页面标题
本平台专为移动应用安全风险研究与合规评估设计,严禁用于任何非法用途。 如有疑问或建议,欢迎加入微信群交流。
应用基础信息
文件基本信息
应用基础信息
Google Play 应用市场信息
关于此应用
组件导出状态统计
文件结构与资源列表
应用签名证书信息
APK已签名
v1 签名: False
v2 签名: True
v3 签名: True
v4 签名: False
主题: C=jp, ST=tokyo, L=minatoku, O=PLUSR, OU=PLUSR, CN=RyutaTaniguchi
签名算法: rsassa_pkcs1v15
有效期自: 2012-06-15 08:55:00+00:00
有效期至: 2039-11-01 08:55:00+00:00
发行人: C=jp, ST=tokyo, L=minatoku, O=PLUSR, OU=PLUSR, CN=RyutaTaniguchi
序列号: 0x6fbc6110
哈希算法: sha256
证书MD5: a6e53e3b65c8984798cc82503d790373
证书SHA1: 762a757e3b632c05a9c76e436ef17ebf562440b6
证书SHA256: 3771e8d27ccc144708b2f46e3189bbdb42dc52f0857aba6692a08b934d260a4c
证书SHA512: 49babcb22861f001d009d9a8cd64e19b494e04349596bd1c83b443856f24ae67a48d3d3eda3ed0d9139e72ede4c232c2e012abc8ca437a239366a0b07f7dbe60
公钥算法: rsa
密钥长度: 2048
指纹: 66a7bed18f21472d16cf581e44a7e1193f788c0bcbe1b9265b3fef316d96adf2
共检测到 1 个唯一证书
证书安全分析
0
0
1
| 标题 | 严重程度 | 描述信息 |
|---|---|---|
| 已签名应用 | 信息 | 应用已使用代码签名证书进行签名。 |
权限声明与风险分级
| 权限名称 | 安全等级 | 权限内容 | 权限描述 | 关联代码 |
|---|---|---|---|---|
| android.permission.INTERNET | 完全互联网访问 | 允许应用程序创建网络套接字。 |
|
|
| android.permission.ACCESS_NETWORK_STATE | 获取网络状态 | 允许应用程序查看所有网络的状态。 | ||
| android.permission.RECEIVE_BOOT_COMPLETED | 开机自启 | 允许应用程序在系统完成启动后即自行启动。这样会延长手机的启动时间,而且如果应用程序一直运行,会降低手机的整体速度。 |
|
|
| android.permission.WRITE_EXTERNAL_STORAGE | 读取/修改/删除外部存储内容 | 允许应用程序写入外部存储。 | ||
| android.permission.VIBRATE | 控制振动器 | 允许应用程序控制振动器,用于消息通知振动功能。 | ||
| android.permission.POST_NOTIFICATIONS | 发送通知的运行时权限 | 允许应用发布通知,Android 13 引入的新权限。 | ||
| android.permission.WAKE_LOCK | 防止手机休眠 | 允许应用程序防止手机休眠,在手机屏幕关闭后后台进程仍然运行。 | ||
| com.google.android.c2dm.permission.RECEIVE | 接收推送通知 | 允许应用程序接收来自云的推送通知。 | ||
| com.google.android.finsky.permission.BIND_GET_INSTALL_REFERRER_SERVICE | Google 定义的权限 | 由 Google 定义的自定义权限。 | ||
| com.google.android.gms.permission.AD_ID | 应用程序显示广告 | 此应用程序使用 Google 广告 ID,并且可能会投放广告。 | 无 | |
| android.permission.ACCESS_ADSERVICES_ATTRIBUTION | 允许应用程序访问广告服务归因 | 这使应用能够检索与广告归因相关的信息,这些信息可用于有针对性的广告目的。应用程序可以收集有关用户如何与广告互动的数据,例如点击或展示,以衡量广告活动的有效性。 | 无 | |
| android.permission.ACCESS_ADSERVICES_AD_ID | 允许应用访问设备的广告 ID。 | 此 ID 是 Google 广告服务提供的唯一、用户可重置的标识符,允许应用出于广告目的跟踪用户行为,同时维护用户隐私。 | 无 | |
| android.permission.FOREGROUND_SERVICE | 创建前台Service | Android 9.0以上允许常规应用程序使用 Service.startForeground,用于podcast播放(推送悬浮播放,锁屏播放) | ||
| jp.co.plusr.android.stepbabyfood.DYNAMIC_RECEIVER_NOT_EXPORTED_PERMISSION | 未知权限 | 来自 android 引用的未知权限。 | 无 | |
| android.permission.REORDER_TASKS | 对正在运行的应用程序重新排序 | 允许应用程序将任务移至前端和后台。恶意应用程序可借此强行进入前端,而不受您的控制。 | 无 | |
| com.google.android.providers.gsf.permission.READ_GSERVICES | 未知权限 | 来自 android 引用的未知权限。 | 无 |
Manifest 配置安全分析
1
13
0
0
| 序号 | 问题 | 严重程度 | 描述信息 | 操作 |
|---|---|---|---|---|
| 1 |
应用已启用明文网络流量 [android:usesCleartextTraffic=true] |
警告 | 应用允许明文网络流量(如 HTTP、FTP 协议、DownloadManager、MediaPlayer 等)。API 级别 27 及以下默认启用,28 及以上默认禁用。明文流量缺乏机密性、完整性和真实性保护,攻击者可窃听或篡改传输数据。建议关闭明文流量,仅使用加密协议。 | |
| 2 |
应用数据允许备份 [android:allowBackup=true] |
警告 | 该标志允许通过 adb 工具备份应用数据。启用 USB 调试的用户可直接复制应用数据,存在数据泄露风险。 | |
| 3 |
App 链接 assetlinks.json 文件未找到 [android:name=jp.co.plusr.android.stepbabyfood.activities.SplashActivity] [android:host=https://corp.karadanote.jp] |
高危 | App Link 资产验证 URL(https://corp.karadanote.jp/.well-known/assetlinks.json)未找到或配置不正确。(状态码:None)。应用程序链接允许用户通过 Web URL 或电子邮件直接跳转到移动应用。如果 assetlinks.json 文件缺失或主机/域配置错误,恶意应用可劫持此类 URL,导致网络钓鱼攻击,泄露 URI 中的敏感信息(如 PII、OAuth 令牌、魔术链接/重置令牌等)。请务必通过托管 assetlinks.json 文件并在 Activity 的 intent-filter 中设置 [android:autoVerify="true"] 来完成 App Link 域名验证。 | |
| 4 |
Activity (com.facebook.CustomTabActivity) 未受保护。 [android:exported=true] |
警告 | 检测到 Activity 已导出,未受任何权限保护,任意应用均可访问。 | |
| 5 |
Broadcast Receiver (com.google.firebase.iid.FirebaseInstanceIdReceiver) 受权限保护,但应检查权限保护级别。 Permission: com.google.android.c2dm.permission.SEND [android:exported=true] |
警告 | 检测到 Broadcast Receiver 已导出并受未在本应用定义的权限保护。请在权限定义处核查其保护级别。若为 normal 或 dangerous,恶意应用可申请并与组件交互;若为 signature,仅同证书签名应用可访问。 | |
| 6 |
Activity (com.google.firebase.auth.internal.GenericIdpActivity) 未受保护。 [android:exported=true] |
警告 | 检测到 Activity 已导出,未受任何权限保护,任意应用均可访问。 | |
| 7 |
Activity (com.google.firebase.auth.internal.RecaptchaActivity) 未受保护。 [android:exported=true] |
警告 | 检测到 Activity 已导出,未受任何权限保护,任意应用均可访问。 | |
| 8 |
Service (com.google.android.gms.auth.api.signin.RevocationBoundService) 受权限保护,但应检查权限保护级别。 Permission: com.google.android.gms.auth.api.signin.permission.REVOCATION_NOTIFICATION [android:exported=true] |
警告 | 检测到 Service 已导出并受未在本应用定义的权限保护。请在权限定义处核查其保护级别。若为 normal 或 dangerous,恶意应用可申请并与组件交互;若为 signature,仅同证书签名应用可访问。 | |
| 9 |
Service (androidx.work.impl.background.systemjob.SystemJobService) 受权限保护,但应检查权限保护级别。 Permission: android.permission.BIND_JOB_SERVICE [android:exported=true] |
警告 | 检测到 Service 已导出并受未在本应用定义的权限保护。请在权限定义处核查其保护级别。若为 normal 或 dangerous,恶意应用可申请并与组件交互;若为 signature,仅同证书签名应用可访问。 | |
| 10 |
Broadcast Receiver (androidx.work.impl.diagnostics.DiagnosticsReceiver) 受权限保护,但应检查权限保护级别。 Permission: android.permission.DUMP [android:exported=true] |
警告 | 检测到 Broadcast Receiver 已导出并受未在本应用定义的权限保护。请在权限定义处核查其保护级别。若为 normal 或 dangerous,恶意应用可申请并与组件交互;若为 signature,仅同证书签名应用可访问。 | |
| 11 |
Activity (androidx.test.core.app.InstrumentationActivityInvoker$BootstrapActivity) 未受保护。 [android:exported=true] |
警告 | 检测到 Activity 已导出,未受任何权限保护,任意应用均可访问。 | |
| 12 |
Activity (androidx.test.core.app.InstrumentationActivityInvoker$EmptyActivity) 未受保护。 [android:exported=true] |
警告 | 检测到 Activity 已导出,未受任何权限保护,任意应用均可访问。 | |
| 13 |
Activity (androidx.test.core.app.InstrumentationActivityInvoker$EmptyFloatingActivity) 未受保护。 [android:exported=true] |
警告 | 检测到 Activity 已导出,未受任何权限保护,任意应用均可访问。 | |
| 14 |
Broadcast Receiver (androidx.profileinstaller.ProfileInstallReceiver) 受权限保护,但应检查权限保护级别。 Permission: android.permission.DUMP [android:exported=true] |
警告 | 检测到 Broadcast Receiver 已导出并受未在本应用定义的权限保护。请在权限定义处核查其保护级别。若为 normal 或 dangerous,恶意应用可申请并与组件交互;若为 signature,仅同证书签名应用可访问。 |
可浏览 Activity 组件分析
| ACTIVITY | INTENT |
|---|---|
| jp.co.plusr.android.stepbabyfood.activities.SplashActivity |
Schemes:
jp.co.plusr.stepbabyfood://,
https://,
Hosts: request, corp.karadanote.jp, stepbabyfood.page.link, stepstaging.page.link, karadanote-step.onelink.me, karadanote-step-staging.onelink.me, |
| com.facebook.CustomTabActivity |
Schemes:
fbconnect://,
Hosts: cct.jp.co.plusr.android.stepbabyfood, |
| com.google.firebase.auth.internal.GenericIdpActivity |
Schemes:
genericidp://,
Hosts: firebase.auth, Paths: /, |
| com.google.firebase.auth.internal.RecaptchaActivity |
Schemes:
recaptcha://,
Hosts: firebase.auth, Paths: /, |
网络通信安全风险分析
| 序号 | 范围 | 严重级别 | 描述 |
|---|
API调用分析
安全漏洞检测
2
7
2
1
0
| 序号 | 问题 | 等级 | 参考标准 | 文件位置 | 操作 |
|---|---|---|---|---|---|
| 1 | 文件可能包含硬编码的敏感信息,如用户名、密码、密钥等 | 警告 |
CWE: CWE-312: 明文存储敏感信息
OWASP Top 10: M9: Reverse Engineering OWASP MASVS: MSTG-STORAGE-14 |
升级会员:解锁高级权限 | |
| 2 | 应用程序记录日志信息,不得记录敏感信息 | 信息 |
CWE: CWE-532: 通过日志文件的信息暴露
OWASP MASVS: MSTG-STORAGE-3 |
升级会员:解锁高级权限 | |
| 3 | 应用程序可以读取/写入外部存储器,任何应用程序都可以读取写入外部存储器的数据 | 警告 |
CWE: CWE-276: 默认权限不正确
OWASP Top 10: M2: Insecure Data Storage OWASP MASVS: MSTG-STORAGE-2 |
升级会员:解锁高级权限 | |
| 4 | 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击 | 安全 |
OWASP MASVS: MSTG-NETWORK-4 |
升级会员:解锁高级权限 | |
| 5 | 应用程序使用不安全的随机数生成器 | 警告 |
CWE: CWE-330: 使用不充分的随机数
OWASP Top 10: M5: Insufficient Cryptography OWASP MASVS: MSTG-CRYPTO-6 |
升级会员:解锁高级权限 | |
| 6 | 应用程序创建临时文件。敏感信息永远不应该被写进临时文件 | 警告 |
CWE: CWE-276: 默认权限不正确
OWASP Top 10: M2: Insecure Data Storage OWASP MASVS: MSTG-STORAGE-2 |
升级会员:解锁高级权限 | |
| 7 | 该文件是World Readable。任何应用程序都可以读取文件 | 高危 |
CWE: CWE-276: 默认权限不正确
OWASP Top 10: M2: Insecure Data Storage OWASP MASVS: MSTG-STORAGE-2 |
升级会员:解锁高级权限 | |
| 8 | IP地址泄露 | 警告 |
CWE: CWE-200: 信息泄露
OWASP MASVS: MSTG-CODE-2 |
升级会员:解锁高级权限 | |
| 9 | 此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板,因为其他应用程序可以访问它 | 信息 |
OWASP MASVS: MSTG-STORAGE-10 |
升级会员:解锁高级权限 | |
| 10 | 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 | 警告 |
CWE: CWE-89: SQL命令中使用的特殊元素转义处理不恰当('SQL 注入')
OWASP Top 10: M7: Client Code Quality |
升级会员:解锁高级权限 | |
| 11 | 不安全的Web视图实现。可能存在WebView任意代码执行漏洞 | 警告 |
CWE: CWE-749: 暴露危险方法或函数
OWASP Top 10: M1: Improper Platform Usage OWASP MASVS: MSTG-PLATFORM-7 |
升级会员:解锁高级权限 | |
| 12 | 如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView,那么这个应用程序可能会遭受跨站脚本攻击 | 高危 |
CWE: CWE-79: 在Web页面生成时对输入的转义处理不恰当('跨站脚本')
OWASP Top 10: M1: Improper Platform Usage OWASP MASVS: MSTG-PLATFORM-6 |
升级会员:解锁高级权限 |
Native库安全分析
| 序号 | 动态库 | NX(堆栈禁止执行) | PIE | STACK CANARY(栈保护) | RELRO | RPATH(指定SO搜索路径) | RUNPATH(指定SO搜索路径) | FORTIFY(常用函数加强检查) | SYMBOLS STRIPPED(裁剪符号表) |
|---|
文件分析
| 序号 | 问题 | 文件 |
|---|
行为分析
| 编号 | 行为 | 标签 | 文件 |
|---|---|---|---|
| 00109 | 连接到 URL 并获取响应代码 |
网络 命令 |
升级会员:解锁高级权限 |
| 00096 | 连接到 URL 并设置请求方法 |
命令 网络 |
升级会员:解锁高级权限 |
| 00022 | 从给定的文件绝对路径打开文件 |
文件 |
升级会员:解锁高级权限 |
| 00013 | 读取文件并将其放入流中 |
文件 |
升级会员:解锁高级权限 |
| 00036 | 从 res/raw 目录获取资源文件 |
反射 |
升级会员:解锁高级权限 |
| 00162 | 创建 InetSocketAddress 对象并连接到它 |
socket |
升级会员:解锁高级权限 |
| 00163 | 创建新的 Socket 并连接到它 |
socket |
升级会员:解锁高级权限 |
| 00030 | 通过给定的 URL 连接到远程服务器 |
网络 |
升级会员:解锁高级权限 |
| 00014 | 将文件读入流并将其放入 JSON 对象中 |
文件 |
升级会员:解锁高级权限 |
| 00005 | 获取文件的绝对路径并将其放入 JSON 对象 |
文件 |
升级会员:解锁高级权限 |
| 00123 | 连接到远程服务器后将响应保存为 JSON |
网络 命令 |
升级会员:解锁高级权限 |
| 00089 | 连接到 URL 并接收来自服务器的输入流 |
命令 网络 |
升级会员:解锁高级权限 |
| 00023 | 从当前应用程序启动另一个应用程序 |
反射 控制 |
升级会员:解锁高级权限 |
| 00063 | 隐式意图(查看网页、拨打电话等) |
控制 |
升级会员:解锁高级权限 |
| 00051 | 通过setData隐式意图(查看网页、拨打电话等) |
控制 |
升级会员:解锁高级权限 |
| 00091 | 从广播中检索数据 |
信息收集 |
升级会员:解锁高级权限 |
| 00094 | 连接到 URL 并从中读取数据 |
命令 网络 |
升级会员:解锁高级权限 |
| 00108 | 从给定的 URL 读取输入流 |
网络 命令 |
升级会员:解锁高级权限 |
| 00192 | 获取短信收件箱中的消息 |
短信 |
升级会员:解锁高级权限 |
| 00078 | 获取网络运营商名称 |
信息收集 电话服务 |
升级会员:解锁高级权限 |
IP地理位置
恶意域名检测
| 域名 | 状态 | 中国境内 | 位置信息 | 解析 |
|---|---|---|---|---|
| sadrevenue.s |
安全 |
否 | 没有可用的地理位置信息。 |
|
| sregister.s |
安全 |
否 | 没有可用的地理位置信息。 |
|
| sinapps.s |
安全 |
否 | 没有可用的地理位置信息。 |
|
| scdn-stestsettings.s |
安全 |
否 | 没有可用的地理位置信息。 |
|
| sattr.s |
安全 |
否 | 没有可用的地理位置信息。 |
|
| scdn-ssettings.s |
安全 |
否 | 没有可用的地理位置信息。 |
|
| test.healthyway.jp |
安全 |
否 |
IP地址: 18.65.25.120 国家: 美国 地区: 加利福尼亚 城市: 洛杉矶 查看: Google 地图 |
|
| sconversions.s |
安全 |
否 | 没有可用的地理位置信息。 |
|
| sars.s |
安全 |
否 | 没有可用的地理位置信息。 |
|
| sdlsdk.s |
安全 |
否 | 没有可用的地理位置信息。 |
|
| sapp.s |
安全 |
否 | 没有可用的地理位置信息。 |
|
| faq.mamab.jp |
安全 |
否 |
IP地址: 3.167.192.117 国家: 美国 地区: 加利福尼亚 城市: 洛杉矶 查看: Google 地图 |
|
| svalidate.s |
安全 |
否 | 没有可用的地理位置信息。 |
|
| static.realm.io |
安全 |
否 |
IP地址: 3.168.147.19 国家: 美国 地区: 加利福尼亚 城市: 洛杉矶 查看: Google 地图 |
|
| step-5d2b3.firebaseio.com |
安全 |
否 |
IP地址: 35.190.39.113 国家: 美国 地区: 密苏里州 城市: 堪萨斯城 查看: Google 地图 |
|
| sgcdsdk.s |
安全 |
否 | 没有可用的地理位置信息。 |
|
| simpression.s |
安全 |
否 | 没有可用的地理位置信息。 |
|
| sonelink.s |
安全 |
否 | 没有可用的地理位置信息。 |
|
| ssdk-services.s |
安全 |
否 | 没有可用的地理位置信息。 |
|
| api.mixpanel.com |
安全 |
否 |
IP地址: 130.211.34.183 国家: 美国 地区: 密苏里州 城市: 堪萨斯城 查看: Google 地图 |
|
| slaunches.s |
安全 |
否 | 没有可用的地理位置信息。 |
|
| corp.karadanote.jp |
安全 |
是 |
IP地址: 221.228.32.13 国家: 中国 地区: 江苏 城市: 无锡 查看: 高德地图 |
|
| healthyway.jp |
安全 |
否 |
IP地址: 13.226.225.74 国家: 美国 地区: 加利福尼亚 城市: 洛杉矶 查看: Google 地图 |
|
| test.mamab.jp |
安全 |
否 |
IP地址: 13.226.225.91 国家: 美国 地区: 加利福尼亚 城市: 洛杉矶 查看: Google 地图 |
|
| media.karadanote.jp |
安全 |
是 |
IP地址: 221.228.32.13 国家: 中国 地区: 江苏 城市: 无锡 查看: 高德地图 |
|
| vaccinenote.page.link |
安全 |
否 |
IP地址: 142.250.176.1 国家: 美国 地区: 加利福尼亚 城市: 山景城 查看: Google 地图 |
|
| smonitorsdk.s |
安全 |
否 | 没有可用的地理位置信息。 |
|
| sviap.s |
安全 |
否 | 没有可用的地理位置信息。 |
|
| mamab.jp |
安全 |
否 |
IP地址: 216.137.39.123 国家: 美国 地区: 加利福尼亚 城市: 洛杉矶 查看: Google 地图 |
|
| us-central1-step-5d2b3.cloudfunctions.net |
安全 |
否 |
IP地址: 216.239.36.54 国家: 美国 地区: 加利福尼亚 城市: 山景城 查看: Google 地图 |
|
手机号提取
URL链接分析
| URL信息 | 源码文件 |
|---|---|
|
https://mamab.jp/uploads/app_ads/step/support_9_11months_qa.html https://mamab.jp/uploads/app_ads/step/support_goods.html https://mamab.jp/uploads/app_ads/step/support_eating.html https://mamab.jp/uploads/app_ads/step/support_frozen.html https://mamab.jp/uploads/app_ads/step/support_5months_tooth.html https://mamab.jp/uploads/app_ads/step/support_5_6months_late_qa.html https://mamab.jp/uploads/app_ads/step/support_allergy.html https://mamab.jp/uploads/app_ads/step/support_7_8months_qa.html https://mamab.jp/uploads/app_ads/step/support_eating_out_menu.html https://mamab.jp/uploads/app_ads/step/support_9months_tooth.html https://mamab.jp/uploads/app_ads/step/support_nutrients.html https://mamab.jp/uploads/app_ads/step/support_advance.html https://mamab.jp/uploads/app_ads/step/babyfood_detailcontents.html https://mamab.jp/uploads/app_ads/step/support_5_6months_advance.html https://mamab.jp/uploads/app_ads/step/support_7_8months_advance.html https://mamab.jp/uploads/app_ads/step/support_5_6months_previous_qa.html https://mamab.jp/uploads/app_ads/step/support_compensate.html https://mamab.jp/uploads/app_ads/step/support_attention_food.html https://mamab.jp/uploads/app_ads/step/support_start.html https://mamab.jp/uploads/app_ads/step/support_9_11months_advance.html |
jp/co/plusr/android/stepbabyfood/models/ScreenLinkType.java |
|
https://us-central1-step-5d2b3.cloudfunctions.net/sendpush |
jp/co/plusr/android/stepbabyfood/lib/KNInitTask.java |
|
https://%sars.%s/api/v2/android/validate_subscription?app_id= https://%sars.%s/api/v2/android/validate_subscription_v2?app_id= https://%smonitorsdk.%s/remote-debug?app_id= https://%sviap.%s/api/v1/android/validate_purchase_v2?app_id= https://%sonelink.%s/shortlink-sdk/v2 https://%sviap.%s/api/v1/android/validate_purchase?app_id= https://%sgcdsdk.%s/install_data/v5.0/ |
com/appsflyer/internal/AFd1cSDK.java |
|
https://vaccinenote.page.link/rvbu https://play.google.com/store/apps/details?id= |
jp/co/plusr/android/stepbabyfood/fragments/NavigationSettingFragment.java |
|
https://test.mamab.jp |
jp/co/plusr/android/stepbabyfood/lib/KNConst.java |
|
https://%sdlsdk.%s/v1.0/android/ |
com/appsflyer/internal/AFc1oSDK.java |
|
https://%smonitorsdk.%s/remote-debug/exception-manager |
com/appsflyer/internal/AFd1gSDK.java |
|
https://media.karadanote.jp/app_market?name=sleep_baby https://media.karadanote.jp/app_market?name=tsuuin_note https://media.karadanote.jp/app_market?name=ninshin https://media.karadanote.jp/app_market?name=sleep https://media.karadanote.jp/app_market?name=jintsu https://media.karadanote.jp/app_market?name=okusuri https://media.karadanote.jp/app_market?name=lovebaby https://media.karadanote.jp/app_market?name=ketsuatsu https://media.karadanote.jp/app_market?name=step_rinyushoku https://media.karadanote.jp/app_market?name=jyunyuhnote |
jp/co/plusr/android/stepbabyfood/views/PRWebView.java |
|
https://mamab.jp/mama_campaign/top?utm_source=step&utm_medium=limitation_default https://plusr:test@test.mamab.jp/mama_campaign/top?utm_source=step&utm_medium=limitation_default |
jp/co/plusr/android/stepbabyfood/views/LimitationWithImageView.java |
|
https://github.com/airbnb/epoxy/wiki/avoiding-memory-leaks |
com/airbnb/epoxy/EpoxyController.java |
|
https://mamab.jp/ikuji/shokuji?age= |
jp/co/plusr/android/stepbabyfood/core/AnalyticsTag.java |
|
https://mamab.jp/mama_campaign/top?utm_source=step&utm_medium=guide_local&utm_content=najimase_default https://mamab.jp/mama_campaign/top?utm_source=step&utm_medium=guide_family_local |
jp/co/plusr/android/stepbabyfood/viewmodel/FirstAdViewModel.java |
|
https://mamab.jp/uploads/app_ads/step/support_9months_tooth.html https://mamab.jp/uploads/app_ads/step/support_nutrients.html https://mamab.jp/uploads/app_ads/step/support_eating_out_menu.html https://mamab.jp/uploads/app_ads/step/support_advance.html https://mamab.jp/uploads/app_ads/step/support_goods.html https://mamab.jp/uploads/app_ads/step/support_eating.html https://mamab.jp/uploads/app_ads/step/support_frozen.html https://mamab.jp/uploads/app_ads/step/support_5_6months_advance.html https://mamab.jp/uploads/app_ads/step/support_compensate.html https://mamab.jp/uploads/app_ads/step/support_7_8months_advance.html https://mamab.jp/uploads/app_ads/step/support_start.html https://mamab.jp/uploads/app_ads/step/support_5months_tooth.html https://mamab.jp/uploads/app_ads/step/support_9_11months_advance.html |
jp/co/plusr/android/stepbabyfood/controller/NavigationSupportController.java |
|
https://mamab.jp/uploads/app_ads/step/babyfood_guide.html |
jp/co/plusr/android/stepbabyfood/fragments/MarkDescriptionWebViewFragment.java |
|
https://%scdn-%stestsettings.%s/android/v1/%s/settings https://%scdn-%ssettings.%s/android/v1/%s/settings |
com/appsflyer/internal/AFe1sSDK.java |
|
https://mamab.jp/mama_campaign/top?utm_source=step&utm_medium=guide_family |
jp/co/plusr/android/stepbabyfood/viewmodel/WaitingViewModel.java |
|
https://mamab.jp/uploads/app_ads/jintsu/term_privacy_policy.json https://mamab.jp/uploads/app_ads/jintsu/term_privacy_policy_dev.json |
jp/co/plusr/android/common/agreedialog/AgreeDialogJsonClient$getJson$2.java |
|
https://%sapp.%s |
com/appsflyer/internal/AFi1uSDK.java |
|
https://api.mixpanel.com/track/?data= |
io/realm/processor/RealmAnalytics.java |
|
https://mamab.jp/api/v2/app_user/ https://test.mamab.jp/api/v2/app_user/ |
jp/karadanote/utilities/Asyncs$putFCMToken$2.java |
|
https://mamab.jp/api/v2/app_user https://test.mamab.jp/api/v2/app_user |
jp/karadanote/utilities/Asyncs$getMamabKey$2.java |
|
https://mamab.jp/mama_campaign/top?utm_source=step&utm_medium=limitation_default https://plusr:test@test.mamab.jp/mama_campaign/top?utm_source=step&utm_medium=limitation_default |
jp/co/plusr/android/stepbabyfood/fragments/SettingSupportPlusFragment.java |
|
https://%sregister.%s/api/v |
com/appsflyer/internal/AFf1gSDK.java |
|
8.1.2.1 8.1.2.2 8.1.2.3 |
io/grpc/okhttp/OkHttpServerTransport.java |
|
https://faq.mamab.jp/app_qa/?appname= |
jp/co/plusr/android/stepbabyfood/utils/CommonUtils.java |
|
https://www.instagram.com/explore/tags/%e3%82%b9%e3%83%88%e3%83%83%e3%82%af%e9%9b%a2%e4%b9%b3%e9%a3%9f%e3%82%ab%e3%83%9f%e3%82%ab%e3%83%9f%e6%9c%9f/?hl=ja https://www.instagram.com/explore/tags/%e3%82%b9%e3%83%88%e3%83%83%e3%82%af%e9%9b%a2%e4%b9%b3%e9%a3%9f%e3%83%a2%e3%82%b0%e3%83%a2%e3%82%b0%e6%9c%9f/?hl=ja https://www.instagram.com/explore/tags/%e3%82%b9%e3%83%88%e3%83%83%e3%82%af%e9%9b%a2%e4%b9%b3%e9%a3%9f%e3%82%b4%e3%83%83%e3%82%af%e3%83%b3%e6%9c%9f/?hl=ja |
jp/co/plusr/android/stepbabyfood/ads/StockBannerFragment.java |
|
127.0.0.1 |
io/grpc/okhttp/OkHttpClientTransport.java |
|
http://static.realm.io/downloads/java/latest http://static.realm.io/update/java? http://static.realm.io/update/java?0.84.1 |
io/realm/processor/RealmVersionChecker.java |
|
https://us-central1-step-5d2b3.cloudfunctions.net/ https://mamab.jp/ |
jp/co/plusr/android/stepbabyfood/BuildConfig.java |
|
https://corp.karadanote.jp/terms_appli https://corp.karadanote.jp/privacy-policy |
jp/co/plusr/android/common/agreedialog/AgreeDialogAppConsts.java |
|
https://mamab.jp/uploads/app_ads/step/step_seasonalfood_august.html https://mamab.jp/uploads/app_ads/step/step_seasonalfood_october.html https://mamab.jp/uploads/app_ads/step/step_seasonalfood_december.html https://mamab.jp/uploads/app_ads/step/step_seasonalfood_may.html https://mamab.jp/uploads/app_ads/step/step_seasonalfood_april.html https://mamab.jp/uploads/app_ads/step/step_seasonalfood_march.html https://mamab.jp/uploads/app_ads/step/step_seasonalfood_september.html https://mamab.jp/uploads/app_ads/step/step_seasonalfood_june.html https://mamab.jp/uploads/app_ads/step/step_seasonalfood_january.html https://mamab.jp/uploads/app_ads/step/step_seasonalfood_february.html https://mamab.jp/uploads/app_ads/step/step_seasonalfood_november.html https://mamab.jp/uploads/app_ads/step/step_seasonalfood_july.html |
jp/co/plusr/android/stepbabyfood/fragments/SeasonFragment.java |
|
https://mamab.jp/mama_campaign/top?utm_source=step&utm_medium=limitation_default |
jp/co/plusr/android/stepbabyfood/viewmodel/LimitationViewModel.java |
|
https://mamab.jp/mama_campaign/top?utm_source=step&utm_medium=limitation_explanation |
jp/co/plusr/android/stepbabyfood/viewmodel/LimitationExplanationViewModel.java |
|
https://%simpression.%s |
com/appsflyer/share/CrossPromotionHelper.java |
|
https://mamab.jp https://test.healthyway.jp https://healthyway.jp |
jp/co/plusr/android/stepbabyfood/viewmodel/CampaignViewModel.java |
|
https://%slaunches.%s/api/v https://%sadrevenue.%s/api/v2/log/adimpression/v6.12.5/android?app_id= https://%sinapps.%s/api/v https://%sconversions.%s/api/v https://%sdlsdk.%s/v1.0/android/ https://%ssdk-services.%s/validate-android-signature https://%svalidate.%s/api/v https://%sadrevenue.%s/api/v2/generic/v6.12.5/android?app_id= https://%sattr.%s/api/v |
com/appsflyer/internal/AFi1zSDK.java |
|
https://step-5d2b3.firebaseio.com |
自研引擎-S |
Firebase配置检测
| 标题 | 严重程度 | 描述信息 |
|---|---|---|
| 应用与Firebase数据库通信 | 信息 |
该应用与位于 https://step-5d2b3.firebaseio.com 的 Firebase 数据库进行通信 |
| Firebase远程配置已启用 | 警告 |
Firebase远程配置URL ( https://firebaseremoteconfig.googleapis.com/v1/projects/344118738853/namespaces/firebase:fetch?key=AIzaSyDMXSFobj11tzaiaLw-OoyAcXiuElZrufA ) 已启用。请确保这些配置不包含敏感信息。响应内容如下所示: { |
邮箱地址提取
| 源码文件 | |
|---|---|
|
babyfood@karadanote.jp |
jp/co/plusr/android/stepbabyfood/fragments/NavigationSettingFragment.java |
|
test@test.mamab.jp |
jp/co/plusr/android/stepbabyfood/views/LimitationWithImageView.java |
|
babyfood@karadanote.jp |
jp/co/plusr/android/stepbabyfood/fragments/BackupFragment.java |
|
test@test.mamab.jp |
jp/co/plusr/android/stepbabyfood/fragments/SettingSupportPlusFragment.java |
|
babyfood@karadanote.jp |
jp/karadanote/fragments/invitations/RestoreFragment.java |
第三方追踪器
| 名称 | 类别 | 网址 |
|---|---|---|
| AppsFlyer | Analytics | https://reports.exodus-privacy.eu.org/trackers/12 |
| Facebook Analytics | Analytics | https://reports.exodus-privacy.eu.org/trackers/66 |
| Facebook Login | Identification | https://reports.exodus-privacy.eu.org/trackers/67 |
| Facebook Places | https://reports.exodus-privacy.eu.org/trackers/69 | |
| Facebook Share | https://reports.exodus-privacy.eu.org/trackers/70 | |
| Google CrashLytics | Crash reporting | https://reports.exodus-privacy.eu.org/trackers/27 |
| Google Firebase Analytics | Analytics | https://reports.exodus-privacy.eu.org/trackers/49 |
敏感凭证泄露
已显示 23 个secrets
1、 "android.credentials.TYPE_PASSWORD_CREDENTIAL" : "Password"
2、 "androidx.credentials.TYPE_PUBLIC_KEY_CREDENTIAL" : "Passkey"
3、 "com.google.firebase.crashlytics.mapping_file_id" : "00000000000000000000000000000000"
4、 "debug_fragment_mamabKey_title" : "mamabKey"
5、 "facebook_app_id" : "588678434932595"
6、 "firebase_database_url" : "https://step-5d2b3.firebaseio.com"
7、 "google_api_key" : "AIzaSyDMXSFobj11tzaiaLw-OoyAcXiuElZrufA"
8、 "google_app_id" : "1:344118738853:android:05032023be899416"
9、 "google_crash_reporting_api_key" : "AIzaSyDMXSFobj11tzaiaLw-OoyAcXiuElZrufA"
10、 e9ff21e3464fc503e5e585cbdd5f09b6
11、 8a3c4b262d721acd49a4bf97d5213199c86fa2b9
12、 6bef3a22ccd05c7808f5b1794565028b
13、 5e8f16062ea3cd2c4a0d547876baa6f38cabf625
14、 2438bce1ddb7bd026d5ff89f598b3b5e5bb824b3
15、 ce0fac19508f6c8f20066d345d360fd0
16、 FFE391E0EA186D0734ED601E4E70E3224B7309D48E2075BAC46D8C667EAE7212
17、 3BAF59A2E5331C30675FAB35FF5FFF0D116142D3D4664F1C3CB804068B40614F
18、 cc2751449a350f668590264ed76692694a80308a
19、 df6b721c8b4d3b6eb44c861d4415007e5a35fc95
20、 a4b7452e2ed8f5f191058ca7bbfd26b0d3214bfc
21、 FBA3AF4E7757D9016E953FB3EE4671CA2BD9AF725F9A53D52ED4A38EAAA08901
22、 E3F9E1E0CF99D0E56A055BA65E241B3399F7CEA524326B0CDD6EC1327ED0FDC1
23、 9b8f518b086098de3d77736f9458a3d2f6f95a37
活动列表
显示 13 个 activities
服务列表
显示 14 个 services
广播接收者列表
显示 17 个 receivers
第三方SDK
| SDK名称 | 开发者 | 描述信息 |
|---|---|---|
| Jetpack Test | 在 Android 中进行测试。 | |
| Google Sign-In | 提供使用 Google 登录的 API。 | |
| Google Play Service | 借助 Google Play 服务,您的应用可以利用由 Google 提供的最新功能,例如地图,Google+ 等,并通过 Google Play 商店以 APK 的形式分发自动平台更新。 这样一来,您的用户可以更快地接收更新,并且可以更轻松地集成 Google 必须提供的最新信息。 | |
| File Provider | Android | FileProvider 是 ContentProvider 的特殊子类,它通过创建 content://Uri 代替 file:///Uri 以促进安全分享与应用程序关联的文件。 |
| Jetpack App Startup | App Startup 库提供了一种直接,高效的方法来在应用程序启动时初始化组件。库开发人员和应用程序开发人员都可以使用 App Startup 来简化启动顺序并显式设置初始化顺序。App Startup 允许您定义共享单个内容提供程序的组件初始化程序,而不必为需要初始化的每个组件定义单独的内容提供程序。这可以大大缩短应用启动时间。 | |
| Jetpack WorkManager | 使用 WorkManager API 可以轻松地调度即使在应用退出或设备重启时仍应运行的可延迟异步任务。 | |
| Firebase | Firebase 提供了分析、数据库、消息传递和崩溃报告等功能,可助您快速采取行动并专注于您的用户。 | |
| Picasso | Square | 一个强大的 Android 图片下载缓存库。 |
| Jetpack Media | 与其他应用共享媒体内容和控件。已被 media2 取代。 | |
| Jetpack ProfileInstaller | 让库能够提前预填充要由 ART 读取的编译轨迹。 | |
| Firebase Analytics | Google Analytics(分析)是一款免费的应用衡量解决方案,可提供关于应用使用情况和用户互动度的分析数据。 | |
| Jetpack AppCompat | Allows access to new APIs on older API versions of the platform (many using Material Design). | |
| Jetpack Room | Room 持久性库在 SQLite 的基础上提供了一个抽象层,让用户能够在充分利用 SQLite 的强大功能的同时,获享更强健的数据库访问机制。 |
污点分析
当apk较大时,代码量会很大,造成数据流图(ICFG)呈现爆炸式增长,所以该功能比较耗时,请先喝杯咖啡,耐心等待……| 规则名称 | 描述信息 | 操作 |
|---|---|---|
| 病毒分析 | 使用安卓恶意软件常用的API进行污点分析 | 开始分析 |
| 漏洞挖掘 | 漏洞挖掘场景下的污点分析 | 开始分析 |
| 隐私合规 | 隐私合规场景下的污点分析:组件内污点传播、组件间污点传播、组件与库函数之间的污点传播 | 开始分析 |
| 密码分析 | 分析加密算法是否使用常量密钥、静态初始化的向量(IV)、加密模式是否使用ECB等 | 开始分析 |
| Callback | 因为Android中系统级的Callback并不会出现显式地进行回调方法的调用,所以如果需要分析Callback方法需要在声明文件中将其声明,这里提供一份AndroidCallbacks.txt文件,里面是一些常见的原生回调接口或类,如果有特殊接口需求,可以联系管理员 | 开始分析 |