(비)공식 Habr 애플리케이션 - HabrApp 2.0: 액세스 권한 얻기

나른하고 벌써 꽤 지루한 어느 저녁, 나는 나뭇잎을 헤쳐나가고 있다 관리 Habr 애플리케이션에서 다시 한 번 작동하지 않는 기능마다 하나씩 손가락을 구부렸습니다. 예를 들어 여기서는 댓글을 달 수 없고 투표권이 거부되며 일반적으로 수식이 화면에 표시되지 않는 이유는 무엇입니까?

결정되었습니다. 우리에게는 편안하고 즐거운 것, 우리만의 것이 필요했습니다. Habr에 대한 귀하의 신청서는 어떻습니까?
상황을 이해하기 위해 몇 가지 스크린샷을 보여드리겠습니다.

어쩐지 이렇게 생겼어 그것 - 의. habr.com 애플리케이션

"불편한 점" 목록

• 등급이 0이 아닌 출판물은 등급을 매길 수 없습니다.
• 댓글을 쓰는 것이 항상 가능한 것은 아닙니다.
• 여론조사가 작동하지 않습니다
• 어두운 테마에서는 수식이 표시되지 않습니다(검은색 바탕에 검은색).
• 일부 북마크는 사용할 수 없습니다.

네, 작년 XNUMX월 이후로 앱 업데이트가 안됐는데 여전히 상태가 안좋네요. 일반적으로 수정이 필요합니다.

XNUMX부. 액세스를 찾고 있습니다.

빠른 Google 쿼리 "하브라하브르 API" 이미 꽤 구식이라고 하네요 저장소 Github에서는 이후 업데이트되지 않았습니다. 11월 21 2016, 그리고 이것은 잠시 동안, XNUMX년 반.

이것이 PHP라는 사실을 무시하고 아래로 스크롤하여 다음을 읽으십시오.

애플리케이션 ID 가져오기

활용 이 양식 Habrahabr에서는 새 애플리케이션의 본질과 API가 필요한 목적을 간략하게 설명해야 합니다.

액세스 권한이 필요하다면 의심의 여지가 없습니다. 우리는 편지를 씁니다 (축약):

편지

PWA를 기반으로 Habr에 대한 애플리케이션을 만들고 싶은 욕구가 있습니다. 여기에는 몇 가지 이유가 있습니다. 

첫 번째이자 가장 분명한 점은 Android 애플리케이션이 내 개인적인 요구 사항을 충족하지 않는다는 것입니다.

둘째: 일반적으로 이메일로 전달되는 모든 종류의 항목(예: 댓글)에 대한 기본 알림이 충분하지 않습니다.

셋째: 내 관심사를 고려하여 관심 있는 사람/허브에 대한 개인적인 요약(관점)입니다.

물론 대답은 그다지 유쾌하지는 않았지만 적어도 정직했습니다.

안타깝게도 현재 API에 액세스할 수 없습니다. API 완성 후 액세스 제공을 재개할 계획이지만 아직 정확한 날짜가 없습니다. 우리는 현재 다른 우선순위 작업을 해결하느라 바쁩니다.

"그래, 문제 없어! 우리는 뭔가를 생각해 낼 것입니다!" -나는 나 자신에게 말하고 찾기 시작했습니다.

두 번째 부분. 깊은 발굴.

논리에 따라 애플리케이션이 실행 중이면 API에 액세스할 수 있으며 애플리케이션에 내장됩니다. 분석해 봅시다.

우리는 트래픽을 다루기 때문에 Wireshark를 선택합니다. 약간의 어려움 없이 데스크톱 컴퓨터를 통해 전화를 인터넷에 연결한 후 애플리케이션을 열고 요청을 살펴봅니다.

아무것도 명확하지 않은 것이 분명합니다

예, 모든 것이 암호화되어 있지만 암호화를 엉망으로 만들고 싶지는 않습니다. 그런 다음 애플리케이션 자체 내부를 살펴봐야 합니다.

디컴파일됨 의 .apk, 살펴보기 시작하겠습니다. API에는 무엇이 필요합니까? 오른쪽, 엔드 포인트, 모든 요청이 전달되는 곳입니다. 아마도 http(s)일 것입니다. "https://"를 찾아보겠습니다.

파일에서 AuthLinkManager.smali 찾기

.field OAUTH:Ljava/lang/String; = "https://habrahabr.ru/auth/o/%s/"
.field OAUTH_PARAMS:Ljava/lang/String; = "?client_id=%s&response_type=token&redirect_uri=%s"
.field OAUTH_REDIRECT_URL:Ljava/lang/String; = "http://cleverpumpkin.ru"

이것은 Android 가상 머신의 코드입니다(달빅 VM), 인간에게는 그다지 이해하기 어렵지만 여전히 유익합니다. 콘텐츠와 이름, GitHub 저장소로 판단되는 이 세 가지 상수는 다음 메서드를 사용하여 액세스 토큰을 요청하는 데 사용됩니다. GET.

더 자세히 살펴 보겠습니다. 검색에서 다음에 나오는 파일은 NetworkModule.smali:

const-string v0, "https://habr.com/api/v1/"

그리고 여기가 귀하의 요청을 처리할 수 있는 곳입니다!

자체 작성 클라이언트가 제대로 작동하려면 알아내야 할 것이 한 가지뿐입니다. client_id, 이는 애플리케이션의 고유 식별자일 가능성이 높습니다.

하지만 소스코드에서 이 텍스트를 검색해도 관련 정보를 찾을 수 없었습니다...

그런데 갑자기 파일 중 하나에서 흥미로운 문구가 눈에 들어왔습니다.

const-string p8, "log-tag"
invoke-static {p8, p2}, Landroid/util/Log;->d(Ljava/lang/String;Ljava/lang/String;)I

아시다시피 이것은 로그 항목입니다. 그런데 무엇을 녹음하나요?

XNUMX부. 이것들은 로그입니다!

우리는 사용 adb logcat 애플리케이션 로그를 보려면

예상외로 로그는 예상보다 훨씬 더 자세한 것으로 밝혀졌습니다.

여기에는 우리에게 필요한 것뿐만 아니라 client_id하지만 토큰 사용자/애플리케이션 및 로그인 и 암호 명확한 텍스트로!

일부 음모론로그에 로그인과 비밀번호가 있다는 것만으로는 아무런 해를 끼치지 않습니다. 이러한 로그는 루트 권한이나 다음을 통한 연결을 통해서만 읽을 수 있기 때문입니다. adb. 그러나 Habr을 읽는 사람들 중에는 디버깅을 활성화한 Android 개발자가 있다는 사실로 인해 이것이 문제가 됩니다.

이런 경우 공항에서 '무료 충전'을 하면 계정도용이 발생할 수 있는데, 누가 필요할까요?
이 로그에서 다음을 추출할 수 있습니다.

• client_id и apikey액세스하는 데 필요 API를;
• 사용자 인증 URL(이상하지만 저장소에 이 방법에 대한 내용이 없습니다. 제공되지 않았을 수도 있습니다.)

그것이 일어난 방법입니다. 이 작은 연구를 바탕으로 모바일 애플리케이션을 자체적으로 구현하는 소규모 프로젝트 작업이 이미 진행 중입니다. 나는 메시지 작성을 돕고 싶은 사람들과 다른 모든 사람들에게 투표를 요청합니다 (누구에게 이것이 필요한지 이해하고 싶기 때문입니다).

감사합니다!

등록된 사용자만 설문 조사에 참여할 수 있습니다. 로그인제발

Habr 모바일 애플리케이션을 사용하시나요?

• 네, 사용하고 있어요 만족해요

• 네, 사용하고 있습니다. 애플리케이션이 불편을 끼칩니다.

• 아니요, 휴대전화에서 웹 버전을 사용합니다.

• 아니요, 내 컴퓨터에서 Habr을 사용합니다.

357명의 사용자가 투표했습니다. 30명의 사용자가 기권했습니다.

출처 : habr.com