应用安全检测报告

[android:allowBackup=true]
该标志允许通过 adb 工具备份应用数据。启用 USB 调试的用户可直接复制应用数据，存在数据泄露风险。

存在 intent-filter。
检测到  Activity 已与设备上的其他应用共享，因此可被任意应用访问。intent-filter 的存在表明该 Activity 被显式导出，存在安全风险。

[android:exported=true]
检测到  Activity 已导出，未受任何权限保护，任意应用均可访问。

存在 intent-filter。
检测到  Broadcast Receiver 已与设备上的其他应用共享，因此可被任意应用访问。intent-filter 的存在表明该 Broadcast Receiver 被显式导出，存在安全风险。

[android:exported=true]
检测到  Service 已导出，未受任何权限保护，任意应用均可访问。

存在 intent-filter。
检测到  Broadcast Receiver 已与设备上的其他应用共享，因此可被任意应用访问。intent-filter 的存在表明该 Broadcast Receiver 被显式导出，存在安全风险。

(com.igexin.sdk.PushActivity)
设置 taskAffinity 后，其他应用可读取发送至该 Activity 的 Intent。为防止敏感信息泄露，建议保持默认 affinity（包名）。

(com.igexin.sdk.GActivity)
设置 taskAffinity 后，其他应用可读取发送至该 Activity 的 Intent。为防止敏感信息泄露，建议保持默认 affinity（包名）。

[android:exported=true]
检测到  Activity 已导出，未受任何权限保护，任意应用均可访问。

[android:exported=true]
检测到  Service 已导出，未受任何权限保护，任意应用均可访问。

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/newheyd/JZKFcanjiren/Utils/DataCleanManager.java, line(s) 11,19
com/newheyd/JZKFcanjiren/Utils/FileDownloadUtil.java, line(s) 54
com/newheyd/JZKFcanjiren/Utils/FileSelect/FilePickerActivity.java, line(s) 37
com/newheyd/JZKFcanjiren/Utils/FileUtil.java, line(s) 21,26
com/newheyd/JZKFcanjiren/Utils/ImageUtil.java, line(s) 44,29,29,29
com/newheyd/JZKFcanjiren/Utils/WriteToSD.java, line(s) 12
com/newheyd/JZKFcanjiren/View/PhotoSelect/PhotoPickerActivity.java, line(s) 241
com/tencent/a/a/a/a/b.java, line(s) 17,29,31
com/tencent/mid/b/c.java, line(s) 25,44,45
com/tencent/mid/util/h.java, line(s) 176,177

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/newheyd/JZKFcanjiren/Utils/DataBaseUtils/DatabaseHelper.java, line(s) 4,5,17,18,23
com/newheyd/JZKFcanjiren/Utils/DataBaseUtils/DatabaseManager.java, line(s) 5,29,34,39
com/newheyd/JZKFcanjiren/Utils/DataBaseUtils/DictionaryDatabaseManager.java, line(s) 5,6,89,94,99
com/newheyd/JZKFcanjiren/gen/OrganizationBeanDao.java, line(s) 4,34,39
com/newheyd/JZKFcanjiren/gen/PushMessageBeanDao.java, line(s) 4,50,55
com/newheyd/JZKFcanjiren/gen/UserInfoDao.java, line(s) 4,48,53
org/greenrobot/greendao/AbstractDao.java, line(s) 6,7,102,107,131,361,488
org/greenrobot/greendao/DbUtils.java, line(s) 6,14,51
org/greenrobot/greendao/database/StandardDatabase.java, line(s) 5,15,16

可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-6

Files:
com/newheyd/JZKFcanjiren/Activity/ActivityPolicyContent.java, line(s) 236,229,230,235
com/newheyd/JZKFcanjiren/Activity/RehabilitationGuidActivity.java, line(s) 88,81,82,87

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
com/newheyd/JZKFcanjiren/Activity/ActivityPolicyContent.java, line(s) 116
com/newheyd/JZKFcanjiren/Utils/JwtTokenUtil.java, line(s) 9
com/newheyd/JZKFcanjiren/qrcode/decoding/Intents.java, line(s) 45
io/jsonwebtoken/JwsHeader.java, line(s) 8

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
com/newheyd/JZKFcanjiren/View/PhotoSelect/PhotoPickerActivity.java, line(s) 246

MD5是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/iflytek/sunflower/c/c.java, line(s) 10
com/tencent/mid/util/Util.java, line(s) 138
com/tencent/mm/a/b.java, line(s) 10

应用程序使用不安全的随机数生成器
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/tencent/mid/util/Util.java, line(s) 37
org/greenrobot/greendao/test/DbTest.java, line(s) 7

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/tencent/mid/util/Util.java, line(s) 255

IP地址泄露


Files:
com/newheyd/JZKFcanjiren/net/RequestServiceList.java, line(s) 102,59
com/tencent/mid/a/b.java, line(s) 90

从应用程序中识别出以下机密确保这些不是机密或私人信息
友盟统计的=> "UMENG_CHANNEL" : "yingyongbao"
友盟统计的=> "UMENG_APPKEY" : "5b30a2a7a40fa3095a000029"
个推–推送服务的=> "PUSH_APPKEY" : "9LneMYzVNl7aKYhOMPRpJ3"
百度地图的=> "com.baidu.lbsapi.API_KEY" : "wLQmGtMfsSmmqCUUqLDZXKRDgplAnQ3d"
个推–推送服务的=> "PUSH_APPSECRET" : "SAcypEkJAW6jQRY31eJ2J8"
个推–推送服务的=> "PUSH_APPID" : "O6pD0c6lAW5vM6hhihn544"
4kU71lN96TJUomD1vOU9lgj9U+kKmxDPLVM+zzjst5U=
6X8Y4XdM2Vhvn0KfzcEatGnWaNU=
d4624c36b6795d1d99dcf0547af5443d
03a976511e2cbe3a7f26808fb7af3c05