移动应用安全检测报告： Mobile Tracker Free v154

安全基线评分


安全基线评分 29/100

综合风险等级


风险等级评定

  1. A
  2. B
  3. C
  4. F

漏洞与安全项分布（%）


隐私风险

2

检测到的第三方跟踪器数量


检测结果分布

高危安全漏洞 22
中危安全漏洞 19
安全提示信息 3
已通过安全项 3
重点安全关注 2

高危安全漏洞 存在 Janus 漏洞风险 

仅使用 v1 签名方案，Android 5.0-8.0 设备易受 Janus 漏洞影响。若同时存在 v1 和 v2/v3 签名，Android 5.0-7.0 设备同样存在风险。

高危安全漏洞 Activity (com.app.activity.FirstActivity) 的启动模式非 standard 

Activity 启动模式设置为 "singleTask" 或 "singleInstance" 时，可能成为根 Activity，导致其他应用可读取调用 Intent 内容。涉及敏感信息时应使用 "standard" 启动模式。

高危安全漏洞 App 链接 assetlinks.json 文件未找到 

[android:name=com.app.activity.MainActivity][android:host=https://mobile-app-start-app.com]
App Link 资产验证 URL（https://mobile-app-start-app.com/.well-known/assetlinks.json）未找到或配置不正确。（状态码：404）。应用程序链接允许用户通过 Web URL 或电子邮件直接跳转到移动应用。如果 assetlinks.json 文件缺失或主机/域配置错误，恶意应用可劫持此类 URL，导致网络钓鱼攻击，泄露 URI 中的敏感信息（如 PII、OAuth 令牌、魔术链接/重置令牌等）。请务必通过托管 assetlinks.json 文件并在 Activity 的 intent-filter 中设置 [android:autoVerify="true"] 来完成 App Link 域名验证。

高危安全漏洞 Activity (com.app.activity.MainActivity) 的启动模式非 standard 

Activity 启动模式设置为 "singleTask" 或 "singleInstance" 时，可能成为根 Activity，导致其他应用可读取调用 Intent 内容。涉及敏感信息时应使用 "standard" 启动模式。

高危安全漏洞 Activity (com.app.activity.TermsActivity) 的启动模式非 standard 

Activity 启动模式设置为 "singleTask" 或 "singleInstance" 时，可能成为根 Activity，导致其他应用可读取调用 Intent 内容。涉及敏感信息时应使用 "standard" 启动模式。

高危安全漏洞 Activity (com.app.activity.UseSafeWarningActivity) 的启动模式非 standard 

Activity 启动模式设置为 "singleTask" 或 "singleInstance" 时，可能成为根 Activity，导致其他应用可读取调用 Intent 内容。涉及敏感信息时应使用 "standard" 启动模式。

高危安全漏洞 Activity (com.app.activity.CheckingWarningActivity) 的启动模式非 standard 

Activity 启动模式设置为 "singleTask" 或 "singleInstance" 时，可能成为根 Activity，导致其他应用可读取调用 Intent 内容。涉及敏感信息时应使用 "standard" 启动模式。

高危安全漏洞 Activity (com.app.activity.LoginActivity) 的启动模式非 standard 

Activity 启动模式设置为 "singleTask" 或 "singleInstance" 时，可能成为根 Activity，导致其他应用可读取调用 Intent 内容。涉及敏感信息时应使用 "standard" 启动模式。

高危安全漏洞 Activity (com.app.activity.BugAllActivity) 的启动模式非 standard 

Activity 启动模式设置为 "singleTask" 或 "singleInstance" 时，可能成为根 Activity，导致其他应用可读取调用 Intent 内容。涉及敏感信息时应使用 "standard" 启动模式。

高危安全漏洞 Activity (com.app.activity.ActivityRestriction) 的启动模式非 standard 

Activity 启动模式设置为 "singleTask" 或 "singleInstance" 时，可能成为根 Activity，导致其他应用可读取调用 Intent 内容。涉及敏感信息时应使用 "standard" 启动模式。

高危安全漏洞 Activity (com.app.activity.ActivityMessage) 的启动模式非 standard 

Activity 启动模式设置为 "singleTask" 或 "singleInstance" 时，可能成为根 Activity，导致其他应用可读取调用 Intent 内容。涉及敏感信息时应使用 "standard" 启动模式。

高危安全漏洞 Activity (com.app.activity.ScreenshotActivity) 的启动模式非 standard 

Activity 启动模式设置为 "singleTask" 或 "singleInstance" 时，可能成为根 Activity，导致其他应用可读取调用 Intent 内容。涉及敏感信息时应使用 "standard" 启动模式。

高危安全漏洞 Activity (com.app.activity.ScreenActivity) 的启动模式非 standard 

Activity 启动模式设置为 "singleTask" 或 "singleInstance" 时，可能成为根 Activity，导致其他应用可读取调用 Intent 内容。涉及敏感信息时应使用 "standard" 启动模式。

高危安全漏洞 Activity (com.app.activity.picture.ActivityPicture) 的启动模式非 standard 

Activity 启动模式设置为 "singleTask" 或 "singleInstance" 时，可能成为根 Activity，导致其他应用可读取调用 Intent 内容。涉及敏感信息时应使用 "standard" 启动模式。

高危安全漏洞 Activity (com.app.activity.picture.ActivityPictureCamera2) 的启动模式非 standard 

Activity 启动模式设置为 "singleTask" 或 "singleInstance" 时，可能成为根 Activity，导致其他应用可读取调用 Intent 内容。涉及敏感信息时应使用 "standard" 启动模式。

高危安全漏洞 Activity (com.app.activity.picture.ActivityPicturePasswordFailed) 的启动模式非 standard 

Activity 启动模式设置为 "singleTask" 或 "singleInstance" 时，可能成为根 Activity，导致其他应用可读取调用 Intent 内容。涉及敏感信息时应使用 "standard" 启动模式。

高危安全漏洞 Activity (com.app.activity.picture.ActivityPicturePasswordFailedCamera2) 的启动模式非 standard 

Activity 启动模式设置为 "singleTask" 或 "singleInstance" 时，可能成为根 Activity，导致其他应用可读取调用 Intent 内容。涉及敏感信息时应使用 "standard" 启动模式。

高危安全漏洞 Activity (com.app.action.AndroidTextToSpeechActivity) 的启动模式非 standard 

Activity 启动模式设置为 "singleTask" 或 "singleInstance" 时，可能成为根 Activity，导致其他应用可读取调用 Intent 内容。涉及敏感信息时应使用 "standard" 启动模式。

高危安全漏洞 Activity (com.app.activity.liveViewving.LiveRTCActivity) 的启动模式非 standard 

Activity 启动模式设置为 "singleTask" 或 "singleInstance" 时，可能成为根 Activity，导致其他应用可读取调用 Intent 内容。涉及敏感信息时应使用 "standard" 启动模式。

高危安全漏洞 Activity (com.app.activity.liveViewving.LiveRTCServiceActivity) 的启动模式非 standard 

Activity 启动模式设置为 "singleTask" 或 "singleInstance" 时，可能成为根 Activity，导致其他应用可读取调用 Intent 内容。涉及敏感信息时应使用 "standard" 启动模式。

高危安全漏洞 Activity (com.app.activity.ActivitySettingsWifiSettings) 的启动模式非 standard 

Activity 启动模式设置为 "singleTask" 或 "singleInstance" 时，可能成为根 Activity，导致其他应用可读取调用 Intent 内容。涉及敏感信息时应使用 "standard" 启动模式。

高危安全漏洞 该文件是World Readable。任何应用程序都可以读取文件 

该文件是World Readable。任何应用程序都可以读取文件
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#testing-local-storage-for-sensitive-data-mstg-storage-1-and-mstg-storage-2

Files:
com/app/service/RecordCallService.java, line(s) 214,192,242,286,162,238
h1/g.java, line(s) 210,218
h1/h.java, line(s) 118

中危安全漏洞 Activity (com.app.activity.MainActivity) 未受保护。 

存在 intent-filter。
检测到  Activity 已与设备上的其他应用共享，因此可被任意应用访问。intent-filter 的存在表明该 Activity 被显式导出，存在安全风险。

中危安全漏洞 Activity-Alias (com.app.activity.ActivitySettingsWifiSettings) 未受保护。 

存在 intent-filter。
检测到  Activity-Alias 已与设备上的其他应用共享，因此可被任意应用访问。intent-filter 的存在表明该 Activity-Alias 被显式导出，存在安全风险。

中危安全漏洞 Broadcast Receiver (com.app.received.BootReceived) 未受保护。 

存在 intent-filter。
检测到  Broadcast Receiver 已与设备上的其他应用共享，因此可被任意应用访问。intent-filter 的存在表明该 Broadcast Receiver 被显式导出，存在安全风险。

中危安全漏洞 Broadcast Receiver (com.app.received.CallReceived) 未受保护。 

存在 intent-filter。
检测到  Broadcast Receiver 已与设备上的其他应用共享，因此可被任意应用访问。intent-filter 的存在表明该 Broadcast Receiver 被显式导出，存在安全风险。

中危安全漏洞 Broadcast Receiver (com.app.received.PolicyActivate$PolicyAdmin) 受权限保护，但应检查权限保护级别。 

Permission: android.permission.BIND_DEVICE_ADMIN [android:exported=true]
检测到  Broadcast Receiver 已导出并受未在本应用定义的权限保护。请在权限定义处核查其保护级别。若为 normal 或 dangerous，恶意应用可申请并与组件交互；若为 signature，仅同证书签名应用可访问。

中危安全漏洞 Broadcast Receiver (com.app.received.SMSReceived) 未受保护。 

存在 intent-filter。
检测到  Broadcast Receiver 已与设备上的其他应用共享，因此可被任意应用访问。intent-filter 的存在表明该 Broadcast Receiver 被显式导出，存在安全风险。

中危安全漏洞 Service (com.app.service.MyFirebaseMTFMessagingService) 未受保护。 

存在 intent-filter。
检测到  Service 已与设备上的其他应用共享，因此可被任意应用访问。intent-filter 的存在表明该 Service 被显式导出，存在安全风险。

中危安全漏洞 Service (com.app.service.NotificationListener) 受权限保护，但应检查权限保护级别。 

Permission: android.permission.BIND_NOTIFICATION_LISTENER_SERVICE [android:exported=true]
检测到  Service 已导出并受未在本应用定义的权限保护。请在权限定义处核查其保护级别。若为 normal 或 dangerous，恶意应用可申请并与组件交互；若为 signature，仅同证书签名应用可访问。

中危安全漏洞 Service (com.app.service.AccessService) 受权限保护，但应检查权限保护级别。 

Permission: android.permission.BIND_ACCESSIBILITY_SERVICE [android:exported=true]
检测到  Service 已导出并受未在本应用定义的权限保护。请在权限定义处核查其保护级别。若为 normal 或 dangerous，恶意应用可申请并与组件交互；若为 signature，仅同证书签名应用可访问。

中危安全漏洞 Broadcast Receiver (com.google.firebase.iid.FirebaseInstanceIdReceiver) 受权限保护，但应检查权限保护级别。 

Permission: com.google.android.c2dm.permission.SEND [android:exported=true]
检测到  Broadcast Receiver 已导出并受未在本应用定义的权限保护。请在权限定义处核查其保护级别。若为 normal 或 dangerous，恶意应用可申请并与组件交互；若为 signature，仅同证书签名应用可访问。

中危安全漏洞 高优先级 Intent（999） - {3} 个命中 

[android:priority]
通过设置较高的 Intent 优先级，应用可覆盖其他请求，可能导致安全风险。

中危安全漏洞 SHA-1是已知存在哈希冲突的弱哈希 

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
q7/c.java, line(s) 184
s5/b.java, line(s) 49
v5/u.java, line(s) 75
x4/f.java, line(s) 32

中危安全漏洞 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
a2/b0.java, line(s) 4,5,82
a2/j.java, line(s) 7,30
a2/u.java, line(s) 6,7,103,119,136,190,238,310
e1/a.java, line(s) 4,5,14,19,20
e1/a0.java, line(s) 4,5,14,19,20
e1/b.java, line(s) 4,5,14,19,20
e1/c0.java, line(s) 4,5,14,19,20
e1/e.java, line(s) 4,5,14,19,20
e1/e0.java, line(s) 4,5,14,19,20
e1/g.java, line(s) 4,5,14,19,20
e1/g0.java, line(s) 4,5,14,19,20
e1/i.java, line(s) 4,5,14,19,20
e1/i0.java, line(s) 4,5,14,19,20
e1/j.java, line(s) 4,5,14,19,20
e1/k.java, line(s) 4,5,14,19,20
e1/k0.java, line(s) 4,5,14,19,20
e1/l0.java, line(s) 4,5,14,19,20
e1/m.java, line(s) 4,5,14,19,20
e1/m0.java, line(s) 4,5,14,19,20
e1/p0.java, line(s) 4,5,14,19,20
e1/r0.java, line(s) 4,5,14,19,20
e1/t0.java, line(s) 4,5,14,19,20
e1/u.java, line(s) 4,5,14,19,20
e1/w.java, line(s) 4,5,14,19,20
e1/y.java, line(s) 4,5,14,19,20
g3/j.java, line(s) 6,7,635,675
g3/t7.java, line(s) 7,8,465
i1/a.java, line(s) 5,6,7,35,39,48,52
z1/l.java, line(s) 5,28

中危安全漏洞 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
g3/z7.java, line(s) 30
n4/a.java, line(s) 23
p6/l.java, line(s) 16
q7/c.java, line(s) 16
q7/f.java, line(s) 4

中危安全漏洞 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/app/activity/ConfigPhoneActivity.java, line(s) 855
com/app/service/FileExplorerRemote.java, line(s) 188,190
com/app/service/ServiceScreenshotRoot.java, line(s) 26
h1/e.java, line(s) 60,62

中危安全漏洞 应用程序创建临时文件。敏感信息永远不应该被写进临时文件 

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
s5/c.java, line(s) 49

中危安全漏洞 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/app/service/FileExplorerRemote.java, line(s) 260
g3/z7.java, line(s) 195
l1/b.java, line(s) 31
p1/d.java, line(s) 336

中危安全漏洞 应用程序包含隐私跟踪程序 

此应用程序有多个2隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危安全漏洞 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
"com.google.firebase.crashlytics.mapping_file_id" : "16f7445c57504a81bf63b0e79763d048"
"google_crash_reporting_api_key" : "AIzaSyDbUBsZ11AUjeuOW9e8g1azhCV3wmDKhQ0"
"google_api_key" : "AIzaSyDbUBsZ11AUjeuOW9e8g1azhCV3wmDKhQ0"
"google_app_id" : "1:38496474107:android:2920adfbaa3767553ab15e"
"password_sms" : "sifresms"
"firebase_database_url" : "https://myappmobile-537f7.firebaseio.com"
"password_sms" : "MobileTrackerFreeSMS"
258EAFA5-E914-47DA-95CA-C5AB0DC85B11
c06c8400-8e06-11e0-9cb6-0002a5d5c51b
bb392ec0-8d4d-11e0-a896-0002a5d5c51b

安全提示信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
a1/a.java, line(s) 132,137
a2/u.java, line(s) 395
b5/a.java, line(s) 62
c5/f.java, line(s) 59,70
d5/c.java, line(s) 59,99
e5/e.java, line(s) 51,56,60,67
g3/j3.java, line(s) 208
g5/b.java, line(s) 163,168
g5/c.java, line(s) 43
h2/d.java, line(s) 88,103
h2/f.java, line(s) 41,58,79
h2/h.java, line(s) 12,15
h2/m.java, line(s) 55
h2/q.java, line(s) 33,63,80,97,122,140,146
h2/t.java, line(s) 27,36
h2/v.java, line(s) 48
i0/t.java, line(s) 553
i2/i.java, line(s) 181
l0/h.java, line(s) 29
m4/b.java, line(s) 226
r1/b.java, line(s) 57,86,118,121
r1/d.java, line(s) 145,237
r4/a.java, line(s) 23,29,33
r4/o.java, line(s) 63
t1/q.java, line(s) 24
t4/b.java, line(s) 16
u4/b.java, line(s) 74
v4/c.java, line(s) 29,32,35
v5/e0.java, line(s) 34,44
v5/g0.java, line(s) 36,37,46,47,80
v5/j.java, line(s) 60
v5/k0.java, line(s) 66,66
v5/l0.java, line(s) 48,49,79,101,181,182
v5/n.java, line(s) 31,85,108
v5/n0.java, line(s) 27
v5/o0.java, line(s) 57,68,90
v5/q.java, line(s) 34,38
v5/v.java, line(s) 28,43,52
v5/w.java, line(s) 57
w4/c.java, line(s) 8
x1/a.java, line(s) 8
x4/a0.java, line(s) 23
x4/f0.java, line(s) 60
x4/h0.java, line(s) 28,33,37
x4/k0.java, line(s) 45,56,60,67,89
x4/l.java, line(s) 21
x4/n.java, line(s) 51
x4/o0.java, line(s) 52,255,257,260,265
x4/p.java, line(s) 26,37
x4/s.java, line(s) 38
x4/v.java, line(s) 92,109,214,238,259,310,314,317,321,322,333
x4/z.java, line(s) 86,109,112,118
y4/e.java, line(s) 83,93
z1/a.java, line(s) 59
z1/e.java, line(s) 97
z1/o.java, line(s) 23

安全提示信息 此应用侦听剪贴板更改。一些恶意软件也会监听剪贴板更改 

此应用侦听剪贴板更改。一些恶意软件也会监听剪贴板更改
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04b-Mobile-App-Security-Testing.md#clipboard

Files:
com/app/service/ClipboardService.java, line(s) 20,4

安全提示信息 应用与Firebase数据库通信 

该应用与位于 https://myappmobile-537f7.firebaseio.com 的 Firebase 数据库进行通信

已通过安全项 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击 

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
g7/w.java, line(s) 143,142,151,141,141

已通过安全项 此应用程序可能具有Root检测功能 

此应用程序可能具有Root检测功能
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05j-Testing-Resiliency-Against-Reverse-Engineering.md#testing-root-detection-mstg-resilience-1

Files:
x4/g.java, line(s) 167,167,168

已通过安全项 Firebase远程配置已禁用 

Firebase远程配置URL （ https://firebaseremoteconfig.googleapis.com/v1/projects/38496474107/namespaces/firebase:fetch?key=AIzaSyDbUBsZ11AUjeuOW9e8g1azhCV3wmDKhQ0 ） 已禁用。响应内容如下所示：

{
    "state": "NO_TEMPLATE"
}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (app-measurement.com) 通信。 

{'ip': '180.163.151.38', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

重点安全关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (pagead2.googlesyndication.com) 通信。 

{'ip': '180.163.151.38', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

综合安全基线评分: ( Mobile Tracker Free 154)