پیام رسان شناور، نسخه ی دمو

مشخصات اصلی برنامه و اطلاعات توسعه‌دهنده
نام برنامه:پیام رسان شناور، نسخه ی دمونام بسته نرم‌افزاری:com.sindev.smsdemoتعداد کاربر فعال:۱۰۰تاریخ آخرین به‌روزرسانی برنامه:۱۲ اردیبهشت ۱۳۹۵دسته‌بندی برنامه:شبکه‌های اجتماعینام توسعه‌دهنده:SinDevنشانی ایمیل توسعه‌دهنده:sindevgroup@yahoo.comشناسه شامد:۱-۲-۶۸۹۷۷۷-۶۳-۰-۱۶۲۱۷۹

خلاصه بررسی امنیتی

برنامه اندرویدیمنتشر شده در کافه بازاربا قابلیت ارسال نوتیفیکیشن
OWASP Test۴ مورد آسیب‌پذیری

برپایه ۱۰ ضعف شناخته شده براساس OWSAP در برنامه‌های موبایلی

Libraries Risks Test۵ مورد ریسک امنیتی

ضعف امنیتی در پیاده‌سازی توابع، کارکرد و تنظیمات برنامه

API Vulnerability Test۱۵ مورد ضعف ارتباطی

ضعف امنیتی در سرورهای ارتباطی و رابط برنامه‌نویسی کاربردی

API Vulnerability Testفاقد آلودگی بدافزاری

براساس بررسی ۷۴ موتور آنتی‌ویروس در سرویس ویروس‌توتال


جزئیات بررسی

خلاصه اطلاعات فایل برنامه
نام بسته نرم‌افزاری:com.sindev.smsdemoنسخه برنامه:6.2.2حجم فایل:3.47MBامضای دیجیتال فایل:استانداردچک‌سام فایل:d8cd7356ee9479b08106b990c8fffdbaنتیجه ویروس‌توتال:۰ آلودگی از ۷۴ مورد اسکن
ریسک‌های امنیتی در میزان دسترسی‌های مورد استفاده در برنامه
یافتن موقعیت تقریبی براساس شبکهزیادمشاهده اطلاعات مربوط به اتصال شبکهکمتماس مستقیم با شماره تلفن‌هازیاددسترسی کامل به اینترنتکمخواندن مخاطبان دفترچه تلفن دستگاهزیادخواندن پیامک متنیزیاداجرا شدن در هنگام راه‌اندازیکمدریافت و مشاهده پیامک‌های متنیزیادارسال پیامک‌‌های متنیزیادنمایش اعلان روی برنامه‌های دیگرزیادکنترل لرزشکمممانعت از به خواب رفتن دستگاهکمویرایش پیامک‌های متنیزیاداجازه دریافت نوتیفیکیشنعادیثبت اطلاعات دستگاه و برنامه برای نوتیفیکیشنناشناخته
اشتراک‌گذاری اطلاعات با سرویس‌های شخص ثالث
Google Analytics
اشتراک‌گذاری اطلاعات دستگاه برای تبلیغات، نظارت، خطایابی، تجزیه و تحلیل فعالیت‌ها و وضعیت عملکرد
Google Firebase Analytics
اشتراک‌گذاری اطلاعات دستگاه برای تبلیغات، نظارت، خطایابی، تجزیه و تحلیل فعالیت‌ها و وضعیت عملکرد
OneSignal
اشتراک‌گذاری اطلاعات دستگاه برای تبلیغات، نظارت، خطایابی، تجزیه و تحلیل فعالیت‌ها و وضعیت عملکرد
آسیب‌پذیری‌های متداول موجود در برنامه براساس استانداردها
استفاده از اعداد تصادفی بجای رمزنگاری
شدت خطر این آسیب‌پذیری ۷.۵ از ۱۰ تخمین زده می‌شود. توضیحات بیشتر در OWSAP-m5 و cwe-330
استفاده از الگوریتم‌های ضعیف برای ایجاد هش
شدت خطر این آسیب‌پذیری ۷.۴ از ۱۰ تخمین زده می‌شود. توضیحات بیشتر در OWSAP-m5 و cwe-327
آسیب‌پذیری عدم خنثی‌سازی عناصر مخرب در فرامین SQL
شدت خطر این آسیب‌پذیری ۵.۹ از ۱۰ تخمین زده می‌شود. توضیحات بیشتر در OWSAP-m7 و cwe-89
امکان اجرای کدهای مخرب در واسط نمایش صفحات وب
شدت خطر این آسیب‌پذیری ۸.۸ از ۱۰ تخمین زده می‌شود. توضیحات بیشتر در OWSAP-m1 و cwe-749