检测详情

DEX未进行保护会被攻击者通过baksmali/apktool/dex2jar等反编译工具逆向出代码，造成核心代码逻辑泄露、重要数据加密代码逻辑泄露等等。

应用组件如果存在权限攻击漏洞则该组件能够被外部的其他组件直接调用，这样就可能产生泄露隐私数据或者应用程序崩溃等漏洞。恶意应用可以传递有害数据或者命令给受害的Broadcast Receiver，而Receiver接收到有害的数据或者命令时可能泄露数据或者做一些不当的操作。也有可能Receiver去开启其它的Activity或者Service，从而产生更大的危害。 Activity被恶意应用开启，可能有一下危害：修改程序的状态或者数据；用户被欺骗（比如用户点击一个恶意应用的Setting，恶意应用开启受害应用的设置，此时用户以为在修改恶意应用的Setting，这样受害应用的设置可能被用户无意识的修改）；被调用的Activity可能返回隐私的信息给恶意应用，造成数据泄露；可能会是应用程序崩溃，造成拒绝服务等漏洞。

应用创建Intent传递数据到其他Activity，如果创建的Activity不是在同一个Task中打开，就很可能被其他的Activity劫持读取到Intent内容，跨Task的Activity通过Intent传递敏感信息是不安全的；显示调用和隐式调用都能过在不同应用间传递数据可能造成的风险包括：恶意调用 ；恶意接受数据；仿冒应用，例如（恶意钓鱼，启动登录界面）；恶意发送广播；启动应用服务；调用组件，接受组件返回的数据；拦截有序广播。

在开发安卓应用时候，添加调试Log信息是一个非常常用的手段，打印Log也是一个良好的习惯，有助于程序员快速的定位错误位置和错误信息。但是如果发布出去的应用未及关闭Log信息的输出，则有可能泄露应用的逻辑处理和一些账号等信息。

遇到软件没有捕获的异常之后，系统会弹出这个默认的强制关闭对话框。 我们当然不希望用户看到这种现象，简直是对用户心灵上的打击，而且对我们的bug的修复也是毫无帮助的。我们需要的是软件有一个全局的异常捕获器，当出现一个我们没有发现的异常时，捕获这个异常，并且将异常信息记录下来，或者上传到服务器公开发这分析出现异常的具体原因。如果不进行异常捕获则会大大降低用户体验。

使用外部存储实现数据持久化，这里的外部存储一般就是指的是SDCARD。使用SDCARD存储的数据，不限制只有本应用访问，任何可以有访问SDCARD权限的应用均可以访问，容易导致信息泄漏安全风险。

为了实现不同软件之间的数据共享，设置内部文件为全局可读或全局可写，导致其他应用可以读取和修改该文件。如果此类文件包含了关键配置信息、账户信息数据等敏感信息，可能会被盗取或者恶意篡改，导致如程序无法运行，业务逻辑被修改等问题。

Android中进行数据本地储存的方式一共有三种，包括：储存于内置卡（系统盘符）、储存于外置卡（SDCARD盘符），其中手机内置卡（系统盘符）受终端与权限保护第三方APP不能随意访问其数据；储存于外置卡（SDCARD盘符）的数据可以不受任何阻碍进行访问而容易造成数据丢失、泄露与恶意篡改等风险。

大部分程序语言里，可以将一个固定数值定义为一个标记，然后用这个特殊标记来取代变量名称。当标记名称改变时，变量名不变，这样，当重新编译整个程序时，所有变量都不再是固定值，这样就更容易的实现了改变变量的目的。尽管通过编辑器的查找替换功能也能实现整个变量名称的替换，但也很有可能出现多换或者少换的情况，而在计算机程序中，任何小错误的出现都是不可饶恕的。最好的方法是单独为变量名划分空间，来实现这种变化，就如同前面说的那样，将需要改变的变量名暂时用一个定义好的标记名称来代替就是一种很好的方法。通常情况下，都应该避免使用硬编码方法。