安全分析报告： 小柠拍卖家端 v0.1.23

安全分数


安全分数 44/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

5

用户/设备跟踪器


调研结果

高危 8
中危 37
信息 1
安全 2
关注 10

高危 SSL的不安全实现。信任所有证书或接受自签名证书是一个关键的安全漏洞。此应用程序易受MITM攻击 

SSL的不安全实现。信任所有证书或接受自签名证书是一个关键的安全漏洞。此应用程序易受MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#android-network-apis

Files:
com/lidroid/xutils/http/client/DefaultSSLSocketFactory.java, line(s) 61,13,14,15
com/lidroid/xutils/util/OtherUtils.java, line(s) 212,212,14,15,16,17,18
com/uzmap/pkg/uzmodules/uzWxPay/Util.java, line(s) 442,33,34,35

高危 如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击 

如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-7

Files:
com/uzmap/pkg/openapi/SuperWebview.java, line(s) 514,13
com/uzmap/pkg/uzcore/i/b/f.java, line(s) 143,14
com/uzmap/pkg/uzmodules/uzBMap/mode/Bubble.java, line(s) 181,11,12

高危 不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击 

不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#webview-server-certificate-verification

Files:
com/uzmap/pkg/uzcore/i/d.java, line(s) 165,175,160

高危 该文件是World Readable。任何应用程序都可以读取文件 

该文件是World Readable。任何应用程序都可以读取文件
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#testing-local-storage-for-sensitive-data-mstg-storage-1-and-mstg-storage-2

Files:
com/deepe/b/f/a.java, line(s) 227

高危 该文件是World Writable。任何应用程序都可以写入文件 

该文件是World Writable。任何应用程序都可以写入文件
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#testing-local-storage-for-sensitive-data-mstg-storage-1-and-mstg-storage-2

Files:
com/deepe/c/k/g.java, line(s) 39

高危 应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。 

应用程序使用带PKCS5/PKCS7填充的加密模式CBC。此配置容易受到填充oracle攻击。
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/baidu/sec/privacy/d/a.java, line(s) 39,60
com/baidu/sec/privacy/d/d.java, line(s) 53

高危 启用了调试配置。生产版本不能是可调试的 

启用了调试配置。生产版本不能是可调试的
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04c-Tampering-and-Reverse-Engineering.md#debugging-and-tracing

Files:
com/pushsdk/BuildConfig.java, line(s) 3,6

高危 应用程序包含隐私跟踪程序 

此应用程序有多个5隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危 应用程序已启用明文网络流量 

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危 Activity (com.uzmap.pkg.EntranceActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (com.huawei.hms.support.api.push.service.HmsMsgService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Content Provider (com.huawei.hms.support.api.push.PushProvider) 未被保护。 

[android:exported=true]
发现 Content Provider与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (cn.jpush.android.ui.PopWinActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (cn.jpush.android.ui.PushActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Content Provider (cn.jpush.android.service.DownloadProvider) 未被保护。 

[android:exported=true]
发现 Content Provider与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (cn.jpush.android.service.JNotifyActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (cn.android.service.JTransitActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (cn.jpush.android.service.DaemonService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (cn.jpush.android.service.DActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (com.xiaomi.mipush.sdk.PushMessageHandler) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Broadcast Receiver (com.xiaomi.push.service.receivers.NetworkStatusReceiver) 未被保护。 

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Broadcast Receiver (cn.jpush.android.service.PluginXiaomiPlatformsReceiver) 未被保护。 

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.xiaomi.mipush.sdk.NotificationClickedActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (com.meizu.cloud.pushsdk.NotificationService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Broadcast Receiver (com.meizu.cloud.pushsdk.MzPushSystemReceiver) 受权限保护, 但是应该检查权限的保护级别。 

Permission: com.meizu.flyme.permission.PUSH [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Broadcast Receiver (cn.jpush.android.service.PluginMeizuPlatformsReceiver) 未被保护。 

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (cn.jpush.android.service.PluginOppoPushService) 受权限保护, 但是应该检查权限的保护级别。 

Permission: com.coloros.mcs.permission.SEND_MCS_MESSAGE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Service (com.heytap.msp.push.service.DataMessageCallbackService) 受权限保护, 但是应该检查权限的保护级别。 

Permission: com.heytap.mcs.permission.SEND_PUSH_MESSAGE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Broadcast Receiver (cn.jpush.android.service.PluginVivoMessageReceiver) 未被保护。 

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (com.vivo.push.sdk.service.CommandClientService) 未被保护。 

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.artifex.mupdf.MuPDFActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.artifex.mupdf.mini.DocumentActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.apicloud.wxpayplus.wxapi.WXPayEntryActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity-Alias (com.xiaoning.xiaoningpaib1.wxapi.WXPayEntryActivity) 未被保护。 

[android:exported=true]
发现 Activity-Alias与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.alipay.sdk.app.PayResultActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.alipay.sdk.app.AlipayResultActivity) 未被保护。 

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 高优先级的Intent (1000) 

[android:priority]
通过设置一个比另一个Intent更高的优先级，应用程序有效地覆盖了其他请求。

中危 SHA-1是已知存在哈希冲突的弱哈希 

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/apicloud/alipaytradeplus/SignUtils.java, line(s) 16
com/baidu/bbalbscesium/e/c.java, line(s) 9
com/baidu/sec/privacy/d/d.java, line(s) 248
com/deepe/c/g/f.java, line(s) 47
com/deepe/c/j/g.java, line(s) 163
com/deepe/c/l/b/b.java, line(s) 248
com/uzmap/pkg/uzmodules/uzWxPay/Util.java, line(s) 459
org/repackage/a/a/a/a/c.java, line(s) 60

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/apicloud/a/i/a/d/g.java, line(s) 27
com/artifex/mupdf/ChoosePDFActivity.java, line(s) 27,28
com/baidu/bbalbscesium/g.java, line(s) 27,81,83
com/baidu/sec/privacy/d/d.java, line(s) 315,344,346
com/baidu/vi/VDeviceAPI.java, line(s) 85,90
com/deepe/b/f.java, line(s) 35
com/deepe/c/a/j.java, line(s) 20,36,52
com/lidroid/xutils/util/OtherUtils.java, line(s) 81
com/uzmap/pkg/uzcore/g/c.java, line(s) 29
com/uzmap/pkg/uzcore/g/d.java, line(s) 229
com/uzmap/pkg/uzmodules/fs/UzFsUtils.java, line(s) 988
com/uzmap/pkg/uzmodules/photoBrowserSu/ImageLoader.java, line(s) 84,90
com/uzmap/pkg/uzmodules/uzimageFilter/uzimageFilter.java, line(s) 289,387,497
com/uzmap/pkg/uzmodules/uzxml/UzXml.java, line(s) 189,193

中危 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/baidu/bbalbscesium/c/b/b.java, line(s) 7
com/deepe/c/i/d.java, line(s) 10
com/deepe/c/j/e/a/c.java, line(s) 10
com/lidroid/xutils/http/client/multipart/MultipartEntity.java, line(s) 11
com/uzmap/pkg/uzcore/UZCoreUtil.java, line(s) 26
com/uzmap/pkg/uzmodules/uzWxPay/PayTask.java, line(s) 23

中危 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/apicloud/alipaytradeplus/Rsa.java, line(s) 71
com/apicloud/pdfReader/PdfReader.java, line(s) 645,670
com/baidu/bbalbscesium/e/b.java, line(s) 27
com/baidu/sec/privacy/d/f.java, line(s) 11
com/deepe/c/g/f.java, line(s) 15
com/lidroid/xutils/cache/MD5FileNameGenerator.java, line(s) 11
com/uzmap/pkg/uzmodules/fs/UzFsUtils.java, line(s) 1413
com/uzmap/pkg/uzmodules/photoBrowserSu/ImageDownLoader.java, line(s) 173
com/uzmap/pkg/uzmodules/photoBrowserSu/ImageLoader.java, line(s) 378
com/uzmap/pkg/uzmodules/uzWxPay/MD5.java, line(s) 13

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/deepe/f/a/a.java, line(s) 4,5,14
com/lidroid/xutils/DbUtils.java, line(s) 5,753

中危 应用程序创建临时文件。敏感信息永远不应该被写进临时文件 

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
com/eclipsesource/v8/NodeJS.java, line(s) 75
com/uzmap/pkg/uzcore/i/b/h.java, line(s) 42

中危 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/baidu/ar/npc/ArBridge.java, line(s) 47,48
com/uzmap/pkg/uzkit/fineHttp/RequestParam.java, line(s) 18
compile/Properties.java, line(s) 26,10

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
小米推送的=> "XIAOMI_APPID" : "MI-2882303761518763998"
极光推送的=> "JPUSH_CHANNEL" : "lemon02"
vivo推送的=> "local_iv" : "MzMsMzQsMzUsMzYsMzcsMzgsMzksNDAsNDEsMzIsMzgsMzcsMzYsMzUsMzQsMzMsI0AzNCwzMiwzMywzNywzMywzNCwzMiwzMywzMywzMywzNCw0MSwzNSwzNSwzMiwzMiwjQDMzLDM0LDM1LDM2LDM3LDM4LDM5LDQwLDQxLDMyLDM4LDM3LDMzLDM1LDM0LDMzLCNAMzQsMzIsMzMsMzcsMzMsMzQsMzIsMzMsMzMsMzMsMzQsNDEsMzUsMzIsMzIsMzI"
百度地图的=> "com.baidu.lbsapi.API_KEY" : "vISH3aeCAD8Cd3IVqNyFGffNhKa0nSaE"
华为HMS Core 应用ID的=> "com.huawei.hms.client.appid" : "appid=104300681"
极光推送的=> "JPUSH_APPKEY" : "edf9790e293d42bdaedaa207"
小米推送的=> "XIAOMI_APPKEY" : "MI-5611876316998"
duuHZUtIjOwTmuwMNhSdzRUBW1cLfQpCYuCaT/ZVMKpvufjP
aHR0cHM6Ly93d3cuZ29vZ2xlLWFuYWx5dGljcy5jb20vY29sbGVjdA==
ZGFsdmlrLnN5c3RlbS5aaXBQYXRoVmFsaWRhdG9y
YW5kcm9pZC50ZWxlcGhvbnkuU21zTWFuYWdlcg==
62587239-AD3C-8190-47B4-37DE080D7E9D
ZGlzdC9iYXNlL2FwaWJhc2UuanM=
258EAFA5-E914-47DA-95CA-C5AB0DC85B11
aHR0cHM6Ly93d3cuZ29vZ2xlLWFuYWx5dGljcy5jb20vYmF0Y2g=

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
com/apicloud/a/d/g.java, line(s) 56,89
com/apicloud/a/i/a/ai/a/d.java, line(s) 414
com/apicloud/a/i/a/ai/a/j.java, line(s) 146,251,259
com/apicloud/a/i/a/d/a/c.java, line(s) 134,156,173,177,190,348,695,709
com/apicloud/a/i/a/r/s.java, line(s) 28,34,40,46,58
com/apicloud/a/i/a/v/g.java, line(s) 35,66
com/apicloud/a/i/a/y/a/a/f.java, line(s) 32
com/apicloud/alipaytradeplus/Result.java, line(s) 74,76
com/apicloud/alipaytradeplus/Rsa.java, line(s) 96,97,99
com/apicloud/baiduocrrecognizer/UzBaiDuOcrRecongnizer.java, line(s) 306,578
com/apicloud/barteksc/pdfviewer/PDFView.java, line(s) 288,526,763
com/apicloud/barteksc/pdfviewer/RenderingHandler.java, line(s) 74
com/apicloud/barteksc/pdfviewer/link/DefaultLinkHandler.java, line(s) 36
com/apicloud/c/a/a/g.java, line(s) 71
com/apicloud/c/a/a/j.java, line(s) 927,1008,2516,2543,3046,3817,4224,4547,4611,4925,5498,5720,5829,5889,4385,5910
com/apicloud/c/b/d.java, line(s) 24,44,30,36,33
com/apicloud/devlop/uzUIPullRefresh/UzUIPullRefresh.java, line(s) 66
com/apicloud/pdfReader/PdfReader.java, line(s) 157,97,98,147,648,673
com/apicloud/wxpayplus/wxapi/WXPayEntryActivity.java, line(s) 38,39
com/artifex/mupdf/MuPDFActivity.java, line(s) 76,82
com/artifex/mupdf/mini/DocumentActivity.java, line(s) 122,672,761,327,384,463,503,535,542,577,611,643,645
com/artifex/mupdf/mini/Worker.java, line(s) 39,51
com/baidu/ar/npc/ArBridge.java, line(s) 511,560
com/baidu/ar/npc/BaiduArView.java, line(s) 212,214,229,245,363,365,380,396,514,516,531,547,564,565,572,573,704,706,755,767,771,852,860,1082,1089,1090,1167,1293,1304,1102,1181,1183,1077,1078,1129,1196
com/baidu/bbalbscesium/c.java, line(s) 141,149
com/baidu/bbalbscesium/g.java, line(s) 41
com/dbc/jpushvip/JPush.java, line(s) 51,73
com/dbc/jpushvip/JPushNotification.java, line(s) 63,66
com/dbc/jpushvip/JPushReceiver.java, line(s) 243,36,109,143
com/dbc/jpushvip/PushMessageReceiver.java, line(s) 27,33,54,60,66,72,78,111,117
com/deepe/b/a/a.java, line(s) 38
com/deepe/b/e.java, line(s) 81
com/deepe/b/f.java, line(s) 45
com/deepe/c/b/c/e.java, line(s) 496,660,674,693
com/deepe/c/b/d/b.java, line(s) 1519,1311
com/deepe/c/b/k.java, line(s) 717
com/deepe/c/c/a/a/l.java, line(s) 26,11,21,7
com/deepe/c/j/e/b.java, line(s) 48,49
com/deepe/c/j/s.java, line(s) 51,73
com/deepe/d/a.java, line(s) 85,156,93,169,97,81,90,160,173
com/deepe/f/a/d.java, line(s) 76
com/deepe/f/a/e.java, line(s) 38
com/deepe/f/a/f.java, line(s) 45
com/eclipsesource/v8/debug/V8DebugServer.java, line(s) 305,247,349,396,410,431
com/hp/hpl/sparta/ParseByteStream.java, line(s) 119
com/hp/hpl/sparta/ParseCharStream.java, line(s) 389,488,575,691,825
com/hp/hpl/sparta/ParseException.java, line(s) 56
com/lidroid/xutils/util/LogUtils.java, line(s) 66,78,90,102,114,126,138,150,162,174,186,198,210,222
com/shockwave/pdfium/PdfiumCore.java, line(s) 110,85,230,234,264,268
com/uyumao/c.java, line(s) 137,133
com/uyumao/d.java, line(s) 307,309
com/uyumao/e.java, line(s) 256,300,874
com/uyumao/h.java, line(s) 113,54,63,70,81
com/uzmap/pkg/uzcore/UZCoreUtil.java, line(s) 139
com/uzmap/pkg/uzcore/b/a.java, line(s) 175
com/uzmap/pkg/uzcore/i/b/a.java, line(s) 263
com/uzmap/pkg/uzkit/request/Request.java, line(s) 11,39
com/uzmap/pkg/uzmodules/UIActionSelector/UIActionSelector.java, line(s) 168,418,566,587,599,848,852,856
com/uzmap/pkg/uzmodules/UIActionSelector/adapter/AbstractWheelTextAdapter.java, line(s) 138
com/uzmap/pkg/uzmodules/UIActionSelector/widget/WheelLinearLayout.java, line(s) 46
com/uzmap/pkg/uzmodules/UIActionSelector/widget/WheelRecycle.java, line(s) 27,28,71,79,88,20
com/uzmap/pkg/uzmodules/UIActionSelector/widget/WheelScroller.java, line(s) 41
com/uzmap/pkg/uzmodules/UIActionSelector/widget/WheelView.java, line(s) 448,465,555,397,454,471,613,614,615,657,658,661,662,664,681,682,683,690,712,714,719,726
com/uzmap/pkg/uzmodules/UICustomPicker/CustomPicker.java, line(s) 281
com/uzmap/pkg/uzmodules/UICustomPicker/CustomPickerV1.java, line(s) 59,124,127
com/uzmap/pkg/uzmodules/UICustomPicker/PickerView.java, line(s) 556,560
com/uzmap/pkg/uzmodules/fs/UzFsUtils.java, line(s) 337,340,513
com/uzmap/pkg/uzmodules/photoBrowserSu/ImageBrowserAdapter.java, line(s) 111,304
com/uzmap/pkg/uzmodules/photoBrowserSu/ImageLoader.java, line(s) 63,487,573
com/uzmap/pkg/uzmodules/photoBrowserSu/PhotoBrowser.java, line(s) 94
com/uzmap/pkg/uzmodules/photoBrowserSu/ViewUtil.java, line(s) 118
com/uzmap/pkg/uzmodules/photoBrowserSu/view/largeImage/BlockImageLoader.java, line(s) 104,115,229,369,380,389,395,446,570,595,596,600,607,631,652,723,946,966,982,990,1035,1051,1077,1100,1121,1173,1209,1230
com/uzmap/pkg/uzmodules/photoBrowserSu/view/largeImage/LargeImageView.java, line(s) 129,220,229,232
com/uzmap/pkg/uzmodules/uzBMap/BusLineOverlay.java, line(s) 61
com/uzmap/pkg/uzmodules/uzBMap/DrivingRouteOverlay.java, line(s) 135
com/uzmap/pkg/uzmodules/uzBMap/TransitRouteOverlay.java, line(s) 128
com/uzmap/pkg/uzmodules/uzBMap/UzBMap.java, line(s) 772,792
com/uzmap/pkg/uzmodules/uzBMap/WalkingRouteOverlay.java, line(s) 98
com/uzmap/pkg/uzmodules/uzBMap/methods/MapEventListener.java, line(s) 151
com/uzmap/pkg/uzmodules/uzBMap/methods/MapOffLine.java, line(s) 26
com/uzmap/pkg/uzmodules/uzBMap/methods/MapPoi.java, line(s) 177
com/uzmap/pkg/uzmodules/uzBMap/navigation/BNaviGuideActivity.java, line(s) 60
com/uzmap/pkg/uzmodules/uzBMap/navigation/WNaviGuideActivity.java, line(s) 70,76,82,123,128,133,138,143,148,153,91
com/uzmap/pkg/uzmodules/uzBMap/overlay/BusLineOverlay.java, line(s) 61
com/uzmap/pkg/uzmodules/uzBMap/overlay/DrivingRouteOverlay.java, line(s) 136
com/uzmap/pkg/uzmodules/uzBMap/overlay/MassTransitRouteOverlay.java, line(s) 252
com/uzmap/pkg/uzmodules/uzBMap/overlay/RidingRouteOverlay.java, line(s) 113
com/uzmap/pkg/uzmodules/uzBMap/overlay/TransitRouteOverlay.java, line(s) 128
com/uzmap/pkg/uzmodules/uzBMap/overlay/WalkingRouteOverlay.java, line(s) 113
com/uzmap/pkg/uzmodules/uzUICityList/CityListAdapter.java, line(s) 113
com/uzmap/pkg/uzmodules/uzUICityList/CityListLayout.java, line(s) 269,272
com/uzmap/pkg/uzmodules/uzUICityList/CitySectionIndexer.java, line(s) 113
com/uzmap/pkg/uzmodules/uzWxPay/GetOrderIdTask.java, line(s) 35
com/uzmap/pkg/uzmodules/uzWxPay/PayReceiver.java, line(s) 22,42,46
com/uzmap/pkg/uzmodules/uzWxPay/PayTask.java, line(s) 60,166
com/uzmap/pkg/uzmodules/uzWxPay/Util.java, line(s) 135,180,185,137,141,145,156,230,246,253,259,264,272,283,288,121,227,233,243,311,313,319,326
com/uzmap/pkg/uzmodules/uzWxPay/UzWxPay.java, line(s) 29,38,41,74,93
com/uzmap/pkg/uzmodules/uzimageFilter/blur/EasyBlur.java, line(s) 62,65,68,121,335,93,96
com/uzmap/pkg/uzmodules/uzimageFilter/imageFilter/BlackWhiteFilter.java, line(s) 14,18
com/uzmap/pkg/uzmodules/uzimageFilter/imageFilter/Main/FilterFactory.java, line(s) 17
com/uzmap/pkg/uzmodules/uzimageFilter/imageFilter/Main/ProcessImageTask.java, line(s) 75,45,83
com/uzmap/pkg/uzmodules/uzimageFilter/uzimageFilter.java, line(s) 353,221,286
com/uzmap/pkg/uzmodules/uzxml/UzXml.java, line(s) 206
com/yonyou/um/umanalytics/UzUmAnalytics.java, line(s) 125,138,150,162,174,187,202,228,255,284,298

安全 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击 

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
com/deepe/c/j/c/d.java, line(s) 18,17,16
com/uyumao/k.java, line(s) 38,36
com/uzmap/pkg/uzmodules/uzWxPay/Util.java, line(s) 392,442

安全 此应用程序可能具有Root检测功能 

此应用程序可能具有Root检测功能
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05j-Testing-Resiliency-Against-Reverse-Engineering.md#testing-root-detection-mstg-resilience-1

Files:
com/deepe/c/a/c.java, line(s) 12,12,12,12,12,12

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (mobilegw.alipaydev.com) 通信。 

{'ip': '110.75.132.131', 'country_short': 'CN', 'country_long': '中国', 'region': '浙江', 'city': '杭州', 'latitude': '30.293650', 'longitude': '120.161583'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (norma-external-collect.meizu.com) 通信。 

{'ip': '223.109.148.176', 'country_short': 'CN', 'country_long': '中国', 'region': '广东', 'city': '广州', 'latitude': '23.127361', 'longitude': '113.264572'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (resolver.msg.xiaomi.net) 通信。 

{'ip': '223.109.148.176', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (iuap-yonbuilder-mamservice.yyuap.com) 通信。 

{'ip': '223.109.148.176', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (ulogs.umengcloud.com) 通信。 

{'ip': '223.109.148.176', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '南京', 'latitude': '32.061668', 'longitude': '118.777992'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (verify.baidubce.com) 通信。 

{'ip': '223.109.148.176', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '苏州', 'latitude': '31.311365', 'longitude': '120.617691'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (yumao.puata.info) 通信。 

{'ip': '223.109.148.176', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '南京', 'latitude': '32.061668', 'longitude': '118.777992'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (cn.register.xmpush.xiaomi.com) 通信。 

{'ip': '220.181.106.176', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (aip.baidubce.com) 通信。 

{'ip': '121.228.188.179', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '苏州', 'latitude': '31.311365', 'longitude': '120.617691'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (h5.m.taobao.com) 通信。 

{'ip': '121.228.188.179', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '苏州', 'latitude': '31.311365', 'longitude': '120.617691'}

安全评分: ( 小柠拍卖家端 0.1.23)