数据包	c3/q0.java d3/g0.java
网络通信-> UDP数据报套接字	c3/q0.java d3/g0.java
一般功能-> 设置手机铃声，媒体音量	g1/y3.java
隐私数据-> 获取已安装的应用程序	u/x.java
网络通信-> 蓝牙连接	u/x.java
加密解密-> Base64 加密	c4/l.java h1/q1.java
一般功能-> 获取活动网路信息	d3/y.java
一般功能-> 查看\修改Android系统属性	d3/r0.java
网络通信-> HTTP建立连接	c3/u.java
一般功能-> 传感器相关操作	f3/d.java

安全漏洞检测

高危

1

警告

3

信息

1

安全

0

屏蔽

0

序号	问题	等级	参考标准	文件位置	操作
1	应用程序记录日志信息,不得记录敏感信息	信息	CWE: CWE-532: 通过日志文件的信息暴露 OWASP MASVS: MSTG-STORAGE-3	升级会员：解锁高级权限	对应用 com.example.fsjx.shipin.shipinchuli 屏蔽 android_logging 规则仅对这些文件屏蔽 android_logging 规则
2	应用程序使用不安全的随机数生成器	警告	CWE: CWE-330: 使用不充分的随机数 OWASP Top 10: M5: Insufficient Cryptography OWASP MASVS: MSTG-CRYPTO-6	升级会员：解锁高级权限	对应用 com.example.fsjx.shipin.shipinchuli 屏蔽 android_insecure_random 规则仅对这些文件屏蔽 android_insecure_random 规则
3	文件可能包含硬编码的敏感信息，如用户名、密码、密钥等	警告	CWE: CWE-312: 明文存储敏感信息 OWASP Top 10: M9: Reverse Engineering OWASP MASVS: MSTG-STORAGE-14	升级会员：解锁高级权限	对应用 com.example.fsjx.shipin.shipinchuli 屏蔽 android_hardcoded 规则仅对这些文件屏蔽 android_hardcoded 规则
4	应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。	高危	CWE: CWE-649: 依赖于混淆或加密安全相关输入而不进行完整性检查 OWASP Top 10: M5: Insufficient Cryptography OWASP MASVS: MSTG-CRYPTO-3	升级会员：解锁高级权限	对应用 com.example.fsjx.shipin.shipinchuli 屏蔽 cbc_padding_oracle 规则仅对这些文件屏蔽 cbc_padding_oracle 规则
5	应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据	警告	CWE: CWE-276: 默认权限不正确 OWASP Top 10: M2: Insecure Data Storage OWASP MASVS: MSTG-STORAGE-2	升级会员：解锁高级权限	对应用 com.example.fsjx.shipin.shipinchuli 屏蔽 android_read_write_external 规则仅对这些文件屏蔽 android_read_write_external 规则

Native库安全分析

序号	动态库	NX(堆栈禁止执行)	PIE	STACK CANARY(栈保护)	RELRO	RPATH（指定SO搜索路径）	RUNPATH（指定SO搜索路径）	FORTIFY(常用函数加强检查)	SYMBOLS STRIPPED(裁剪符号表)
1	arm64-v8a/libapp.so	True info 二进制文件设置了 NX 位。这标志着内存页面不可执行，使得攻击者注入的 shellcode 不可执行。		True info 这个二进制文件在栈上添加了一个栈哨兵值，以便它会被溢出返回地址的栈缓冲区覆盖。这样可以通过在函数返回之前验证栈哨兵的完整性来检测溢出	Not Applicable info RELRO 检查不适用于 Flutter/Dart 二进制文件	None info 二进制文件没有设置运行时搜索路径或RPATH	None info 二进制文件没有设置 RUNPATH	False info 二进制文件没有任何加固函数。加固函数提供了针对 glibc 的常见不安全函数（如 strcpy，gets 等）的缓冲区溢出检查。使用编译选项 -D_FORTIFY_SOURCE=2 来加固函数。这个检查对于 Dart/Flutter 库不适用	False warning 符号可用

文件分析

序号	问题	文件

敏感权限分析

恶意软件常用权限 1/30

android.permission.READ_PHONE_STATE

其它常用权限 6/46

android.permission.INTERNET
android.permission.WRITE_EXTERNAL_STORAGE
android.permission.READ_EXTERNAL_STORAGE
android.permission.READ_MEDIA_IMAGES
android.permission.READ_MEDIA_VIDEO
android.permission.ACCESS_NETWORK_STATE

恶意软件常用权限 是被已知恶意软件广泛滥用的权限。
其它常用权限 是已知恶意软件经常滥用的权限。

IP地理位置

恶意域名检测

域名	状态	中国境内	位置信息
default.url	安全	否	没有可用的地理位置信息。
dashif.org	安全	是	IP地址: 61.160.148.90 国家: 中国地区: 江苏城市: 台州查看: 高德地图
aomedia.org	安全	否	IP地址: 185.199.109.153 国家: 美利坚合众国地区: 宾夕法尼亚城市: 加利福尼亚查看: Google 地图

手机号提取

URL链接分析

URL信息	源码文件
https://aomedia.org/emsg/id3 https://developer.apple.com/streaming/emsg-id3	a2/a.java
https://default.url	k1/n0.java
data:cs:audiopurposecs:2007 http://dashif.org/guidelines/thumbnail_tile http://dashif.org/thumbnail_tile http://dashif.org/guidelines/trickmode http://dashif.org/guidelines/last-segment-number file:dvb-dash:	m2/d.java
https://aomedia.org/emsg/id3 data:cs:audiopurposecs:2007 http://dashif.org/guidelines/thumbnail_tile https://default.url http://dashif.org/thumbnail_tile http://dashif.org/guidelines/last-segment-number http://dashif.org/guidelines/trickmode https://developer.apple.com/streaming/emsg-id3 file:dvb-dash:	自研引擎-S

Firebase配置检测

邮箱地址提取

第三方追踪器

名称	类别	网址

敏感凭证泄露

已显示 5 个secrets

1、 edef8ba9-79d6-4ace-a3c8-27dcd51d21ed
2、 VGhpcyBpcyB0aGUgcHJlZml4IGZvciBCaWdJbnRlZ2Vy
3、 e2719d58-a985-b3c9-781a-b030af78d30e
4、 9a04f079-9840-4286-ab92-e65be0885f95
5、 16a09e667f3bcc908b2fb1366ea957d3e3adec17512775099da2f590b0667322a

字符串信息

建议导出为TXT，方便查看。

活动列表

显示 1 个 activities

1 . com.example.fsjx.shipin.shipinchuli.MainActivity

服务列表

广播接收者列表

内容提供者列表

第三方SDK

SDK名称	开发者	描述信息
Flutter	Google	Flutter 是谷歌的移动 UI 框架，可以快速在 iOS 和 Android 上构建高质量的原生用户界面。

污点分析

当apk较大时，代码量会很大，造成数据流图（ICFG）呈现爆炸式增长，所以该功能比较耗时，请先喝杯咖啡，耐心等待……

规则名称	描述信息	操作
病毒分析	使用安卓恶意软件常用的API进行污点分析	开始分析
漏洞挖掘	漏洞挖掘场景下的污点分析	开始分析
隐私合规	隐私合规场景下的污点分析：组件内污点传播、组件间污点传播、组件与库函数之间的污点传播	开始分析
密码分析	分析加密算法是否使用常量密钥、静态初始化的向量（IV）、加密模式是否使用ECB等	开始分析
Callback	因为Android中系统级的Callback并不会出现显式地进行回调方法的调用，所以如果需要分析Callback方法需要在声明文件中将其声明，这里提供一份AndroidCallbacks.txt文件，里面是一些常见的原生回调接口或类，如果有特殊接口需求，可以联系管理员	开始分析