对某地铁app的一次静态扫描报告分析
本次分析从华为应用中心(app-store)下载的某地铁app 分析工具使用了源伞科技Pinpoint 扫描结果 共计找到 122 个致命问题， 148 个严重问题 375 个中等问题以及 11537 个建议改进问题。其中包括 444 个可能引起崩溃或异常的错误， 277 个安全隐私类问题以及 897 个执行效率低下问题。 现举例如下： 安全隐私高危漏洞： 漏洞 路径注入--该漏洞可以使得恶意攻击者覆盖任意文件 位置 yedemo/zw.java，yedemo.zw.b函数 (应该是名称混淆后的结果) 漏洞触发大概逻辑如下： void b(String var1) throws IOException { … // 1这里打开了一个压缩文件 ZipFile var4 = new ZipFile(var1); // 2 这里读取压缩文件的内容 Enumeration var5 = var4.entries(); … while(true) { ZipEntry var15; boolean var16; // 3 do-while循环找到一个不是文件夹的普通文件，并存储到var15里 do { boolean var11 = var5.hasMoreElements(); if (!var11) { var4.close(); var3.delete(); return; }