安全分析报告： 银联会议 v1.3.0

安全分数


安全分数 51/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

0

用户/设备跟踪器


调研结果

高危 1
中危 11
信息 2
安全 1
关注 0

高危 应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。 

应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
p2/a.java, line(s) 85

中危 应用程序已启用明文网络流量 

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危 应用程序数据存在被泄露的风险 

未设置[android:allowBackup]标志
这个标志 [android:allowBackup]应该设置为false。默认情况下它被设置为true，允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危 Broadcast Receiver (l5llb.r17ka.yz1t9.BootReceiver) 未被保护。 

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Broadcast Receiver (androidx.profileinstaller.ProfileInstallReceiver) 受权限保护, 但是应该检查权限的保护级别。 

Permission: android.permission.DUMP [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 高优先级的Intent （1000） - {1} 个命中 

[android:priority]
通过设置一个比另一个Intent更高的优先级，应用程序有效地覆盖了其他请求。

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
r4/b.java, line(s) 289
r4/c.java, line(s) 94
s4/a.java, line(s) 48
w/a.java, line(s) 138
w/b.java, line(s) 219
x5/i.java, line(s) 129,151
x5/j.java, line(s) 149,158

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
t4/i.java, line(s) 9,10,11,12,13,518

中危 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
j1/q1.java, line(s) 9
k2/p0.java, line(s) 4
n2/b.java, line(s) 14
n4/a0.java, line(s) 13
s6/a.java, line(s) 3
s6/b.java, line(s) 3
t6/a.java, line(s) 3

中危 SHA-1是已知存在哈希冲突的弱哈希 

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
x4/a.java, line(s) 76

中危 应用程序创建临时文件。敏感信息永远不应该被写进临时文件 

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
com/journeyapps/barcodescanner/b.java, line(s) 260

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
"library_zxingandroidembedded_author" : "JourneyApps"
"library_zxingandroidembedded_authorWebsite" : "https://journeyapps.com/"
16a09e667f3bcc908b2fb1366ea957d3e3adec17512775099da2f590b0667322a
edef8ba9-79d6-4ace-a3c8-27dcd51d21ed

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
a5/b.java, line(s) 10,14,28,32,36
b1/a.java, line(s) 90
c0/g.java, line(s) 34
c1/h.java, line(s) 1015
com/journeyapps/barcodescanner/a.java, line(s) 610,660,120,305,408,470
com/journeyapps/barcodescanner/b.java, line(s) 112,183,266
f3/q.java, line(s) 40,35,30,25
g0/a0.java, line(s) 26
g0/b.java, line(s) 57
g0/c0.java, line(s) 50,65,86,113,134,155,176
g0/g.java, line(s) 21,30
g0/i0.java, line(s) 349,519,130,142,149,158,45,64,510
g0/j.java, line(s) 69
g0/y.java, line(s) 961,938,960
g1/b.java, line(s) 53,87,114,126,144,163
h/e.java, line(s) 1986,1129,1135,1618,2013,2231
h/g.java, line(s) 101
h/i.java, line(s) 49,59,74,84,101,113,125,134,147,161,173
h/k.java, line(s) 54,69
h0/b.java, line(s) 152
h1/b.java, line(s) 1387,1272
h1/i.java, line(s) 498,630,3104,660,1257,1263
h1/l.java, line(s) 2767,2816,2840,3855,1899,2845
i0/c.java, line(s) 140
i7/b.java, line(s) 98
j0/c.java, line(s) 26,35
j0/d.java, line(s) 51,60
j0/i.java, line(s) 58,67
j0/k.java, line(s) 49,48
l/g.java, line(s) 168,211,270
l5llb/r17ka/yz1t9/BootReceiver.java, line(s) 22,44
l5llb/r17ka/yz1t9/FloatingWindowService.java, line(s) 368,420,429,431,555
l5llb/r17ka/yz1t9/InputService.java, line(s) 142,184,195,220,266,314,352,353,417,466,565,581,589,317
l5llb/r17ka/yz1t9/MainActivity.java, line(s) 111,118,209,435,461,438,464,605
l5llb/r17ka/yz1t9/MainService.java, line(s) 114,284,297,300,310,313,339,406,492,512,526,552,562,576,606,615,652,655,764,776,165,505,701,711,280,596
l5llb/r17ka/yz1t9/PermissionRequestTransparentActivity.java, line(s) 16,43
l5llb/r17ka/yz1t9/a.java, line(s) 124
m/c.java, line(s) 277
n/a1.java, line(s) 86
n/c1.java, line(s) 24,35,54,56,59
n/d0.java, line(s) 99,113,127,136,272,453
n/k0.java, line(s) 395,205,210,217,310,508
n/m0.java, line(s) 116,150
n/n0.java, line(s) 185,48,60,98,127,387
n/q0.java, line(s) 105,144,370,126,179,234,248,308,374,377,430
n/r0.java, line(s) 32
n/w.java, line(s) 47
n/z.java, line(s) 142,147,152,157
n/z0.java, line(s) 111
o4/l.java, line(s) 98
p0/a.java, line(s) 362,943,1073,1193,1196,1205,1211,1267,1350,1396,1578,1634,1691,1771,1807,1884,1971,2136,2218,2264,2315,2335,2348,2380,2418,2485,2530,2535,2541,2605,127,1126,1569,1593,1851,1865,2121,2498,2502,2506
p0/b.java, line(s) 56
p4/a.java, line(s) 83,106,124
p4/c.java, line(s) 27,28,32,37,43,64,66,72,82,106,112,126,133,136,138,144,156,159,161,170,173,185,191
p4/g.java, line(s) 46,62,81,98,132,50,69,86,102
p4/h.java, line(s) 65,84,310,128,222,252,218,224,266,274
p4/l.java, line(s) 28
p4/n.java, line(s) 28
p4/q.java, line(s) 39,40
r/b.java, line(s) 42
r0/f.java, line(s) 54,88,62,70,141,147
r0/j.java, line(s) 219,229,272,287,305
r0/n.java, line(s) 18
r4/b.java, line(s) 88,96,116,133,290,306,195
r4/c.java, line(s) 141,272,39,83,204,208,213,268,221,136
s3/e.java, line(s) 36,78
s3/g.java, line(s) 41,34
t3/a.java, line(s) 13
t4/c0.java, line(s) 83,144,201,264,279,337,350,356,373,378,537,546,87,541
t4/e0.java, line(s) 25
t4/i.java, line(s) 176,312,328,374,447,524,581,547
v/c.java, line(s) 91,247
v/e.java, line(s) 41,50,64,73
v/h.java, line(s) 42
v/k.java, line(s) 61,78,85
v/q.java, line(s) 72
w0/b.java, line(s) 37,45,63
w5/m.java, line(s) 81,65
x/c.java, line(s) 56
x/d.java, line(s) 66
x/h.java, line(s) 144,153,252
x5/j.java, line(s) 202
y/d.java, line(s) 388,393
y/f.java, line(s) 70
y/g.java, line(s) 41,73
y/h.java, line(s) 56,224
y/k.java, line(s) 84,87
y/l.java, line(s) 104
y5/j.java, line(s) 13,24,34
z/a.java, line(s) 135,144,202,212
z/e.java, line(s) 45,68
z4/a.java, line(s) 311,316

信息 此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它 

此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04b-Mobile-App-Security-Testing.md#clipboard

Files:
u5/c.java, line(s) 8,366

安全 此应用程序没有隐私跟踪程序 

此应用程序不包括任何用户或设备跟踪器。在静态分析期间没有找到任何跟踪器。

安全评分: ( 银联会议 1.3.0)