生成的apk客户端经360检测136个危险项?

BUG 打包
weizhiming
   2018-01-12 16:04:11发布 0收藏, 86浏览
ExMobi客户端技术
已解决
悬赏50
0

Fragment注入1通过导出的PreferenceActivity的子类,没有正确处理Intent的extra值。攻击者可绕过限制访问未授权的界面。 查看
序号类名方法名 出现次数
1Ldecode/PreferencesActivity; 1
Webview存在本地Java接口10 android的webView组件有一个非常特殊的接口函数addJavascriptInterface,能实现本地java与js之间交互。在targetSdkVersion小于17时,攻击者利用 addJavascriptInterface这个接口添加的函数,可以远程执行任意代码。 查看
序号类名方法名 出现次数
1Lcom/fiberhome/gaea/client/html/view/HtmlView; initJavaInterface5
2Lcom/fiberhome/gaea/client/html/view/ExmobiWebView; initJavaInterface5
SSL通信服务端检测信任任意证书3自定义SSL x509 TrustManager,重写checkServerTrusted方法,方法内不做任何服务端的证书校验。黑客可以使用中间人攻击获取加密内容。 查看
序号类名方法名 出现次数
1Lcom/fiberhome/gaea/client/manager/TrustAllSSLSocketFactory$TrustAllManager; checkServerTrusted1
2Lcom/sina/weibo/sdk/statistic/SSLSocketFactoryImp$1; checkServerTrusted1
3Lcom/fiberhome/csg/net/TrustAllSSLSocketFactory$TrustAllManager; checkServerTrusted1
隐式意图调用60封装Intent时采用隐式设置,只设定action,未限定具体的接收对象,导致Intent可被其他应用获取并读取其中数据。Intent隐式调用发送的意图可能被第三方劫持,可能导致内部隐私数据泄露。 查看
序号类名方法名 出现次数
1Lcom/fiberhome/gaea/client/html/view/AlbumView; setImageBody2
2Lcom/fiberhome/xpush/ui/WizardSubscribePage; toStopAlarm4
3Lcom/fiberhome/gaea/client/manager/ExMobiMessageManager$1; run2
4Lcom/fiberhome/gaea/client/core/logic/LogicManagerModule; doOpen1
5Lcom/baidu/android/pushservice/RegistrationReceiver; a1
6Lcom/fiberhome/gaea/client/html/js/JSUtil; jsFunction_openVideo1
7Lcom/fiberhome/xpush/manager/DocMng$1; run1
8Lcom/fiberhome/xloc/broadcast/ScreenReceiver; onReceive1
9Lcom/fiberhome/xpush/ui/WizardSubscribePage$1; run7
10Lcom/fiberhome/xpush/manager/EventMng$1; run1
11Lcom/fiberhome/xpush/framework/network/Ajax; doGet24
12Lcom/fiberhome/xpush/BackgroundService; onDestroy1
13Lcom/fiberhome/gaea/client/util/Utils; initPushService2
14Lcom/fiberhome/xpush/BGForPushService; onDestroy1
15Lcom/fiberhome/xpush/BackgroundService; toStartAlarm1
16Lcom/baidu/android/pushservice/f; i1
17Lcom/fiberhome/xpush/EventBroadcastReceiver$1; handleMessage1
18Lcom/fiberhome/xpush/framework/network/Ajax; doGetUdp2
19Lcom/fiberhome/gaea/client/manager/ExMobiMessageManager; toStopAlarm1
20Lcom/fiberhome/gaea/client/base/GaeaMain; startBackService1
21Lcom/sina/weibo/sdk/call/CommonUtils; openWeiboActivity1
22Lcom/fiberhome/xpush/manager/DocMng$DocDownListener; run2
23Lcom/fiberhome/xpush/BGForPushService; toStartAlarm1
WebView忽略SSL证书错误 1 WebView调用onReceivedSslError方法时,直接执行handler.proceed()来忽略该证书错误。忽略SSL证书错误可能引起中间人攻击。 查看
序号类名方法名 出现次数
1Lcom/fiberhome/gaea/client/html/view/HtmlView$MyWebClient; onReceivedSslError1
HTTPS关闭主机名验证2构造HttpClient时,设置HostnameVerifier时参数使用ALLOW_ALL_HOSTNAME_VERIFIER或空的HostnameVerifier。关闭主机名校验可以导致黑客使用中间人攻击获取加密内容。 查看
序号类名方法名 出现次数
1Lcom/fiberhome/csg/net/TrustAllSSLSocketFactory; <init>1
2Lcom/fiberhome/gaea/client/manager/TrustAllSSLSocketFactory; <init>1
Intent Scheme URLs攻击4在AndroidManifast.xml设置Scheme协议之后,可以通过浏览器打开对应的Activity。攻击者通过访问浏览器构造Intent语法唤起app相应组件,轻则引起拒绝服务,重则可能演变为提权漏洞。 查看
序号类名方法名 出现次数
1Lcom/baidu/android/pushservice/message/PublicMsg; startApplicationLauncher1
2Lcom/baidu/android/pushservice/message/PublicMsg; handlePrivateNotification1
3Lcom/baidu/android/pushservice/message/PublicMsg; handle1
4Lcom/baidu/android/pushservice/PushServiceReceiver; a1
webview启用访问文件数据2 Webview中使用setAllowFileAccess(true),App可通过webview访问私有目录下的文件数据。在Android中,mWebView.setAllowFileAccess(true)为默认设置。当setAllowFileAccess(true)时,在File域下,可执行任意的JavaScript代码,如果绕过同源策略能够对私有目录文件进行访问,导致用户隐私泄漏。 查看
序号类名方法名 出现次数
1Lcom/fiberhome/gaea/client/html/view/HtmlView; getJsView1
2Lcom/fiberhome/gaea/client/html/view/ExmobiWebView; getJsView1
SSL通信客户端检测信任任意证书3自定义SSL x509 TrustManager,重写checkClientTrusted方法,方法内不做任何服务端的证书校验。黑客可以使用中间人攻击获取加密内容。 查看
序号类名方法名 出现次数
1Lcom/fiberhome/csg/net/TrustAllSSLSocketFactory$TrustAllManager; checkClientTrusted1
2Lcom/fiberhome/gaea/client/manager/TrustAllSSLSocketFactory$TrustAllManager; checkClientTrusted1
3Lcom/sina/weibo/sdk/statistic/SSLSocketFactoryImp$1; checkClientTrusted1

运行平台及版本 : android

手机型号 : 小米5等

基座版本 : 5.15.6

加固后还是有一个风险,这个怎么去掉?

activity绑定browserable与自定义协议1 activity设置“android.intent.category.BROWSABLE”属性并同时设置了自定义的协议android:scheme意味着可以通过浏览器使用自定义协议打开此activity。可能通过浏览器对app进行越权调用。 查看
序号类名方法名 出现次数
1None None1
提问者追加   2018-01-13 14:52:51

而且加固后apk包安装不上了。

提问者追加   6 天前

是默认的keystore

提问者追加   5 天前

2个回答

请通过第三方apk加固平台对apk进行加固

zhangyihui11@fiberhome
    2018-01-12 16:16:14回答
  • 加固后第一个风险还是有,那个怎么去掉?
    weizhiming 2018-01-13 14:53:47评论
提交评论
0

打包用的是自己的keystore还在烽火默认的keystore?

xuanliang
    6 天前回答
  • 是默认的keystore
    weizhiming 5 天前评论
  • 你可以自己建keystore来打包,打出来后自己改manifest里的敏感权限,改完之后再加固
    xuanliang 4 天前评论
提交评论

我要回答

下载APP
扫码下载栗子社区APP