安全分析报告： 时光计划录 v20210415

安全分数


安全分数 49/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

1

用户/设备跟踪器


调研结果

高危 3
中危 12
信息 2
安全 2
关注 6

高危 如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击 

如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-7

Files:
com/just/agentweb/UrlLoaderImpl.java, line(s) 116,120,5

高危 不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击 

不安全的Web视图实现。Web视图忽略SSL证书错误并接受任何SSL证书。此应用程序易受MITM攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#webview-server-certificate-verification

Files:
com/zhangke/shizhong/activity/DownApkActivity.java, line(s) 93,92
com/zhangke/shizhong/activity/WebViewActivity.java, line(s) 124,123

高危 已启用远程WebView调试 

已启用远程WebView调试
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04c-Tampering-and-Reverse-Engineering.md#debugging-and-tracing

Files:
com/just/agentweb/AgentWebConfig.java, line(s) 47,10

中危 应用程序数据可以被备份 

[android:allowBackup=true]
这个标志允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危 Broadcast Receiver (com.simplepeng.updaterlibrary.DownloadReceiver) 未被保护。 

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

中危 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等 

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
cn/leancloud/AVACL.java, line(s) 14
cn/leancloud/AVFile.java, line(s) 40,41,38,43,37
cn/leancloud/AVUser.java, line(s) 35,38
cn/leancloud/cache/QueryResultCache.java, line(s) 105,147,76,97,139,70,90,132,112,154,44
cn/leancloud/core/RequestPaddingInterceptor.java, line(s) 15
cn/leancloud/upload/QiniuAccessor.java, line(s) 99
cn/leancloud/upload/QiniuSlicingUploader.java, line(s) 24
com/zhangke/shizhong/common/APPConfig.java, line(s) 13

中危 应用程序使用不安全的随机数生成器 

应用程序使用不安全的随机数生成器
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
cn/leancloud/utils/StringUtil.java, line(s) 7
com/zhangke/shizhong/utils/Utils.java, line(s) 23
org/greenrobot/greendao/test/DbTest.java, line(s) 7

中危 可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息 

可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-6

Files:
com/just/agentweb/AbsAgentWebSettings.java, line(s) 58,35
com/zhangke/shizhong/utils/Utils.java, line(s) 148,152

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/zhangke/shizhong/db/ApplicationInfoDao.java, line(s) 4,36,44
com/zhangke/shizhong/db/ClockPlanDao.java, line(s) 4,36,44
com/zhangke/shizhong/db/ClockRecordDao.java, line(s) 4,39,47
com/zhangke/shizhong/db/RationPlanDao.java, line(s) 4,44,52
com/zhangke/shizhong/db/RationRecordDao.java, line(s) 4,40,48
com/zhangke/shizhong/db/TodoDao.java, line(s) 4,34,42
org/greenrobot/greendao/AbstractDao.java, line(s) 6,7,115,119,141,412,540
org/greenrobot/greendao/DbUtils.java, line(s) 6,15,50
org/greenrobot/greendao/database/StandardDatabase.java, line(s) 5,15,16

中危 MD5是已知存在哈希冲突的弱哈希 

MD5是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
cn/leancloud/codec/MD5.java, line(s) 26,39,84
com/common/busi/CustomView.java, line(s) 58
com/download/library/DownloadTask.java, line(s) 462
com/download/library/Downloader.java, line(s) 420,426,538,542
com/download/library/Runtime.java, line(s) 264,282
com/just/agentweb/AgentWebUtils.java, line(s) 743

中危 IP地址泄露 

IP地址泄露


Files:
cn/leancloud/network/DNSDetoxicant.java, line(s) 21
cn/leancloud/network/SimpleNetworkingDetector.java, line(s) 21

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/just/agentweb/AgentWebUtils.java, line(s) 162,448
com/zhangke/shizhong/util/FileUtils.java, line(s) 27,38,26,34
com/zhangke/shizhong/utils/ToolsCore.java, line(s) 215

中危 SHA-1是已知存在哈希冲突的弱哈希 

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
cn/leancloud/codec/SHA1.java, line(s) 28
com/jg/ids/e/d.java, line(s) 82

中危 应用程序包含隐私跟踪程序 

此应用程序有多个1隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危 此应用可能包含硬编码机密信息 

从应用程序中识别出以下机密确保这些不是机密或私人信息
友盟统计的=> "UMENG_APPKEY" : "5b62bdeba40fa31bc1000254"
友盟统计的=> "UMENG_CHANNEL" : "UMENG"
6077e8310b38b842665d349c
3d521476d84e37970b576a7cdf6f5c89
3cfd60628c0974633c306629dfbc58e1
QxciDjdHjuAIf8VCsqhmGK3OZV7pBQTZ

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
cn/leancloud/codec/AES.java, line(s) 43,45,89,92,95,98,101,104,115,118,121,124,127,130
cn/leancloud/codec/Base64Decoder.java, line(s) 113
cn/leancloud/logging/DefaultLogger.java, line(s) 22,44,31,53,25,47,19,41,28,50,63
com/download/library/DownloadSubmitterImpl.java, line(s) 43
com/download/library/Runtime.java, line(s) 258,225,231
com/just/agentweb/AgentWebUtils.java, line(s) 353,333,346,365,366
com/just/agentweb/AgentWebView.java, line(s) 68,191,206,229,57,60,241
com/just/agentweb/DefaultChromeClient.java, line(s) 207,213
com/just/agentweb/JsCallJava.java, line(s) 184,65,41,78
com/just/agentweb/JsCallback.java, line(s) 46
com/just/agentweb/LogUtils.java, line(s) 32,36,41,18,24
com/simplepeng/updaterlibrary/LogUtils.java, line(s) 11
com/zhangke/qrcodeview/CameraConfigurationUtils.java, line(s) 44,61,64,79,82,87,96,115,121,124,130,132,136,141,143,147,158,161,166,171,187,190,194,199,215,221,241,249,268,283,291,306,314,333,348,356,361,362,366,371,202,234,299
com/zhangke/qrcodeview/CameraUtil.java, line(s) 25,29,32,34
com/zhangke/qrcodeview/PreviewCallback.java, line(s) 32,25
com/zhangke/qrcodeview/QRCodeUtil.java, line(s) 87,90,96,112
com/zhangke/qrcodeview/QRCodeView.java, line(s) 150,236
com/zhangke/qrcodeview/ViewfinderView.java, line(s) 72,111,150
com/zhangke/shizhong/common/APPConfig.java, line(s) 65,68,79,82
com/zhangke/shizhong/db/DaoMaster.java, line(s) 69,84
com/zhangke/shizhong/model/poster/ShowMoviePosterModel.java, line(s) 84
com/zhangke/shizhong/model/poster/UserBean.java, line(s) 52,63,74
com/zhangke/shizhong/page/poster/MusicPosterAdapter.java, line(s) 33,53
com/zhangke/shizhong/presenter/plan/ClockPlanDetailPresenter.java, line(s) 101,117
com/zhangke/shizhong/util/ApplicationInfoUtil.java, line(s) 175,180,216
com/zhangke/shizhong/util/CrashHandler.java, line(s) 49
com/zhangke/shizhong/util/DateUtils.java, line(s) 27,40,53,67
com/zhangke/shizhong/util/FileUtils.java, line(s) 59,91,95
com/zhangke/shizhong/util/HanziToPinyin.java, line(s) 56,70
com/zhangke/shizhong/util/HttpObserver.java, line(s) 48,51,54,57,60,74
com/zhangke/shizhong/util/HttpUtils.java, line(s) 14
com/zhangke/shizhong/util/SaveFileEngine.java, line(s) 59
com/zhangke/shizhong/util/ThemeUtils.java, line(s) 89,91,94,96,98
com/zhangke/shizhong/utils/ToolsCore.java, line(s) 96,103,135
com/zhangke/shizhong/widget/CountDownTextView.java, line(s) 160
com/zhangke/shizhong/widget/PullToRefreshRecyclerView.java, line(s) 150,151,223,226
com/zhangke/zlog/LogDispatcher.java, line(s) 32,36,60,98,128
com/zhangke/zlog/LogQueue.java, line(s) 30,35
com/zhangke/zlog/ZLog.java, line(s) 61,39,50,101,112,72,83,94
me/drakeet/multitype/MultiTypeAdapter.java, line(s) 136
me/drakeet/support/about/RecommendedViewBinder.java, line(s) 78
me/drakeet/support/about/extension/RecommendedLoader.java, line(s) 42,62
org/greenrobot/eventbus/BackgroundPoster.java, line(s) 40
org/greenrobot/eventbus/EventBus.java, line(s) 290,401,403,412,172
org/greenrobot/eventbus/util/AsyncExecutor.java, line(s) 98
org/greenrobot/eventbus/util/ErrorDialogConfig.java, line(s) 34
org/greenrobot/eventbus/util/ErrorDialogManager.java, line(s) 184
org/greenrobot/eventbus/util/ExceptionToResourceMapping.java, line(s) 26
org/greenrobot/greendao/AbstractDao.java, line(s) 276,666
org/greenrobot/greendao/DaoException.java, line(s) 28,29
org/greenrobot/greendao/DaoLog.java, line(s) 35,39,67,15,43,47,27,31,51,55,59,63
org/greenrobot/greendao/DbUtils.java, line(s) 88,30
org/greenrobot/greendao/async/AsyncOperationExecutor.java, line(s) 129
org/greenrobot/greendao/internal/LongHashMap.java, line(s) 131
org/greenrobot/greendao/query/QueryBuilder.java, line(s) 241,244
org/greenrobot/greendao/test/AbstractDaoTest.java, line(s) 53,55,46
org/greenrobot/greendao/test/AbstractDaoTestLongPk.java, line(s) 32,35
org/greenrobot/greendao/test/AbstractDaoTestSinglePk.java, line(s) 304
org/greenrobot/greendao/test/DbTest.java, line(s) 84
pub/devrel/easypermissions/EasyPermissions.java, line(s) 230,232,40

信息 此应用程序使用SQL Cipher。SQLCipher为sqlite数据库文件提供256位AES加密 

此应用程序使用SQL Cipher。SQLCipher为sqlite数据库文件提供256位AES加密


Files:
org/greenrobot/greendao/database/DatabaseOpenHelper.java, line(s) 98,6,94,98,102,106,110,114

安全 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击 

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
cn/leancloud/core/AppRouter.java, line(s) 60,199,60
cn/leancloud/core/PaasClient.java, line(s) 32,41,49,32,41,49
com/zhangke/shizhong/common/AppClient.java, line(s) 18,29,40,18,29,40

安全 此应用程序可能具有Root检测功能 

此应用程序可能具有Root检测功能
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05j-Testing-Resiliency-Against-Reverse-Engineering.md#testing-root-detection-mstg-resilience-1

Files:
com/zhangke/shizhong/util/ApplicationInfoUtil.java, line(s) 139,140

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (note.youdao.com) 通信。 

{'ip': '106.75.100.17', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '常州', 'latitude': '31.783331', 'longitude': '119.966667'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (pv.sohu.com) 通信。 

{'ip': '106.75.100.17', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '台州', 'latitude': '32.492168', 'longitude': '119.910767'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (upload.qiniu.com) 通信。 

{'ip': '106.75.100.17', 'country_short': 'CN', 'country_long': '中国', 'region': '江苏', 'city': '扬州', 'latitude': '32.397221', 'longitude': '119.435600'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (recommend.wetolink.com) 通信。 

{'ip': '117.21.200.176', 'country_short': 'CN', 'country_long': '中国', 'region': '江西', 'city': '九江', 'latitude': '29.733330', 'longitude': '115.983330'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (app-router.leancloud.cn) 通信。 

{'ip': '106.75.100.17', 'country_short': 'CN', 'country_long': '中国', 'region': '上海', 'city': '上海', 'latitude': '31.224333', 'longitude': '121.468948'}

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (movie.douban.com) 通信。 

{'ip': '106.75.100.17', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

安全评分: ( 时光计划录 20210415)