Insecure Storage: Android External Storage

程式會將資料寫入 Android 裝置的外部儲存裝置。

使用者在電腦上啟用 USB 高容量儲存裝置來傳輸檔案時，使用者可任意讀取或修改儲存在外部儲存裝置的檔案。另外，即使解除安裝寫入檔案的的應用程式，外部儲存裝置上仍會保留這些檔案。這些限制會危及寫入儲存裝置的敏感資訊，或是讓攻擊者修改程式依賴的外部檔案，將惡意資料插入程式中。

範例 1：在以下程式碼中，Environment.getExternalStorageDirectory() 會將參照傳回 Android 裝置的外部儲存裝置。

 private void WriteToFile(String what_to_write) {
        try{
            File root = Environment.getExternalStorageDirectory();
            if(root.canWrite()) {
                File dir = new File(root + "write_to_the_SDcard");
                File datafile = new File(dir, number + ".extension");
                FileWriter datawriter = new FileWriter(datafile);
                BufferedWriter out = new BufferedWriter(datawriter);
                out.write(what_to_write);
                out.close();
             }
        }
   }