apk 中的 libpng 不安全，但在我的项目中找不到对该库的引用答案

【问题标题】：libpng in apk is insecure but can't find reference to that lib in my projectapk 中的 libpng 不安全，但在我的项目中找不到对该库的引用
【发布时间】：2017-01-16 15:31:28
【问题描述】：

一切都在标题中，Google 抱怨我的 apk 中的 libpng 版本包含安全风险。但我自己不包括那个图书馆。我想这是我包含的依赖项之一，但我不知道如何找到它。

这是我的 gradle 模块的依赖部分的内容：

dependencies {
    compile fileTree(include: ['*.jar'], dir: 'libs')
    testCompile 'junit:junit:4.12'
    compile('com.google.http-client:google-http-client-gson:1.21.0') {
        exclude module: 'xpp3'
        exclude group: 'stax'
    }
    compile 'com.android.support:appcompat-v7:24.2.0'
    compile 'com.android.support:design:24.2.0'
    compile 'com.facebook.android:facebook-android-sdk:4.9.0'
    compile 'com.google.android.gms:play-services-auth:9.4.0'
    compile 'com.octo.android.robospice:robospice:1.4.14'
    compile 'com.octo.android.robospice:robospice-google-http-client:1.4.14'
    compile 'org.lucasr.twowayview:twowayview:0.1.4'
    compile 'com.github.neopixl:PixlUI:v1.0.6'
    compile 'com.github.bluejamesbond:textjustify-android:2.1.6'
    compile('com.crashlytics.sdk.android:crashlytics:2.6.0@aar') {
        transitive = true;
    }
    compile 'com.fernandocejas:arrow:1.0.0'
    compile 'com.flurry.android:analytics:6.4.0'
    compile project(':sdktools')
}

这里的sdktools指Scout（Skobbler Scout，原生离线地图查看工具）

此外，此处未列出，但我还在我的 libs 目录中包含通用图像加载器 v1.9.5。

总而言之，我的问题是：如何找到我的哪些依赖项包含旧版本的 libpng ？或者根据这个依赖结构你知道它们中的哪一个包含它吗？

【问题讨论】：

您是否尝试过在所有 elf 文件上运行字符串并为 libpng 进行 grepping？
是，没有发现
哦，等等，我没有尝试 grep，后来我发现了问题！它是 sdktools 项目。非常感谢
@jav974 你是怎么解决这个问题的？我也在开发一个使用 Skobbler 地图的应用程序，但该应用程序被拒绝了。
@SumitAnantwar 阅读此主题forum.skobbler.com/showthread.php/… 有最新 v3 补丁的下载链接

标签： android android-studio libpng android-security

【解决方案1】：

这是查找您的 apk 中哪个库正在使用 libpng 的方法：

在 Mac 上：

将 .apk 文件重命名为 .zip 文件。
解压缩重命名的 .zip 文件。
在解压后的 apk 根目录中运行以下命令（注意命令末尾的“.”或“*”），例如

MyApkRootDirectory$ grep -r --text "libpng" .

或

MyApkRootDirectory$ grep -r --text "libpng" *

-r: 告诉 grep 递归执行它的搜索

--text：将二进制文件当作文本处理；这相当于 --binary-files=text 选项。

如果您想突出显示匹配的文本以便于查看（查看 libpng 版本），请同时提供 --color 选项。

您可以参考此链接了解有关 grep 的更多信息： http://www.computerhope.com/unix/ugrep.htm

【讨论】：