אפליקציית Habr (לא) רשמית - HabrApp 2.0: מקבל גישה

ערב אחד עצבני וכבר די משעמם, אני מדפדף רשמית יישום חב, שוב כופפתי את אצבעותיי, אחת לכל תכונה שאינה פועלת. כאן, למשל, אתה לא יכול להגיב, כאן נשללת זכות הצבעה, ובכלל, למה הנוסחאות לא נראות על המסך?

הוחלט: אנחנו צריכים משהו נוח, נעים, משהו משלנו. מה לגבי האפליקציה שלך עבור Habr?
תן לי לתת לך כמה צילומי מסך כדי להבין את המצב.

איכשהו זה נראה ככה זה - של. אפליקציית habr.com

רשימה של "אי נוחות"

• לא ניתן לדרג פרסום שהדירוג שלו שונה מ-0
• לא תמיד אפשר לכתוב תגובה
• סקרים לא עובדים
• נוסחאות אינן גלויות בנושא כהה (שחור על שחור)
• לא כל הסימניות זמינות

כן, האפליקציה לא עודכנה מאז אוגוסט שנה שעברה, אבל היא עדיין גרועה. באופן כללי, צריך לתקן את זה.

חלק ראשון. מחפש גישה.

שאילתת גוגל מהירה "Habrahabr API" זה אומר שזה כבר די מיושן מאגר ב-Github, לא עודכן מאז נובמבר 21 2016וזה, לרגע, שנתיים וחצי.

מתעלם מהעובדה שזה PHP, גלול למטה וקרא:

קבלת מזהה האפליקציה

לנצל טופס זה ב-Habrahabr, עליך לתאר בקצרה את מהות האפליקציה החדשה ואת המטרה שלשמה הוא זקוק ל-API.

אין שאלה, אם אתה צריך לקבל גישה, אז אתה צריך את זה. אנו כותבים מכתב (בקיצור):

מכתב

יש רצון להגיש בקשה עבור Habr על בסיס PWA. יש לכך מספר סיבות. 

הראשון והברור ביותר: אפליקציית אנדרואיד לא עונה על הדרישות האישיות שלי.

שנית: אין מספיק התראות מקומיות על כל מיני דברים שבדרך כלל מגיעים במייל (תגובות למשל).

שלישית: עיכובים אישיים (כנקודת מבט) על אנשים/מרכזים שמעניינים אותי, תוך התחשבות בתחומי העניין שלי.

התשובה, כמובן, לא הייתה נעימה במיוחד, אבל לפחות כנה:

למרבה הצער, הגישה ל-API שלנו אינה זמינה כעת. אנו מתכננים לחדש את מתן הגישה לאחר שנסיים להשלים את ה-API, אך אין לנו עדיין תאריכים מדויקים, כי אנו עסוקים כעת בפתרון משימות עדיפות אחרות.

"אוקיי אין בעיה! נמציא משהו!" – אמרתי לעצמי והתחלתי לחפש.

חלק שני. חפירות עמוקות.

בהתבסס על ההיגיון, אם האפליקציה פועלת, אז יש לה גישה ל-API, והיא מחוברת לאפליקציה. בואו ננתח.

מכיוון שאנו עוסקים בתנועה, Wireshark היא הבחירה שלנו. לא בלי כאבים, לאחר שחיברנו את הטלפון לאינטרנט דרך מחשב שולחני, אנו פותחים את האפליקציה ומסתכלים על הבקשות:

ברור ששום דבר לא ברור

כן, הכל מוצפן, אבל אני לא רוצה להתעסק עם קריפטוגרפיה. אז אתה צריך להסתכל בתוך היישום עצמו.

מפורק . Apk, בואו נתחיל לחפש. מה צריך כל API? ימין, נקודת סיום, המקום שאליו מגיעות כל הבקשות. זה כנראה http(ים), בוא ננסה למצוא את "https://":

בקובץ AuthLinkManager.smali למצוא

.field OAUTH:Ljava/lang/String; = "https://habrahabr.ru/auth/o/%s/"
.field OAUTH_PARAMS:Ljava/lang/String; = "?client_id=%s&response_type=token&redirect_uri=%s"
.field OAUTH_REDIRECT_URL:Ljava/lang/String; = "http://cleverpumpkin.ru"

זה הקוד עבור המכונה הוירטואלית של אנדרואיד (דלוויק VM), לא מאוד מובן לבני אדם, אבל עדיין די אינפורמטיבי. שלושת הקבועים הללו, אם לשפוט לפי תוכנם ושמם, כמו גם מאגר GitHub, משמשים לבקשת אסימון גישה באמצעות השיטה GET.

בואו נסתכל הלאה. הקובץ שעולה הבא בחיפוש הוא NetworkModule.smali:

const-string v0, "https://habr.com/api/v1/"

והנה המקום ללכת עם הבקשות שלכם!

כדי שהלקוח שכתב את עצמו יעבוד כמו שצריך, נותר רק דבר אחד להבין - client_id, שהוא ככל הנראה מזהה ייחודי עבור האפליקציה.

עם זאת, חיפוש טקסט זה בקוד המקור לא הוביל למציאת מידע רלוונטי...

אבל פתאום באחד הקבצים קלטו עיני כמה שורות מעניינות:

const-string p8, "log-tag"
invoke-static {p8, p2}, Landroid/util/Log;->d(Ljava/lang/String;Ljava/lang/String;)I

זה, כפי שאתה יכול להבין, ערך יומן. אבל להקליט מה?

חלק שלישי. אלה היומנים!

השתמש adb logcat לצפייה ביומני יישומים.

באופן בלתי צפוי, היומנים התבררו כמפורטים אפילו יותר מהצפוי.

כאן יש לנו לא רק את מה שאנחנו צריכים client_idאבל טוקן משתמש/אפליקציה, ו התחבר и סיסמא בטקסט ברור!

כמה תיאוריות קונספירציהעצם הנוכחות של כניסה וסיסמה ביומנים אינה פוגעת בכלום, מכיוון שניתן לקרוא את היומנים הללו רק עם זכויות שורש או חיבור באמצעות adb. אבל בגלל העובדה שבין האנשים שקוראים את Habr יש מפתחי אנדרואיד שאולי הפעלתם איתור באגים, זה הופך לבעיה.

במקרה זה, "טעינה חינם" בשדה התעופה עלולה לגרום לגניבת חשבון, אבל מי צריך את זה?
מהיומנים האלה נוכל לחלץ:

• client_id и apikeyנדרש לגשת API;
• כתובת URL להרשאת משתמש (מוזר, אבל אין שום דבר במאגר על השיטה הזו, אולי היא לא מסופקת?)

ככה זה קרה. בהתבסס על מחקר זעיר זה, העבודה כבר מתבצעת על פרויקט קטן - יישום משלנו של אפליקציה לנייד. אני מבקש ממי שרוצה לעזור לכתוב הודעה, ומכל השאר - להצביע (כי אני רוצה להבין אם מישהו צריך את זה).

תודה לך!

רק משתמשים רשומים יכולים להשתתף בסקר. להתחברבבקשה.

האם אתה משתמש באפליקציית Habr לנייד?

• כן, אני משתמש בו, אני מרוצה ממנו

• כן, אני משתמש בה, האפליקציה גורמת אי נוחות

• לא, אני משתמש בגרסת האינטרנט בטלפון שלי

• לא, אני משתמש ב-Habr מהמחשב שלי

357 משתמשים הצביעו. 30 משתמשים נמנעו.

מקור: www.habr.com